イタリアのAI新規制は、コンプライアンス違反を刑法に書き込んだ。2026年9月9日に署名され、9月15日付の官報（Gazzetta Ufficiale）第214号に掲載された立法政令第160/2026号は、9月30日に施行される。その中で最も注目されるのは、イタリア刑法典に新設される第437-bis条だ。高リスクAIシステムの設計、訓練、製造、市場投入、業務利用のいずれかの段階で、故障や改ざんを防ぐ技術的措置を講じず、人的監視の措置を実施しなかった場合、生命や身体の安全に対する具体的危険が生じれば、最大5年の懲役が科される。AIガバナンスの不備を刑事犯罪として直接定めた、欧州初の法律である。
何が起きたのか：9月30日施行の刑事規定
2026年6月10日、イタリア政府はEU AI法の国内実施に向けた2本の立法政令案を閣議で予備承認。8月4日に最終承認、9月9日に大統領が署名し、9月15日付官報第214号に掲載された。イタリアの立法政令は公布から施行まで通常15日の間隔があるため、施行日は2026年9月30日と表記されている。
この政令の役割は、イタリア国内法をEU人工知能法（規則 (EU) 2024/1689）に適合させることだ。EU AI法自体は刑事罰を定めておらず、刑法を使うかどうか、どう使うかは加盟国の裁量に委ねられている。実際に動いたのはイタリアが初めてで、労働安全犯罪の立法モデルを応用し、AI時代の不作為犯を創設した。
対象は誰か：高リスクAIに限定、ただしチェーンは長い
誤読を避けるため、まず境界線を引いておく。この罪はすべてのAIに適用されるわけではない。対象はEU AI法が定義する高リスクAIシステム（第6条・第7条の類型。採用、与信、教育、医療トリアージなどに使われるシステム）に限られる。
行為のチェーンは5段階に及ぶ。設計、訓練、製造、市場投入、業務利用だ。モデル開発者から、システムを購入して使う企業ユーザーまでが射程に入る。地域的には、イタリア市場で高リスクAIシステムを開発・展開・商用化するすべての企業が対象で、多国籍企業のイタリア事業も含まれる。EUレベルでは、AI法に基づく執行検査がすでに始まっている（EU AI法の執行が実務段階へ：採用・与信AIが先行検査対象に）。イタリアは今回、執行のもう一方の端に刑事罰という歯を付けた形だ。
どんな行為が処罰されるか：2つの不作為と1つの改ざん
第437-bis条の中核は「不作為」である。
第一に、システムの故障や動作の改変を防ぐのに適した技術的措置を講じないこと。これはAI法第9条のリスク管理体制、第15条の正確性・堅牢性・サイバーセキュリティに対応する。たとえば訓練データの欠陥で医療AIが誤った診断推奨を出したり、モデルパラメータに毒を盛られたり無断で改変されたりしたのに、企業が技術的に対策できたはずのケースだ。
第二に、人的監視の措置を実施しないこと。これはAI法第14条に対応する。高リスクシステムは自然人による実効的な監視を受けなければならず、監視措置は提供者がシステムに組み込むか、展開者が提供者の指示に従って実施する。第4項は、人的監視を故意に実施しない「業務利用者」を名指ししている。
第三は積極的な行為だ。第2項は、高リスクAIシステムの動作を改ざんした部外者を処罰する。データポイズニング攻撃やモデルパラメータの無断変更が該当し、基本刑は2年以上6年以下である。
処罰のハードル：「具体的危険」が必須、通常の技術ミスは対象外
この罪の決定的な限定要素は「具体的危険」だ。不作為が具体的な状況において生命や身体の安全に対する危険を現実に生じさせた場合にのみ成立し、刑は1年以上5年以下。危険が公共の安全や国家の安全保障に及ぶ場合は2年以上8年以下に引き上げられる。改ざんの加重類型も同じ論理で、最大3年以上10年以下となる。
故意ではなく重大な過失による場合は、刑が3分の1から6分の1減軽される。設計の意図は明確だ。あらゆる技術的逸脱を法廷に持ち込むのではなく、注意義務を明らかに逸脱し、生命と安全を現実に脅かすガバナンスの不備だけを処罰する。
個人だけではない：企業も責任を問われる
この政令は、第437-bis条をイタリアの法人処罰の枠組み（2001年立法政令第231号）の対象にも組み込んだ。つまり企業自体も責任を問われうる。罰金は「クォータ」単位で計算され、600～1000クォータと200～700クォータの2段階。さらに、商品・サービスの広告禁止を含む活動禁止型の制裁も科されうる。顧客獲得で生きるAI企業にとっては、罰金より痛い。
直接的なコンプライアンス上の教訓はこうだ。テスト、モニタリング、誰が何を監視していたかの記録は、もはや監査資料ではなく、法廷でものを言う証拠になる。やったか、どこまでやったかは、後から作れない。
イタリアでAIビジネスをするなら：今すぐ補うべき3点
第一に、AI法第9条（リスク管理）、第14条（人的監視）、第15条（正確性・サイバーセキュリティ）の義務リストを、方針文書ではなく、社内で実行可能なプロセスとチェックポイントに落とし込むこと。
第二に、サプライチェーン上の責任分担を明確にすること。提供者がどの監視措置を組み込み、展開者がどれを実施したのか。双方とも文書で残し、事故後の責任の押し付け合いを防ぐ。
第三に、この政令は刑事だけではない。警察によるAI利用のルールや、民事責任の章（証拠開示、因果関係の推定、保険会社への直接請求）も含む。イタリアで事業を展開する企業は、刑事規定だけでなく、これらを合わせてコンプライアンス点検すべきだ。
