EU AI法が正式に適用開始、ただし留保付き

2026年8月初頭をもって、欧州連合のAI法は、審議中の法案から、企業が実際に従わなければならない成文法へと移行した。TechGDPRの最新データ保護ダイジェストはこの節目を取り上げ、同法が適用開始となった一方で、ハイリスクAIシステムに関する規則は一時的に除外されていると指摘している。AI規制とデータプライバシーがどのように交差するかを見守ってきた人々にとって、これは注目すべき瞬間だ。法律は技術的に発効しているが、最も重要な章の一つが保留されているのである。

AI法はリスクベースの枠組みに基づいて設計された。システムは最小リスクから許容できないリスクまでのカテゴリに分類され、それに応じて義務が拡大する。ハイリスクAI、すなわち雇用、信用スコアリング、法執行、医療診断などで使用されるシステムは、もともと最も重いコンプライアンス負担（適合性評価、人間による監視要件、詳細な文書化）を負うことになっていた。より広範な法律が施行されつつある中で、まさにこれらの特定の義務が延期されているという事実は、最も厳しい条項の実施スケジュールについて規制当局と業界が合意することがいかに困難であったかを物語っている。

なぜハイリスクAI規則は保留されているのか

この延期は、規制当局がAI監督に対する姿勢を軟化させた兆候ではない。むしろ、これほど複雑な法律を展開する現実的な課題を反映している。標準化団体、国内規制当局、欧州委員会はいずれも、ハイリスクAI提供者が満たすべき技術仕様を最終決定するためにより多くの時間を必要とした。完全に定義されていない規則に企業を強制的に準拠させるのではなく、ハイリスクシステムに関連する義務は延期され、一方で禁止行為やAIリテラシーに関する規定を含む法の残りの部分は予定通り前進した。

この段階的な展開は、特にデータ保護専門家にとって重要である。生体認証、雇用や融資における自動意思決定など、ハイリスクAIのユースケースの多くは、大量の個人データ処理を伴う。これらのシステムのコンプライアンス期限がずれ込むと、AI特有の保護措置がまだ執行不可能な一時的なギャップが生じる。ただし、同じデータ処理活動に関するGDPRの義務は完全に効力を維持している。組織は、この延期をプライバシーコンプライアンス全般のフリーパスとして扱うことはできず、ハイリスクカテゴリに対するAI法の追加的な要件層についてのみ猶予があるに過ぎない。

GDPRとの関連：プライバシーは依然として枠組みの中に

AI法について理解しておくべき有益なことの一つは、それがGDPRに取って代わるものではなく、並存するものであるということだ。個人データを処理するAIシステムは、ハイリスクに分類されるか否かにかかわらず、既存のデータ保護法（処理の適法な根拠、データ主体への透明性、悪用に対する保護措置）を依然として満たさなければならない。AI法は、その基盤の上にセクター固有かつリスク固有のルールを追加するものである。

このデュアルトラックのアプローチはEUに限ったものではない。世界中のデータ保護制度は、監督のギャップを残さずに新技術を規制する方法について、同様の問題に取り組んでいる。例えば、ジンバブエの電気通信規制当局は、2026年9月から自国のデータ保護法を積極的に施行する準備を進めており、この動きについてはPOTRAZの執行計画に関するレポートで取り上げた。また、南アフリカが携帯電話のSIM登録をデジタルIDに紐づける計画のような提案も、いったん収集された個人データがどのように使われるのかという同様の懸念を引き起こしており、南アフリカのSIMとIDをめぐる議論の取材で探求した。地域もメカニズムも異なるが、根底にある緊張関係は同じだ。技術は、それを統治するためのルールよりも速く進むのである。

これが意味すること

消費者であれば、差し迫った実際的な影響は限定的である。EU AI法のハイリスク条項は、常にAIシステムを導入する企業や公共機関を対象としており、個人ユーザー向けではなかった。しかし、より広範な展開は注目に値する。なぜなら、規制当局がAIによるデータ処理をいかに真剣に受け止めているか、そしてそれらの保護が完全に整うまでにどれだけの作業が残っているかを示しているからだ。

EUのユーザーに触れるAIツールを構築または導入している企業で働いている場合、ハイリスク義務の延期は準備を待って良いという意味ではない。規制当局は、延期が実施時期に関するものであり、方向転換ではないことを明確にしている。文書化、リスク評価、データガバナンスを今から先行して進めておくことは、ハイリスクの期限が実際に到来した際に重要となる。

主なポイント

  • EU AI法は2026年8月に適用開始となったが、ハイリスクAIシステムの義務は、最終的な技術基準が整うまでの間、一時的に除外された。
  • AI法の段階的展開に関わらず、GDPRの義務は全面的に適用され続けるため、AIシステムに関連するデータ処理には依然として適法な根拠と透明性が必要である。
  • EUでAIを導入する企業は、この延期を計画期間と捉え、コンプライアンス免除とは見なさず、最終的なハイリスク要件に向けて準備を継続すべきである。
  • ジンバブエから南アフリカに至るまで、他の法域がデータ保護の執行にどのように取り組んでいるかを観察することは、AI固有のルールと並行して、個人データをめぐる世界的な規制の勢いがどのように高まっているかについて有益な文脈を提供する。