OpenAIのEU AI法対応声明、著作権要件に沈黙──8月2日の執行権限発効で焦点化する「学習データ開示」ギャップ

EU AI法の執行権限が2026年8月2日に発効するのを前に、OpenAIは欧州での責任あるAI推進に関する声明を発表した。しかし、汎用AI（GPAI）行動規範で求められる「学習データの要約公開」など、著作権に関する要件には言及していない。8月2日以降、欧州AIオフィスは情報開示要求や巨額の罰金を科す権限を持つことになり、このコンプライアンス上の空白が実質的なリスクとなる。

■OpenAIの声明が実際にカバーしている内容

EU AI法の執行権限が日曜日に発効するのを前に、OpenAIは木曜日に広範なコンプライアンスに関する声明を発表した。安全性フレームワーク、出所証明の電子透かしに関する提携、欧州機関とのサイバーセキュリティ協力について詳述しているが、GPAI行動規範の中で以前からコンプライアンスが公に疑問視されていた1つの側面については、目立って欠落している。「欧州全体で責任あるAIを推進する（Advancing Responsible AI Across Europe）」と題された同社の声明は、行動規範の3つの章のうち2つを詳細にカバーしている。しかし、公開可能な学習データの要約と文書化された著作権遵守ポリシーを要求する第3の「著作権」の章には触れられていない。

この空白は、日曜日に理論上の懸念ではなくなるため、現在重要となっている。2026年8月2日より、欧州AIオフィスは、EU AI法第53条の執行に基づき、学習データの要約を公開する義務を含むGPAIの義務違反に対して、情報の要求、モデルへのアクセス、および最大1500万ユーロ（約1720万ドル、約27億1800万円、1ドル=158円換算）または全世界の年間売上高の3%の罰金を科す権限を獲得する。

8月2日の発効まであと2日である。OpenAIはGPAI行動規範の署名企業である。同規範の著作権の章はコンプライアンスを求めている。しかし、同社の公開コンプライアンス声明はこれに対処していない。

「欧州全体で責任あるAIを推進する」という文書は、GPAI行動規範の「透明性」および「安全性とセキュリティ」の章にほぼ沿った3つのテーマ（内部ガバナンスのフレームワーク、出所証明と電子透かし技術、サイバーセキュリティ協力）で構成されている。

ガバナンスについて、OpenAIは高度なAIシステムからの深刻なリスクを特定し管理するメカニズムとして、2023年から導入され2025年4月に更新された「Preparedness Framework（準備フレームワーク）」を挙げている。2026年5月28日に公開された「Frontier Governance Framework（フロンティア・ガバナンス・フレームワーク）」は、その内部の安全アーキテクチャを、GPAI行動規範の透明性の章が課す具体的な開示義務に対応させている。OpenAIはまた、リリース前のモデルテスト、主要リリースに伴うシステムカードの公開、レッドチーミングネットワーク、および2025年後半に更新された公開のモデル仕様（Model Spec）にも言及している。

出所証明について、OpenAIは2026年5月に発表した2層アーキテクチャについて説明している。これは、署名された出所メタデータをファイルに埋め込むオープンな暗号化標準である「C2PA Content Credentials」と、Google DeepMindの知覚不可能なピクセルレベルの電子透かしシステム「SynthID」を組み合わせたものである。この組み合わせは、特定の技術的限界に対処している。C2PAのマニフェストは豊富なコンテキストを持つが、スクリーンショットやフォーマット変換によって削除される可能性がある。一方、SynthIDはそれらの操作を生き延びるが、コンテキスト情報は少ない。両者を合わせることで、単一のシステムでは提供できない補完的なカバー範囲を実現する。OpenAIは、出所証明の取り組みを音声出力にも拡大しており、技術標準が成熟するにつれてテキスト出力の対策にも取り組んでいると述べている。

サイバーセキュリティについて、OpenAIは2026年5月に立ち上げた「EUサイバーアクションプラン」について説明している。この計画の下で、同社は「サイバーのための信頼できるアクセス（TAC）」プログラムを通じて、EUおよび各国のサイバー機関、民間セクターのパートナー、重要インフラ事業者と協力している。この取り組みは、2026年7月7日に発表された欧州委員会の「サイバーセキュリティと人工知能に関するアクションプラン」と一致しており、防御的なサイバーセキュリティ目的での高度なAIモデルへの制御されたアクセスを求めている。

■声明がカバーしていない内容

GPAI行動規範には3つの章がある。「透明性」の章は、モデルの文書化と下流プロバイダーへの情報をカバーしている。「安全性とセキュリティ」の章は、最大規模のモデルに対するシステミックリスク評価とインシデント報告をカバーしている。「著作権」の章は、OpenAIを含むすべてのGPAIプロバイダーに適用される2つのことを要求している。1つは、EU著作権法およびテキストとデータマイニングのオプトアウト制度を遵守するための文書化されたポリシーであり、もう1つは、欧州委員会が2025年7月24日に公開した必須テンプレートを使用した、学習データの公開可能な要約である。

OpenAIの7月31日の声明は、著作権の章の要件のどちらにも対処していない。同社のEU AI法ヘルプセンターのページ（17日前に更新）は、Preparedness FrameworkとModel Specにリンクしているが、学習データの要約へのリンクは含まれていない。

これは新しい空白ではない。2025年8月、EuractivのMaximilian Henningは、GPAIの義務が法的に発効した5日後の2025年8月7日にリリースされたGPT-5が、OpenAIがGPAI行動規範の署名企業であるにもかかわらず、必要な学習データの要約と著作権ポリシーを欠いているようだと報じた。Future of Life Instituteが発行するEU AI法ニュースレターも同じ懸念を指摘し、2025年8月2日以降にリリースされたモデルは、既存のモデルをカバーする2027年の移行規定の下ではなく、直ちに準拠しなければならないと指摘している。

独立した調査も、業界レベルでの懸念を裏付けている。署名企業を含むGPAIモデル全体の文書化の質を調査した2026年半ばのベンチマーク調査では、GPAI行動規範に署名した組織は「非署名企業よりも全体的にわずかに高いスコアしか得ていない」ことが判明した。その優位性は、下流向けの文書化に集中しており、「規制が主にターゲットとしている分野である、学習データ、著作権に関連するデータ使用、バイアス緩和、コンピューティングおよびエネルギー消費に関する上流の開示」には及んでいない。同調査は、「行動規範への署名のような表面的なコンプライアンスの指標を、調達決定における文書化の深さの代用として現在扱うべきではない」と結論付けている。

■C2PAとSynthID：技術が実際に果たす役割

OpenAIが説明する出所証明の取り組みは、学習データの透明性とは異なる義務に対処しているとはいえ、実質的かつ技術的に具体的である。C2PAとSynthIDが実際に何を行い、何を行わないかを理解することは、真のコンプライアンスとコンプライアンスの「見せかけ」を区別するのに役立つ。

2021年に設立されISO標準として承認されたCoalition for Content Provenance and Authenticity（C2PA）標準は、デジタルファイルのメタデータに暗号化されたマニフェストを埋め込む。マニフェストは、どのAIシステムがコンテンツを生成したか、いつ、どのツールが関与したか、ファイルがその後編集されたかどうかを記録する。C2PA互換のツールであれば、そのマニフェストを読み取って表示できる。制限は構造的なものである。C2PAメタデータはファイルのメタデータ層に存在するため、スクリーンショット、プラットフォームの再エンコード、またはフォーマット変換によって削除される可能性がある。OpenAIは2026年5月19日にC2PAの適合ジェネレーター（Conforming Generator）となり、ChatGPT、OpenAI API、およびCodexからの画像にContent Credentialsを付与している。

Google DeepMindのSynthIDは、出所シグナルをコンテンツ自体に埋め込むことでその制限に対処している。具体的には、圧縮、サイズ変更、トリミングを行っても持続する、画像内の知覚不可能なピクセル変更である。この電子透かしはニューラルネットワークによって検出可能だが、人間の知覚には見えない。OpenAIの2026年5月の発表により、すべてのChatGPTおよびAPIの画像出力に導入された。音声のSynthIDも展開中である。テキストの電子透かしは技術的にさらに困難であり、まだ大規模には広く展開されていない。

しかし、Tech Policy Pressのために行動規範を分析した法務研究者は、現在、第50条が課す4つの基準（有効性、相互運用性、堅牢性、信頼性）すべてを満たす単一の電子透かし技術は存在しないことを指摘している。行動規範は、階層化されたアプローチを要求することでこれに対処しており、これはまさにOpenAIのC2PAとSynthIDの組み合わせが表すものである。しかし、これら4つの次元にわたってコンプライアンスを測定するための共通の評価ベンチマークはまだ存在しない。

■業界の背景：誰もが同じ期限を急いでいる

8月2日を前にコンプライアンス文書を一般に公開しようと急いでいるのはOpenAIだけではない。Googleは2026年7月24日、透明性行動規範に署名し、相互運用可能な電子透かしの採用に向けて、SynthIDの電子透かしパートナーシップをApple、ElevenLabs、Kakao、NVIDIA、OpenAIに拡大すると発表した。Googleは同時に、進化する技術的フレームワークに新たなルールを重ねることは「開示疲れ」を引き起こし、ユーザーを混乱させる可能性があると警告した。これは、業界がコンプライアンス義務を現実のものと見なしている一方で、コンプライアンスのインフラストラクチャは未成熟であると見なしているシグナルである。

EU AI法は、以前のGDPRと同様に事実上の世界標準として機能しており、ユーザーの所在地に関係なく、主要な基盤モデルプロバイダーが自社の慣行をどのように文書化し開示するかを形作っている。特にOpenAIにとって、その利害はアイルランドに集中している。OpenAI Ireland LimitedはEUのデータ管理者であり、アイルランドのAIオフィスが最前線のGPAI執行を処理する。OpenAIは2026年7月27日、ダブリンのTropical Fruit Warehouseで8万8000平方フィート（約8175平方メートル）のリース契約を結び、2年間で250名の新規雇用と総額1億500万ユーロ（約1億2070万ドル、約190億7000万円、1ドル=158円換算）の投資を約束した。コンプライアンス違反は、金銭的な罰則にさらされるだけでなく、IPOが近づく中で公開市場の投資家に対して構造的な耐久性を示さなければならない欧州の商業事業を混乱させるリスクがある。

Grokの調査は、利用可能な執行のテンプレートを提供している。欧州委員会は2026年1月、XのGrok AIが約300万件の非同意の性的画像を生成したことを受け、Xに対して正式なDSA（デジタルサービス法）手続きを開始した。これは、特定のAIの害が文書化され、製品の特定の機能に追跡可能である場合、EUの執行姿勢がいかに急速にエスカレートするかを示している。このケースはDSAの問題であり、EU AI法のアクションではないが、執行のアーキテクチャは、日曜日にAI法の執行権限を獲得するのと同じ機関、同じ委員会である。

■今後の展開

OpenAIの声明は、何を約束するかについて慎重である。この文書は、コンプライアンスの慣行を、検証済みのコンプライアンスを主張するのではなく、EUのフレームワークをサポートするものとして説明し、出所証明技術が依然として不完全であることを認め、標準がまだ進化していると指摘している。同社は、自社のコンプライアンスアプローチを継続的なものとして位置づけており、「コンプライアンスアプローチを強化し続け、規制当局やより広範なエコシステムから学んでいく」としている。

その位置づけは法的に慎重である。しかしそれは同時に、7月31日の声明がコンプライアンス認証として機能しないことも意味する。欧州AIオフィスは今後、情報要求や、必要に応じて執行措置を通じて、GPAIコンプライアンスの検証を開始できる。著作権の章の学習データ要約の要件は、内部フレームワークを公開することで満たせるものではない。権利者や規制当局がレビューできるように、特定のフォーマットで公開された文書が必要である。

OpenAIの2025年8月以前のモデルの場合、移行期限は2027年8月2日であり、1年以上先である。WilmerHaleによる第53条(1)(d)の分析によれば、2025年8月7日にリリースされたGPT-5およびそれ以降にリリースされたすべてのモデルについては、移行期間はなく、モデルのリリース日に要件が発効した。

欧州AIオフィスがこの空白をコンプライアンスの優先事項として扱うか、対話を通じて提起するか、あるいは行動を起こす前に正式な苦情を待つかはまだ決定されていない。日曜日に始まることで決定しているのは、法的にそれが可能になるということである。

■注目ポイントQ&A

●OpenAIはEU AI法を遵守していますか？

自社の説明によれば、部分的に遵守しています。OpenAIの7月31日の声明は、GPAI行動規範の「透明性」の章（モデルの文書化、システムカード、Preparedness Framework）と「安全性とセキュリティ」の章（リスク評価、レッドチーミングネットワーク）の遵守を文書化しています。しかし、第53条(1)(d)に基づく学習データの要約公開と著作権遵守ポリシーを要求する「著作権」の章には触れていません。OpenAIの2025年8月以前のモデルには移行期限により2027年8月2日までの猶予がありますが、GPT-5を含むそれ以降にリリースされたモデルには移行期間がありません。欧州AIオフィスが、2026年8月2日の執行権限発効後に、未対応の著作権の章をコンプライアンスの優先事項として扱うかどうかはまだ決定されていません。

●GPAI行動規範とは何ですか？それに署名すればコンプライアンスは保証されますか？

GPAI行動規範は、欧州AIオフィスが2025年7月10日に公開した自主的なフレームワークであり、GPAIモデルプロバイダーに、汎用AIモデルに対するEU AI法の義務の遵守を証明するための文書化された道筋を提供します。これに署名することで「適合の推定」が与えられ、規制当局はコンプライアンスを推定し、ゼロから完全な調査を行うのではなく、規範の遵守状況の監視に執行の焦点を当てます。しかし、規範への署名はコンプライアンスを保証するものではなく、2026年のベンチマーク調査では、署名企業は学習データの文書化の質において非署名企業よりもわずかに良いスコアしか出していないことがわかりました。規範には「透明性」「著作権」「安全性とセキュリティ」の3つの章があります。企業の公開声明が強調する章だけでなく、3つすべてに対処する必要があります。

●AI生成画像に対するC2PAの電子透かしは、実際には何を意味しますか？

ChatGPTやOpenAI APIで生成された画像を受け取ったり遭遇したりした場合、現在では2つの重複する出所シグナルが付与されています。C2PA Content Credentialsは、どのAIシステムがいつ作成したか、その後の編集などを記録した署名付きの暗号化マニフェストをファイルのメタデータに埋め込みます。これはC2PA互換ツールで読み取れますが、スクリーンショットやフォーマット変換で削除される可能性があります。SynthIDレイヤーは、スクリーンショット、圧縮、サイズ変更に耐え、ニューラルネットワークで検出可能な知覚不可能なピクセルレベルの電子透かしを埋め込みます。これらを合わせることで、どちらのシステムも単独では提供できない補完的なカバー範囲を提供します。EU AI法は、新しいAIシステムに対して2026年8月2日時点で機械可読なAIコンテンツのマーキングを要求しており、すでに市場に出ているレガシーシステムには2026年12月2日までの猶予があります。

●OpenAIのコンプライアンス声明に具体的に欠けているものは何ですか？

GPAI行動規範の著作権の章は、OpenAIの7月31日の声明では対処されていない2つの義務を要求しています。1つは、欧州委員会が2025年7月24日に公開した必須テンプレートを使用した、モデルの学習に使用されたデータの公開可能な要約であり、もう1つは、テキストとデータマイニングのオプトアウト制度を含むEU著作権法を遵守するための文書化されたポリシーです。これらの義務は、OpenAIを含むすべてのGPAIプロバイダーに適用されます。学習データの要約は、独自のデータセットを完全に開示することを要求するものではなく、データタイプ、主なソース、収集方法のカテゴリレベルの開示を要求します。OpenAIから公開された要約がないことは、欧州AIオフィスが2026年8月2日から調査できる具体的な空白です。

元記事: OpenAI’s EU AI Act Statement Skips Training Data: Copyright Gap Activates Sunday