欧州AI規制は"骨抜き"にされたのか

EU AI規制とは?まずは基本をやさしく整理

2026年5月7日、欧州議会と欧州理事会が世界初の包括的AI法「EU AI Act」の大幅な修正で合意しました。長年「世界で最も厳しいAIルール」と呼ばれてきた法律が、突如としてゆるくなったように見える。私たちは何を見ているのでしょうか。まずは基本から整理します。

そもそも「AI Act」って何だっけ

EU AI Actは2024年8月に発効した、AIシステムの開発と利用を包括的に縛る世界初の法律です。対象は「EU市場にAIを売る企業」「EU市民にAIサービスを提供する企業」全部。アメリカや日本の会社でも、欧州で商売するなら逃げられません。これを業界では「ブリュッセル効果」と呼びます。EUの基準が、結果的に世界標準になっていく現象のことです。

違反した時のお金は重い。欧州委員会の公式資料によれば、最大で3,500万ユーロ（約60億円）または全世界売上の7%です。たとえば年間売上が10兆円の巨大IT企業なら、7,000億円の罰金が理論上ありえます。GDPR(個人情報保護法)よりずっと重く設計されました。

リスクを4段階に分ける独特の仕組み

AI Actの面白いところは、AIを使う目的ごとに「リスクの段階」を4つに分けたことです。最上位は「禁止リスク」。たとえば公共空間でのリアルタイム顔認識や、社会信用スコアの仕組みは原則禁止。次が「高リスク」。人事採用、医療診断、信用スコアリングなど、人の人生を左右する場面で使われるAIが該当します。

その下が「限定リスク」(チャットボットなど透明性義務だけ)、最後が「最小リスク」(スパムフィルターなど規制なし)です。今回の簡素化合意は、この「高リスク」の範囲と適用時期を大きく変えました。そこが「骨抜き」と言われるゆえんです。

なぜ世界中が欧州の規制に注目するのか

米国に明確なAI法がない今、EUのルールが事実上の世界標準になる可能性が高かった。日本の経済産業省や欧州委員会の資料を見ても、各国の規制議論は「EUがどう動くか」を必ず参照しています。だからこそ、今回の譲歩が「欧州の理想は終わったのか」という大きな問いを投げかけています。

2026年5月の「簡素化合意」で何が変わったのか

2026年5月7日の合意は「Digital Omnibus(デジタル・オムニバス)」と呼ばれるパッケージの一部です。Omnibusとは「複数のものを1つにまとめた」という意味のラテン語由来の言葉。複数の規制を一括で見直す、EU独特のやり方です。

デジタル・オムニバス規制パッケージの全体像

この合意は2025年11月19日に欧州委員会が提案した「Omnibus VII(オムニバス7)」の延長線上にあります。AI Actだけでなく、GDPR(一般データ保護規則)、データ法、サイバー対応規則など、デジタル分野の主要な法律をまとめて見直すという大プロジェクト。建前は「企業の負担を軽くして、競争力を取り戻す」というシンプルな話です。

本音はもう少し複雑です。欧州理事会のプレスリリースによれば「シンプルでイノベーション・フレンドリーなAIルール」を作る、と表現されています。「フレンドリー」という単語に、今回の合意の性格がにじみ出ています。

高リスクAIシステムの適用期限が2027年12月・2028年8月に延期

もっとも大きな変更は、高リスクAIの適用時期がまるごと後ろ倒しになったことです。当初は2026年8月2日からスタートする予定だったルールが、最大で2年ずれ込みました。具体的に整理します。

付属書3(Annex III)に載っている高リスクAI(雇用、教育、医療保険、信用スコア、警察活用など)は、2026年8月2日から2027年12月2日へ16か月遅れる。付属書1(Annex I)に該当する、すでに製品安全規制で縛られているAI(医療機器、リフト、無線機器など)は2027年8月2日から2028年8月2日へ1年遅れる。Hogan LovellsやTravers Smithの法律事務所解説によれば、これは事実上「ほぼ全分野で施行が1年〜1年半先送り」という意味です。

中小企業(SME)・中堅企業向けの文書要件の大幅緩和

もうひとつの目玉は、中小企業(SME)と中堅企業(SMC：従業員500人以下)の負担を軽くしたこと。技術文書の作成項目が大幅に減らされ、欧州委員会が「簡素化テンプレート」を作って配ることになりました。規制サンドボックス(試験的にゆるい環境でAIを動かせる仕組み)も、加盟国が用意する期限が2026年から2027年8月2日にずれ込みました。

SMC(small mid-cap)という新しい区分が登場したのも今回が初めてです。従業員250人〜500人の「中堅」を救済枠に入れたことで、対象企業が一気に広がりました。これは欧州の中小・中堅メーカーには確実に朗報です。

「骨抜き」と言われる5つのポイント

市民団体や一部の研究者は、今回の合意を「歴史的な後退」と評しています。具体的に何が削られたのか。主な論点を一つひとつ見ます。

高リスク分類の絞り込みと業界別法令との重複排除

合意では「高リスクAI」の定義そのものも狭められました。これまでは付属書3に該当するAIは自動的に高リスク扱いでしたが、今後は「使い方が人の健康・安全・基本権に本当に深刻なリスクを生む場合」だけが対象になります。ユーザーを補助したり、性能を最適化するだけの機能は除外。これだけで対象システムの数がかなり減る計算です。

機械(マシナリー)分野がAI Act対象外になった衝撃

業界関係者を最も驚かせたのが、機械(マシナリー)分野の全面的なカーブアウト(切り出し)です。産業用ロボット、工作機械、建設機械などに組み込まれるAIは、もはやAI Actの直接の対象になりません。代わりに、機械規則(Machinery Regulation)の中で別途、AI関連の安全要件が定められることになります。

緑の党のセルゲイ・ラゴディンスキー欧州議会議員は、Euronewsの取材に「機械を除外したことで、AI規制の断片化に向けた第一歩を踏み出してしまった」と警告しています。彼が引き合いに出したのは米国です。連邦レベルの統一的なAI規制がないせいで、州ごとにバラバラのルールが乱立している現状を「悪い見本」として挙げました。

イタリアの社民党MEPブランド・ベニフェイ氏も、同じ懸念を別の角度から指摘しています。Council文書によれば、彼は「分野別シフトが進めば、AI Actの水平的フレームワークが12の異なる規制ロジックに分断されてしまう」と述べました。横串で1つの法律にまとめたのに、結局は業界ごとにルールがバラけることになる。それでは何のためのAI Actだったのか、という根本的な問いです。

透明性違反ペナルティの2027年8月への先送り

合成コンテンツ(AIで作られた画像・動画・音声)に「機械読み取り可能なマーク」を付ける義務も、2026年8月2日から2026年12月2日へずれました。さらに罰則の実質的な発動は、AI Actの解説で知られるInside Privacyの分析によれば、相当の期間「猶予」される見通しです。検出技術の標準がまだ未整備という現実は確かにあります。でも市民団体は「悪用される時間を与えるだけだ」と反論しています。

General Purpose AI 行動規範の人権保護条項が希釈

ChatGPTのような「汎用AI(GPAI)」向けの行動規範(Code of Practice)も、市民団体の批判を浴びています。EUobserverの報道によれば、2025年の最終版で人権保護条項の一部が「必須(mandatory)」から「任意(optional)」へ格下げされた、という分析が出ています。Corporate Europe ObservatoryとLobbyControlの共同調査は、これを「Big Techの要求がほぼ通った結果」と結論付けました。

なぜEUは理想を棚上げしたのか

では、なぜEUは「世界一厳しいAI規制」という看板を下ろしてまで譲歩したのか。背景には3つの大きな圧力が同時にかかっていました。

米中AIレースに置いていかれる焦り

1つ目は、米中AI開発競争で完全に後れを取っているという危機感です。OpenAI、Anthropic、Google、Metaなど米国勢が次々と巨大モデルをリリースし、中国もDeepSeekやAlibabaが追走する。一方欧州はMistral AIが孤軍奮闘しているものの、AIインフラ投資の規模で言えば桁が違います。Modern Diplomacyの分析記事は「Trumpの戦略は欧州の戦略的曖昧さを露呈させた」と指摘しています。

欧州産業界からの「複雑すぎる」という悲鳴

2つ目は、欧州自身の産業界からの強烈な突き上げです。特にドイツのメーカー連盟は「医療機器なら医療機器規則、機械なら機械規則、その上にAI Actが乗ってくる。同じ製品に2つも3つも適合性評価をやらされてはたまらない」と訴え続けてきました。実際、Travers Smithの解説でも「ドイツが主導する形で簡素化を要求してきた」と書かれています。10のEU加盟国がドイツの脱規制案にいったん反対した時期もありましたが、最終的にはバランスを取った妥協案でまとまりました。

欧州委員会の簡素化アジェンダという方針転換

3つ目は、欧州委員会そのものの方針転換です。フォン・デア・ライエン委員長の2期目は「Competitiveness Compass(競争力コンパス)」を掲げ、規制負担の25%削減を目標に置いています。Digital Omnibusはその一環。つまり、AI Actが個別に骨抜きにされたというより「すべての規制を見直す」という全体の流れの中で同じ方向に揃えられた、と見るのが正確です。

Big Techロビイングの実態

とはいえ、譲歩の最大の受益者がBig Techであることは事実です。具体的に、彼らはどう動いたのか。

ブリュッセルに集中する米テック企業のロビー網

Corporate Europe ObservatoryとLobbyControlの共同調査が衝撃的でした。Amazon、Apple、Google、Meta、Microsoftの5社合計で2025年だけで3,500万ユーロ(約57億円)以上をEUロビーに投じた、とされます。さらに業界全体でみれば、ブリュッセルでのテック業界のロビー支出は2023年の1億1,300万ユーロから2026年には1億5,100万ユーロへ、33.6%増えました。

欧州委員会との面会の傾向も偏っています。同調査によれば、2025年中の欧州委員会幹部の面会の69%が「業界団体」相手で、市民団体・NGOとの面会はわずか16%でした。「Brussels(ブリュッセル)が誰を見ているか」が数字で出てしまったわけです。

OpenAI・Google・Metaが要求した具体的な譲歩

SOMO(オランダの調査機関)とTrinity College Dublinの研究者チームは、AI主要企業がEU・国連・G7など3つの主要なAIサミットとEU交渉で、27種類の戦術を使い分け、計249件の介入を行ったと特定しました。「規制はイノベーションを阻害する」「行政コストが過大だ」「国際競争力が損なわれる」「国益を守るべきだ」——この4つのナラティブが繰り返し使われ、最終的にEU委員会自身のレトリックにも染み込んでいきました。

もうひとつ目を引くのは「回転ドア」事例です。フランスのデジタル担当政務官を務めたセドリック・オー氏が、退任後にフランス発のAIスタートアップMistral AIの株主兼アドバイザーに就任しました。そのMistral AIは「汎用AI規制を緩めてほしい」と過去2年ロビー活動を続けてきた当事者です。元政府高官が業界側に座る——欧州でも珍しい話ではなくなりつつあります。

市民団体・研究者から噴出する批判の声

Amnesty Internationalは公式声明で、今回の簡素化を「前例のないオンライン権利の後退」と断じました。「GDPRはAI学習のために弱められ、AI Actは延期され、透明性の安全弁が消える。企業が自分でリスクのレベルを決められるようになる」と批判しています。同様に、Jacques Delors CentreというEU政策シンクタンクも「Digital and AI Omnibusは間違った方向に進んでいる」とする論考を発表しました。

トランプ政権からの外圧という変数

EU内部の議論だけでは、ここまで一気に動いたとは説明しきれません。もう一つの大きな変数が、米トランプ政権からの直接的な圧力でした。

「light-touch規制」を掲げる米国のAI戦略

2026年1月のダボス会議。White Houseの科学技術担当のマイケル・クラトシオス氏は欧州の首脳らを前に、EU AI Actを「absolute disaster(まったくの失敗)」と公然と批判しました。NBC Newsの報道によれば、彼は「米国のlight-touch(軽い手触り)アプローチが勝者の方程式だ」と訴え、Trump政権の規制最小化路線をはっきり打ち出しました。

同じ時期、Trump大統領はBiden前政権が定めたAI安全に関する大統領令を撤回し、政府の「AI Safety Institute(AI安全研究所)」を「Center for AI Standards and Innovation(AI標準・イノベーションセンター)」へ改称しました。Holland & Knightの解説によれば、3月に発表された「国家AI政策フレームワーク」は「スピード・言論の自由・規制ミニマム」という3原則を全面に打ち出しています。

EUへの通商圧力と規制緩和要求の連動

TechBuzzの分析記事は「EU Tech Laws Hit Pause as Trump Admin Pressure Mounts(トランプ政権の圧力でEUテック法が一時停止)」と題して、欧州委員会がAI Actの罰則発動を2026年8月から2027年8月へ延ばすことを検討した、と報じました。関税協議が並行して進む中、AI規制を含むデジタル分野での譲歩を求める米国の圧力は、確実にブリュッセルに届いていました。

ブリュッセル効果(EU基準の世界標準化)は終わるのか

「EUが先導し、世界がそれに従う」という構図、いわゆるブリュッセル効果は、AIの分野では崩れつつあります。米国が完全に背を向け、中国は独自路線、日本もハードロー(罰則あり法律)ではなくソフトロー(行動規範ベース)で済ます方向。EUが孤立して厳しい規制を独走しても、欧州企業だけが負担を抱えて競争力を失う構図になりかねません。今回の譲歩は、その現実への適応という側面があります。

それでも残った重要な規定

「骨抜き」と言われる一方で、今回の合意で新たに加わった、あるいは守られた重要な規定もあります。すべてが緩くなったわけではありません。

非同意性的ディープフェイクの新規禁止(12月2日施行)

もっとも目立つ追加が、非同意性的ディープフェイク(本人の同意なく作られた性的な合成画像・動画)の禁止です。これは2026年12月2日から施行されます。違反した企業には最大3,500万ユーロ(約60億円)または世界売上の7%という最重量の罰則が科されます。既存サービスを提供している企業は、それまでに製品を市場から引き上げなければなりません。

この条項が急いで盛り込まれた背景には、ある事件がありました。2025年12月、イーロン・マスク氏のxAIが運営する「Grok」が画像編集機能を追加。直後から、実在の女性や少女の性的な画像を本人の同意なく生成する事例が次々に発生しました。Euronewsの分析によれば、Grokのチャットボットは2026年初頭、1時間に約6,700枚の性的画像を生成していたとされます。UNICEFが11か国で実施した2026年の調査では、2025年に少なくとも120万人の子どもの画像が性的ディープフェイクに加工された、という衝撃的な数字が出ています。被害者の99%が女性と少女です。

EU AI OfficeとCommissionによる執行体制

規制の本体は緩くなった部分もありますが、執行体制そのものは強化されました。欧州委員会内に設置された「EU AI Office」は、2026年8月2日から汎用AIプロバイダーに対する執行権限(文書要求・評価実施・是正措置・罰金)を本格的に発動します。任意とはいえ「行動規範(Code of Practice)」に署名した企業は、AI Officeの優先的な監視対象から外れる仕組みも導入されました。

MEPラゴディンスキー氏が語る立法ペースとAI進化速度のギャップ

緑の党のラゴディンスキー氏は、別の角度からも警鐘を鳴らしています。「立法プロセスはイノベーションの速さに追いつかない」と。EUは法律1本を作るのに2〜3年かかるのが普通ですが、AIモデルは半年で世代交代します。彼が提案するのは、本格的な法改正ではなく、AI Officeと欧州委員会がガイダンスや行動規範、執行アクションを通じてギャップを埋める運用面での対応。「最終合意は受け入れられるレベル。これは破局ではない」と、現実的な評価も与えています。

GDPRにも入った「大きなメス」

AI Actだけではありません。同じDigital OmnibusでGDPR(個人情報保護法)にも大きな変更が入りました。これがAI学習データの扱いに直結します。

AI学習データの同意要件の緩和

もっとも大きな変更が、新設される「Article 88c」です。Latham & Watkinsの解説によれば、これは「AI モデルの開発と学習のために個人データを処理する、明示的な正当な利益(legitimate interest)の法的根拠」を作るもの。これまでAI企業は学習に使う個人データの法的根拠で苦労してきましたが、新たな根拠が明確に与えられることになります。

その代わりに、強化された保護措置と「無条件のオプトアウト権(本人がいつでも拒否できる権利)」が義務付けられます。とはいえ、IAPPの解説記事は「Digital OmnibusによるGDPR改正は的を外している」とする厳しい論調です。「形式的な保護はあっても、実質的にはAI学習のためにデータが流れやすくなる」というのが批判の核心です。

個人データ利用ルールの見直しがもたらす波紋

もう一つの注目点が、機微情報(special-category data、人種・宗教・健康・性的指向など)の扱いです。AIモデルの「バイアス検出と修正」目的に限って、機微情報の処理が認められることになります。バイアスのないAIを作るためには結局、機微情報を見て学習しないと判定できない。そんな実務上の悩みに応えた仕組みですが、運用次第ではプライバシー侵害につながる、という懸念も指摘されています。

プライバシー保護と産業競争力のジレンマ

結局のところ、欧州は「世界一強いプライバシー保護」と「AI産業の競争力」という、本来両立しにくい2つの目標の間で揺れています。GDPRを盾にAI企業を排除すれば欧州は遅れる。GDPRを緩めれば市民の権利が削られる。Omnibusの解決策はその中間地点に落とした、と言えますが、満足している関係者はほぼいない、という印象です。

日本企業への影響を冷静に評価する

欧州のニュースは遠い世界の話に見えますが、日本企業にも直接の影響があります。冷静に整理します。

対象になる日本企業・ならない日本企業

EU AI Actは「域外適用」が原則。日本に本社があっても、EU市場でAIサービスを提供する企業や、EU市民にAIシステムを売る企業は対象です。White & Caseの解説によれば、自社製AIをEUで販売しているメーカー、欧州ユーザーが利用するクラウドAIサービスを運営する企業、EU子会社経由でAI製品を提供している企業はすべて該当します。一方、純粋に日本国内のみでサービスを完結している企業は対象外です。

猶予期間延長で得られる準備時間の使い方

適用が後ろ倒しになったことで、日本企業も対応の準備に余裕ができました。Araki International IP&Lawの解説では、2026年から2027年にかけての準備優先項目として、AI倫理ポリシーと社内ガイドラインの整備、EU AI Act含む域外規制への構造的コンプライアンスプログラムの構築、ハードロー(罰則あり)とソフトロー(自主規範)両方を反映したリスク評価の継続実施、を挙げています。

日本国内のAIガバナンス議論への波及

日本は2025年9月に「AI推進法(AI研究開発・利活用促進法)」を全面施行しましたが、これは罰則のないソフトロー型。FPF(Future of Privacy Forum)の分析によれば「イノベーション最優先のブループリント」と評されています。EUが厳しい規制から軌道修正したことで、日本のソフトロー路線の正当性が逆説的に増した、とも言えるかもしれません。ただし、自主規律だけで本当にAIリスクをコントロールできるのか、という問いは別途残ります。

まとめ:欧州デジタル主権はどこへ向かうのか

最後に、今回の合意全体をどう評価するか。短期と中期、両方の視点で整理します。

「骨抜き」は本当か、それとも現実的な軌道修正か

「骨抜き」と「現実的軌道修正」、どちらも一面の真実です。市民権の観点からは確かに後退が見られます。一方、欧州産業界からみれば「やっと現実を見てくれた」というのが本音でしょう。ベニフェイ議員もラゴディンスキー議員も、批判はしつつも「最終合意は受け入れられるレベル」とコメントしています。理想と現実の中間に着地したのが今回の合意、と整理するのが公平かもしれません。

2027〜2028年に向けて企業が今やるべきこと

適用は遅れましたが、なくなったわけではありません。Fisher Phillips LLPの解説は「extra timeをどう使うか」を企業に問いかけています。社内のAIガバナンス体制の整備、リスクの高いユースケースの洗い出し、サプライチェーン全体のAI使用箇所の棚卸し、技術文書とテスト記録の自動化——延期された1年〜2年の使い道で、施行時の混乱が大きく変わります。

次に注目すべき欧州規制の動き

2026年は欧州委員会から約12本のガイドラインが順次公表される予定です。高リスク分類の実務適用、Article 50の透明性要件の運用、重大インシデント報告の仕組みなど、具体的なルールはむしろこれから固まります。汎用AI(GPAI)向けの行動規範も2027年8月までに既存モデルへの適用が始まります。今回の「骨抜き」議論は終わりではなく、むしろ次の章の始まりだと見るほうが正確です。欧州デジタル主権の物語は、ようやく「現実」に向き合い始めたところ、と言えそうです。

参考文献

欧州理事会: Artificial Intelligence - Council and Parliament agree to simplify and streamline rules (2026/05/07)
欧州委員会: EU agrees to simplify AI rules to boost innovation and ban 'nudification' apps to protect citizens
Euronews: The EU simplified its toughest AI law - what changed and why it matters
Euronews: How the EU plans to ban non-consensual 'nudifier apps'
White & Case LLP: EU agrees Digital Omnibus deal to simplify AI rules
Inside Privacy: EU AI Act Update - Timeline Relief, Targeted Simplification, and New Prohibitions
Hogan Lovells: EU legislators agree to delay for high-risk AI rules
Travers Smith: EU agrees to delay key AI Act compliance deadlines
Corporate Europe Observatory: Article by article, how Big Tech shaped the EU's roll-back of digital rights
EUobserver: Simplifying the AI Act - That's Brussels saying 'yes' to Big Tech requests to water down regulation
Amnesty International: How EU proposals to "simplify" tech laws will roll back our rights
TechPolicy.Press: EU's AI Act Delays Let High-Risk Systems Dodge Oversight
IAPP: MEPs reach preliminary political agreement on AI omnibus
eWeek: EU Lawmakers Vote to Ban Non-Consensual AI Deepfakes in Landslide Decision
Latham & Watkins: Digital Omnibus - EU Commission Proposes to Streamline GDPR and EU AI Act
IAPP: EU Digital Omnibus amendments to GDPR to facilitate AI training miss the mark
Future of Privacy Forum: Understanding Japan's AI Promotion Act
荒木法律事務所: Global AI Regulatory and Policy Developments - 2025 Update and Implications for 2026
Modern Diplomacy: Trump's AI Strategy Exposes Europe's Strategic Ambiguity
Fisher Phillips LLP: EU Overhauls AI Act Just Before Key Deadline