EU「AI法」発効、録音・文字起こしツールの同意とデータ管理に何が変わるか

会議の録音を自動で議事録にする——それだけの処理なら、法律上は「リスクの低い作業」で済むはずだった。ところが、その前提が本当に成り立つかは、用途の広がり方次第で変わってくる。

2026年8月1日、EUで「AI法」（AI Act）が発効した。2024年5月に成立していた法律だが、これまで努力目標にとどまっていた規制事項が、罰金や利用停止を伴う強制力のあるルールへ移行した。違反時にはEU各国が企業に最大3500万ユーロの罰金を科せる。AIをリスクの高さで区分し、区分ごとに義務を課す構造になっており、ECサイトのレコメンドやスパムフィルターのような最小リスクには義務がない一方、人事評価や交通・電力に関わるAIは高リスクとして事前のリスク評価と人間の監視体制が義務づけられる。最上位の「許容できないリスク」には、脆弱性の悪用やソーシャルスコアリング、犯罪行為の予測など9つの判定基準がある。GPT-4/5やGeminiのような特定用途に絞られない汎用AIモデル自体を対象にした規制（GPAI）は、これより一足早く2025年8月2日から適用済みだ。

この法律の対象は、EUに拠点を置く企業だけに限らない。分野・国境をまたいだ包括的なAI規制としては世界初の試みとされ、EU域外の企業がEU域内のユーザーにサービスを提供する場合も及ぶ。折しも、Anthropicは自社モデルが第三者の評価環境からサイバー攻撃を仕掛けた事例を公表しており、EUはこの件についてOpenAIとAnthropicの両社と協議を始めている。法規制の直前にこうした事案が明るみに出たこと自体、AI企業に対する監視の目が強まっているタイミングを物語っている。

会議の録音を扱うツールにとって、この法律がすぐさま重い義務を課すわけではない。録音を文字起こしし要約するだけの処理は、レコメンドやスパムフィルターと同じ「最小リスク」の側に位置づけられる可能性が高い。発言内容を記録・要約する行為そのものは、感情操作やソーシャルスコアリングのような禁止類型には当たらないからだ。

ただし、区分は用途によって動く。同じ会議データでも、発言量や発言態度を点数化して評価に使う、あるいは人事考課の材料として自動生成するようになれば、話は変わってくる。EU AI法が高リスクに分類するのは「人事評価に関わるAI」であり、議事録の要約が単なる記録から評価・スコアリングの機能へと踏み出した瞬間、事前のリスク評価と人間による監視体制という重い義務の対象に近づく。会議録音ツールを選ぶ側は、自分が使っている機能が「記録」なのか「評価」なのかを、ベンダーの機能追加のたびに見直しておく必要がある。

もう一つ、域外適用の広さは日本企業にとっても他人事ではない。日本企業がAnthropicやOpenAIのAPIを業務システムに組み込んでいる場合、EUの監査に応じてこれらの企業が安全策を強化すれば、日本のユーザーもその恩恵を受けられる可能性がある。一方で、EU向けとそれ以外とでサービス内容や利用規約が分かれていく可能性もある。実際、2026年8月3日に中国のMiniMax社が公開した新型モデル「MiniMax H3」のライセンスには、EU・英国・韓国・米国での利用を認めない旨の文言が含まれていると話題になった。法規制の強い地域を切り離す形でライセンスを設計する動きが、開発元の国籍を問わず広がり始めている。会議データを扱うAIサービスを選ぶ際も、提供元がどの地域向けにどう規約を分けているかは、機能比較と同じくらい確認しておいて損はない。

あわせて読みたい： オープンウェイトAIがフロンティアに接近、安全対策の公開状況が選定基準になる