クラウドおよびAI開発法：欧州が実際に直そうとしているもの

クラウドおよびAI開発法は、欧州の技術政策が何になったのかを示すこれまでで最も明快な表明です。消費者保護法でも安全法でもありません。ひとつの問題を狙った産業政策です。すなわち、欧州はデジタル経済の大半を、自ら制御していないインフラの上で動かしている、という問題です。

GDPRやAI法とは種類の違う規制であり、届く経路も違います。前文を読むより、どの経路で届くのかを押さえるほうが重要です。

何に応えようとしているのか

その背後にある数字を争う人はいません。欧州のクラウドインフラ支出の圧倒的多数は非欧州の事業者に流れています。欧州企業が使う最大級のAIモデルは、欧州の外で学習され、ホストされています。欧州の計算能力は世界全体のごく一部です。

10年のあいだ、これは市場の結果として扱われてきました。2022年以降は戦略的な脆弱性として扱われています。理由は技術とは無関係です。貿易摩擦、輸出管理、そしてインフラ依存がレバレッジになるという発見です。

クラウドおよびAI開発法は、その再評価の立法上の腕にあたります。AI大陸行動計画、InvestAIイニシアティブ、AIギガファクトリー計画、そしてDraghi報告から出てきた広い競争力アジェンダと並びます。

提案の中身

欧州委員会は2026年6月3日、この提案をCOM(2026) 502として、Chips Act 2.0とともに公表しました。形式は規則（Regulation）で、三つの目的と公共部門向けの一連の措置で構成されています。

研究とイノベーション。 分野横断の大型プロジェクトを対象とするCloud and AI Leadership Initiatives、欧州デジタル・イノベーション・ハブを土台にしたAI体験・加速センターのネットワーク、最先端AIの優先プロジェクトへの計算資源の割り当て、そして発効から1年以内に全加盟国が国家クラウド・AI戦略を策定することです。

データセンターの容量。 加盟国は、窓口を一本化し許認可を迅速化したデータセンター加速区域を指定し、欧州委員会は戦略的データセンター事業を指定できます。掲げられた目標は、2030年までにEUのデータセンター容量を少なくとも3倍にし、新設データセンターの許可をすべて18か月未満で取得できるようにすることです。

クラウドの主権枠組み。 EU共通の保証レベルを4段階で設けます。レベル1は自己評価、レベル2から4は第三者が監査します。レベル3は、事業者が第三国から支配されていないことが条件です。ただし、欧州委員会がその国を十分な保証を備えると認めた場合は別です。認定されたサービスはEUの中央リポジトリに登録されます。

公共部門での導入。 実効性を持つのはここです。公的な調達者は、少なくともレベル1の認定を受けたクラウドサービスを調達しなければなりません。リスク評価である活動が公共の秩序に寄与すると判断された場合（NIS2の対象セクター、国家安全保障、防衛、司法、法執行など）は、レベル2、3、4しか認められません。加盟国はクラウドとAIを購入する際にEU付加価値基準も適用しなければならず、EuroCloud Federationを通じて公的機関同士がクラウドサービスを共有でき、公的機関はプロプライエタリなソフトウェアよりもオープンソースの利用を奨励し、後押ししなければなりません。

民間の買い手を縛る部分はわずか。 NIS2対象セクターの企業は同じリスク評価を任意で実施でき、欧州委員会は委任法令によって、それを高度に重要なセクターに義務づけることもできます。提案どおりなら規則は発効の1年後に適用されますが、まだ欧州議会と理事会を通過しなければなりません。

実際に届く経路

この案件について押さえておく価値があるのはここです。技術規制の大半は民間企業に直接届きます。個人データを処理する、ゆえにGDPRが適用される、という具合です。クラウドおよびAI開発法が大半の企業に届く経路は、調達を通じた間接的なもののほうがはるかに濃厚です。

EUの公共部門の技術支出は巨大です。加盟国の公的機関が欧州クラウドの購入を義務づけられたり強く推奨されたりすれば、公共部門に売るすべてのベンダーの市場が変わり、元請けを経由してその供給業者へと連鎖します。

このパターンはアクセシビリティで見慣れています。欧州アクセシビリティ法 には直接の義務がありますが、実務上のアクセシビリティ対応の多くを動かしてきたのは、指令の適用よりずっと前から非準拠の供給業者を排除していた公共調達ルールでした。

ここでも同じことが起きると見ておいてください。欧州の公共の買い手にソフトウェアを売っているなら、インフラがどこで動いているか、誰が制御しているか、移行できるかという問いは、セキュリティ質問票から資格要件へと移ります。

アーキテクチャにとって何を意味するか

主権に関する政策を読んだときの本能は、無視するか慌てて移行するかのどちらかです。どちらも正しくありません。妥当なのは、その問いに答えられる状態を作っておくことです。

データと計算が実際どこにあるかを把握する

ささいなことに聞こえますが、そうではありません。成熟したシステムで「これはどこで動いているのか」に正直に答えると、たいていはプライマリリージョン、バックアップリージョン、エッジロケーションが判然としないCDN、マネージドデータベース、それぞれ再委託先を持つ三つのSaaS依存、可観測性のベンダー、そして推論の場所が文書化されていないAI APIが出てきます。

正確な地図を作ることが最初の本当の作業です。それは GDPRの越境移転分析 やNIS2のサプライチェーンの問いに要る地図と同じものなので、一度作れば済みます。

移植できる部分とできない部分を分ける

ほぼどのシステムにも、移植可能な中核と、事業者固有の依存の集まりがあります。移植可能な中核はたいていアプリケーションです。移植できない部分はたいていマネージドサービスで、独自データベース、サーバーレスランタイム、キュー、ID、そしてますますモデルAPIが該当します。

それらを排除する必要はありません。どれが該当するかを知っておく必要はあります。そのリストこそ、移行がどれだけ大変かへの正直な答えであり、調達の質問票が実際に尋ねている中身だからです。

モデル提供者を抽象化の境界として扱う

最も新しく、最も飛ばされやすい項目です。単一ベンダーのモデルAPIを直接呼び、ベンダー固有のプロンプト形式とレスポンス処理をコードベース中に散らしているアプリケーションは、気づかないうちに依存の意思決定を済ませています。

モデル呼び出しの上に薄い抽象を置くのは、作るときのコストがほとんどかかりません。その代わりに、欧州の事業者、欧州インフラ上のオープンウェイトモデル、あるいはまったく別のベンダーへ振り向ける選択肢が手に入ります。モデルの状況が動く速さを考えれば、商業的な理由だけでもやる価値があります。

出口を文書化するだけでなく、実際に試す

データ法 はすでにクラウド事業者を切り替える権利を与えており、切替手数料は2027年1月12日から完全になくなります。その権利を使う買い手はごくわずかで、受け取れるはずのエクスポートで本当にサービスを再構成できるかを試す人はさらに少数です。

エクスポートを実行してみてください。中身を解釈してみてください。事業者がエクスポート可能だと言うものと、実際に使えるものとの隔たりにこそロックインは住んでおり、それが主権に関する問いへの正直な答えでもあります。

それが何ではないか

健全な懐疑は妥当です。あとで驚くより、いま冷静に見ておくほうがましです。

これは米国クラウドの禁止ではありません。 提案のどこにも、民間企業が非欧州の事業者を使うことを禁じる規定はありません。仕組みは調達での優先と能力構築であって、禁止ではありません。

法律ができたからといって容量は現れません。 欧州のクラウド容量が限られているのは、データセンターの建設とフロンティアモデルの学習が資本集約的であり、最近まで欧州が必要な規模で資本を投じてこなかったからです。ここでの実際の道具は、私たちの EU技術資金ガイド で扱っている資金プログラムです。この法はその周りの枠組みにあたります。

主権のラベルは主権ではありません。 いくつかの仕組みは自らを主権クラウドと称しながら、ライセンスの下で非欧州の技術を動かしており、運用上の独立性の度合いもさまざまです。提案の答えは保証レベルです。第三国から支配されているサービスは、欧州委員会がその国を認めない限り、レベル3以上に入れません。レベル2と3の境界が最終的にどこに引かれるかは、交渉で決まります。

これは提案です。 条文はすでにありますが、2026年10月10日時点で理事会も欧州議会もまだ立場を固めておらず、欧州議会では案件がまだITREとIMCOの両委員会にあります。最も動きやすいのは保証レベルの部分です。方向そのものは、欧州委員会の3年分の発信を通じて一貫しています。

これが他のすべてとどうつながるか

クラウドおよびAI開発法は協調した押し進めの一部で、単独で読むと実際より弱く見えます。

AI法 はAIシステムの振る舞いを規制します。データ法 はクラウドのロックインを契約面から攻めます。NIS2 はサプライチェーンの精査をベンダー経由で下流へ押し下げます。サイバーレジリエンス法 は製品にセキュリティ義務を課します。InvestAIとギガファクトリー計画は計算容量に資金を入れます。クラウドおよびAI開発法は、そこへ調達と主権のレイヤーを足します。

個別に見れば、どれも漸進的な負担に映ります。まとめて見れば、かなり一貫した賭けが描かれています。市場アクセスのルールと公的資金を組み合わせれば、規制によって国内の技術基盤にたどり着ける、という賭けです。

その賭けが当たるかどうかは正当な問いです。賭けが張られていること自体は、問う余地がありません。

今後12か月で何をするか

インフラの地図を作る。 何がどこで動き、誰が運用し、契約上の出口はどうなっているか。この地図には他に四つの使い道があります。

本当に移植できない依存を特定し、実行しないとしても移行を正直に見積もる。これが調達の問いへの答えであり、単に良いアーキテクチャの衛生でもあります。

まだなら、モデル提供者の上に抽象を置く。 いまなら安く、あとになると高くつき、しかも政策とは無関係の理由でも役に立ちます。

欧州の公共部門に売っているなら、自社のサービスがどの保証レベルに届くかを見極める。 要件が最初に資格要件として現れるのはこの法の調達規定であり、2026年9月9日に提案されたPublic Procurement Act（公共調達法案）が、その上に一般的な欧州優先の枠組みを加えます。

推測で移行しない。 まだ誰も交渉していない提案を理由にインフラを動かすのは、必要でなかったと判明することに1年と多額の予算を使う典型的な道です。

支援が必要なとき

私たちは欧州で事業を行う企業向けにクラウドインフラ、データ基盤、AI統合を設計し構築しています。名目上ではなく実際に移植可能なシステムにするという、地味な作業も含みます。

インフラと依存の地図、現在の事業者に対する出口テスト、あるいはモデル提供者の上の抽象レイヤーが必要なら、office@c9group.dev までご連絡ください。インフラの取り組みについては AWSコスト最適化のページ、欧州での取り組みについては EU市場参入のページ をご覧ください。

より広い立法の絵は私たちの EUデジタル立法パイプライン に、このアジェンダの背後にある資金は EU技術資金ガイド に整理しています。

私たちは政策アドバイザーではなくエンジニアです。本稿は提案についての計画上の見方であって、法的助言ではありません。