EUに顧客や拠点がある発注側へ
「AI生成コードの出処を記録する義務が始まったので対応が要る」と説明を受けた、あるいはそう書かれた記事を読んだ段階の方に向けて書いています。
条文を読む限り、その義務は受託開発会社にも、コードを受け取る発注側にもかかっていません。名宛人が別の相手だからです。以下は法的助言ではなく条文の読み方の整理なので、契約に落とすときは弁護士に確認してください。
何が始まったのか
EU AI法（規則(EU) 2024/1689）の第50条、透明性義務が2026年8月2日から適用されています。第113条で決められた日付です。
第50条は4つの義務を並べています。読むときに効くのは、それぞれ誰にかかっているかです。
| 項 | 内容 | 義務を負うのは |
|---|---|---|
| 1項 | AIと対話していることを本人に知らせる | 提供者（provider） |
| 2項 | 生成した音声・画像・動画・テキストに機械可読の印を付ける | 提供者（provider） |
| 3項 | 感情認識・生体分類が動いていることを対象者に知らせる | 利用者（deployer） |
| 4項 | ディープフェイクと、公衆向けの生成テキストを開示する | 利用者（deployer） |
「AI生成コードの表示義務」という言い方が指しているのは2項です。そして2項の主語は、合成コンテンツを生成するAIシステムの提供者です。生成AIを使ってコードを書いた開発会社ではありません。コードを書くのに使ったツールの提供元が、その出力に印を付ける義務を負います。
2項には2つの例外があります
主語の話だけで終わりません。条文には、義務が及ばない範囲が書き込まれています。
ひとつは、AIシステムが標準的な編集の補助機能を果たしている場合。もうひとつは、利用者が与えた入力データやその意味を実質的に変更しない場合です。
補完や整形の域を出ないコード支援は、素直に読めばここに当たります。適用開始の日付だけを見て身構える前に、まず自分が2項の主語かどうかを確かめる。主語でないなら、例外の議論に入る必要すらありません。
4項は公衆向けの文章の話です
利用者側にかかる開示義務が4項にあるので、そちらも見ておきます。
4項の第2段が対象にしているのは、「公共の関心事について公衆に情報提供する目的で公開されるテキスト」です。報道や公的な発信を想定した規定で、顧客へ納品するソースコードや設計書は、この文言に素直には収まりません。
しかも免除条件が付いています。AI生成の内容が人によるレビューまたは編集上の管理を経ていて、その公開について自然人または法人が編集責任を負っている場合は、開示義務が適用されません。
つまり第50条は、人が中身を確認して責任を引き受ける体制を、義務の外に置いています。AIが書いたコードを人がレビューする理由はAIが作ったコードを人がレビューする理由で品質の観点から書きましたが、規制の側から見ても同じ体制が効いてきます。
制裁額は中小企業で読み方が変わります
第99条4項が定める上限は、1500万ユーロまたは全世界年間売上高の3%のいずれか高いほうです。参考までに、禁止AI（第5条）違反は同条3項で3500万ユーロまたは7%になります。
ここで見落とされやすいのが第99条6項です。中小企業とスタートアップについては、同じ2つの数字のうち低いほうが上限になります。大企業向けの数字がそのまま自社に当てはまるわけではありません。
猶予の日付が2つあります
適用開始が8月2日である一方、実務上の期限は別に置かれています。
2026年5月のAI Omnibusの暫定合意により、8月2日より前から市場にあった生成AIシステムは、2項の機械可読マーキングを満たす期限が2026年12月2日まで延びました。さらに、透かしの検出における相互運用性については2027年2月2日という日付が示されています（後者は複数の法律事務所の顧客向けメモで報じられているもので、一次条文で確認したのは12月2日までです）。
「もう始まっている」と「まだ猶予がある」が同時に成り立ちます。どちらか片方だけを聞かされている場合は、話している相手がどちらの立場を説明しているのか確かめたほうがいい。
受託側が本当に主語になる場合
ここが実務の要点です。開発会社が第50条2項の主語になる状況は、たしかに存在します。
顧客のために合成コンテンツを生成するAIシステムそのものを作って市場へ出す場合です。文章を生成する社内向けアシスタント、画像を作る販促ツール、音声を合成する応対システム。これらを作って納めるなら、そのシステムの提供者は誰かという議論が発生します。
コードを書くのにAIを使ったかどうかは関係ありません。納品物が合成コンテンツを生成するかどうかで線が引かれています。この線を取り違えたまま「うちはAIでコードを書いているから対応が要る」と考えると、本当に確認すべき案件を見落とします。
EU向け案件の契約で決める5点
- 納品物が生成するもの: 納めるシステムは、音声・画像・動画・テキストを生成するか。するなら提供者は誰か
- 提供者の特定: EU市場へ出す名義は発注側か開発側か。OEMや再販が入る場合はどちらが提供者か
- マーキングの実装責任: 機械可読の印を付ける実装を、どちらが作り、どちらが検証するか
- 編集責任の所在: 公開する成果物について、人のレビューと編集責任を誰が引き受けるか。記録は残るか
- 期限の確認: 対象システムは8月2日より前から市場にあるか。12月2日の猶予に載るか
EU向け案件の契約レビューと、ベンダーへの照会にそのまま使えます。法務の確認前に論点を絞る用途です
適用開始日は対応の必要性とは別です
8月2日という日付は動かせない事実です。制裁額も条文に書かれています。
それでも、日付と金額だけを並べた説明は判断の材料になりません。確かめるのは、自社が条文のどの項の主語かという1点です。主語でなければ、期限も金額も自社の話ではない。
受託開発で何を売るのかという議論は実装が速くなった今受託開発は何を売るのか、成果に対して支払う契約の設計は開発が速くなった分は誰のものかで扱いました。規制対応も同じで、契約書に何を書くかは義務の所在が決まってからの話になります。
社内データをどこまで外へ出せるかという線引きは「社内データを外に出せない」と言う前にで整理しています。
EU向けの案件で、納品物と義務の所在を整理したい段階でしたら、お問い合わせからご相談ください。契約の論点整理から入ります。