EU、AIサイバーセキュリティ行動計画を発表
この記事の要点
欧州委員会は2026年7月7日、先端AIモデルの攻防両面に対応する行動計画を発表した。AI法の高リスク規制開始と重なり、企業に対策の点検を迫る内容である。
欧州委員会は2026年7月7日、先端AIモデルがサイバーセキュリティにもたらすリスクと機会の両方に対応する行動計画を発表した。攻撃側と防御側の両方でAIの影響力が増している現状を踏まえ、両面に構造的に対応する方針を示した内容である。EU域内で事業を行う企業や、EU向けにAIを使ったサービスを提供する企業は、対策の前倒しを迫られる可能性がある。
何が発表されたのか
欧州委員会が公表したのは、「AIとサイバーセキュリティに関する行動計画」と呼ばれる方針文書である。先端AIモデルは、攻撃者にとって自動化された脆弱性発見や巧妙なフィッシングメールの生成といった新たな攻撃手段を提供する一方で、防御側にとっても脅威検知や対応作業を自動化する道具になる。欧州委員会はこの二面性を認めたうえで、リスクを抑えながら防御側の機会を伸ばす方針を打ち出した。
行動計画の具体的な予算規模や義務化の範囲、施行スケジュールについては、発表時点では詳細が固まっていない部分が多い。確定していない点は、今後順次公表される公式情報で確認する必要がある。この点は、方針の大枠だけが先に示され、実務上の細目が後追いで整理されていく、この種の政策発表によくある進み方だと言える。
対象となる範囲も、現時点では広めに示されている。防御側の技術開発を後押しする研究支援の枠組みと、攻撃側のリスクを抑えるための規律づけの枠組みが、同じ行動計画の中に併記される形になっている。どちらの比重が実際にどこまで大きくなるかは、今後公表される実施細則を待つ必要がある。企業としては、片方だけを見て安心せず、両方の側面が同時に動いていくという前提で情報を追っておくことが望ましい。
なぜこのタイミングで発表されたのか
今回の発表は、単独の出来事ではなく、複数の動きが同じ時期に重なった結果として位置づけられる。まず、発表の前日にあたる2026年7月6日には、米国・英国・カナダ・オーストラリア・ニュージーランドの5か国、いわゆるファイブアイズのサイバーセキュリティ機関が共同声明を出し、AIを使ったサイバー攻撃が今後数か月で激化すると警告していた。この警告は米英加豪NZ、AIサイバー攻撃は数か月内に激化と警告で取り上げた通り、攻撃側の能力向上のスピードが従来の想定を上回っているという危機感を背景にしている。欧州委員会の行動計画は、こうした警告と軌を一にする動きだと受け止められる。
さらに、欧州連合では2026年8月2日から、AI法における高リスクAIシステムへの規制が本格適用される予定である。EU AI法、8月2日に高リスク規制で解説したように、この規制はAIシステムのリスク分類に応じた義務を課すもので、対象企業には準備の期限が迫っている。今回のサイバーセキュリティ行動計画は、この規制強化の流れの一部として位置づけられており、AI法とサイバーセキュリティ政策が連動して進んでいる構図が見える。
なお、AIによる防御能力の強化という点では、民間企業の側でも動きがある。OpenAI、GPT-5.5-CyberをEUに開放しサイバー防御へで紹介した通り、サイバー防御に特化したモデルをEU域内の組織に開放する取り組みも進んでおり、行動計画が描く防御側の機会拡大は、こうした民間の技術供給とも噛み合う可能性がある。
現場の実務にどう効くか
EU域内で事業を行う企業や、EU向けにAIを組み込んだ製品・サービスを提供する企業は、自社のセキュリティ対策がAIを使った攻撃の高度化にどこまで耐えられるかを点検する必要が出てくる。フィッシングメールの精度が上がり、脆弱性の自動探索が広がるという変化は、すでに現実の脅威として顕在化しており、行動計画の詳細が固まる前から準備を始める価値がある。
とくにAIエージェントを業務に組み込んでいる企業にとっては、今回の発表が権限管理を見直す好機になる。エージェントが乗っ取られた場合にどこまで被害が広がるか、アクセス権限がどこまで絞られているかを、あらためて確認しておきたい。本番のAIエージェント、48%が無防備。ID統制が急務にで示された通り、本番環境で稼働するAIエージェントの半数近くが十分なID統制を欠いているという調査結果もあり、行動計画が想定する攻撃リスクの高まりと重なる部分が大きい。
日本企業でも、EU拠点を持つ場合や、EU顧客向けにAIを使ったサービスを展開している場合は、他人事では済まされない。行動計画の詳細が固まり次第、自社のコンプライアンス体制への影響を確認する必要がある。具体的には、法務部門とセキュリティ部門が連携し、AI法の高リスク規制の適用範囲と、今回の行動計画が求める対策の重なりを整理しておくとよい。予算や人員の確保には時間がかかるため、公式情報の続報を待つだけでなく、現時点で把握できる方向性から準備を始めておくことが、規制の本格適用後に慌てないための現実的な備えになる。
準備の第一歩としては、自社が提供する製品やサービスのどこにAIが組み込まれているかを棚卸しすることが有効である。営業部門や開発部門がそれぞれ独自に導入したAI機能が、法務部門の把握しきれないところで増えているケースは珍しくない。棚卸しの結果をもとに、どの機能がEUの高リスク規制の対象になりうるかを仕分けておけば、行動計画の細目が公表された際にも対応の優先順位をすぐに判断できる。
出典
よくある質問
EUのAIサイバーセキュリティ行動計画とは何か
欧州委員会が2026年7月7日に発表した計画で、先端AIモデルが攻撃と防御の両方にもたらす影響に構造的に対応する方針を示したものである。予算規模や義務化の詳細は今後の公式発表で明らかにされる見込みである。
日本企業への影響はあるのか
EU域内に拠点を持つ企業や、EU向けにAIを組み込んだ製品・サービスを提供する企業は影響を受ける可能性がある。とくに2026年8月2日から本格適用されるAI法の高リスク規制と合わせて、自社のコンプライアンス体制を確認する必要がある。
関連記事
EU、高リスクAI規制を延期で合意。8月施行に猶予
EUがAI法の簡素化で暫定合意した。8月2日に予定した高リスクAIの義務を2027年12月へ延期し、中小企業への配慮や産業向けの重複削減も盛り込む。8月前の正式採択を見込む。EU向けにAIを使う企業は対応の期限が動く。
Google DeepMind、AI標準化機関の設立提唱
Google DeepMindのハサビスCEOが7月14日、先端AIモデルを審査する独立機関の設立を米国主導で提案した。企業のベンダー選定に関わる新基準になる可能性を解説する。