EUのAI罰金をめぐる手続き規則に、欠けていた運用細則が加わろうとしている。欧州委員会は2026年10月12日、実施規則の草案（参照番号 Ares(2026)9589403）を公表し、AI法第75c条と第75d条のもとで二つの実務事項を具体化した。特定のAIシステムへの罰金に適用される5年の時効をどう数えるか、そして調査を受ける企業が事件記録のどこまでを見られるかである。草案はパブリックコメントを受け付けており、期限は2026年11月9日23時59分（ブリュッセル時間）、2026年第4四半期の採択が予定されている。あくまで草案であり、冒頭には委員会として採択・承認されたものではなく、担当部局の予備的見解を示すにすぎないと明記されている。それでも方向性は具体的で、この種の事件では時間が規制当局の側に立つ。
対象は2種類だけ：自社モデル製システムと超大規模プラットフォーム内蔵AI
第75条第1項に基づく委員会の専属管轄が及ぶのは2種類のシステムだけである。一つは汎用AIモデルを基盤とし、そのモデルとシステムを同一の提供者または同一企業グループ内の提供者が開発したシステム。もう一つは、デジタルサービス法のもとで指定された超大規模オンラインプラットフォームまたは超大規模オンライン検索エンジンに組み込まれる、あるいはその一部を構成するAIシステムである。義務を負うのはこうしたシステムの提供者と、提供者本人であるか同一グループに属する展開者である。第三者のチャットボットを呼び出して使うだけの一般企業は、その利用について委員会の直接監督には入らず、加盟国の規則が引き続き適用される。2026年10月14日に発表されたEU AI法の初の執行措置とも別の路線である。あちらの情報提供要請は汎用モデル提供者のシステミックリスク義務を対象としたが、今回の草案はプラットフォームと自社モデル製システムを対象とし、相手も条文も異なる。
5年の時効は6種類の措置で何度でもリセット、上限は10年
草案第4条によれば、罰金と定期履行強制金の決定は5年の時効期間内に行わなければならない。不遵守が継続的または反復的な場合、5年はその行為が止んだ日から起算される。調査の過程で次の6種類の措置のいずれかが行われると、時効は中断し、最初から数え直しになる。文書・説明・その他の情報の提供要請、システム評価のためのアクセス要請、立入検査、構造化対話への招請、手続きの開始、そして手続きの再開である。つまり、4年目に送られた情報提供要請の書状1通で、時計はゼロに戻る。絶対的な上限はその2倍の10年で、過ぎれば罰金は課せなくなる。ただし、事件が欧州連合司法裁判所で係争中の期間や、立入検査が司法当局の許可待ちの期間は時効が停止し、その停止期間は10年の上限に上乗せされる。決定後の執行にも別途5年があり、決定が確定した日から起算され、金額を変更する決定や支払いを執行するあらゆる措置で再び数え直しになる。草案は罰金額そのものは変えていない。禁止された実践に対する最大3500万ユーロまたは全世界売上高の7%、その他の違反に対する1500万ユーロまたは3%、不正確または誤解を招く情報に対する750万ユーロまたは1%は、いずれもAI法既定の上限である。変わるのは、その上限がどれだけ長く企業を追い続けられるかである。
記録は求めれば見られるものではない：完全版は外部アドバイザーだけ
草案第2条と第3条は、防御側の条件も定めている。調査対象の事業者は、委員会が予備的認定を通知するまで事件記録を閲覧できない。通知後に入手できるのは、営業秘密を保護するために編集された版である。完全な全文が開示されるのは、氏名を事前に委員会へ届け出た少数の指定外部法律顧問・経済顧問・外部技術専門家に限られ、対象企業自身の従業員や社内弁護士は直接読めない。そうした外部専門家が調査期間中または終了後3年以内に対象企業や同一市場の他社へ移籍した場合、双方は委員会に通知しなければならず、専門家は当該資料にもはやアクセスしていないことを保証しなければならない。資料を提出する側は、各資料に含まれる営業秘密を特定し、非秘密版を用意する必要がある。委員会が秘密と主張された情報を開示しようとする場合、少なくとも1週間の異議申立期間が与えられる。実務上の帰結は明確で、この種の事件の防御は初日から外部チーム頼みとなり、システムを最もよく知る社内の人間が完全な証拠に触れられない。
コメント期限が閉まる前に、対象企業が先にやるべき3つのこと
第一に、対象かどうかの確認である。自社システムが上記2種類に入るか――自社の汎用モデルで作ったシステム、EUで指定された超大規模プラットフォームや検索エンジンに組み込まれたAI機能――を棚卸しする。入る場合は委員会直轄の事件として備え、入らない場合は加盟国当局の手続きに沿って備え、2つの路線を混同しないこと。第二に、規制当局との接触ごとに時計の台帳をつけること。情報提供要請、評価アクセス、検査、手続き開始の日付を個別に記録する。どれも5年を数え直しにする可能性があるからだ。最も遅いリスクの残存時点は、5年で自動的に終わると仮定せず、当初の行為から10年で測る。第三に、外部顧問の名簿と秘密区分を事前に決めておくこと。完全な記録を見られるのは外部の人間だけであり、事件の途中で顧問を探せば防御の時間をそのまま失う。提出資料の営業秘密の表示と非秘密版の作成も、異議の窓口が1週間程度しかない以上、常備の作業にしておくべきである。最後に注意したいのは、この手続きが適用されるのは委員会直轄の路線だけであり、EUのすべてのAI罰金の統一ルールではないという点だ。加盟国の執行事件に当てはめれば、期限の計算を同じように誤ることになる。
