EU AI法の汎用AIに関する義務はすでに発効しており、高リスク分野の規則は2026年8月に適用が始まる予定だ。OpenAIは、すでに基準を満たしていると同社が主張する内部の仕組みを公表した。公表資料は、同社のPreparednessフレームワークとFrontier Governanceフレームワークを概説し、モデル提供事業者が同法への適合を示すことを支援するための任意の文書である汎用AI（GPAI）行動規範に対応付けた内容となっている。
OpenAIは、自社はすでに行動規範の水準に近い運用を行っていると主張する。その根拠として、モデルのリリース前テスト、主要な発表に付随するシステムカードの公開、Red Teaming Networkを通じた外部レッドチーミング、モデルの挙動がどのように形成されるかを記述したModel Spec文書の公開を挙げている。社内では2つのフレームワークが業務を統括している。2023年から運用され2025年に更新されたPreparednessフレームワークは、高度なシステムがもたらす重大なリスクをどのように特定し管理するかを扱う。Frontier Governanceフレームワークは、そうした安全性への取り組みをGPAI行動規範を含む法的要件に対応付けるものだ。
計画のうち透明性に関する部分は、相互に補完する2つの仕組みに依存している。C2PA標準に基づくContent Credentialsは、来歴情報をファイルに直接付与する。一方、SynthIDの透かしはメタデータが除去された場合の代替の手がかりとなる。OpenAIによれば、対象範囲は画像から音声へと拡大しており、標準とツールの成熟に伴ってテキストへの対応も進めている。また、独自の透明性義務を負う同社モデル上で開発を行う事業者向けのガイダンスも提供する予定だ。
同社は限界についても率直に認めている。メタデータはプラットフォーム間の転送で失われることがあり、ラベルが常に残るとは限らず、暗号または透かしによる単一の信号ですべてを捕捉できるわけではない。同社が示す答えは、多層的なアプローチと標準化団体での継続的な取り組みであり、単一の仕組みでギャップを埋められると主張するものではない。
もう1つの柱はサイバーセキュリティだ。OpenAIは、防御側が脆弱性を修正するのに役立つ能力は、攻撃側が脆弱性を先に見つけるのに役立つ能力でもあるという根本的なジレンマを指摘している。同社のTrusted Access for Cyberプログラムは、審査を通過した防御側の関係者に、悪用のリスクを抑えつつ高度なサイバー能力へのアクセスを提供する。2026年5月上旬には、EUおよび各国のサイバー機関、民間セクターのパートナー、インフラ運営事業者と協力するEUサイバー行動計画を発表した。この計画は欧州委員会のサイバーセキュリティ・人工知能行動計画に沿ったものだが、同機関内部での防御力の向上に関するOpenAIの主張は独立に検証されていない。
OpenAIは以前から、現行版がEU AI Boardの正式承認を受けることを条件にGPAI行動規範への署名意向を表明しており、GPAI行動規範と、それに付随するAI生成コンテンツの透明性に関する行動規範の双方を生み出したマルチステークホルダー・プロセスにおいて建設的なパートナーとしての立場を取っている。
規制の及ぶ欧州市場で活動する開発者にとって、実務上の意味合いは、OpenAIのシステムカードとFrontier Governanceフレームワークが自社のデューデリジェンスの出発点であり、その代わりではないということだ。適合に関する文書そのものは流動的な対象とされており、EU AI法の施行が進むにつれて調整が続くと見込まれている。
雅子 訳
Sources: OpenAI aligns safety practices with EU AI Act’s GPAI Code (AI News, July 31, 2026); The EU Code of Practice and future of AI in Europe (OpenAI); A Primer on the EU AI Act (OpenAI); The General-Purpose AI Code of Practice (European Commission)