汎用AI（GPAI, general-purpose AI）とは、EU AI法第3条(63)において「顕著な汎用性を示し、幅広い異なるタスクを適切に遂行できるAIモデル」と定義されるものを指します。ChatGPT、Claude、Gemini、Llama といった大規模言語モデルが典型例です。
前編（「EU AI法の「高リスクAI」とは」）では、EU AI法が2026年8月2日に透明性義務だけを始動させ、高リスクAIの義務が2027年12月2日に延期されたことを整理しました。後編で扱うのは、同じ2026年8月2日にもうひとつ動き出した、汎用AIに対する当局の執行権限です。
構造を先に示します。汎用AIの提供者が守るべき実体的な義務そのものは、1年前の2025年8月2日から既に発効していました。しかしこの1年間、欧州委員会には制裁金を科す権限がありませんでした。その権限が2026年8月2日に発動したのです。
この記事では、次の問いに答えます。
- 汎用AI（GPAI）とは何か。どこからが「汎用」なのか
- よく見る「10の25乗」という数字は何を意味するのか
- 汎用AIの提供者にはどんな義務があるのか
- オープンソースにすれば義務は免除されるのか
- EU域外の日本企業は何をしなければならないのか
- 「情報要求」「モデル評価」「是正措置命令」「市場からの回収」「制裁金」とは具体的に何か
- GPAI行動規範に署名すると何が変わるのか
本記事は2026年8月5日時点の情報に基づく解説です。一部の期限や運用については条文の一次確認ができていない旨を本文中に明記しています。実務判断にあたっては、必ず条文または欧州委員会のガイドラインでご確認ください。
この記事の結論
- 汎用AIの実体義務（第53条・第55条）は2025年8月2日に発効済み。制裁金の規定（第101条）だけが第113条(b)で明示的に除外されており、2026年8月2日に1年遅れで発動しました。
- 第53条の義務は4つ。技術文書、下流提供者への情報提供、EU著作権法の遵守ポリシー、学習コンテンツの概要の公開です。
- オープンソース例外で免除されるのは前2つだけ。著作権ポリシーと学習データ概要の公開は免除されません。
- GPAI行動規範に署名しても適合推定は得られない。適合推定が付与されるのは欧州整合規格への適合のみです（第55条2項）。
義務は前からあったが、罰する手段が今年から揃った。これが2026年8月2日の意味です。
汎用AI（GPAI）とは何か──EU AI法第3条(63)の定義を読む
GPAI は general-purpose AI の略で、日本語では「汎用AI」「汎用目的AI」などと訳されます。EU AI法第3条(63) の定義を、条文に沿って読み解きます。定義の骨格は次のとおりです。
大量のデータを用いた大規模な自己教師あり学習によって訓練される場合を含む、顕著な汎用性（significant generality）を示し、幅広い異なるタスクを適切に遂行できる（capable of competently performing a wide range of distinct tasks）AIモデルであって、市場への出し方を問わず、多様な下流のシステムやアプリケーションに統合できるもの。ただし、上市前の研究・開発・プロトタイピング活動に用いられるAIモデルは除く。
判定の中核は2つです。第一に、顕著な汎用性を示すこと。第二に、幅広い異なるタスクを適切に遂行できること。平たく言えば、「ひとつの用途のために作られた専用モデルではなく、いろいろなことができてしまうモデル」が汎用AIです。ChatGPT、Claude、Gemini、Llama といった大規模言語モデルが典型例ですが、条文上「大規模言語モデル」とは書かれていない点に注意してください。画像生成モデルやマルチモーダルモデルも、汎用性の要件を満たせば入ります。
なお、「上市前の研究・開発・プロトタイピング」は除外されています。社内で実験している段階のモデルは対象外です。
「モデル」と「システム」は別物です
条文は、汎用AIモデル（第3条(63)）と、汎用AIシステム（第3条(66)）を区別しています。
- 汎用AIモデル── 学習済みのモデルそのもの。第53条以下の義務がかかるのはこちら
- 汎用AIシステム── 汎用AIモデルを基盤とし、直接利用にも他システムへの統合にも使える、多様な目的に供しうるAIシステム
日本語の解説ではしばしば混同されますが、義務の名宛人が違います。モデルを開発・提供する事業者が第53条の義務を負い、そのモデルを組み込んでサービスを作る事業者は、下流の提供者として別の立場に立ちます。自社がどちらなのかを最初に確定させてください。
システミックリスクを伴う汎用AIとは何か──10の25乗という数字の意味
汎用AIの中でも、特に強力なものには追加の義務がかかります。それが「システミックリスクを伴う汎用AIモデル」です。
システミックリスクとは、第3条(65) によれば、汎用AIモデルの高いインパクトを持つ能力に固有のリスクであって、その普及範囲ゆえに、あるいは公衆衛生・安全・公共の安全保障・基本的権利・社会全体に対する実際のまたは合理的に予見しうる悪影響ゆえに、EU市場に重大な影響を与えるものを指します。判定基準は第51条で、次のいずれかで分類されます。
- (a) 適切な技術的ツールと方法論（指標やベンチマークを含む）に基づいて評価された結果、高いインパクトを持つ能力（high impact capabilities）を有する
- (b) 欧州委員会が職権で、または科学パネルからの適格な警告を受けて、(a)と同等の能力・インパクトを有すると決定した
そして、有名な数字が出てくるのが第51条2項です。
訓練に使用された累積計算量が浮動小数点演算で測って 10の25乗を超える場合、当該汎用AIモデルは第51条1項(a)の高いインパクトを持つ能力を有すると推定される。
ここで重要なのは、これが確定基準ではなく「推定（presumption）」であることです。第52条2項により、提供者は「閾値は超えているが、モデル固有の特徴によりシステミックリスクを呈さない」旨の十分に実証された主張を欧州委員会に提出できます。逆に、閾値を下回っていても、委員会が附属書XIIIの基準に基づいて指定することもあります。
手続面では、第51条1項(a)の要件を満たすと知った、または知り得た時点から、遅くとも2週間以内に欧州委員会へ通知する義務があります（第52条1項）。指定から6か月経過後は、新たな理由を示して再評価を請求できます（第52条5項）。
現実問題として、10の25乗という水準はフロンティアモデルの領域です。日本企業でこの閾値に到達するモデルを自社開発している事業者は限られますが、閾値以下でも第53条の義務は等しくかかる点を混同しないでください。
汎用AIの提供者にはどんな義務があるのか──第53条の4項目
システミックリスクの有無にかかわらず、汎用AIモデルを提供するすべての事業者にかかる義務が、第53条1項に4つ定められています。「実体義務」と呼ばれるのは、主にこの部分です。
| 義務 | 内容 |
|---|---|
| (a) 技術文書 | モデルの訓練・テストのプロセスと評価結果を含む技術文書を作成し、最新の状態に保つ。最低限附属書XIの情報を含み、AI Officeおよび各国当局の要求に応じて提供する |
| (b) 下流提供者への情報提供 | モデルを組み込んでAIシステムを作る事業者に対し、情報と文書を提供する。目的は下流の提供者がモデルの能力と限界を理解し、自らの義務を果たせるようにすること。最低限附属書XIIの要素を含む |
| (c) 著作権ポリシー | EU著作権法とその関連権を遵守するためのポリシーを設ける。特に権利留保の特定と遵守（DSM著作権指令第4条3項に基づくテキスト・データマイニングのオプトアウト）を、最新技術を含む手段によって行う |
| (d) 学習データ概要の公開 | 訓練に用いたコンテンツについて、十分に詳細な概要を作成し公開する。しかもAI Officeが提供するテンプレートに従って行う必要がある |
(b)について補足します。日本企業の多くは、モデルを作る側ではなく「モデルを組み込む側」です。その立場から見ると、この(b)は自社が上流のモデル提供者から情報を受け取る根拠になります。EU向けにサービスを出すなら、モデル提供者との契約でこの情報提供を確保しておくことが実務的な備えになります。
(c)は平たく言えば、「学習しないでください」という権利者の意思表示を、技術的に検出して尊重する仕組みを持てということです。robots.txt の尊重や、適法なウェブクローリングの設計がここに関わります。また(d)は、学習データの透明性を求めるものとして、生成AI事業者にとって最も重い義務のひとつです。日本の「プリンシプル・コード（仮称）」が扱おうとしている論点とも重なります。
オープンソース例外には落とし穴があります
第53条2項は、無償かつオープンソースのライセンスで公開され、重みを含むパラメータ、モデルアーキテクチャの情報、モデルの利用方法の情報が公開されているモデルについて、義務の一部を免除します。
ここが取り違えられやすい点です。免除されるのは (a) 技術文書と (b) 下流提供者への情報提供だけです。(c) の著作権ポリシーと (d) の学習データ概要の公開は免除されません。しかも、システミックリスクを伴うモデルには、この例外自体が適用されません。
「オープンソースにすれば規制を回避できる」という理解は誤りです。学習データの透明性という、事業上いちばん重い部分は残ります。
EU域外の事業者は授権代理人が必要です（第54条）
EU域外に設立された提供者は、汎用AIモデルをEU市場に上市する前に、書面による委任によってEU域内に設立された授権代理人（authorised representative）を指名しなければなりません。日本企業にとっては、これが最初に発生する具体的なアクションです。
代理人の職務は、技術文書が作成され提供者が義務を履行していることの検証、技術文書の写しを上市後10年間保管すること、AI Office への情報提供、当局との協力です。委任により、代理人は提供者に加えて、あるいは提供者に代わって当局からの照会先になります。
代理人が「提供者が義務に違反している」と考える理由がある場合、代理人は委任を終了し、その旨と理由を直ちに AI Office に通知しなければなりません（第54条5項）。名前を貸すだけの形式的な代理人では務まらない設計です。
システミックリスクモデルの追加義務とは何か──第55条
システミックリスクを伴う汎用AIモデルの提供者は、第53条・第54条に加えて、第55条1項の4つを負います。
- (a) モデル評価── 最新技術を反映した標準化されたプロトコルとツールに従ってモデル評価を実施すること。システミックリスクを特定・緩和するための敵対的テスト（adversarial testing）の実施と文書化を含みます。いわゆるレッドチーミングです
- (b) システミックリスクの評価と緩和── EUレベルで生じうるシステミックリスクを、その発生源も含めて評価し、緩和すること
- (c) 重大インシデントの追跡・文書化・報告── 重大インシデントに関する情報と、それに対処するための是正措置を追跡・文書化し、不当な遅滞なく AI Office に報告すること
- (d) サイバーセキュリティ── モデル本体およびモデルの物理的インフラについて、適切な水準のサイバーセキュリティ保護を確保すること
(d)でデータセンターなど物理インフラまで明示されているのが特徴です。モデルの重みが盗まれることを重大なリスクとして捉えた規定です。
2026年8月2日に何が変わったのか──執行権限の中身
ここが本記事の核心です。冒頭で述べたとおり、汎用AIの実体義務は2025年8月2日から発効していました。しかし第113条(b)は、Chapter V（汎用AI関連の第51条〜第56条）を2025年8月2日から適用するとしつつ、「第101条を除く」と明記していました。第101条とは、汎用AI提供者に対する制裁金の規定です。除外された結果、第101条は原則どおり2026年8月2日から適用されることになりました。
つまり2026年8月2日から、欧州委員会と AI Office は、汎用AI提供者に対して実効性のある手段を一式持つことになったわけです。以下、しばしば列挙されるだけで中身が説明されない4つの権限を、条文に沿って説明します。
情報要求（第91条）とは何か
欧州委員会が、汎用AI提供者に対して、第53条・第55条に基づいて作成された文書、または適合性の評価に必要なその他の情報の提供を要求できる権限です。科学パネルの理由付き要求に基づく要求も可能です。
要求書には、法的根拠、目的、要求する情報の特定、提出期限、そして第101条に基づく制裁金を記載しなければなりません（第91条4項）。つまり要求書自体に「従わなければ制裁金がありうる」と書かれた状態で届きます。
なお、要求の前に AI Office が構造化対話（structured dialogue）を開始できる仕組みがあります（第91条2項）。いきなり法的手続に入るのではなく、まず話し合いのフェーズが用意されている、という設計です。
モデル評価へのアクセス（第92条）とは何か
AI Office が、AI Board と協議のうえ、モデルそのものを評価する権限です。発動されるのは、第91条の情報要求で得た情報が不十分で義務の遵守を評価する必要がある場合と、システミックリスクを伴うモデルについてEUレベルのシステミックリスクを調査する必要がある場合（特に科学パネルからの適格な警告を受けた後）です。
欧州委員会は独立した専門家を任命して評価にあたらせることができます（第92条2項）。そして最も重いのが第92条3項です。
APIその他の適切な技術的手段・ツール（ソースコードを含む）を通じたモデルへのアクセスを要求できる。
「ソースコードを含む」と明記されています。ブラックボックスのまま外形的な説明で済ませることはできない、という建て付けです。ここでも要求書には第101条の制裁金の記載が必要で、事前の構造化対話も可能です。
是正措置命令と市場からの回収（第93条）とは何か
欧州委員会が、提供者に対して次を要求できる権限です。
- (a) 第53条・第54条の義務を遵守するために適切な措置をとること（＝是正措置）
- (b) 第92条の評価によりEUレベルのシステミックリスクについて重大かつ実証された懸念が生じた場合に、緩和措置を実施すること
- (c) 市場での提供を制限し、モデルを市場から回収（withdraw）またはリコール（recall）すること
日本語の記事で「市場からの回収要求」と訳されているのがこの(c)です。モデルそのものをEU市場から引き揚げさせるという、最も重い措置です。
ここでも第93条2項により、措置要求の前に構造化対話が可能です。さらに第93条3項には特徴的な規定があります。構造化対話の中で提供者がコミットメント（自主的な改善の約束）を提示した場合、欧州委員会は決定によってこれを法的拘束力あるものとし、それ以上の措置をとる根拠がない旨を宣言できるのです。競争法の確約手続に似た仕組みで、実務的にはここでの交渉が勝負どころになります。
制裁金（第101条）はいくらか
汎用AI提供者に対する制裁金は、欧州委員会が直接科します。加盟国当局ではありません。金額は次のとおりです。
前会計年度の全世界年間総売上高の3%、または1,500万ユーロのいずれか高い方を超えない額
科される要件は、故意または過失があり、かつ次のいずれかに当たる場合です。(a) 本規則の関連規定に違反した場合、(b) 第91条に基づく文書・情報の提供義務に違反した、または不正確・不完全・誤導的な情報を提供した場合、(c) 第93条に基づいて要求された措置を遵守しなかった場合、(d) 第92条に基づくモデル評価のためのアクセス提供を拒否した場合。
(b)から(d)に注目してください。実体義務そのものへの違反だけでなく、当局の調査に協力しなかったこと自体が制裁の対象になっています。情報要求を無視する、ソースコードへのアクセスを拒む、といった対応がそのまま制裁事由になる設計です。
手続保障としては、予備的認定の通知と意見表明の機会（第101条2項）、EU司法裁判所の無制限審査権（第101条5項。制裁金の取消・減額だけでなく増額もありえます）が定められています。
第99条の一般制裁とは何が違うのか
汎用AI以外の違反については、加盟国当局が第99条に基づいて制裁金を科します。上限は違反類型で異なります。
| 違反類型 | 上限 |
|---|---|
| 第5条の禁止行為 | 3,500万ユーロ または 全世界年間売上高の7% の高い方 |
| 提供者・利用者の義務違反、第50条の透明性義務違反など | 1,500万ユーロ または 3% の高い方 |
| 当局への不正確・不完全・誤導的な情報提供 | 750万ユーロ または 1% の高い方 |
GPAI行動規範（Code of Practice）とは何か──署名すると何が変わるのか
最後に、行動規範を説明します。ここも誤解が多い領域です。
行動規範を守れば適合推定は得られるのか
根拠は第56条です。AI Office が、規則の適切な適用に資するよう、EUレベルでの行動規範の作成を奨励・促進するという建て付けになっています。署名（adherence）は完全に任意です。条文は “may invite”、”may adhere” という許容的な文言しか用いておらず、加入を強制する規定はありません。
そして最も重要な点です。行動規範を守っても「適合推定（presumption of conformity）」は与えられません。
第53条4項と第55条2項は、行動規範について「整合規格が公表されるまでの間、義務の遵守を証明するために依拠できる」と定めています。あくまで「証明の手段」です。これに対し、適合推定が付与されるのは欧州整合規格への適合のみであることが、第55条2項に明文で書かれています。「規格や規範を守れば法令適合が推定される」という単純な図式は、EU AI法では成り立ちません。
GPAI行動規範の3章構成はどうなっているか
2025年7月10日に欧州委員会が公表した GPAI Code of Practice は、3章構成です。欧州委員会と AI Board は、これを「適切な自主的ツール（an adequate voluntary tool）」と評価しています。
| 章 | 対象 | 内容 |
|---|---|---|
| Transparency（透明性） | すべての汎用AI提供者 | Model Documentation Form（モデル文書化フォーム）の作成。ライセンス、技術仕様、データセット、計算量などを記載し、10年間保管して AI Office と下流提供者に提供する |
| Copyright（著作権） | すべての汎用AI提供者 | EU著作権法を遵守するためのポリシーの実務的な解決策。適法なウェブクローリング、robots.txt 等による権利留保の尊重、侵害的なアウトプットの緩和 |
| Safety and Security（安全とセキュリティ） | システミックリスクを伴うモデルのみ | システミックリスクの特定・分析・受容可能性の判断・緩和・報告・ガバナンスの枠組みを、モデルのライフサイクル全体にわたって整備する |
署名した場合としなかった場合で何が違うのか
| 論点 | 署名した場合 | 署名しない場合 |
|---|---|---|
| 法的効果 | 適合推定ではなく「遵守の証明手段」 | ── |
| システミックリスクモデルの立証責任 | 行動規範に依拠できる | 第55条2項により、代替的な適切な遵守手段を欧州委員会の評価に付す義務を負う |
| 行政負担 | 欧州委員会は「行政負担の軽減」「法的確実性の向上」を明言 | 独自の証明文書を自力で設計・維持する必要 |
| 執行スタンス | AI Office は署名者を「誠実に行動している」と推定し、直ちに全面実施できなくても即座にコミットメント違反とはみなさない旨を表明 | 一般的な執行に服する |
| 制裁金 | 遵守は制裁金を排除しないが、AI Office は制裁金額の算定にあたってコミットメントを考慮する | 考慮要素なし |
署名しないという選択そのものは適法です。ただし、システミックリスクを伴うモデルの場合、「では代わりに何をやっているのか」を自力で組み立てて欧州委員会の評価に耐えさせなければなりません。それだけの体制を持てるかどうかが判断の分かれ目になります。
署名者は2025年時点で21組織程度とされ、Amazon、Anthropic、Google、IBM、Microsoft、Mistral AI、OpenAI などが名を連ねています。本稿執筆時点での最新の署名者数・一覧は確認できていません。
なお、2025年8月2日より前に市場に投入された汎用AIモデルについては、2027年8月2日までに適合すればよいとされています。ただし、この点の条文一次確認はできていません。
日本企業は何をすべきか
自社でモデルを開発し、EUに提供している場合
- 授権代理人を指名しているかを確認する。第54条の義務であり、未指名なら最優先です。
- 第53条の4つの義務の充足状況を棚卸しする。特に(d)の学習データ概要は、AI Office のテンプレートに従う必要があります。
- 行動規範に署名するかどうかを判断する。2026年8月2日以降、この判断が執行リスクの差に直結します。
- 情報要求が来た場合の対応体制を決めておく。第91条の要求には期限が設定され、応じなければそれ自体が第101条の制裁事由になります。
モデルを組み込んでサービスを作っている場合（多くの日本企業はこちら）
- 自社が「モデル提供者」なのか「下流の提供者」なのかを確定させる。義務の内容が変わります。
- 上流のモデル提供者から、第53条1項(b)の情報を受け取れているかを確認する。契約に明記されているかを含めて点検してください。
- 前編で扱った第50条の透明性義務を優先する。下流の提供者にとっては、こちらのほうが直接的で緊急度が高い義務です。
いずれの場合も、「EUのAI規制対応」を一枚岩で考えないでください。高リスク（2027年12月2日）／汎用AI（発効済み・執行は2026年8月2日から）／透明性（発効済み）の3つは、期限も名宛人も義務内容も別物です。この3本を分けて管理表を作るところから始めるのが実務的です。
前編はこちら
高リスクAIの判定方法（附属書I・III）、第6条3項のフィルター、提供者と利用者それぞれの義務、第50条の透明性義務について詳しく解説しています。
→ EU AI法の「高リスクAI」とは──2026年8月適用開始の全体像【前編】
一次情報
- EU AI法本体（Regulation (EU) 2024/1689）
https://eur-lex.europa.eu/eli/reg/2024/1689/oj - Digital Omnibus on AI（Regulation (EU) 2026/1744）
https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng - 欧州委員会 GPAI行動規範
https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai - 欧州委員会 汎用AIモデル提供者の義務の範囲に関するガイドライン
https://digital-strategy.ec.europa.eu/en/library/guidelines-scope-obligations-providers-general-purpose-ai-models-under-ai-act - 欧州委員会 GPAI行動規範 署名者タスクフォース
https://digital-strategy.ec.europa.eu/en/policies/signatory-taskforce-gpai-code-practice - 欧州委員会 AI法の執行枠組み
https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act