EUデジタル・オムニバス提案④ / Digital Omnibus / 欧州デジタル規制の単純化と実装への転換雑感

0　はじめに

　欧州委員会の次期マンデート（2024-2029）におけるデジタル政策の輪郭が、一つの内部資料によって鮮明になった。2025年11月21日付のプレゼンテーション資料「Digital Omnibus - Digital Simplification Package」は、これまでEUが築き上げてきた重厚なデジタル規制群を、いかにして競争力と両立させるかという実務的かつ政治的な問いへの回答である。

　EUのデジタル法制は、いわゆるブリュッセル効果として世界的な規範形成を主導してきた。GDPRに始まり、デジタル市場法、デジタルサービス法、データ法、そしてAI法と続く規制の波は、域内の権利保護を強化する一方で、企業に対しては規制の断片化と累積的なコンプライアンスコストをもたらしてきた。本資料によれば、欧州委員会はこの問題に対し、単なる運用改善にとどまらず、規則そのものの修正を含む簡素化パッケージで応じる構えである。その経済効果は2029年までに50億ユーロの行政コスト削減と試算されている。

　今回は、このDigital Omnibusの全貌を俯瞰しつつ、AI法の実装調整、GDPRの解釈明確化、サイバーセキュリティ報告の一元化の3点に焦点を当て、EUデジタル法の現在地と今後の方向性を検討する。

1　問題の所在

　欧州委員会がこのタイミングで包括的な簡素化パッケージを提示した背景には、明確な危機感がある。個々の規制が正当な目的を持っていたとしても、それらが累積したとき、企業にとって耐え難い規制の渋滞を引き起こしているという現実である。

　資料において、現状の課題として強調されているのが報告疲れである。ある企業がサイバーセキュリティインシデントに遭遇した場合、GDPRに基づきデータ保護当局へ、NIS2指令に基づきCSIRTへ、さらにはDORAやeIDAS、CERといった個別規則に基づき、それぞれ異なる当局へ、異なるフォーマットで報告を行わなければならない。調査によれば、82%の事業者が複数の当局への報告を強いられており、そのうち21%は5つ以上の当局へ通知を行っているという。これでは、企業のセキュリティ担当者のリソースが報告に忙殺され、肝心の対処と復旧がおろそかになりかねない。

　また、AI法とGDPRの交錯領域における法的予見可能性の欠如も、開発の現場を萎縮させてきた。生成AIの学習データ利用を巡るGDPR上の適法根拠が不明確であることが、欧州における基盤モデル開発の足枷となっていることは論を俟たない。Digital Omnibusは、こうした副作用を外科手術的に除去し、法体系を整合させる試みである。

2　AI法の実装調整

　AI法はすでに成立し、順次適用のフェーズにあるが、本資料ではその実装段階における混乱を避けるための実務的な手当てが提案されている。

　第一に、高リスクAIシステムに関する適用スケジュールの調整である。AI法はリスクベースアプローチを採用しており、附属書IIIおよび附属書Iに該当する高リスクAIシステムについては、厳格な適合性評価が求められる。しかし、その評価基準となる整合規格の策定が遅れた場合、企業は遵守したくても基準がないという法的空白に直面することになる。本資料では、このリスクに対処するため、欧州委員会が十分なサポートツールが利用可能であることを確認する決定をトリガーとし、そこから一定の移行期間を経て規制を適用するという柔軟な仕組みが提案されている。附属書IIIについては6ヶ月、附属書Iについては12ヶ月の移行期間が設けられる。ただし、無期限の先送りを防ぐため、2027年12月および2028年8月という最終期限も設定されている。これは、規制の予見可能性と実効性を両立させるための現実的な修正といえる。

　第二に、汎用AIモデルとAIシステムの監督権限の明確化である。現在、AI法では、AIシステムの監督は各国の市場監視当局が、汎用AIモデルの監督は欧州AIオフィスが担うという二層構造になっている。しかし、ChatGPTのような汎用AIモデルを基盤として構築されたAIシステムや、超大規模オンラインプラットフォームに組み込まれたAIシステムについては、その境界が曖昧であり、監督の重複や管轄争いが生じる恐れがあった。本資料では、同一プロバイダーによって汎用AIモデル上に構築されたAIシステム等については、AIオフィスの権限が及ぶことを明確化する方針が示されている。これにより、大手プロバイダーに対する規制執行が一元化され、高度な技術的知見を有するAIオフィスによる効率的な監督が期待される。

　第三に、中小企業への配慮である。AI法第4条が定めるAIリテラシーの確保義務について、企業個社への義務付けから、加盟国および欧州委員会による環境整備義務へと転換する案や、高リスクに該当しないAIシステムの登録義務の削除などが盛り込まれている。

3　GDPRのターゲット改正

　本パッケージにおいて最も注目すべき論点は、GDPRに対するターゲット改正の提案である。これまでEUは、GDPRを不可侵の聖域として扱う傾向があったが、AI時代におけるデータの利活用を促進するため、条文レベルでの明確化に踏み込む姿勢を見せている。

　生成AIの開発者にとって最大の懸案事項は、学習データとして個人データを利用する際の法的根拠の構成であった。同意の取得は事実上不可能であり、契約や公的任務も該当しない場合が多い。残る選択肢は正当な利益であるが、これが認められるか否かは各国の監督当局の解釈に委ねられ、法的リスクが高かった。本資料では、AIの開発および運用の文脈において、適切なセーフガードを講じることを条件に、GDPR第6条1項(f)の正当な利益に基づいて個人データを処理できることを明確化する方針が示されている。さらに、バイアス検知・是正のために必要な範囲であれば、機微データの処理も許容される方向である。これは、欧州をAI開発が不可能な地域にしないための、戦略的な法改正案といえる。

　また、個人データの定義と匿名化の明確化も図られる。いつデータが個人データに該当し、いつ匿名加工データとなるのかという境界線についても、欧州司法裁判所のSRB判決等の判例法理を反映し、明確化が図られる。特に、データ受領者が再識別のための法的・実質的手段を持たない場合における仮名化データの取り扱いについて、より明確な基準が示される見込みである。

　一般ユーザーにとって最も身近な問題であるクッキーバナー疲れへの対策も盛り込まれている。ブラウザ設定等による一元的な意思表示を法的に認める方向性が示され、低リスクな処理については同意の例外範囲を拡大し、一度拒否したユーザーに対しては6ヶ月間再度の同意要求を控えるルールなども検討されている。

　GDPRに基づくデータ侵害通知についても、現行の72時間以内という厳格なルールを緩和し、高リスクな侵害に限定した上で、期限を96時間へと延長する案が浮上している。軽微なインシデントの報告に忙殺される当局と企業の負担を軽減し、重大事案への対応にリソースを集中させるための合理的な変更である。

4　サイバーセキュリティ報告の一元化

　報告義務の重複問題に対し、本資料はSingle Entry Pointの導入という解決策を提示している。これは、ENISAが運用する単一のプラットフォームを通じてインシデント報告を行えば、そこから関連する各所管当局へ自動的に情報が共有される仕組みである。企業は、複雑な管轄を意識することなく、ワンストップで法的義務を履行できるようになる。このSEPの導入により、年間約4150万ユーロのコスト削減が見込まれており、報告コストは最大80%削減される可能性がある。

　また、2019年に制定されたP2B規則については、その規定の多くがより強力なDSAやDMAに取り込まれたため、廃止が提案されている。役割を終えた規制を速やかに退場させ、法体系をスリム化する動きとして評価できる。

5　おわりに

　Digital Omnibusが描く未来は、EUの規制戦略が量から質へ、そして理想から実装へと成熟したことを示している。これまでのEUは、厳格なルールを制定することで世界をリードしてきたが、これからはそのルールをいかに経済活動と両立させ、競争力の源泉としていくかが問われている。特に、GDPRにおいてAI開発のための正当な利益の利用を明文化しようとする動きは、プライバシー原理主義からの脱却とも受け取れる大きな転換点である。

　日本企業にとっても、この動きは対岸の火事ではない。欧州市場で活動する企業にとっては、コンプライアンスコストの低減と法的予見可能性の向上という直接的な恩恵がある。また、EUが目指す報告の一元化や規制の単純化というアプローチは、日本のデジタル法制における縦割り行政の解消や、イノベーション阻害要因の除去に向けた議論においても、示唆を与えるものである。

　欧州委員会は、2027年第1四半期に向けてデジタル・フィットネス・チェックを実施し、さらなる規制の整合性検証を進める予定である。実務としては、この潮流を的確に捉え、規制環境の変化を見据えた戦略的な視点を持つ必要があるだろう。

6　Digital Omnibusまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。