MiCA、DORA、AI Act、NIS2：EUの規制集はスタートアップと中小企業をいかに欧州から締め出しているか

私はEU規制を生業にしています。MiCA、マネーロンダリング対策規則、その他の欧州規制集は単独で対処するには負担が大きいため、顧客は当社を訪れ、当社が対応します。したがって、これはブリュッセルが新法を制定することで不利益を受ける者の不満ではありません。むしろ、私は利益を得ます。

それでも、ここ数年に中小企業（SMEs）へ課されたものを見ると、欧州は誤りを犯していると思います。問題は、一本の粗悪に書かれた法令ではありません。すべての法令の総和、EUが自らを修正する速度、そして請求が最も支払能力の低い会社に届くという事実です。AI規制に関する当社の見解は別の記事で具体的に示しています。本稿は規制集全体に見られるパターンについてです。

重なり続ける規制

現在のEU規制が、事業内容に応じて欧州企業に求めるものは以下のとおりです。

• GDPR：個人データを保有するすべての者。
• Digital Services ActおよびDigital Markets Act：オンラインプラットフォームおよびマーケットプレイス。
• Data Act：接続機器およびクラウド契約。
• NIS2およびCyber Resilience Act：サイバーセキュリティおよびソフトウェアを内蔵する製品。
• MiCA：暗号資産サービス。
• DORA：銀行、決済・暗号資産企業、およびそれらにサービスを提供するIT供給者。
• AI Act：AIシステムを構築する者、または事業で利用する者。
• 新AML規則：EUレベルの監督機関AMLAを伴います。
• eIDAS 2.0：デジタルIDウォレットを含みます。
• 報告義務：暗号資産移転（トラベルルール）、暗号資産税務データ（DAC8）、持続可能性（CSRD）、サプライチェーン（CSDDD）に関するもの。

これらに軽微なものはありません。それぞれに独自の定義、様式、監督機関、制裁金があります。従業員12人のフィンテック企業が、同時にそのうち5つまたは6つの対象となることもあります。

各法令は正当でも、積み重ねは正当ではない

これらの法律は、単独で見ればいずれも現実の問題に答えています。暗号資産取引所が破綻した際に顧客資金が消失すべきではなく、クラウド提供者に問題があったからといって銀行が機能停止すべきではありません。また、誰も結果を確認できないままソフトウェアが融資対象者を決めることを望みません。これらの法律のいずれか一つに反対すれば、当然ながら議論に負けます。

問題は総和であり、時間です。欧州委員会は2021年4月にAI Actを提案し、EUは2024年に採択しました。採用、信用スコアリング、教育で用いられるシステムなど、高リスクAIに関する主要規則は2026年8月2日から適用される予定でした。この日の数週間前である2026年7月、EUはDigital Omnibus on AIと呼ばれる修正を採択しました。これにより規則は2027年12月へ、規制対象製品に組み込まれたAIについては2028年8月へ延期されました。公式の理由は、技術基準と各国の監督機関が整っていなかったことです。提案から5年後も、法律を執行する仕組みは存在していませんでした。8月に向けて2年間準備してきた企業は、動かされた日付に向けて準備していたのです。

これが実務上の「遅い」という意味です。法律が到来します。問題が誰の目にも明らかになってから2年または3年後に、さらに別の規制という形で修正が到来します。

同じ規則でも中小企業の負担が重い理由

これが私を最も悩ませる部分です。コンプライアンス費用は、会社規模にほとんど左右されません。方針マニュアル、IT供給者の登録簿、インシデント報告手続、外部監査、ライセンス申請は、顧客50人にサービスを提供する場合でも500万人に提供する場合でも、おおむね同じ費用がかかります。

DORAが最も明確な例です。2025年3月に公表された、欧州28か国の金融機関を対象とするDeloitteの調査では、回答者の約3分の2がコンプライアンスに€2 millionから€5 millionを支出すると見込み、€2 million未満にとどまると見込んだのは10人に1人だけでした。大銀行はこれを吸収できます。従業員20人の決済機関にはできず、最小規模の企業ではコンプライアンス請求額がEU市場から得る価値を上回る場合があります。

MiCAも数字で同じことを示しています。MiCA以前、業界集計によれば、EU全体で1,000社を超える企業が各国の暗号資産登録を保有していました。移行期間は2026年7月1日に終了し、2026年10月までにESMAの登録簿には約370の認可済み提供者が記載されました。姿を消した企業の一部は退場して然るべきでした。しかし、他の多くは小規模、地域密着型かつ合法的な企業であり、2人の創業者による取引所にはない、助言者、資本、経営時間における6桁の費用をMiCAライセンス（CASP認可）が要するために去りました。MiCAが欧州の暗号資産スタートアップにもたらした影響は別途検討しましたが、本稿ではより広いパターンの一例です。

大手企業が不満を述べることはほとんどありません。資金力のある既存企業にとって、新たな法令はすべて堀です。コンプライアンスチームはすでにあり、弁護士とは顧問契約を結び、新たな規則ごとに競争を望む者の参入費用が上がります。消費者保護のために書かれた規制が、結局は市場シェアを守ることになります。

創業者はどこへ行くのか

スタートアップは、銀行とは異なる形で移動可能です。アイデアとノートPCを持つ創業者は、私たちが航空便を比較するように国を比較します。AppleとMetaが2024年、Digital Markets Actと「予測不能な」規制環境を理由に、EU利用者向けの新しいAI機能を保留すると決めた際、見出しは2大企業に集中しました。しかし、より静かな影響は、それらのモデル上で構築したいすべての欧州開発者に及び、待つか移転するかを迫られました。

私自身の業務でも、パターンはより穏やかですが同様に一貫しています。創業者が問う内容は「エストニアでライセンスを取得できるか」から「ドバイ、シンガポール、または米国の州と比べ、欧州ライセンスにそもそも価値があるか」へと移りました。数年前、この二つ目の質問はまれでした。今日では日常的であり、私は常に彼らを思いとどまらせられるわけではありません。

数字も同じことを示しています。2026年1月に公表されたEuropean Investment Bankの調査によると、2008年から2021年にかけて、評価額が$1 billionを超える欧州のユニコーン企業のほぼ30%が、本社をEU域外へ移転しました。大半は米国へ移り、デジタル技術、AI、バイオテクノロジーが先導しました。Mario Draghiは、2024年9月の欧州の競争力に関する報告書で残りを述べています。規制負担がイノベーションに過度な制約を課し、スタートアップの成長を困難にしているのです。2年後の時点で、European Policy Innovation CouncilのDraghi Observatoryの集計によれば、追跡対象の施策のうち完全に実施されたのは16%にすぎません。診断は受け入れられています。対応は遅いままです。

ブリュッセルが書いたものをタリンが直せない理由

エストニアは、この問題を観察するのに適した場所です。小規模でデジタル化が進み、一般に事業について合理的です。しかし、この問題ではほとんど無力でもあります。

MiCA、DORA、AI Actは指令ではなく規則です。指令は目標を定め、各国に自国法の制定を委ねます。一方、規則はすべての加盟国で一語一句そのまま適用され、タリン、ヴィリニュス、リスボンのいずれの議会も、条文一つを緩和できません。国内の裁量には一方向しかありません。各国はブリュッセルより常に厳しくできますが、より軽くはできません。

したがって、創業者からエストニアが「これを直せばよい」と言われると、修正には27の政府、欧州委員会、欧州議会、そして年単位で測られる立法サイクルが関わると説明しなければなりません。2025年初頭以降、欧州委員会は複数の法律を一度に改正する12の「オムニバス」パッケージを提出し、任期終了までに行政負担を少なくとも25%、SMEsについては35%削減すると約束しました。企業団体は、これまでの結果はその数値に遠く及ばないと述べています。私は文章を読んでいるので、彼らを信じます。

欧州は自らをデリスキングしている

ここ数年に銀行と取引した人なら、デリスキングという言葉を知っています。顧客が少し変わって見え、その監視費用が支払う手数料を上回ると、口座は閉鎖されます。不正も違反もなく、銀行にとってより安価な判断というだけです。顧客は別の銀行を探し、多くの場合は別の国へ行き、銀行のリスク報告書は以前より良く見えます。

欧州連合も、産業全体に対して同じことをしていると私はますます考えるようになりました。暗号資産はリスクが高く見えたため、欧州はMiCAを整備し、各国登録企業の大半が退出するのを見守りました。AIはリスクが高く見えたため、欧州は反論できるほど大きなAI産業を持つ前に、世界初の包括的AI法を制定しました。そのたびにリスクは下がり、そのリスクを伴った活動もともに減少します。回避したリスクだけを数える貸借対照表では成功です。設立された会社と創出された雇用を数えるものでは、そうではありません。

その下には、より静かな仕組みがあります。成果を規制で測定される機関は、規制を生み出します。各法令にはガイドライン、技術基準、Q&Asが必要となり、それを適用する監督機関が続き、さらにガイドラインが壊した部分を直すオムニバスが必要になります。各段階で、次の法令にも必要となる職員が増えます。この連鎖の誰も悪意で行動しているわけではありません。プロセスには停止する内在的理由がなく、その内部の誰も、設立されなかったスタートアップの代価を負担しないだけです。

欧州スタートアップの3つのシナリオ

具体的にするため、欧州経済におけるスタートアップ分野が向かう先について、私の見解を示します。基準となるのはDealroomのデータです。EUでは毎年およそ14,800社のスタートアップが設立され、そのうち約4,400社が外部資金を調達し、EUには約450社のユニコーン企業があります。UKを含む欧州全体は、世界のベンチャーキャピタルのうち2023年には過去最高の19%、2024年には16%を獲得し、米国は57%を獲得しました。

なぜ第1シナリオでは崩壊ではなく減少なのでしょうか。規制集が既存企業ではなく、意思決定時点の創業者に影響するためです。フランクフルトの銀行はDORAを理由に撤退しません。タルトゥの3人組AIスタートアップは、代わりにデラウェアで登記し、開発者を当面は地元に残すだけです。EUは本社、課税基盤、エグジットを失い、給与支払いはしばらく維持します。

そして、なぜ第3シナリオは空想ではないのでしょうか。その数値は、欧州が最良の時期にすでに立っていた水準に近いからです。世界のベンチャーキャピタルの19～20%という比率は、現在の規制層が適用され始める前の数年前に達成されました。中小企業を念頭にEU規制を書くことは、欧州から消費者保護を奪うものではありません。必要なのは、起草における数段落だけでした。

反対側の論拠

規制集に利点がないふりをすれば、真剣に受け止められるに値しません。そこで利点を示します。MiCAライセンス一つで、会社はEUおよびEEAの30か国すべての顧客にサービスを提供できます。それ以前には、暗号資産企業は27の規制当局と27件の個別協議を必要としていました。GDPRはプライバシー法の世界的な雛形となりました。単一のAML規則は、ある加盟国で受け入れられた顧客が次の加盟国で拒否される状況を、理論上は終わらせるはずです。調和には実際の価値があり、私は毎日その恩恵を受けています。

正直なトレードオフはこれです。欧州規模での調和は、速度と、最小規模の企業に最も重くのしかかる費用構造を代価に得られます。欧州は、主として暗黙のうちに、速い市場より安全な市場を好むと決めました。これは正当な選択です。ただし、オムニバスごとに発見するのではなく、費用を明示して公開の場で決めるべきだと私は考えます。

欧州が代わりに行うべきこと

私の立場は、欧州が規制をやめるべきだというものではありません。3人のスタートアップを銀行のように規制することをやめるべきだということです。小規模チームはコンプライアンス部門を運営できず、それを暗黙に前提とする法律は安全規則ではなく参入障壁です。6つの変更で損害の大半を除けますが、どれも急進的ではありません。いずれもEU法のどこかにすでに先例があります。

1. 法令に明記する実質的な規模閾値。EU自身の小企業の定義（従業員50人未満、売上高€10 million未満）より下では、重い義務はまったく適用しないか、短く固定された形式で適用すべきです。GDPRはすでに第30条(5)の記録保持でこれを行っており、従業員250人未満の大半の組織を免除しています。2025年には欧州委員会がこの免除の拡大を提案しました。同じ論理をDORA、NIS2、AI Actにも適用すべきです。
2. 法律の適用前に基準を整える。技術基準が存在し、各加盟国で少なくとも一つの監督機関が適用の準備を整えるまで、義務を発効させるべきではありません。AI Actの延期は、苦い形でその点を証明しました。次の法令を救うためにオムニバスを必要としないよう、この規則を明文化すべきです。
3. まずサンドボックス、次に執行。新産業には、完全なライセンスを要求する前に、規制当局の監視下で会社が運営できるテスト期間を与えるべきです。AI Actはそのようなサンドボックスを約束していますが、一部の義務の後である2027年8月まで延期されました。順序は逆であるべきです。
4. 会社ごとに監督機関を一つ。従業員12人のフィンテック企業は現在、金融監督機関、FIU、データ保護当局、そしてまもなくAI当局に個別に対応する場合があります。一つの主担当当局が会社を扱うGDPRのワンストップショップは、そのモデルを示しています。これを規制集全体へ拡大すべきです。
5. すべての法令に失効日を設ける。費用の実質的な見直し後に再確認されなければ規制が失効するなら、修正は政治的な好意ではなく義務になります。オムニバスは救済ではなく規則になります。
6. 設立されなかった会社を数える。すべてのEU影響評価は既存企業への費用を測定します。デラウェア、ドバイ、シンガポールを選んだスタートアップは一つも測定しません。その数値が示されない限り、次の法令を起草する人々は、その費用を過小評価し続けます。

これは、包括的な連邦AI法がなく州法の寄せ集めしかない米国や、これまで単一のAI法を成立させず既存の規制当局に原則群を適用させることを選んだ英国を模倣するという意味ではありません。これは、欧州の創業者が今や欧州と比較する場所がそこだと認めることを意味します。欧州委員会が約束する、€100未満、最低資本金なし、48時間未満で登記できる2026年3月提案の単一欧州会社形態EU Inc.を加えれば、欧州は小規模チームが実際に利用できる提案を持つことになります。

私が創業者に伝えること

創業者への私の助言は、退屈なほど実務的になりました。コンプライアンス費用は、一度限りの法務費用ではなく売上原価の一項目として扱ってください。規則自体はどこでも同じになるため、規制当局の質と登記簿の速さでEUの国を選んでください。移行期間とオムニバスによる延期は、法律を無視する許可ではなく、構築する時間として使ってください。AI Actの高リスク規則は延期されたのであって、廃止されたのではありません。また、事業モデルがEU規制集の外でしか成り立たないなら、ライセンス申請後ではなく前に、早期にそれを認めてください。

規制集の中でも欧州で会社を築く

欧州は今でも会社を運営する良い場所であり、私は毎週そのように顧客へ伝えています。本稿の目的は、誰かにエストニアやEUを思いとどまらせることではありません。EU規制は現実の費用であり、初日から織り込むべきだということです。適切な法人構造、適切なライセンス手続、EU内で適切な国を選ぶことは、5年前より今のほうが大きな違いを生みます。新規または既存の会社についてこれらの選択を検討している場合、Eesti Firmaのチームが、会社設立からライセンス取得まで、規則が実際に貴社のケースで何を意味するかをご案内します。

お問い合わせを送信