EUデジタル立法パイプライン：2026年の期限のあとに来るもの
コンプライアンス関連の記事の多くは、すでに適用されているルールを扱います。次の監査には役立ちますが、計画の役には立ちません。費用のかかる判断はアーキテクチャの判断であり、アーキテクチャは期限の18か月前に固まるからです。
本稿はもう半分の絵です。いま欧州の立法機構を通過しつつあるもの、それがおおよそいつ着地するのか、そしてそのうちどれが今の作り方に実際に影響すべきなのか。
先に断っておきます。提案は変わり、いくつかは消え、日付はずれます。ここに書いたどれも、未採択の条文に合わせて作る理由にはなりません。明らかに来るとわかっているルールのせいで高くつくものを、いま作らないための材料です。
段階の読み方
欧州の立法は予測可能な段階を踏みます。ある案件がどの段階にいるかを見れば、どこまで信用してよいかがわかります。
作業計画で予告された段階。 欧州委員会が何かを提案する意向を示しただけの状態です。条文はありません。方向を知る材料にはなりますが、それ以上ではありません。
提案が公表された段階。 条文があります。大きく変わることも多いものの、全体の形と定義は見えるようになります。
理事会の一般的アプローチと欧州議会のマンデート。 二つの共同立法者がともに立場を固めた状態です。交渉の幅が見えるようになり、双方が一致している部分は生き残る可能性が非常に高くなります。
三者協議。 欧州議会、理事会、欧州委員会による非公開の交渉です。結果はたいてい二つのマンデートの間のどこかに落ち着きます。
政治合意、正式採択、発効、そして適用開始。 採択から適用までの期間が実際に作業をする時間で、通常は18か月から3年です。
実務上の目安はこうです。共同立法者の双方がマンデートを公表したら、一致している部分は計画の前提にして構いません。それ以前はすべて方向情報として扱ってください。
いま三者協議中のもの
デジタルオムニバス
現サイクル最大の簡素化パッケージで、2025年11月に提案されました。GDPR、AI法、データ法、eプライバシー、サイバーセキュリティ報告に手を入れます。
プロダクトチームに最も響くのは提案第88a条と第88b条です。Cookie同意のルールをeプライバシー指令からGDPR本体へ移し、同意不要となる例外を広げ、拒否後6か月の沈黙期間を設け、ブラウザレベルの機械可読な同意シグナルに法的拘束力を持たせる内容です。
三者協議は2026年半ばまで続きました。実務上の同意の仕組みが近い将来に変わる可能性としては、これが最も高いものです。私たちの読みは デジタルオムニバス後のCookie同意 にまとめました。
誰が気にすべきか。 同意管理基盤、アナリティクス、広告、パーソナライズを運用しているすべての人。
デジタルユーロのパッケージ
理事会の立場は2025年12月、欧州議会委員会のマンデートは43対14で承認、三者協議は2026年7月に開始、三機関はいずれも2026年中の完了を目指しています。欧州中央銀行のパイロットは2027年後半に始まり、初回発行は2029年が目標です。
詳しくは私たちの デジタルユーロ実装ガイド にあります。
誰が気にすべきか。 銀行、決済サービス提供者、Eコマース基盤、POSベンダー。
金融データアクセス、通称FiDA
オープンファイナンスの案件です。オープンバンキング型のデータアクセスを決済口座の外側、すなわち投資、年金、保険、住宅ローンへ広げ、金融情報サービス提供者という新しい規制カテゴリを作ります。
FiDAはこのリストの中で最も難航してきました。三者協議は2026年初めに行き詰まり、その後再開しています。現実的な適用は2027年から2030年の間のどこかで段階的に始まります。
誰が気にすべきか。 フィンテック、インシュアテック、資産運用基盤、そして当座預金を超える金融データへの許諾つきアクセスが効いてくるプロダクトを持つすべての人。
合意済みだがまだ適用されていないもの
PSD3と決済サービス規則
理事会と欧州議会は2025年11月27日、決済の枠組みについて暫定的な政治合意に達しました。PSD2の全面刷新です。不正防止義務の強化、なりすまし詐欺を含む特定の不正類型についての責任配分の拡大、強力な顧客認証の変更、オープンバンキング用インターフェースの性能要件、そして決済機関と電子マネー機関の制度の統合が入っています。
規則と指令の組み合わせなので、一部は直接適用され、一部は国内法化が要ります。適用は直ちにではなく、この十年の終わり頃と見ておいてください。
誰が気にすべきか。 決済を開始する、顧客資金を預かる、あるいはオープンバンキングAPIを利用するあらゆるプロダクト。
提案済み、立場が形成中のもの
欧州ビジネスウォレット
EUデジタルIDウォレットの法人版として提案されました。EUデジタルIDウォレットが個人のクレデンシャルを保持するのに対し、ビジネスウォレットが保持するのは企業のものです。登記データ、権限付与、代表権、証明書、そして署名済み文書を国境を越えて交換する能力。
理事会は2026年6月9日に交渉方針を採択し、2026年末までの政治合意を目指しています。加盟国は発効から24か月以内に行政手続でビジネスウォレットを受け入れることが求められ、より複雑な機能にはさらに1年が与えられます。
詳しくは私たちの 欧州ビジネスウォレットガイド にあります。
誰が気にすべきか。 B2Bオンボーディング、調達、サプライヤー検証、電子請求、規制対象の業務プロセスを作っているすべての人。
クラウドおよびAI開発法
欧州委員会の技術主権アジェンダの旗艦で、2026年前半が目標です。掲げられた狙いは、クラウドとAIを開発・展開・拡大する欧州の能力を強化すること、規制の空白を埋めること、相互運用性を促すこと、そして行政機関と公共調達のためのEU全体のクラウド方針を確立することです。
その裏にあるのは非欧州クラウド事業者への依存であり、最も実効性を持ちそうな仕組みは、民間の買い手への直接規制ではなく公共調達です。
詳しくは私たちの クラウドおよびAI開発法ガイド にあります。
誰が気にすべきか。 クラウド事業者、欧州の公共部門にソフトウェアを売っている人、そしてアーキテクチャが単一のハイパースケーラーを前提にしている人。
デジタルネットワーク法
数度の延期を経て2026年1月に提出されました。通信のガバナンスを書き換えます。周波数の調和、電子通信の単一市場、ネットワークセキュリティ基準、そして大規模なトラフィック発生元がネットワーク費用を負担すべきかという長年の議論です。
誰が気にすべきか。 通信事業者、CDNと接続の提供者、そして採算が安価なトランジットに依存するあらゆるサービス。
デジタル公正法
2026年第4四半期が目標なので、当面は法律ではなく提案です。ダークパターン、依存的なデザイン、インフルエンサーマーケティング、そしてパーソナライズされた価格設定を含む、消費者の脆弱性につけ込むパーソナライズ手法を正面から狙っています。
適用のはるか前から注目に値します。多くのプロダクトがいまコンバージョンのために頼っているインターフェースのパターンを狙っているからです。詳しくは私たちの デジタル公正法ガイド にあります。
誰が気にすべきか。 あらゆる種類の消費者向けプロダクト、とりわけサブスクリプション、ゲーム、マーケットプレイス、ソーシャル。
半導体法の改定
欧州半導体法を見直す立法イニシアティブが2026年作業計画に置かれました。最初の半導体法は掲げた野心に対して力不足だったと広く見られており、改定はそこに手を入れると予想されています。資金の面は私たちの 半導体法の資金ガイド で扱っています。
誰が気にすべきか。 半導体およびハードウェア企業、そして欧州の産業政策資金を追っている人。
公共調達改革
戦略分野について明示的な欧州優先の観点を持つ公共調達法が2026年作業計画に置かれました。欧州の公共の買い手に売っているなら、驚くほど多くの技術政策が実際に届く経路は調達ルールです。
誰が気にすべきか。 欧州で公共部門からの売上がある人。
予告済み、まだ形がないもの
条文なしで示唆されているイニシアティブもいくつかあります。量子法、宇宙法、科学におけるAIに関する追加の作業、そして欧州健康データスペース展開の継続作業。加えて、通称チャットコントロールと呼ばれる児童性的虐待規則が長く続いており、クライアント側スキャンをめぐって繰り返し行き詰まり、未解決のままです。
これらは視界の隅に置いておけば十分です。存在を知っておくことには意味があります。それを前提に設計することには意味がありません。
逆方向に進んだもの
撤回されたもの、優先度を下げられたものも知っておく価値があります。公開されている解説の多くが追いついていないからです。
AI責任指令は撤回されました。何年も進まなかったeプライバシー規則は放棄され、その主題はデジタルオムニバスで扱われています。グリーンクレーム指令は難航しており最終形は定まっていませんが、関連する 消費者エンパワーメント指令 はいずれにせよ2026年9月から適用されます。
簡素化はいまや明示的な政治テーマです。全体として規制が減るという意味ではありませんが、いくつかの案件が追加ではなく統合されつつあるのは確かです。
労力を無駄にせずこれを使う方法
こういうリストを前にすると、追跡表を作って行ごとに担当者を割り当てたくなります。それで出来上がるのは表計算ファイル一枚です。
実際に効くのはこちらです。
設計判断が要るかどうかで並べ替える。 同意のアーキテクチャ、IDとクレデンシャルの扱い、決済手段の抽象化、データアクセスのインターフェースは、後付けが高くつきます。報告プロセスや文書はそうではありません。採択前に動く価値があるのは前者だけです。
共通の土台を探す。 きちんと作られた同意基盤はデジタルオムニバスの変更に効きます。EUデジタルIDウォレット向けに作ったクレデンシャル検証は、ビジネスウォレットにもほぼそのまま使えます。決済手段の抽象化は即時決済にもWeroにもデジタルユーロにも効きます。三つの案件に対して、基盤の作業はひとつです。
提案ではなくマンデートを見る。 理事会と欧州議会の双方が立場を公表したとき、その重なりが安全圏です。作り始める瞬間は、提案が公表された日ではなくそこです。
何をいつ決めたかを書き残す。 ここに挙げた制度の多くは、判断の理由を説明できることを求めます。日付の入った短いアーキテクチャ決定記録のほうが、あとから書いた方針文書より役に立ちます。
私たちの立ち位置
私たちは欧州で事業を行う企業向けにソフトウェアを構築し保守しています。それはますます、書き直しなしに規制変更を吸収できるシステムを作ることを意味します。作業の大半は地味です。正しい継ぎ目での抽象化、明示的な状態、そして法律が意図的に数値を可変にしている箇所での設定化。
ここに挙げた案件のどれが特定のプロダクトに実際に触れるのか、意見が欲しい場合は office@c9group.dev までご連絡ください。すでに適用されているルールは私たちの 2026年EUデジタルコンプライアンスガイド に整理しており、欧州での取り組みについては EU市場参入のページ をご覧ください。
私たちは弁護士ではなくエンジニアであり、本稿は法的助言ではなく計画のための地図です。上記はすべて、官報に載るまでは流動的です。