エストニアのAI規制：EU AI Actはエストニア企業にどう適用される？

エストニアは欧州で最もデジタル化された国を自称しており、EU内でAIビジネスを構築するうえで最もAIに親和的な場所の一つです。しかし、人工知能が規制されていないという意味ではありません。この国は独自の規則を追加せず、EU規則を適用しているということです。本記事では、エストニアにおけるAI規制の仕組み、AIを監督する機関、エストニアでのAI Act実施状況、そしてエストニア企業が準備しておくべきことを平易に解説します。まずAI Act自体が企業に何を求めるかを知りたい方は、企業向けEU AI Actのわかりやすいガイドをお読みください。

エストニア独自のAI法はありますか？

ありませんし、今後も制定されません。AI ActはEU規則であるため、エストニア語版を必要とせず、条文どおりにエストニアで適用されます。エストニアはこれまでも、新法を制定するのではなく、既存の法律と当局をAI監督を含めて適応させる方針を取ってきました。

エストニアがEUに対してなお整備すべきなのは、短い実施法です。これはAI監督機関を正式に指定し、エストニアにおける手続と制裁金の基準を定め、サンドボックスに法的根拠を与えます。これらの機関の指定に関するEU期限は過ぎており、同国は多くの加盟国と同様に期限を逃しました。TTJAもAIにおける自らの役割を依然として将来形で説明しています。

企業が最も誤解しやすい点はここです。エストニアの実施法が未制定でも、何かが停止するわけではありません。禁止事項、従業員へのAI研修義務、チャットボットおよびコンテンツの透明性規則は、EU規則が定めているため、すでに貴社に適用されています。まだ整っていないのは、エストニアにおける制裁金の執行体制です。

エストニアでAIを規制するのは誰ですか？

エストニアは新たなAI庁を設置していません。AI監督は既存の機関が担い、それぞれの従来の権限にAIを加えています。

一般的な企業にとって重要なのは二つの機関です。TTJAは市場監視当局で、AIシステムについて調査を行い、エストニアでAI Actの執行を主導する機関です。AKIはプライバシー監督機関であり、ほぼすべてのAIツールが個人データに触れるため、最初に問い合わせてくることが多い機関です。AKIはすでに独自のAI Actガイダンスを公表し、相談窓口を設け、医療分野のAIツールについて意見も出しています。

TTJAが調査を開始した場合、AIを開発する企業に対し、システムの訓練・試験に用いたデータ、システムログ、高リスクシステムについてはソースコードへのアクセスを求めることができます。製品の修正、販売中止、リコールを命じることも可能です。他社のAIを単に利用する企業に求められるものは通常より少なく、ベンダーの指示書、人によるツール監督の証拠、保有するログなどです。文書は当局が受理する言語で作成する必要があります。エストニア語に加えて英語が認められるかはまだ示されていないため、両言語でファイルを準備しておきましょう。

海外から運営するe-Residency企業にもAI Actは適用されますか？

はい。これはe-residentが最もよく尋ねる質問ですが、答えは明快です。エストニアのOÜはEUに設立された企業です。創業者がタリン、ベルリン、シンガポールのどこにいても関係ありません。e-residentの企業が業務でAIを使用する、またはAI製品を販売する場合、他のEU企業と同じ義務を負い、TTJAとAKIがこれを執行します。

法律論より実務面が役立ちます。エストニアの法的住所、取締役会が海外にある場合は連絡担当者が、当局からの連絡を受ける窓口です。TTJAまたはAKIからの書面が実際に確認され、期限内に回答されるようにしてください。

エストニアにおけるAI Act実施：重要日程

エストニアにAIサンドボックスはありますか？

AI規制サンドボックスとは、企業が新しいAIシステムを発売前に当局とともに試験できる、監督下の試験環境です。EUの全加盟国に設置が義務付けられており、オムニバスにより期限は1年延長されました。エストニアは期限を待たずにAIサンドボックスを構築しています。法務・デジタル問題省はすでにAIテスト環境（tehisaru testkeskkond）を運営しています。法務・コンプライアンス助言、リスク・影響評価の支援、技術試験、安全なデータ環境、計算能力を提供します。まずシステムのリスク水準に関する事前評価を受け、その後に申請して試験計画に合意します。終了時には同省が書面による報告書を発行できます。このサービスは中小企業と公的機関には無料で、フィンランドもサンドボックスのさらなる開発に協力しています。

高リスクに近いものを開発しているなら、早期に利用してください。コンプライアンス対応を行った書面上の証拠が得られ、高リスク規則の適用日より前に監督機関と対話できます。

エストニア企業が準備しておくべきものは？

大半のエストニア企業がTTJAから連絡を受けることはありません。連絡を受けた企業に求められるのは意見ではなく文書です。ここでのAIガバナンスはシンプルにできます。会計・GDPR記録とともに、簡潔なAIコンプライアンスファイルを保管しましょう。

• AIツールの一覧：使用または販売するツール、そのベンダー、目的、自社開発か利用のみかを記載します。
• 責任者を1人指定：自分自身であっても、社内のAI責任者を定めます。
• ベンダー文書：利用規約、使用説明書、適合宣言書があればそれも含めます。
• 現在の義務を果たしている証拠：顧客に表示するチャットボット通知、AI利用方針と研修記録、AI生成コンテンツの表示方法です。
• GDPRとの関連：AIツールを対象とするデータ保護評価または処理記録です。

AIを開発する企業は技術文書を追加します。EU域外の企業はEU代理人への書面による委任も追加します。

EU域外からエストニアでAI企業を設立する

EU域外に拠点を置くAIスタートアップは、高リスク製品または大規模な汎用モデルを欧州市場で販売する前に、EU域内の代理人を指定しなければなりません。e-Residencyを利用してエストニアで完全オンラインによりAI企業を設立すれば、この役割を果たせるEU企業を持つことになります。さらに一歩進め、エストニア名義で販売し、それに伴うすべての提供者義務を負うEU提供者になることも可能です。AIビジネスに適する方法は、製品のリスク水準、グループの税務上の状況、欧州事業の運営方法によって異なります。当然の選択とせず、助言を得て決めてください。

Eesti FirmaがエストニアのAI事業を支援する方法

Eesti Firmaは世界中の創業者のためにエストニア企業を設立・管理し、EUで事業を始めた後も支援を続けます。AI事業には、EU法人または代理人としてのエストニアでの会社設立、継続的な会計とコンプライアンス管理、そしてエストニアにおけるAIコンプライアンスのための法務サービスが含まれます。具体的には、上記のAIガバナンスファイル、TTJAまたはAKIとの連絡、企業が求めに応じて提出できなければならない文書です。

AIコンプライアンスのEU拠点を設立

よくある質問