EU AI規則の加盟国実装における断片化と規制の非対称性雑感

0　はじめに

　2026年1月、我々はEU AI規則の完全適用に向けた過渡期の只中にいる。2024年の成立以降、ブリュッセル効果として世界的な注目を集めたこの包括的規制は、条文の制定というフェーズを終え、いま各加盟国における実装という極めて実務的かつ政治的な局面に直面している。

　EU AI規則は、その法的形式が規則であるから、加盟国の国内法化を待たずに直接適用されるのが原則である。しかし、実効性を担保するための行政機構の整備、とりわけ市場監視当局や通知当局の指定、罰則規定の詳細設定については、各加盟国の裁量と立法措置に委ねられている。

　本稿では、Deloitte Legalが2026年1月に公表したレポート「National Implementation of the EU AI Act across Member States」（以下「Deloitteレポート」という）を手がかりに、加盟国間における施行状況の差異、所管当局の指定傾向、そしてこれらが企業活動に及ぼす規制の非対称性について、筆者なりの視点から検討を試みる。AIガバナンスが抽象的な議論から、国ごとの行政法規や執行体制という具体的な現実へと移行するなかで、どのような法的・実務的課題が浮き彫りになっているのか。2026年の風景を俯瞰したい。

1　問題の所在

　EU AI規則の主たる目的の一つは、デジタル単一市場におけるAIシステムの安全な流通と基本的権利の保護を、統一的なルールの下で実現することにあった。しかし、その前提となる各国の執行体制整備は、2026年初頭の時点で大幅に遅れている。

　Deloitteレポートによれば、加盟国は2つの期限に直面していた。第一に、基本的権利を保護するための当局指定期限である2024年11月2日。第二に、市場監視当局や届出当局を含むその他の所管当局および単一連絡窓口の指定期限である2025年8月2日である。同レポートは、2025年12月時点で、これらの指定を完了している加盟国は半数にも満たないと報告している。

　規則自体は効力を有しているものの、それを執行する手足が多くの国で未だ定まっていない。この遅延と不統一は、単なる行政手続きの問題にとどまらない。すでに厳格な執行体制が整っている国と、当局の看板すら掲げられていない国が混在することは、EU域内で活動する事業者に対し、予測可能性の欠如という法的リスクを突きつけている。

　ここで筆者が注目したいのは、EUが避けようとしたはずの断片化が、規範の次元ではなく執行アーキテクチャの次元で、じわじわ再来しているという現象である。各国が同じ条文を持ちながら、違う当局が違う習慣で動かすと、現場で観測される法は、単一の規則というより、多層の行政実務として立ち現れる。

2　加盟国における施行状況の三層構造

　Deloitteレポートは、各国の進捗状況を3つの実装段階に分類している。以下、同レポートの整理に依拠しつつ、その含意を検討する。

　第一のグループは先行実施国である。同レポートによれば、デンマーク（2025年8月2日施行）、ハンガリー（同年12月2日施行）、イタリア（同年10月10日施行）、マルタ（同年10月10日採択）、スロベニア（同年11月21日施行）がこれに該当する。これらの国々では、すでにAI規則の施行に伴う国内法が成立・発効しており、所管当局の指定も完了している。イタリアでは国家サイバーセキュリティ庁が中心的な役割を担うとされる。これらの国々では法的な予見可能性が高い反面、執行活動がいち早く開始されることによる厳格な運用リスクも想定される。

　第二のグループは立法プロセス進行中または代替アプローチをとる国々である。同レポートは、フランス、ドイツ、スペイン、ポーランド、オランダといったEUの主要経済大国がこのグループに含まれると報告している。EU市場の大部分を占めるこれらの国々で、未だ最終的な国内法制化が完了していないという事実は重い。フランスでは2025年9月9日に当局指定案が提示されたものの立法手続きは完了しておらず、ドイツでも同年9月時点で草案の協議段階にあるという。スペインのようにAI監督庁を先行して設立している場合や、アイルランドのように政府決定で所管当局を指定している場合もあるが、国全体としての包括的な法整備プロセスは道半ばである。

　第三のグループは初期計画段階にある国々である。同レポートによれば、オーストリア、ベルギー、エストニア、ポルトガル、ルーマニアなどが該当し、これらの国々では所管当局の指定も公になされておらず、立法プロセスの具体的な方向性も不透明であるとされる。

3　所管当局の多様性と規制哲学の相違

　AI規則の執行を誰が担うのか、という点においても、加盟国間のアプローチは多様である。Deloitteレポートはこの点について詳細な分析を行っており、以下ではその知見を踏まえつつ、筆者なりの考察を加える。

　当初、EUデータ保護監督官がEU機関における市場監視当局を務めることや、AIとプライバシーの親和性の高さから、各国のデータ保護当局が主要な役割を果たすとの観測もあった。しかし、同レポートによれば、データ保護当局を単一連絡窓口として指定したのは、ルクセンブルクなどごく一部に留まっている。

　同レポートが指摘する最も顕著な傾向は、通信規制当局の活用である。ブルガリア、キプロス、ドイツ、アイルランド、リトアニア、ポルトガル、スロベニア、スウェーデンなど、9カ国以上が通信分野の規制当局を主要な役割に据えているという。筆者の見るところ、これは、AIシステムをデータの問題としてだけでなく、デジタル社会のインフラストラクチャやネットワークの一部として捉え、既存の技術的規制の枠組みの中で監督しようとする実務的な判断とも解釈できる。技術的な適合性評価や市場監視のノウハウを持つ通信規制当局がAI規制を担うことは合理的である一方、人権保護の観点からのアプローチが弱まる可能性も否定できない。

　同レポートによれば、フランスは競争・消費・詐欺防止総局を、ラトビアは消費者権利保護センターを指定するなど、経済・消費者保護の観点を重視する国もある。スペインやポーランド、アイルランドのように、AI専任の機関を新設する動きも見られるが、これはむしろ少数派である。新設機関は専門性の集約において有利であるが、既存のセクター規制当局との権限調整という新たな課題を抱え込む。

　各国のAI規制に対する捉え方が、当局の選定に色濃く反映されている。経済振興か、消費者保護か、安全保障か、通信インフラか。この当局の属性の違いは、同じAI規則の条文解釈においても、執行の重点やカルチャーの違いとして顕在化する可能性が高い。企業は、自社が対峙する当局がどのような言語で話すのかを理解する必要がある。

4　Deloitteレポートの示唆と筆者の視点

　Deloitteレポートは、この局面における実務上の要点をいくつか指摘している。以下、同レポートの指摘を紹介しつつ、筆者なりの視点を加えたい。

　第一に、各国の異なるアプローチが現れつつあるという点である。同レポートは、加盟国が既存の規制伝統や優先政策に沿ってAI規則の実装を設計していると分析する。筆者もこの見方に同意する。類似の事案でも、どこで主として監督されるか、どこで違反が起きたと評価されるかによって、処理の速さ、当局との対話の仕方、執行の強度が変わり得る。ここには、単一市場における事実上の非対称が生じる。

　第二に、コンプライアンス戦略は万能ではないという点である。同レポートは、加盟国ごとの裁量が、執行権限・手続、制裁金額の算定、公共当局への制裁の可否、中小企業調整、金銭以外の措置（決定の公表、是正命令、製品回収、使用禁止、一時停止等）に及び得ると整理する。この射程を踏まえると、単一のEU向けチェックリストを作って終える設計は、移行期には脆い。

　第三に、規制の遅れはガバナンスを一時停止しないという点である。同レポートは、規制遅延の局面であってもAIガバナンスの必要性は減らないと明言し、信頼できる提供者の選定、契約上の措置、内部統制の実装を、規制要件だけでなく事業ニーズに即して進めるべきだと述べている。筆者の見るところ、これはAI規則が最低限の床を与えるにとどまり、企業はそれより上に自社の統制を積むしかない、という現実を言語化したものである。

　第四に、ビジネスのニーズが安全策を推進すべきであるという点である。AI規則は、リスク分類と義務を与えるが、企業が実際に守るべきものは、顧客、従業員、社会からの信頼である。規制は、それを代替しない。とりわけ生成AIの導入は、法令違反のリスクだけでなく、情報漏えい、誤情報、説明不能性、過度な自動化依存といった、企業価値の毀損リスクを含む。規制に書いてあるからやるではなく、事業の失敗を避けるためにやるという順序が逆転してはならない。

　第五に、環境は今後も進化し続けるという点である。同レポートは、2026年から2027年にかけ、当局指定、調整メカニズム、ガイダンス、執行慣行が更新され続けると見込んでいる。この変化を吸収できる企業だけが、コンプライアンスをコストではなく学習曲線として扱える。静的な規程だけで縛る企業は、現実が動くたびに規程を破り続けることになる。

5　企業実務への翻訳

　ここまでの話を、企業の実装言語へ翻訳すると、次のようになる。

　コンプライアンスは一枚岩ではなく積層構造で設計すべきである。EU AI規則が要求する共通コア、すなわちリスク管理、データガバナンス、技術文書、ログ、人的監督、サイバーセキュリティ、ポストマーケット監視等を最低限の共通仕様として置きつつ、国別に追加され得る運用差をモジュールとして差し込む構造が現実的である。

　どの当局と対話するかは、法務部門だけの話ではない。Deloitteレポートが指摘するように、単一窓口が通信規制当局に寄る国が多い。通信・デジタル分野の当局が主導するなら、技術・安全・インフラの語彙が強くなる。他方で、データ保護当局が前面に出る局面では、個人データ、バイオメトリクス、用途制限といった語彙が強くなる。同じAIシステムでも、説明の仕方が変わる。ここに、社内の技術部門・セキュリティ部門・法務部門の翻訳能力が問われる。

　移行期の不確実性に耐えるには、契約が効く。提供者と導入者の責任分担、監査権、ログ提供、インシデント報告、モデル更新時の通知、下請・再委託の管理、国外移転を含むデータ取扱い、セキュリティ基準など、契約は規制の曖昧さを企業側の運用可能性へ変換する装置となる。AI規則が整い切る前に、企業が自らの統制を作るなら、まず契約から始まる。

　EUレベル調整の効き方を見誤らないことも肝要である。同レポートは、欧州AI委員会やAI Officeが国別の差異を緩和する鍵になると述べている。欧州委員会も、AI Officeを含む枠組みを通じて実施の整合を図る構図を示している。ただし、調整主体が存在することと、実務が均質化することの間には距離がある。少なくとも2026年から2027年は、その距離が縮む過程を観測し続ける年になる。

6　むすびにかえて

　EU AI規則の物語は、条文ができて終わる話ではない。むしろ、ここからが本編である。

　断片的な前進は、単に混乱を意味しない。各国が既存の制度の上にAI規則を載せる過程で、行政法・規制法の実務がAIという横断技術にどう適応するかが露出する。研究者にとっては、統一規範と多元執行の緊張を、具体的制度設計として観測できる希少な機会である。企業にとっては、コンプライアンスを静的規程ではなく、継続的なガバナンス能力として鍛える機会である。

　2026年から2027年、EUはおそらく、単一のAI規制を運用しながら、複数の行政文化を調整するという、制度的に興味深い実験を続ける。ここで生き残るのは、規則が固まってから動く主体ではなく、不確実性のなかで統制を設計できる主体である。

　EU AI規則の真の複雑さは、条文の中ではなく、これからの各国の現場での運用の中にこそ現れる。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。