AIの拡大が社会にもたらした「新たなリスク」、各国の対応は足並み揃わず…AI規制のあるべき姿

人工知能（AI）の進化に伴い、各国はイノベーションを支援しつつ、そのリスクをどのように管理すべきかを再考している。AIはビジネス運用、社会インフラ、そして安全保障の一部となりつつあるが、政府がとる監督のアプローチは国によって異なっている。 本記事では、米国とEU（欧州連合）における規制の相違、AI開発における競争、そして中国製モデルを含むAIを導入する際に民間企業が直面する懸念事項について考察する。 まず、国際的なAI規制枠組みにおける最も際立った対比は、EUと米国の異なるアプローチに見られる。GDPR（EU一般データ保護規則）によってデータプライバシーの分野で主導的な役割を果たしたEUは、包括的かつ分野横断的な「AI法（AI Act）」をも制定した。 この法律は、対象となるAIシステムおよび汎用目的AIモデルに対してリスクベースの要件を定めており、その義務は段階的に導入される。要件はリスクカテゴリーや、提供者（プロバイダー）および導入者（デプロイヤー）の役割によって異なる。 対照的に、米国には単一の包括的な連邦AI法が存在せず、代わりにセクター（分野）ごとに分散された規制対応を選択している。米国国立標準技術研究所（NIST）は任意で適用できる「AIリスクマネジメント・フレームワーク」を提供しており、行政管理予算局（OMB）は対象となる連邦機関による「影響の大きいAI（high-impact AI）」の使用に対して安全対策を義務付けている。これらの政府機関向け要件は、民間企業でのAI利用に対する一般的な義務ではない。 州レベルでは、カリフォルニア州が2025年9月に「SB 53」を制定し、対象となるフロンティアAI開発者に対して透明性、安全性インシデントの報告、および内部告発者保護を義務付けた。この義務は開発者のカテゴリーによって異なる。 このように分散された米国のアプローチは変化する技術への適応を可能にする一方で、複数のモデルやAIエージェントを組み合わせる企業やユーザーは、重複する法的要件やガイドラインを常に把握しておく必要がある。 これらの課題のいくつかに対処するため、2026年7月23日に連邦レベルで提出された「FRONTIER法案（H.R. 9925）」は、フロンティアAI開発者向けのリスクベースの枠組みを提案している。この法案は、透明性、安全性インシデントの報告、リスク評価、および第三者検証を含む段階的な義務を定めるものだ。 同法案における連邦法優先（preemption）条項は、透明性、第三者検証、インシデント報告に関する特定の州要件に限定されており、州のすべてのAI規制を置き換えるものではない。一般に適用される法律や、ユーザーおよび導入者を規定する特定の州規則はそのまま残る。この提案は、すべてのAI開発者やユースケースを一律に扱うことなく、いかにしてより一貫した監督を提供するかという議論を象徴している。 技術開発の最前線では、米国と中国が大規模な「フロンティアモデル」への投資の大半をリードしているが、国内での開発能力を持つ国は両国だけではない。例えばフランスに拠点を置くミストラル（Mistral）は、最新の高度なモデルを自社の欧州インフラ上でトレーニングしたと報告している。 日本や新興スタートアップにとっての問いは、どこで独自の強みを構築し、どこで既存のモデルを組み合わせるかだ。日本におけるSakana AI（サカナAI）の取り組みが示しているように、異なる強みを持つモデルやエージェントを調整する「オーケストレーション」や「自律的利用（agentic usage）」は、単一の大規模モデルのみに投資することに代わる、有望な選択肢を提供している。それらの価値は、生成されるシステムの用途、コスト、および信頼性に依存する。 「オープンウェイト・モデル（重み公開モデル）」の進化も、将来の市場構造に影響を与える可能性がある。オープンウェイトによって、適用されるライセンスの下でモデルパラメータを利用できるようになるが、それ自体が計算要求やエネルギー使用量の低減を意味するわけではない。 一部のより小型なモデルはノートパソコン上やオフラインのローカル環境内で動作させることができるが、より大型のモデルには依然として膨大なインフラが必要となる場合がある。これらの選択肢は、国家や中小企業が配備やデータに対する統制を強めながらAIサービスを構築することに役立ち、主要なプラットフォームやインフラプロバイダーへの依存を（排除するわけではないものの）減らすことができる。

人工知能（AI）の進化に伴い、各国はイノベーションを支援しつつ、そのリスクをどのように管理すべきかを再考している。AIはビジネス運用、社会インフラ、そして安全保障の一部となりつつあるが、政府がとる監督のアプローチは国によって異なっている。 本記事では、米国とEU（欧州連合）における規制の相違、AI開発における競争、そして中国製モデルを含むAIを導入する際に民間企業が直面する懸念事項について考察する。 まず、国際的なAI規制枠組みにおける最も際立った対比は、EUと米国の異なるアプローチに見られる。GDPR（EU一般データ保護規則）によってデータプライバシーの分野で主導的な役割を果たしたEUは、包括的かつ分野横断的な「AI法（AI Act）」をも制定した。 この法律は、対象となるAIシステムおよび汎用目的AIモデルに対してリスクベースの要件を定めており、その義務は段階的に導入される。要件はリスクカテゴリーや、提供者（プロバイダー）および導入者（デプロイヤー）の役割によって異なる。 対照的に、米国には単一の包括的な連邦AI法が存在せず、代わりにセクター（分野）ごとに分散された規制対応を選択している。米国国立標準技術研究所（NIST）は任意で適用できる「AIリスクマネジメント・フレームワーク」を提供しており、行政管理予算局（OMB）は対象となる連邦機関による「影響の大きいAI（high-impact AI）」の使用に対して安全対策を義務付けている。これらの政府機関向け要件は、民間企業でのAI利用に対する一般的な義務ではない。 州レベルでは、カリフォルニア州が2025年9月に「SB 53」を制定し、対象となるフロンティアAI開発者に対して透明性、安全性インシデントの報告、および内部告発者保護を義務付けた。この義務は開発者のカテゴリーによって異なる。 このように分散された米国のアプローチは変化する技術への適応を可能にする一方で、複数のモデルやAIエージェントを組み合わせる企業やユーザーは、重複する法的要件やガイドラインを常に把握しておく必要がある。 これらの課題のいくつかに対処するため、2026年7月23日に連邦レベルで提出された「FRONTIER法案（H.R. 9925）」は、フロンティアAI開発者向けのリスクベースの枠組みを提案している。この法案は、透明性、安全性インシデントの報告、リスク評価、および第三者検証を含む段階的な義務を定めるものだ。 同法案における連邦法優先（preemption）条項は、透明性、第三者検証、インシデント報告に関する特定の州要件に限定されており、州のすべてのAI規制を置き換えるものではない。一般に適用される法律や、ユーザーおよび導入者を規定する特定の州規則はそのまま残る。この提案は、すべてのAI開発者やユースケースを一律に扱うことなく、いかにしてより一貫した監督を提供するかという議論を象徴している。 技術開発の最前線では、米国と中国が大規模な「フロンティアモデル」への投資の大半をリードしているが、国内での開発能力を持つ国は両国だけではない。例えばフランスに拠点を置くミストラル（Mistral）は、最新の高度なモデルを自社の欧州インフラ上でトレーニングしたと報告している。 日本や新興スタートアップにとっての問いは、どこで独自の強みを構築し、どこで既存のモデルを組み合わせるかだ。日本におけるSakana AI（サカナAI）の取り組みが示しているように、異なる強みを持つモデルやエージェントを調整する「オーケストレーション」や「自律的利用（agentic usage）」は、単一の大規模モデルのみに投資することに代わる、有望な選択肢を提供している。それらの価値は、生成されるシステムの用途、コスト、および信頼性に依存する。 「オープンウェイト・モデル（重み公開モデル）」の進化も、将来の市場構造に影響を与える可能性がある。オープンウェイトによって、適用されるライセンスの下でモデルパラメータを利用できるようになるが、それ自体が計算要求やエネルギー使用量の低減を意味するわけではない。 一部のより小型なモデルはノートパソコン上やオフラインのローカル環境内で動作させることができるが、より大型のモデルには依然として膨大なインフラが必要となる場合がある。これらの選択肢は、国家や中小企業が配備やデータに対する統制を強めながらAIサービスを構築することに役立ち、主要なプラットフォームやインフラプロバイダーへの依存を（排除するわけではないものの）減らすことができる。

しかし、技術の進化と適用範囲の拡大は、民間企業や組織に新たなリスクをもたらす。重大な懸念事項の一つは、AIシステムに対する統制の喪失だ。コードの記述、データの分析、意思決定、およびアクションの実行に関する権限がAIシステムに与えられるにつれ、組織はどこに人間のレビューと承認を残すべきかを定義しなければならない。また、自動化が人間の雇用をどのように変化させ、あるいは代替するかという経済および雇用に関する懸念も根強く残っている。 これに加えて、自動化されたAIシステムはエラーの規模を拡大させる可能性がある。大量のデータを高速で処理している最中に生じたエラーは、検出される前に多くの意思決定に波及する恐れがあり、被害の程度はシステムとその安全対策に依存する。 サイバーセキュリティ上のリスクには、脅威アクターがAIエージェントに指示を出して企業ネットワークへの攻撃の一部を自動化させることも含まれる。精巧なディープフェイクや偽情報もさらなる課題を提起している。 暗号化された出身追跡（プロベナンス）ツールは、デジタルコンテンツの起点や編集履歴の特定に役立つが、動画や発言が真実であることを証明することはできない。さらに、企業は学習データにおけるバイアス、電力およびエネルギー消費、そして将来のAIシステムの機能に関するリスクにも直面している。 安全保障の観点からは、米中対立の文脈における技術獲得が厳しく監視されている。米国政府や大手企業から提示されている懸念には、不正な「モデル蒸留（distillation）」、営業秘密の窃盗、および輸出管理の回避が含まれる。モデル蒸留自体は、あるモデルから別のモデルへと能力を転移させるための正当な手法だ。 アンソロピック（Anthropic）は、DeepSeek（ディープシーク）、Moonshot AI（ムーンショットAI）、およびMiniMax（ミニマックス）が不正なアカウントを使用して、同社のモデル「Claude」に対する無許可の蒸留キャンペーンを行ったと報告した。これらはアンソロピック側の主張であり、報告されたプラットフォーム利用規約の違反を、司法によって確定された営業秘密の窃盗として扱うべきではない。 ＜グロリア・グラウブマン＞ 情報・安全保障コミュニティにおける上級ポストを含め、米国政府で25年以上にわたり勤務してきた経歴を有する。米海軍の退役軍人であり、「Presidential Rank Award」および「Career Intelligence Medal」を受章している。グラウブマンの活動領域は、サイバーセキュリティ、人工知能、国家安全保障テクノロジー、そして米国と日本の間における信頼に基づく官民連携に焦点を当てている。 現在、グラウブマンは「Acclaim Technical Services」の最高技術責任者（CTO）として、テクノロジー戦略、AI活用、サイバー領域でのイノベーション、ならびに戦略的パートナーシップの推進を統括している。グラウブマンは以前、在日米国大使館（東京）において上級サイバーアドバイザーを務め、日本政府および産業界の関係者と緊密に連携しながら、サイバー政策、オペレーショナル・レジリエンス、日米間のサイバーセキュリティ協力に取り組んだ。