EU AI法のGPAI義務は2025年8月2日から適用され、欧州委員会の執行権限は2026年8月2日に適用段階へ入りました。
2025年8月2日より前にEU市場へ出されたモデルには、2027年8月2日までの移行期間があります。
ここでいう義務の中心は、モデルの技術情報、著作権方針、学習コンテンツの要約を整え、必要な相手へ提示できる状態を保つことです。
大規模な影響を及ぼし得るモデルには、リスク評価やインシデント報告なども加わります。
最初に確認することは、自社が単なる利用者なのか、GPAIモデルをEU市場へ出す「提供者」なのかという立場です。
義務はモデル、提供形態、改変の程度によって変わるため、個別案件ではEU AI法の原文、欧州委員会のガイドライン、専門家の助言を併用してください。
GPAI義務の適用時期
| 日付 | 何が変わったか | 実務上の意味 |
|---|---|---|
| 2025年8月2日 | GPAIモデル提供者の義務が適用開始 | 同日以降にEU市場へ出す対象モデルは、該当する義務への対応が必要 |
| 2026年8月2日 | 欧州委員会の執行権限が適用開始 | 情報要求、評価、是正措置、罰金を含む執行が現実の対応事項になる |
| 2027年8月2日 | 既存モデルの移行期限 | 2025年8月2日より前にEU市場へ出された対象モデルも、この日までに整合が必要 |
この日程は、EU AI法の全規定が同じ日に一斉適用されるという意味ではありません。
GPAIモデルの義務と執行に絞って、自社モデルの上市日と現在の対応状況を照合する必要があります。
GPAIモデルと提供者の意味
GPAI（General-Purpose AI）モデルは、幅広い異なる作業をこなせる汎用性を持ち、さまざまな下流のシステムや用途へ組み込めるモデルです。
文章生成など一つの見た目だけで決まるのではなく、モデルの汎用性と利用可能な作業の広さが判断材料になります。
提供者は、GPAIモデルを開発するか開発させ、自社の名称や商標のもとでEU市場へ出す主体です。
API、ダウンロード、クラウドサービス、他のシステムへの組み込みなど、提供方法が違っても「EU市場で初めて利用可能にしたか」が問題になります。
既存モデルを微調整した企業が、常に新しいGPAIモデルの提供者になるわけではありません。
改変の規模や提供方法によって結論が変わるため、判断の根拠として元モデル、追加学習、計算資源、配布条件、EUでの提供経路を記録します。
対象判定で順番に確認する項目
- 対象が幅広い作業に使えるGPAIモデルか
- 自社がモデルを開発したか、開発させたか、または大きく改変したか
- 自社名や自社ブランドでEU市場へ初めて提供するか
- 提供日が2025年8月2日より前か、同日以降か
- システミックリスクの基準や欧州委員会の指定に該当するか
第三者のモデルを社内で使うだけの企業は、通常、GPAIモデル提供者とは立場が異なります。
ただし、そのモデルを組み込んだAIシステムの提供者や利用者として、別の義務が生じる可能性は残ります。
すべてのGPAIモデル提供者が確認する基本義務
EU AI法53条は、GPAIモデル提供者に四つの中心的な作業を求めています。
書類を一度作って終えるのではなく、モデルの更新に合わせて内容を保つことが前提です。
| 義務 | 平易な意味 | 最初にそろえる証跡 |
|---|---|---|
| 技術文書 | 訓練、試験、評価などを記録し、AIオフィスや主管当局の要請に応じられるようにする | モデル版、訓練と試験の概要、評価結果、更新履歴 |
| 下流提供者向け情報 | モデルを組み込む事業者が、能力と限界を理解して自らの義務に対応できる情報を渡す | 利用条件、能力と制限、統合要件、連絡窓口 |
| 著作権方針 | EUの著作権法と関連権利を守り、権利者による権利留保を識別して尊重する方針を持つ | データ取得方針、権利留保の確認方法、除外と問い合わせの手順 |
| 学習コンテンツの要約 | 訓練に使ったコンテンツについて、十分に詳細な要約を所定の形式で公開する | データ源の分類、取得方法、処理方法、公開版の承認記録 |
学習コンテンツの要約は、訓練データそのものをすべて公開する作業ではありません。
欧州委員会が示す公開要約の説明文書とテンプレートに沿い、公開すべき情報と企業秘密を切り分けます。
EU域外の提供者には、EU域内の認定代理人に関する要件もあります。
自社が域外企業に当たる場合は、モデルの公開前に代理人の要否と契約範囲を確認します。
システミックリスクがあるモデルの追加義務
システミックリスクは、最先端のGPAIモデルが持つ高い能力によって、EU市場や社会へ大規模な影響が及び得るリスクを指します。
訓練計算量1025 FLOPを基準とする閾値のほか、欧州委員会による指定も判断に関係します。
モデルが閾値の要件を満たしたか、満たすと判明した場合、提供者は遅滞なく、遅くとも2週間以内に欧州委員会へ通知します。
閾値だけを追うのではなく、計算量の見積もり方法と更新履歴を監査可能な形で残す必要があります。
追加で必要になる対応
- モデル評価：標準化された手順と適切な手法で能力と限界を評価し、敵対的テストも記録する
- リスク評価と低減：開発、上市、利用から生じ得るEUレベルのシステミックリスクを特定し、低減策を運用する
- 重大インシデント対応：重大な事象と是正措置を追跡し、AIオフィスなどへ不当に遅れることなく報告する
- サイバーセキュリティ：モデルと物理インフラを、窃取、悪用、広範な障害から適切に保護する
これらは安全性評価だけの仕事ではありません。
開発、法務、セキュリティ、経営の判断を同じ記録へ結び付け、モデルの変更時に再評価できる運用が必要です。
GPAI行動規範の役割
GPAI行動規範は、EU AI法への適合を示すための任意の手段です。
透明性、著作権、安全性とセキュリティの三章で構成され、透明性と著作権はGPAIモデル提供者全般、安全性とセキュリティはシステミックリスクがあるモデルの提供者を対象にしています。
署名は義務ではなく、署名しない提供者も別の適切な方法で遵守を示せます。
一方、欧州委員会は、規範に従う提供者には行政負担の軽減と法的確実性の向上が期待できると説明しています。
したがって、「署名すれば対応が完了する」とは限りません。
署名の有無にかかわらず、モデル文書、著作権方針、公開要約、リスク管理の実装と証跡が必要です。
社内で着手する順番
- 対象範囲を決める：モデル一覧、EUでの提供方法、上市日、改変の有無を一つの台帳へ集める
- 立場を判定する：モデルごとに提供者、下流提供者、利用者のどれに当たるかを記録し、判断根拠を残す
- 基本文書を対応付ける：53条の各義務と既存の設計書、評価資料、利用条件、著作権方針を対応付け、不足を洗い出す
- 公開要約を作る：欧州委員会のテンプレートを使い、技術、法務、広報が公開範囲を確認する
- システミックリスクを判定する：訓練計算量と高い影響能力を確認し、該当し得る場合は通知と追加義務の担当者を置く
- 更新手順を定める：モデル版の変更、追加学習、重大インシデント、権利者からの連絡を文書へ反映する条件を決める
- 行動規範の利用を判断する：署名する場合と別の方法で適合を示す場合を比較し、採用した方法と理由を承認記録へ残す
担当部署だけを決めても、必要な情報が別部署に残ったままでは提出に間に合いません。
各義務について、情報を作る部署、承認する責任者、公開または提出する窓口を明記します。
GPAIモデルを利用する企業の確認事項
GPAI義務の主な名宛人はモデル提供者ですが、導入企業も提供者から必要な情報を受け取れるか確認する必要があります。
モデル名と版、能力と限界、利用条件、学習コンテンツ要約の公開先、インシデント時の連絡方法を契約と運用手順に反映します。
社内利用では、入力できる情報、出力の確認者、権利処理、ログの保存、利用停止の判断を先に決めます。
具体的な作り方は、関連記事の生成AI導入時の運用ルールで確認できます。
個人情報を扱う業務では、EU AI法への対応だけで十分とは限りません。
入力データと利用目的の整理には、生成AIと個人情報の実務ガイドも参考になります。
GPAI義務違反の罰則
GPAIモデル提供者に対するEU AI法101条の罰金は、最大1,500万ユーロまたは前会計年度の全世界年間売上高の3％のうち、高い方です。
違反の性質、重大性、期間などを踏まえて金額が判断されます。
3,500万ユーロまたは7％という上限は、禁止されるAI実践に関する別の罰則です。
GPAI義務の罰則を確認するときは、101条の上限と混同しないようにします。
よくある質問
既存モデルは2027年8月まで何もしなくてよいですか
2025年8月2日より前にEU市場へ出された対象モデルには2027年8月2日までの移行期間がありますが、期限まで放置できるという意味ではありません。
対象判定、文書の不足確認、公開要約、著作権方針の整備には部署横断の作業が必要なため、現在の証跡から着手します。
1025 FLOPに達しなければ対象外ですか
その数値は主にシステミックリスクの判定に関係する基準です。
モデルがGPAIに当たり、自社が提供者であれば、数値に達しなくても53条の基本義務を確認する必要があります。
行動規範への署名は必須ですか
必須ではありません。
署名しない場合は、別の適切な方法でEU AI法への適合を説明できる証拠と手順を用意します。
オープンソースなら義務はありませんか
一定の条件を満たす自由かつオープンソースのモデルには、一部の文書義務の例外があります。
ただし、著作権方針と学習コンテンツ要約は残り、システミックリスクがあるモデルにはその例外が適用されないため、ライセンス名だけで対象外と判断できません。
確認に使うEU公式情報
GPAI対応の出発点は、モデルごとの立場と期限を確定し、法務文書と技術記録を同じ台帳で追えるようにすることです。
現在の執行段階では、文書の有無だけでなく、更新と提出を再現できる運用まで確認します。
この記事に関連する株式会社greedenの取り組み
EU AI法への対応は、規制の理解だけでなく、責任分担や記録、運用の定着まで設計して初めて機能します。株式会社greedenは、生成AIを用いた施策について、相談から業務フロー改善、システム実装、継続改善まで支援します。