EU、クラウド・AI開発法を官報公布

結論

欧州連合は7月15日、クラウドとAIインフラの域内自律性を高める「クラウド・AI開発法」をEU官報に公布した。法律は8月4日に発効し、クラウド事業者を4段階に分類する主権フレームワークを導入する。EU域内でデータセンターや公共部門向けAIサービスを扱う企業にとって、調達要件が数年かけて厳しくなっていく流れの起点になる発表であり、EU向けにAIサービスを展開する日本企業も調達先選定の変化を注視する必要がある。

いつ、誰が、何を発表したか

欧州委員会が主導したクラウド・AI開発法は、EU域内のインフラ立地、運営の独立性、EUによる所有・支配といった基準でクラウド事業者を4段階に分類する枠組みを新設した。公共部門や重要インフラを運営する事業者は、この分類を使ってクラウド調達のリスク評価を行うことが義務づけられる。法律は8月4日に発効するが、最初の階層の主権要件が適用されるのは2028年2月から、最も厳しい階層の適用は2029年8月からと、実際の義務化までには数年の猶予がある。

欧州委員会は同時に、AIモデルを市場投入前に審査する仕組みの検討も進めている。EUのサイバーセキュリティ機関ENISAと連携し、重要分野向けの安全なテスト基盤を2026年内に整備する計画だ。事前審査という発想は、医薬品や航空機の認証に近い規制のあり方をAIにも広げるもので、これまでソフトウェアが受けてきた規制とは性質が異なる。

クラウド・AI開発法が目指すのは、欧州域外の大手クラウド事業者への依存度を下げ、域内でのデータ処理やAIインフラ運用の自律性を高めることだ。4段階の主権分類のうち上位の階層に位置づけられるには、インフラの立地だけでなく、運営体制や意思決定の独立性、資本構成まで含めた厳格な基準を満たす必要があるとされ、単に欧州にデータセンターを置くだけでは不十分になる可能性がある。

現場の実務にどう効くか

EU向けにサービスを提供する企業やEU拠点を持つ企業のAI推進担当者は、自社が利用しているクラウド基盤やAIベンダーが将来どの主権階層に分類されうるかを早めに把握しておくとよい。法人向けAIサービスの契約条件を確認する実務は法人向けAIのデータ取り扱い確認ポイント 契約前に押さえる7項目で扱っている。クラウドとオンプレミスのどちらでAIを運用するかという判断軸も、今後は地域ごとの規制動向を踏まえて見直す場面が増えるだろう。判断材料はクラウドとオンプレのAI 違いと選び方を参考にしてほしい。

EUではすでにAI法の高リスク規制が段階適用されており、EU、高リスクAIの義務適用を延期へ。2027年12月に後ろ倒しのように適用時期の変更も相次いでいる。クラウド・AI開発法はAI法とは別の法律だが、両方がEUのAI関連規制として並行して動いていく構図になるため、法務・情シス部門は両制度の適用時期を一つの表にまとめて管理する運用が実務的だ。

自社が直接の規制対象でなくても、取引先や委託先がEUの公共部門や重要インフラに関わる場合は、間接的に主権フレームワークへの適合を求められる可能性がある。サプライチェーン全体でどこまでEU規制の影響が及ぶかを把握しておくことは、情報システム部門だけでなく調達部門にとっても今後の課題になる。

この法律が生まれた背景には、欧州がクラウドインフラの大部分を米国の大手事業者に依存してきたことへの危機感がある。AIの学習や推論に必要な計算資源の多くが域外の事業者に集中する状況が続けば、政策判断や重要インフラの運用が特定の外国企業の意向に左右されかねないという懸念が、法整備を後押しした。欧州委員会はこの法律を、AIとクラウドの両面で欧州の技術的な自律性を取り戻すための土台と位置づけている。

想定される影響

義務化までの猶予期間が長いため、今すぐ対応を迫られる企業は限られる。ただし主権階層の分類基準や、事前審査の対象となる重要分野の具体的な範囲はまだ確定していない部分が多く、今後の欧州委員会の実施細則で明らかになっていくと見られる。EU向け事業を持つ企業は、細則の公表を継続的に追う体制を整えておく必要がある。

出典

• Cloud and AI Development Act — 欧州委員会 Shaping Europe’s digital future
• EU Cloud & AI Act: Prepare Now for July 2026 Publication — Regulations.AI
• The EU Cloud and AI Development Act — Lawfare