何が起きたか：EUがモデル提供企業へ初の情報提供要請（RFI）を送付

欧州連合（EU）の執行機関である欧州委員会とAI Office（AI法を執行する専門部局）は、汎用AI（GPAI）モデルを提供する事業者に対し、初となる正式な情報提供要請（RFI）を送付しました[1]。欧州委員会のHenna Virkkunen氏が公表したもので、EUの包括的な規制であるAI法（Regulation (EU) 2024/1689）に基づく執行措置の第一歩となります[1]。

法的な根拠は、AI法第5章（Chapter V）に定められた規定です。第88条第1項により欧州委員会にはGPAIモデル提供者に対する排他的な監督・執行権限が与えられており、その任務の実施がAI Officeに委任されています[3, 14]。さらに第91条第1項に基づき、必要な文書や追加情報の提出を求める権限が認められています[3]。

今回のRFIは、単なる質問状ではなく法的な位置づけを持ちます。第91条第4項の規定により、正式な要請書には法的根拠、目的、要求される情報、回答期間、ならびに不正確・不完全・誤解を招く回答に対する罰金規定が明記されます[4]。

送付対象となった企業について、公式発表資料では具体的な事業者名は明示されていません[7, 72]。海外メディアのEuractivは、Anthropic、OpenAI、Google、Meta、Mistralの5社に照会したと報じていますが、これは該当企業がRFIを受領した事実を確認したものではないとされています[7, 50]。個別の要請書が送付された正確な日付や個別の回答期限についても、公開資料からは特定できない状況です[2, 27]。

また、Virkkunen氏への取材に基づく報道として、今回の要請はすべての提供者を一律の対象としたものではなく、過去数か月間に一部の提供者と緊密な対話を行ってきたことが背景にあると報じられています[24]。ただし、この対象範囲に関する経緯は取材に基づく未検証の証言であり、公式発表として確定された事実ではありません[24]。RFI自体は違反を認定する手続きではなく、提供者の法令遵守状況を評価するために情報を収集する段階です[73]。

後輩初の正式要請が出たということは、対象の企業が何らかのルール違反をしたと判断されたわけではないのですね？

先輩その通りだね。今回のRFIは違反の認定ではなく、法令を守れているかを確かめるための情報収集手続きだと規定されているよ。

後輩でも名前が出ている大手企業が本当に受け取ったのか分からないのは、少しモヤモヤします。

先輩公式発表では企業名が公表されていないからね。報道で照会先として名前が挙がったことと、実際に受領したことは明確に区別して見る必要があるよ。

なぜ今なのか：2026年8月2日に適用された執行・制裁権限

EUのAI法は、全面的な義務が一括して課されるのではなく、段階的に適用される制度設計が採られています。GPAIモデル提供者に対する実体的な義務そのものは、2025年8月2日からすでに適用が開始されていました[9]。しかし、第101条に規定された罰金権限を含む執行枠組みの適用は除外されていました[17]。

そのため、2025年8月2日からの1年間は、欧州委員会は正式な執行措置を取ることができませんでした[19]。この期間は、事業者側の自発的な協働、事前報告、ならびに技術的な対話を通じた適合の促進が期待された準備フェーズでした[19]。

状況が変化した画期が、2026年8月2日です。この日にAI法上の執行および制裁権限が正式に適用開始となりました[2, 9, 52]。欧州委員会およびAI Officeは、情報提供要請、モデルへのアクセスを伴う評価、是正措置の要求、さらには市場提供の制限に至る広範な執行権限を行使できるようになりました[15, 52]。

これまで欧州委員会は、2025年に策定された「GPAI Code of Practice（実務規範）」などを通じた支援を行ってきました[20]。この規範は法的義務そのものではなく、事業者が義務への適合を示すための任意の実務ツールです[20]。署名した事業者には行政負担の軽減などの利点がありましたが、署名だけで適合性が法的に推定されるわけではありません[20, 31]。

AI Officeは、今後も技術的コンプライアンス対話を第一選択肢として継続する姿勢を示しています[23, 32, 70]。しかし、2026年8月2日以降は対話が不十分な場合に法的な拘束力を伴う正式なRFIや制裁金へと手続きをエスカレーションできる権限が稼働しました[23, 32]。今回のRFI送付は、従来の任意対話から法的な執行フェーズへの明確な移行を意味しています[23, 33]。

なお、2025年8月2日より前にすでにEU市場へ投入されていたGPAIモデルに関しては、2027年8月2日までに義務へ適合するための措置を講じればよいとする経過措置が設けられています[13]。

何が変わるのか：2系統の要請内容と問われる法的義務

今回送付されたRFIは、単一の内容ではなく「安全性・評価・上市後監視」と「学習データの透明性」という2系統に分かれて実施されました[5, 6, 25, 72]。

系統主な対象範囲根拠条文主な確認・要請事項
安全性・評価・上市後監視システミックリスクを伴うGPAIモデル等の提供者AI Act 第55条、第91条モデルおよび物理インフラのセキュリティ保護、独立した外部評価の有無やアクセス状況、外部安全勧告への対応、上市後のモデル監視体制
学習データ等の透明性学習コンテンツ概要を未公表、または非公式対話に未参加の提供者AI Act 第53条、第91条学習に用いたコンテンツ概要の作成・公開状況、EU著作権法遵守方針の整備状況、クローラー情報やドメイン情報

第1の系統である安全性・評価・上市後監視に関する要請は、モデルのセキュリティ保護、独立した外部評価の有無、上市後のモデル監視体制を対象としています[5, 25]。報道によれば、開発者が外部評価者にどの程度のアクセスを提供しているかや、外部からの安全上の勧告にどう対応したかも論点に含まれていると報じられています[5, 21]。

この要請は、AI法第55条でシステミックリスク（社会全体に重大な影響を及ぼすリスク）を伴うGPAIモデル提供者に課される義務に対応しています[11, 39]。具体的には、最先端のプロトコルによるモデル評価や敵対的テスト、重大インシデントの報告、サイバーセキュリティ確保などです[11, 66]。ただし、第55条本文は標準化評価やテストを要求しているものの、すべてのケースで一律に独立した外部評価を義務付けているわけではありません[40, 67]。関連条文の解釈上、外部評価の有無を問うRFIが直ちに外部監査の義務化を意味するものではない点に留意が必要です[40, 67]。

第2の系統は、学習コンテンツの詳細な概要を公表しておらず、AI Officeとの非公式対話にも参加していない提供者を対象とした透明性要請です[6, 25]。メディア報道では、AI当局が30社超の事業者に対して著作権対応の詳細を要請したと報じられています[22, 51]。ただし、報道にある30社超のすべてに正式なRFIが送られたことまでは確認されていません[51]。

AI法第53条は、すべてのGPAIモデル提供者に対し、技術文書の作成、下流提供者への情報提供、EU著作権法を守る方針の策定、ならびに学習コンテンツ概要の公開を義務付けています[10]。欧州委員会のテンプレートによると、学習概要にはクローラー名、収集期間、スクレイピングした内容の説明に加え、収集元ドメインの上位10%（中小企業は上位5%または1,000ドメインの少ない方）の記載が求められます[63, 76]。これにより著作権者はテキスト・データマイニング（TDM）の権利留保状況を確認しやすくなります[63]。ただし、これは全データセットの開示ではなく、営業秘密とのバランスを考慮した概要開示です[64, 75]。

オープンソースモデルの扱いにも注意が必要です。オープンウェイト（パラメータの重みが公開されていること）であるだけでは免除要件を満たしません[44, 80]。無償かつオープンソースのライセンスで提供され、重みやアーキテクチャ情報が公開されている場合、技術文書の作成やEU代理人の選任義務は免除され得ます[44, 61]。しかし、著作権方針の策定と学習コンテンツ概要の公開義務はすべてのオープンソースGPAI提供者に残ります[12, 45, 61]。さらに、システミックリスクに該当するモデルにはオープンソースによる免除規定は適用されません[12, 45, 61]。

後輩オープンソースとして重みを公開していれば、規制の大部分を回避できると思っていました。

先輩そこは誤解しやすいところだね。無償のオープンライセンスであっても、学習データの概要公開と著作権方針の整備は免除されないんだ。

後輩最先端のモデルなら、オープンソースであっても安全規制の免除すら一切ないわけですね。

先輩そう。システミックリスクがあると判断されれば、提供形態を問わず厳格な評価やセキュリティ義務が課される仕組みになっているよ。

回答を怠った場合の手続き：モデル評価の実施と最大3%の制裁金

正式なRFIを受け取った提供者には、法的な回答責任が発生します[26]。もし事業者が要請に応じない場合や、提出した情報に誤りや不備があった場合、法に基づく段階的な措置と厳しい制裁金が待っています。

AI法第101条の規定により、事業者が故意または過失によってRFIに応じない場合や、不正確・不完全・誤解を招く情報を提出した場合、欧州委員会は罰金を科すことができます[8, 18, 28, 74]。その上限は、前会計年度における全世界年間売上高の3%、または1,500万ユーロのいずれか高い方と定められています[8, 18, 28, 74]。なお、欧州委員会の説明によれば、RFIにはAI Officeによる簡易要請と欧州委員会決定による正式要請があり、決定に基づく要請では無回答そのものも罰金の対象になり得ます[16]。

また、RFIに対する回答内容が不十分であると判断された場合、AI OfficeはAI Board（AI理事会）との協議を経て、第92条に基づく「モデル評価」の手続きへ移行できます[29, 54, 68]。この段階では、欧州委員会が独立した専門家を任命し、APIや適切な技術的手段を通じて、ソースコードを含むモデルへの直接アクセスを要求することが認められています[29, 49, 54, 68]。ホスト型のAPI経由で提供されているモデルであっても、調査の手続きから除外されることはありません[49]。

評価の結果、EU域内における重大かつ裏付けのあるシステミックリスクの懸念が確認された場合、欧州委員会は第93条に基づき提供者に対して措置を要求できます[30, 55, 69]。具体的には、リスク軽減措置や法令遵守措置の実施を要求するほか、必要かつ適切な場合には、EU市場における提供の制限、モデルの市場からの撤回、あるいは回収（リコール）の要求にまで踏み込むことが可能です[30, 55, 69]。

ただし、情報不足からモデルの回収に至る固定的な自動手順が存在するわけではありません[71]。提出情報が足りなければ評価を行い、重大なリスクが裏付けられた場合に軽減や制限を要求し、回答拒否やアクセス拒否といった違反行為に対して罰金を科すという、条件付きの個別判断として運用されます[71]。

後輩罰金が最大で全世界売上の3%というのは非常に重いですね。回答を拒否して逃げ切ることは実質的に不可能な仕組みですか？

先輩回答を拒むと制裁金だけでなく、APIやソースコードへのアクセスを要求されるモデル評価へ進む権限が定められているからね。

後輩でも、要求されたらすぐにモデルが回収されて使えなくなるわけではないんですよね？

先輩欧州委員会が要求できるのは重大かつ裏付けのあるリスクが確認された場合だよ。自動的に回収されるわけではなく、段階的な判断が下される建て付けだね。

誰に影響するのか：モデル提供者から下流開発者・配備者までの責任範囲

AI法の規制対象を理解する上では、どのような主体が「提供者（Provider）」とみなされるかの境界線を把握することが極めて重要です。

AI法におけるGPAIモデルとは、市場への投入方法を問わず、重要な汎用性を持ち、広範なタスクを適切に遂行できる能力を備え、多様な下流システムへ統合可能なモデルを指します[34]。欧州委員会のガイドラインでは、実務上の目安として累積訓練計算量が10^23 FLOPを超え、言語や画像、動画を生成できるモデルが例示されていますが、これは法定の絶対的な閾値ではありません[35, 36]。単一の狭いタスクに特化したモデルは除外され得る一方、この数値を下回っても汎用性を示せばGPAIに該当し得ます[36]。また、上市前の研究・開発・プロトタイプ専用モデルは対象外です[34]。

上位区分であるシステミックリスクGPAIモデルについては、累積訓練計算量が10^25 FLOPを超える場合に高インパクト能力を持つと法定推定されます[37]。さらに、この数値を下回っていても、パラメータ数やベンチマーク、EU域内で1万社以上の登録事業者に提供されているなどの影響力を考慮し、欧州委員会が職権等で指定することができます[37, 38]。

ここで重要なのは、モデルの「上市（Placing on the market）」の定義です。これはEU域内での最初の商業的な供給を意味し、API提供、直接ダウンロード、クラウド経由での提供、さらには顧客インフラへのコピーやアプリへの組み込みを含みます[36, 41, 81]。自社開発したGPAIモデルを自社AIシステムに組み込んで提供・運用する場合も原則として上市とみなされ、第三者向けサービスに不可欠でなく個人の権利に影響しない純粋な内部利用などの狭い例外を除き、提供者義務を免れません[38, 43]。

では、既存モデルを利用して改変を行う下流開発者の責任はどうなるのでしょうか。API経由でファインチューニングを行った場合、重みの管理権限などを考慮した個別判断となり、直ちに提供者となるわけではありません[42, 48]。また、元モデルに変更を加えた場合、元モデルの訓練計算量の3分の1を超える計算量を変更に使用したかどうかが、新たなGPAI提供者とみなされる実務上の目安となります[46, 62, 78]。元モデルの計算量が不明な場合は、非システミックモデルで10^23 FLOPの3分の1、システミックモデルで10^25 FLOPの3分の1が代替の目安です[46, 78]。

ただし、この「3分の1」という基準は安全を保証する確定的な法定閾値ではなく、変更が汎用性や能力、システミックリスクを大きく変えたかを総合判断するための指標にすぎません[46, 62, 78]。下流開発者が新たな提供者と判断された場合でも、文書作成や学習概要の義務は変更部分と追加学習データに限定されます[41, 47, 79]。また、元モデルがシステミックリスクモデルであったとしても、変更後のモデルに直ちに第55条の厳格な義務が自動適用されるわけではなく、改変によってシステミックリスクに相当する能力を持つかどうかの判断を伴います[41, 47, 79]。

APIを利用して独自のAIシステムを構築する下流事業者については、GPAIモデル自体の提供者義務は負いませんが、構築したAIシステムに応じた義務が課されます[56, 59]。もしモデル提供者が必要な技術情報を開示しない場合、下流事業者は第89条第2項に基づき欧州委員会へ苦情を申し立てることができます[60]。なお、高リスクAIシステムに該当するシステムを運用する配備者（企業や公共機関）には、管理下のログを少なくとも6か月保存する義務や、公的機関による基本権影響評価の実施義務などが課されます[57, 58]。

最後に、エンドユーザー自身には今回のRFIに対する回答義務はありません[65]。ただし、AI法第50条の透明性規定により、AIと対話していることの明示や、ディープフェイク（AI等によって実在するように偽造・加工された画像、音声、動画等のコンテンツ）に対するラベル付け、AI生成コンテンツへの機械可読マークの付与といった変化を、日常的に利用する製品のUIや出力を通じて体感することになります[65, 67]。

後輩うちのようなスタートアップが他社のモデルをファインチューニングしてアプリを作っている場合、いきなりEUからRFIが届くリスクはあるんですか？

先輩基本的には元モデル提供者が第一次的な責任を負うよ。ただ、元モデルの3分の1を超えるような大規模な再学習を行い、能力を大きく改変した場合は別だね。

後輩その場合は、自分たちが新しいGPAI提供者として扱われる可能性があるわけですね。

先輩そう。ただしその場合でも、義務を負うのは自分たちが追加した学習データや改変部分に限定されると整理されているよ。

実務と市場への影響：執行の実効性とAIエコシステムの今後

EUのAI法は、モデル提供者の所在地を問わず、EU市場にモデルを提供するすべての事業者に適用されます[82]。そのため、米国などの第三国に拠点を置く企業であっても、原則としてEU域内代理人を置いた上で規制を遵守する必要があります[82]。

しかし、域外の事業者に対する執行の実効性には課題も指摘されています。EU当局が世界中の事業者を直接物理的に監査することは困難であり、執行はEU市場へのアクセス制限、域内代理人への責任追及、あるいはAPIへの技術的アクセス権限などを組み合わせた間接的な手法に頼ることになります[83]。今回のRFI送付という初動措置だけでは、万一事業者が回答を拒否したり、欧州市場から撤退して第三者によるミラー配布が行われたりした場合に、どこまで実効的な統制を及ぼせるかは実証されていません[83]。

また、コンプライアンスを維持するための実務コストは小さくありません。技術文書の更新、学習データの来歴管理、定期的なリスク評価や敵対的テストの実施、さらには外部評価者への対応環境の構築など、単発の調査対応を超えた継続的な組織体制やインフラの維持が求められます[53, 58]。

後輩安全で透明なルールができるのは良いことですが、対応コストが膨らむと大企業しか生き残れなくなりませんか？

先輩そこは重要なトレードオフだね。最先端モデルの開発資源はすでに大手に集中しているという指摘があり、規制対応の固定費が新規参入の壁になる懸念がある。

後輩スタートアップへの配慮や簡素化の枠組みはあるんでしょうか？

先輩中小企業向けの開示要件の緩和などは設けられているけれど、実際に市場の選択肢やイノベーションが守られるかは今後の運用を注視する必要があるよ。

欧州委員会側でも、独立した評価基盤の整備は進行中であり、外部評価者の独立性や資格要件に関する専門家の意見募集が行われている段階です[77]。

今回のRFIを皮切りに始まった本格執行が、信頼性の高いAIエコシステムを育てる契機となるのか、それとも法務コストの増大によって欧州市場でのモデル展開を遅らせる要因となるのか。今後の評価者の独立性の確保、是正措置の実態、ならびに新規参入への影響を多角的に検証していく必要があります[84, 85, 86]。

参考文献・関連情報 本稿は、欧州委員会（AI Office）の公式発表資料、EU AI法（Regulation (EU) 2024/1689）の条文、および各種公式ガイドラインの公開情報に基づいて作成されました。また、当メディアでは関連するAI規制や基盤モデルの動向について以下の解説記事を公開しています。