2026年1月23日、ウィーン。歴史と伝統の街で、デジタル経済の未来を左右するセミナーが開催された。テーマは「AIと法律」。登壇したのはPwC Legalの最前線で活躍する2人の専門家——Dr. Stefan Winklbauer氏（EU AI法・著作権・GDPR・AI責任担当）とMag. Konstantin Maetz氏（EUデータ法・IoTデータ流通・クラウド規制担当）だ。本稿はLIF Tech編集長・Keitoがウィーン現地で取材したセミナーの完全レポートだ。
EUが定めるAI規制は「地域ルール」ではない。世界で最も早く・最も包括的なAI規制が事実上のグローバルスタンダード（ブリュッセル効果）になる可能性を秘めている。EU域外の日本企業であっても、EU市場でビジネスを行う以上、無関係ではいられない。
第1部：EU AI法——「イノベーション推進のガードレール」という設計思想
ハルシネーション・アルゴリズム差別・ディープフェイク・プライバシー侵害——生成AIが加速させるリスクを放置すれば、AIへの社会的信頼は失墜する。EU AI法はイノベーションを阻害するためのものではなく、「人間中心の信頼できるAI（Trustworthy AI）を実現するためのガードレール」として設計されている。
AI法は、イノベーションを阻害するためのものではなく、人間中心の信頼できるAIを実現するための「ガードレール」なのです。
Dr. Stefan Winklbauer（PwC Legal）
4段階リスク分類——すべてのAIはどこに位置するか
EU AI法の最大の特徴は「リスクベースアプローチ」だ。全てのAIを一律規制するのではなく、人々の安全や基本的権利に与えるリスクの大きさに応じて4段階に分類する。
①禁止（Unacceptable Risk）——EUの価値観と相容れないAI
開発・上市・利用すべて禁止される。サブリミナル操作（人間の意識下に働きかけ意思決定を歪めるAI）、社会的スコアリング（中国の信用スコアのように市民を格付けするシステム）、リアルタイム遠隔生体認証（公共の場でのリアルタイム顔認証追跡。テロ対策等の例外あり）、感情認識AI（職場・学校で感情を推測・評価するAI。安全・医療目的を除く）がここに該当する。
②高リスク（High Risk）——企業への影響が最も大きい領域
厳格な義務が課される。重要インフラ管理（水道・ガス・電力）、教育・職業訓練（入学採点・学習者評価）、雇用・人事管理（採用スクリーニング・昇進・解雇判断支援）、基本的民間サービス（クレジットスコアリング・保険リスク評価）、法執行・司法（犯罪予測・再犯リスク評価）がここに含まれる。採用スクリーニングツール・人事評価支援ツール・信用スコアリングツールは多くの日本企業が導入または検討しているAIユースケースだ。これらが「高リスクAI」に分類された場合、EU市場向けには厳格な義務が求められる。
③限定リスク（Limited Risk）——透明性義務のみ
「AIであること」を開示するだけでよい。チャットボット（ユーザーが「AIと話している」と認識できるよう明示）、ディープフェイク・AI生成画像（人工生成物であることを電子透かし等で明示）がここに該当する。
④最小リスク（Minimal Risk）——特別な義務なし
スパムフィルター、AIを搭載したビデオゲームなど大多数のAIがここに分類される。AI法の特別義務の対象外で、自主的な倫理規範の遵守が推奨される。
高リスクAIに課される7つの義務——プロバイダーが果たすべき責任
| 義務 | 内容 | 実務上の意味 |
|---|---|---|
| リスク管理システム | 開発〜廃棄まで全ライフサイクルのリスク特定・評価・軽減 | 一度作って終わりではなく継続的な管理体制が必要 |
| データガバナンス | 学習・検証・テストデータの正確性・完全性・バイアスのなさを確保 | 学習データの出所・品質管理の文書化が必須 |
| 技術文書 | 設計・動作原理・リスク評価を詳細に記録 | AIの「取扱説明書」を専門的水準で作成・維持 |
| ロギング（記録保持） | AIの動作履歴を自動記録し問題発生時に追跡可能に | ブラックボックスを「解読可能」にする仕組みが必要 |
| 透明性・情報提供 | ユーザーへのAIの能力・限界・使用目的の説明 | BtoBの場合、導入企業への情報提供義務が発生 |
| 人間による監視 | AIの判断を人間が監督・介入できる仕組みの組み込み | 「Human in the Loop」の設計が技術要件に |
| 適合性評価 | CEマーク取得のための第三者認証 | 多くの場合、外部認証機関によるレビューが必要 |
基盤モデル（GPAI）への特別ルール——ChatGPT・Claudeはどう規制されるか
ChatGPT・Stable Diffusion・Claudeのような汎用AIモデル（GPAI：General Purpose AI）は、その上に無数のアプリが構築される「基盤」となるため、特別なルールが設けられた。
| 対象 | 義務 | 主なリスク |
|---|---|---|
| すべてのGPAI | 技術文書の作成／学習プロセス・能力の情報提供／EU著作権法遵守ポリシーの策定 | 学習データの透明性不足による著作権侵害リスク |
| システミックリスクGPAI（GPT-4等の高性能モデル） | 最先端モデル評価（レッドチーミング）／システミックリスク評価・軽減措置／エネルギー消費量報告／サイバーセキュリティ確保 | 大規模偽情報拡散・サイバー攻撃悪用・社会インフラへの影響 |
日本企業がAI SaaSを導入する際、そのサービスが「GPAI上に構築されているか」を確認することが重要になる。GPAIプロバイダーが著作権ポリシーを策定できていない場合、そのGPAIを使って生成したコンテンツを日本企業がビジネスに使うと、著作権侵害リスクが日本企業側に波及する可能性がある。OpenAI・Anthropic・Google等のGPAIプロバイダーの著作権ポリシーを契約前に確認する習慣が必要だ。
AI法だけではない——著作権・GDPR・責任問題という3つの地雷
①著作権：学習データと生成物の二重のジレンマ
| フェーズ | 論点 | リスクと対応 |
|---|---|---|
| 入力（学習）段階 | 他人の著作物を無断で学習データに使えるか | EU：研究目的以外のTDMも一定条件で適法。ただし権利者が機械読取り可能な形式でオプトアウトした場合は使用不可。学習データの適法性確認が必須。 |
| 出力（生成）段階 | AI生成コンテンツに著作権は発生するか | 現時点では原則保護対象外。人間の「創作的な寄与」がある場合のみ保護可能性あり。既存著作物に酷似した生成物は侵害リスク。 |
②GDPR：個人データとAI学習の難問
AIの学習に個人データを使う場合、世界最厳レベルのGDPRが適用される。「どの法的根拠でデータを利用するか」「目的外利用になっていないか」「データ主体の削除権をどう保障するか」という3つの難問をクリアしなければならない。特に問題になるのが、「完全に自動化された意思決定（プロファイリングを含む）」に対するGDPRの厳しい制限だ。採用・与信・保険分野でAIを活用する企業は、人間の判断介在を設計に組み込む必要がある。
③AI責任：「ブラックボックス」が引き起こす立証不能問題
自動運転車が事故を起こした場合、医療AIが誤診した場合——誰が責任を負うか。既存の民法では「AIの判断プロセスが不透明（ブラックボックス）」であるため、被害者が因果関係を証明することが極めて困難だ。EUは2つの指令案でこれに対処しようとしている。
| 指令案 | 内容 | 企業への影響 |
|---|---|---|
| AI責任指令案 | 被害者の立証責任を軽減（因果関係の推定）。企業への情報開示請求権を認める。 | AI関連事故が起きた場合、情報開示を求められる可能性。ログ・記録の保持が重要に。 |
| 改正製品責任指令案 | AIなどのソフトウェアも「製品」として製造物責任（無過失責任）の対象に。 | AIの「欠陥」を証明できなくても製造者が責任を問われるリスク。品質保証体制の強化が必要。 |
適用タイムライン——いつ何が始まるか
施行後6ヶ月：禁止されるAI（Unacceptable Risk）の適用開始。サブリミナル操作・社会的スコアリング・リアルタイム顔認証追跡などが一切禁止される。
施行後12ヶ月：GPAI（基盤モデル）ルールの適用開始。ChatGPT・Claude等の汎用AIモデルへの技術文書作成・著作権ポリシー策定義務が発動する。
施行後24ヶ月：高リスクAI（附属書III）の大部分への適用開始。採用・人事・与信・医療・法執行等の高リスクAIへの全義務が適用される。準備に残された時間は多くない。
施行後36ヶ月：高リスクAI（附属書I）への適用開始。医療機器・自動車・航空等の既存規制対象製品に組み込まれたAIへの適用が始まる。
「EU域外だから関係ない」という判断は危険だ。ブリュッセル効果（EU規制が事実上のグローバルスタンダードになる現象）は、GDPRがその典型例として実証済みだ。GDPRは施行当初「欧州だけの規制」と見られていたが、今や世界中の個人情報保護法制の基準になっている。EU AI法も同じ経路をたどる可能性が高い。日本の企業が今から準備を始めることは、EU対応だけでなく、将来の日本国内AI規制への備えにもなる。
第2部：EUデータ法——「データはユーザーのもの」がIoT産業を揺るがす
第2部ではMaetz氏が「EUデータ法（Data Act）」を解説した。2025年9月12日から適用開始のこの法律は、一部の巨大テック企業によるデータの囲い込みを防ぎ、データの公平なアクセスと流通を促進するための野心的な制度だ。
データ法の核心命題はシンプルだ。「コネクテッド製品（IoT機器）とその関連サービスの使用によって生成されたデータは、その製品のユーザー（所有者・借主等）がアクセスし、利用する権利を持つ」——これまでメーカーが事実上独占してきたIoTデータの権利を、ユーザーに取り戻す制度だ。
対象製品とデータの範囲
| 区分 | 対象 | 対象外 |
|---|---|---|
| 対象製品 | スマートウォッチ・スマート家電・コネクテッドカー・産業用ロボット・スマート農業機械など、インターネットに接続しデータを生成・収集・送信する物理的製品 | 主にコンテンツの表示・再生に使われるPC・スマートフォン等（一部例外あり） |
| 対象データ | センサーデータ・動作ログ・環境データなど、製品使用によって意図的・受動的に生成されたRawデータおよび前処理データ | データホルダー独自アルゴリズムで高度に加工・分析された「推論データ」は対象外の可能性 |
メーカーへの義務——Data by Designと第三者共有
| 義務 | 内容 | 実務への影響 |
|---|---|---|
| Data by Design（設計によるデータアクセス） | ユーザーが「デフォルトで・簡単に・安全に・リアルタイムで」データにアクセスできる製品設計が義務化 | ユーザー向けダッシュボード・APIの提供が必要。購入前のデータ利用情報の開示義務も。 |
| 第三者へのデータ共有義務 | ユーザーの要求があれば、メーカーはユーザーのデータを修理業者・保険会社・競合他社等「第三者」に直接共有しなければならない | メーカーによるアフターマーケット囲い込みが崩壊。ただし、共有データを競合製品開発に直接利用することは禁止。 |
日本の製造業（自動車・産業機械・家電等）にとって、EUデータ法は事業モデルの根幹を揺るがす可能性がある。これまでコネクテッド製品のデータを活用したアフターサービス・保守・部品販売は、メーカーの重要な収益源だった。データ法が適用されると、ユーザーがそのデータを競合の修理業者や保険会社に共有できるようになる。EU市場向けのIoT製品を持つ日本企業は今すぐ「自社のビジネスモデルがデータ法の影響を受けるか」を評価する必要がある。
B2Bデータ共有のFRAND条件——中小企業保護と不公正条項の禁止
| ルール | 内容 |
|---|---|
| FRAND条件 | データ共有を求められた場合「公正（Fair）・合理的（Reasonable）・非差別的（Non-Discriminatory）」な条件で応じる義務。不当な高額要求や特定相手への差別禁止。 |
| 中小企業への対価制限 | データ受領者が中小企業（SME）の場合、請求できる対価はデータ生成・提供にかかる実費（合理的マージン含む）のみ。大企業による法外な料金設定を禁止。 |
| 不公正契約条項の無効化 | 一方的に有利な「データホルダーの責任免除条項」「相手方のデータ利用を不当に制限する条項」などは無効。 |
クラウドベンダーロックイン解消——スイッチングフィーの段階的廃止
データ法はIoTデータだけでなく、クラウドサービス市場の健全化も狙っている。スイッチングフィーは施行3年後に完全廃止、移行プロセスの最大完了期間は30日、契約解除に必要な最低通知期間は2ヶ月というルールが導入される。日本企業がAWS・Azure・GCPに蓄積したデータのポータビリティが向上し、EU市場向けのクラウドサービスを提供するプロバイダーはオープンな移行インターフェースの提供が義務化される。
日本企業が今すぐ実行すべき10のアクション
アクション①：AIインベントリの作成（EU AI法対応）
自社が開発・利用・導入しているAIシステムを全て洗い出す。特にEU市場向けの製品・サービスに関わるAIを優先的にリストアップする。
アクション②：リスク分類の判定（高リスクの見極めが最重要）
採用スクリーニング・与信評価・人事判断支援ツール等が「高リスクAI」に該当するかを法務・HR・IT部門が共同で判定する。
アクション③：ギャップ分析の実施
高リスクAIと判定された場合、現在の体制とAI法が求める7つの義務（リスク管理・データガバナンス・技術文書・ロギング・透明性・人間監視・CEマーク）との差分を特定する。
アクション④：GPAIプロバイダーの著作権ポリシー確認
利用中のAI SaaS（OpenAI・Anthropic・Google・Microsoft等）の著作権ポリシーと学習データの透明性を契約前・更新時に確認する。
アクション⑤：AIガバナンス体制の構築
AI倫理指針の策定・リスク管理プロセスの導入・従業員教育を含む組織的対応体制を整える。経営レベルでのAI責任者（Chief AI Officer等）の設置も検討する。
アクション⑥：AIベンダー契約の見直し
AIベンダーとの契約において、EU AI法の遵守義務・責任分界点・情報開示義務を明確に定める。既存契約の再交渉も必要だ。
アクション⑦：コネクテッド製品のデータマッピング（EUデータ法対応）
EU市場向けに販売・提供するIoT製品・スマート家電・産業機械が「コネクテッド製品」に該当するかを確認し、生成データの種類と量を把握する。
アクション⑧：Data by Designへの製品設計見直し
ユーザーが自分のデータに簡単にアクセスできるUI/UX・APIを製品に組み込む。購入前のデータ利用情報開示の仕組みも必要だ。
アクション⑨：アフターマーケット戦略の見直し
第三者データ共有義務を前提に、アフターサービス・保守・部品販売のビジネスモデルを再設計する。「データの囲い込み」から「データ活用のバリューアップ」への転換が必要だ。
アクション⑩：クラウド契約の移行容易性を評価
現在利用中のクラウドサービスのスイッチングコスト・移行手数料・データポータビリティを評価し、ベンダーロックインリスクを定量化する。
まとめ：規制を「コスト」ではなく「競争力」として捉え直す
EU AI法とEUデータ法が企業に突きつけているのは、コンプライアンス負担だけではない。「明確なルールが設定されることで、企業が安心してAIとデータビジネスに投資できる環境が生まれる」という逆説だ。GDPRを「最初にクリアした企業」が欧州市場での信頼を勝ち取ったように、EU AI法への早期対応は「信頼できるAI」という差別化要因になる。日本企業が「ブリュッセル効果に追いつく」のではなく、「信頼のインフラを先行して構築する」という発想の転換こそが、AI時代の競争優位の源泉になる。
施行タイムラインは迫っている。禁止AIへの対応は施行後6ヶ月、GPAIルールは12ヶ月、高リスクAIの大部分は24ヶ月——準備を始めるなら今だ。
LIF Techではこの領域の実務事例を今後も発信していきます。
取材・執筆：Yusuke（株式会社LIFRELL 代表取締役）｜取材：2026年1月23日・ウィーン PwC Legalセミナー｜公開：2026年1月
