何が起きたか
AI Actは条文ごとに適用時期が分かれる構造で、本体の発効は2024年8月1日である。今回動いたのは第50条だ。欧州委員会は現地時間8月2日、この透明性規則をEU全域で適用し始めたと公表した。
内容は二系統に整理できる。ひとつは合成コンテンツの表示である。現実の人物や場所、出来事を模した映像・音声・画像、そして人の手による確認を挟まずに公共的な話題で公開される文章については、利用者の目に入る表示と、機械が読み取れる印の両方が要る。もうひとつは、やり取りの相手が人ではないと分かるようにすることだ。対話型のボットやアバター、自律的に動くエージェントが該当し、生体情報からの分類や感情の推定を行うツールでも対象者への告知が求められる。
義務は、開発元と、それを自社のサービスに組み込んで使う組織との間で割り振られる。運用の手引きは欧州委員会が公開済みで、識別マークに用いるアイコンもEUが併せて配布している。生成AI事業者が行動規範に加わらない道を選ぶ場合、義務を同等の水準で果たしていることを自力で立証する責任を負う。金額の上限は1500万ユーロ（約25億円）、あるいは世界全体の年間売上高の3％とされる。
なぜ重要か
この条文を「AIを開発している会社への規制」と読むと、当事者の範囲を取り違える。第50条は義務を二層に配っている。相手がAIだと分かる設計や、生成物を検出できる印の埋め込みは開発元の担当だが、加工された映像・音声や、人のチェックを経ないまま公共的な話題で出される文章については、それを世に出す側が告知の責任を負う。モデルを一行も書いていない企業が名宛人になり得るということである。
日本企業に効いてくるのは、この後者の立場だ。EU域内の利用者に向けて何かを公開している、あるいは現地法人がサイトやサポート窓口を運営しているなら、そこで動くチャットボット、生成AIで作った広告素材、合成音声のナレーション、自動生成された商品説明が、まとめて検討の対象に入る可能性がある。しかもその多くは自社開発ではなく、購入したSaaSに機能として埋まっている。契約書にAIという語が一度も現れないまま、AIの出力を公開している状態は珍しくない。
責任分界で注意すべきは、印の付与が開発元の義務であることと、最終的な公開物にその印が残っていることが別の問題だという点だ。書き出し形式の変換、切り抜き、CMSへの取り込みの過程でメタデータが失われれば、表示の帰結を問われるのは公開した側になる。ベンダーが義務を負っていることは、自社の説明責任を消すものではない。
制裁金の母数が世界全体の売上高である点も見落とせない。EU向けの売上が小さくても、桁は事業部の感覚から外れる。取り締まりは加盟国の市場監視当局が中心で、AI事務局や欧州データ保護監察官が担う領域もあるため、運用の厳しさに地域差が出る可能性もある。
R&Rの視点
支援の現場で最初に止まるのは、法務でも情報システム部門でもなく「誰が当事者か」の切り分けである。第50条の実質的な担い手は、公開物を出している広報、マーケティング、EC、カスタマーサポートだ。セキュリティ部門が旗を振っても、素材を生成AIで作っているのが別部門なら、棚卸しは空振りに終わる。EU向けに何を、どの部門が、どのツールで出しているかを横串で並べるところから始めたい。
契約面では、日本企業のSaaS調達で見落とされやすい点がある。製品単位で契約し、機能追加はベンダー側の判断で進むため、既存サービスにAI機能が後から載ったときに調達側が気づく経路がない。更新交渉の場で、AI機能追加時の事前通知、印の付与仕様の維持、仕様変更時の資料提供を条項として置いておく価値がある。
経営層への説明は、制裁金の額を前面に出すより「EU市場で売り続けるための条件」として組み立てた方が予算は通りやすい。表示の適正さを審査する仕組みは景品表示法まわりですでに持っている企業が多く、そこに合流させる余地もある。逆に、全社のAI利用を止めるといった振れ方は、対象がEU向けの公開物に絞られる以上、割に合わないことが多い。
実務者が今日やること
- EU向けに公開している画像・音声・動画・文章を部門横断で洗い出し、生成AIが関与した箇所を一覧にする
- 調達済みSaaSについて、AI機能の有無と機械可読マーキングへの対応状況をベンダーに書面で照会する
- 画像の変換やCMS投入など公開までの加工工程で、付与された印が残るかを実物で検証する
- EU向けのチャットボットやサポート窓口で、AIとの対話だと最初に分かる表示になっているか画面で確認する
- 契約更新の交渉に、AI機能追加時の事前通知と表示仕様の維持を求める条項を持ち込む
