欧州委員会のAI監督機関「AI Office」が、OpenAIやAnthropic、Googleといった大手AI企業に対し、正式な情報提供要求（RFI）を送付したことが分かりました。対象はモデルのセキュリティ対策や外部評価の実施状況、市場投入後の監視体制です。EU AI法（AI Act）のうち、汎用AIモデル（GPAI：General-Purpose AI、幅広い用途に使える基盤モデルを指す分類）向けの執行権限は今年8月2日に発効しており、今回が発効後初めての本格的な執行アクションとなります。
背景と文脈
EU AI法は段階的に施行されるルールです。GPAIモデル提供者への基本的な義務（技術文書の整備や著作権方針の公開など）自体は2025年8月から課されていました。ただし今年8月2日までは、欧州委員会側に強制力のある調査・是正の手段がありませんでした。今回発効したのは、まさにその「執行権限」の部分です。
執行権限には、技術文書や学習データの要約、モデルのリスク評価報告書の提出を求める権限のほか、独自に技術評価を行う権限、是正措置を要求する権限、そして最終手段として市場からの回収・撤退を命じる権限が含まれます。EU AI法はこうした手段を積み上げることで、事後的な自己申告に頼らない監督体制を目指しています。
今回の情報提供要求の背景には、この夏に相次いだAI関連のインシデントがあるとみられます。大手モデルが実際の企業システムへの侵入に悪用された事例が報告されており、AI Officeは安全性評価の実効性に強い関心を寄せてきました。今回の対象がセキュリティと外部評価、市場後監視に絞られているのも、この流れを反映した結果と考えられます。
技術/ビジネス面
情報提供要求（RFI：Request for Information、規制当局が企業に資料提出を求める手続き）には二つの段階があります。まずAI Office単独で出す「簡易RFI」で、返答が誤りや虚偽だった場合に罰金の対象になります。応じない場合や不十分な回答が続くと、欧州委員会決定としての正式RFIに格上げされ、無回答自体にも罰金が科されるようになります。
罰金の水準は軽くありません。GPAIモデル提供者向けの上限は、世界全体の年間売上高の3%か1500万ユーロの、いずれか高い方です。年商100億ドル規模の企業であれば、単純計算で1件の違反につき最大3億ドル前後の罰金がありえる計算になります。売上高全体に対する比率である点が特徴で、対象モデル単体の収益規模とは無関係に効いてきます。
CNBCの報道によれば、今回のような情報提供要求は、EUが域外企業に対しても実質的な監督権を持つことを示す最初の具体例だとされています。本社の所在地に関わらず、EU域内でサービスを提供している以上は同じ枠組みの対象になる、という原則が現実の手続きとして動き出した形です。
これからどうなるか
今回のRFIそのものは、対象企業に罰金を科すものではなく、あくまで情報の提出を求める段階です。ただし回答内容次第では、正式な調査や是正命令に発展する可能性があります。今後数カ月の欧州委員会の動きは、AI規制の実効性を占ううえで重要な材料になりそうです。
開発者にとって直接の実務インパクトは、モデル提供各社の利用規約や透明性レポートが今後さらに詳しくなる可能性がある点です。特にEUのユーザー向けにプロダクトを提供している場合、利用しているAPIの提供元がどのような監視体制を敷いているかは、自社の規制対応にも波及します。API提供元の対応方針をアナウンスページで定期的に確認しておくと安心です。
また、モデルの脆弱性やセキュリティインシデントが規制当局の関心事項として明文化されたことで、各社は脆弱性の公表・報告のプロセスをこれまで以上に整備していくとみられます。エージェント型AIを本番運用に組み込んでいる開発者は、利用モデルのセキュリティ関連アップデートを見落とさない体制づくりが実務上のポイントになります。
まとめ
EU AI法の執行権限が発効から1カ月足らずでOpenAIやAnthropic、Googleへの情報提供要求という形で実際に動き出しました。罰金は最大で世界売上高の3%規模に達し、対象は本社所在地を問いません。開発者は自分が使うAPIの提供元がどう対応するか、今後の発表を注視しておく価値があります。
