AIに関するDigital Omnibusは、見出しを飾った期限を動かした一方で、実際にあなたの開発に影響する期限には手をつけなかった。高リスク義務は1年以上先送りされた。Article 50の透明性義務は先送りされていない。2026年8月2日から適用され、これはおよそ3週間後であり、モデルでテキスト、画像、音声を生成し、その出力を人の目の前に置くという、ごく普通のことをしている普通のチームを捕らえる条項だ。

安堵は本物だったし、報道を読んで肩の力を抜いたチームの気持ちも理解できる。ただしそれは、私たちの多くが抱える問題とは別の問題に対する安堵にすぎなかった。Amazon Bedrock上で要約ツールやサポートアシスタント、コンテンツパイプラインを運用しているなら、延期された義務のほとんどはそもそもあなたを拘束するものではなかった。あなたを拘束するのは、変わらず残った方だ。

実際に何が起きたのか

欧州議会は2026年6月16日にAIに関するDigital Omnibusを可決し、理事会は2026年6月29日に正式に採択して立法手続きを完了させた。今月、官報への掲載をもって発効する。つまりこれは、動向を追うべき提案ではなく、すでに確定した法律だ。

変更された点:

  • Annex III の高リスクシステム(スタンドアロン型)は、2026年8月2日から2027年12月2日に移行する。
  • Annex I の高リスクシステム(規制対象製品に組み込まれるもの)は、2027年8月2日から2028年8月2日に移行する。
  • 非同意の性的画像やCSAMを生成する、あるいはそれに対する合理的な保護措置を欠くシステムに対する新たな禁止規定は、2026年12月2日から適用される。

変更されなかった点:Article 50の透明性義務は、依然として2026年8月2日から適用される。

避けるべき混同

2つの別々の8月2日という日付が、現在社内の議論に大きな混乱をもたらしている。誰がどちらの日付を指しているのか、正確に区別する必要がある。

2025年8月2日はGPAI(汎用AI)の期限だった。汎用AIモデルの提供者に課される義務、Articles 51 to 56は、すでに1年近く施行されている。これらはモデルを提供する者に課される。Bedrock経由でAnthropicやMeta、Mistralのウェイトを呼び出しているだけなら、あなたはGPAIプロバイダーではなく、この日付はもともとあなたのものではなかった。

2026年8月2日は透明性の期限であり、AIシステムのプロバイダーとデプロイヤーに課される。それがあなただ。他社のモデルの上に機能を構築すれば、あなたはその構築したシステムのプロバイダーとなり、それを運用すればデプロイヤーとなる。どちらの役割も延期されていない。

「AI Actの話はもう去年の8月に終わった」という発言と「AI Actは2027年に先送りされた」という発言が、20分と間を置かずに同じ会議で飛び交うのを何度も見てきた。どちらの発言者も部分的には正しく、これは最も厄介な種類の食い違いだ。

Article 50が求めていること

義務は4つあり、それらは巷の議論が示唆するよりも狭く、機械的な内容だ。

50(1):相手が機械であることを伝える

システムが人と直接やり取りする場合、合理的に注意深い人にとって文脈上明らかでない限り、その人はAIシステムとやり取りしていることを知らされなければならない。「AIアシスタント」とラベル付けされたチャットウィジェットはそれで十分だ。人間の名前を与えられ、サポートキューに投入され、一度も開示されないアシスタントは不十分だ。

50(2):合成出力を機械可読な形でマーキングする

これはエンジニアリングが絡む条項だ。合成音声、画像、動画、テキストを生成するシステムのプロバイダーは、出力が人工的に生成または操作されたものであると検知できる、機械可読な形式でマーキングしなければならない。人間向けの目に見えるラベルではなく、機械が検知できるマーキングであり、実務上は画像についてはC2PAのような来歴メタデータ、該当する場合の電子透かし、そしてテキストについては文書化されたアプローチを意味する。テキストに関しては、正直なところ現状の技術水準は条文が示唆するほど成熟していない。Article 50(2)は、マーキングの手法が技術的に実現可能な範囲で効果的で、相互運用可能で、堅牢かつ信頼できるものであることを、条文自身の言葉で求めており、この最後の条件がテキストにとっては重い意味を持つ。

知っておく価値のある経過措置が1つあり、それはOmnibusがArticle 50に触れた唯一の箇所でもある。2026年8月2日より前にすでに市場に投入されていた合成コンテンツ生成システムは、機械可読マーキング義務について2026年12月2日まで猶予される。4か月間の猶予だが、既存システムのみが対象だ。8月2日以降に出荷するものは初日から適用対象になる。これを一時的な猶予と読むなら、それはすでに出荷済みのシステムに4か月を与えるものであって、これからのロードマップには何も与えないことに注意してほしい。

50(3):感情認識と生体分類

デプロイヤーは、それにさらされる人々に通知しなければならない。これがあなたに該当するなら、あなたはすでにそれを承知しているはずで、この法律の他の箇所にはもっと大きな義務が待っている。

50(4):ディープフェイクと公共の利益に関するテキスト

デプロイヤーは、ディープフェイクコンテンツが人工的に生成されたものであることを開示しなければならない。また、公共の利益に関わる事項について一般に知らせるためにAI生成またはAI操作されたテキストを公開するデプロイヤーも、人間によるレビューが行われ、誰かが編集上の責任を負っている場合を除き、それを開示しなければならない。この適用除外は設計上のヒントだ。名指しの説明責任を伴う人間によるレビューは、抜け穴ではなく現実的な道筋だ。

Bedrock上で構築している場合、これは何を意味するか

Bedrockはあなたに代わって出力にマーキングしてはくれない。Converseには合成コンテンツを準拠させるフラグは存在しないし、存在すべきでもない。マーキングは、あなたが生成する成果物と、それを生成するパイプラインの性質だからだ。AWSが提供するのは推論であり、義務はその周囲にあなたが構築したシステムに付随する。

実務上、以下の4つが重要だ:

  • 何を生成し、それがどこに届くのかを棚卸しする。ほとんどのチームは、これに1回の会議では答えられない。社外の人に見せるコンテンツを生成するすべてのモデル呼び出しに加え、モダリティは何か、公開前に人間がレビューするかどうかを洗い出す。この棚卸し自体が作業の本体であり、一度そろえば分類は概ね簡単だ。
  • 来歴情報は公開時ではなく生成時に付与する。画像がモデルによって生成されるなら、それを生成したパイプラインのステップでマーキングする。後からマーキングするということは、後から見つけ出すということであり、すべてを見つけ出すことはできない。
  • テキストへのアプローチとその理由を文書化する。テキストのマーキングは本当にまだ定まっていない。適切な場面では人間レビューと編集責任のルートを使いながら、文書化され、根拠のある立場を取ることは、文書化されていない賭けに勝る。「技術的に実現可能」という基準は、沈黙ではなく証拠によって満たすべきものだ。
  • すでに出荷している開示内容を確認する。50(1)の対応はすでに終わっていることが多く、確認するだけでよい場合が多い。これは表の中で最も安く済む行だ。

延期があなたの助けにならない理由

Annex IIIは、信用スコアリング、採用、教育へのアクセス、必須サービス、法執行、移民といった分野だ。実在する、しかし限定的なリストだ。あなたのプロダクトがそこに含まれていないなら、2027年12月2日という日付は雑学にすぎない。ここで失敗する思考モデルは、「AI Act」を1つの期限を持つ1つのものとして扱うことだ。実際には役割ごとに紐づいた一連の義務であり、それぞれに独自の時計があり、Omnibusはいくつかの時計を調整し、他はそのままにした。あなたの時計はまったく動いていないかもしれない。

2026年8月2日以降、AIオフィスおよび各国の当局は、Article 50を含むプロバイダーおよびデプロイヤーの義務違反に対して、最大1,500万ユーロまたは全世界年間売上高の3パーセントのいずれか高い方の制裁金を科すことができる。最初の数か月の執行能力は限られており、8月に制裁金の波が押し寄せると考える分別ある人はいない。しかしそれは落ち着いていてよい理由であって、準備を怠ってよい理由ではない。なぜなら棚卸しの工程こそが最も時間のかかる部分であり、追い込まれたからといって速くはならないからだ。

結論

Digital Omnibusは高リスク義務を2027年12月と2028年8月に先送りし、Article 50の透明性義務は2026年8月2日のまま残した。GPAI義務は2025年8月からすでに適用されており、それは常に他者のものであって、あなたのものではなかった。モデルでコンテンツを生成し、それをEU域内の人々に見せているなら、あなたの期限は3週間後に迫っており、マーキングの4か月猶予はすでに市場に出ているシステムにしか適用されない。何を生成しているかを棚卸しし、生成した場所でマーキングし、テキストについての判断根拠を文書化し、ボットであることを開示する。それは見出しが示唆するよりも小さなプロジェクトであり、期限はかなり早く訪れる。

次に読む

EUコンプライアンス対応のうち、データレジデンシーとアカウント境界に関する側面はercan.cloudのフィールドノートにある。ハブはercanermis.com。