欧州のディープフェイク規制が施行、標的は不正行為ではなくツールに

EU AI法の第50条は2026年8月2日から適用されます。生成システムのプロバイダーは、その出力を機械可読な方法でマークしなければなりません。ディープフェイクを展開する者は、その旨を開示しなければなりません。銀行に対してディープフェイクを使用する詐欺師は、これら両方の義務を無視するでしょう。この規制は、彼らが無視することを知った上で作成されています。

要約

• AI法である規則(EU) 2024/1689は、2026年8月2日から適用されます。第50条は、音声、画像、ビデオ、またはテキストを生成するAIシステムに対し、その出力を機械可読な形式でマークし、人工的に生成されたものであることを検出できるようにすることを義務付けています。
• ディープフェイクを展開する者は、そのコンテンツが人工的であることを開示しなければなりません。第3条(60)項は、ディープフェイクを「人にとって本物または真実であるかのように偽って見える」実際の人物、場所、または出来事に似たAIコンテンツと定義しています。
• 第50条に違反した場合、違反に対する罰金は、全世界年間売上高の1500万ユーロまたは3%のいずれか高い方となります。2026年8月2日より前に市場に出されたシステムは、マーキング義務を満たすために2026年12月2日まで猶予があります。
• 同法の高リスクリストは、人物が主張する本人であることを確認するチェックである1対1の生体認証を明示的に除外しています。本人確認を攻撃するツールは規制されますが、チェック自体は機能するためにそのまま残されます。

ディープフェイクは今や規制当局の詐欺評価における常設項目

2026年7月30日、イギリスのギャンブル委員会は、本人確認を回避するために使用される方法としてディープフェイクビデオや顔のスワップを挙げ、本人確認書類のリスクを最高レベルと評価するリスク評価を公表しました。ディープフェイクとは、実際の人物を説得力を持って模倣するAI生成のビデオ、音声、または画像のことです。

この評価は、より広範なパターンの一例です。顔と書類を比較する目的で構築されたチェックは、カメラに映る顔が生きた人物のものであると仮定します。生成モデルは、その仮定を打ち破り、しかも安価に打ち破りました。映画の効果を生み出すツールは、合成顧客を生み出すことができ、チェックは見ただけではその違いを判別できませんでした。

欧州連合の回答は、詐欺法ではなく、一般的な人工知能法の中に盛り込まれました。規則(EU) 2024/1689、すなわちAI法は、主要な規制当局による初の包括的なAI法です。その重みのほとんどは、医療機器、採用ツール、信用スコアリングなどの高リスクシステムにかかっています。また、第50条には、現在誰もが使用している一般的な生成ツールを対象とした一連の透明性義務も含まれています。これらの義務は2026年8月2日から適用されました。

注目すべき設計上の選択は、義務がどこにあるかです。この法律はディープフェイクを禁止するものではありません。ツールが作成したものをマークし、ユーザーが展開したものを開示することを義務付けています。欧州委員会の表明した理由は、知る権利であり、2026年6月10日に補足的な行動規範が公表された際に担当委員によって記録されました。

ヨーロッパの人々には、自分たちが見たり、聞いたり、読んだりしたものがAIによって作成または変更されたものかどうかを知る権利があります。特に、そのようなコンテンツが公共の議論を形成する可能性がある場合はなおさらです。透明性は、私たちが信頼を守る方法です。

ヘンナ・ヴィルックネン、欧州委員会、技術主権・安全保障・民主主義担当執行副委員長。2026年6月10日付声明

第50条は作業を分担：プロバイダーはマークし、展開者は開示する

規則(EU) 2024/1689の第50条は、2つの異なる主体に2つの主要な義務を課しています。生成AIシステムを構築または提供するプロバイダーは、その出力が「機械可読な形式でマークされ、人工的に生成または操作されたものとして検出可能である」ことを保証しなければなりません。システムを使用する展開者は、ディープフェイクを人工的なものとして開示しなければなりません。

プロバイダーの義務はインフラに関するものです。マーキングはシステム自体に組み込まれる必要があり、この法律は、技術的解決策が「技術的に可能な限り効果的で、相互運用性があり、堅牢で信頼できる」ことを求めています。機械可読という言葉が重要です。マークはソフトウェア向けであり、人間が目を凝らさなくても他のシステムが合成コンテンツを検出できるように設計されています。この法律は特定の技術を規定していません。電子透かしと来歴メタデータが、業界標準の作業が収束した2つの候補です。

展開者の義務は目に見えるものです。ディープフェイクを公開する者は、「遅くとも最初のインタラクションまたは公開時に」コンテンツが人工的であることを明示しなければなりません。さらに2つの義務がこのセットを完成させます。チャットボットのように人々と対話するシステムは、それが明らかでない限り、自身がAIであることを識別しなければならず、人々の感情認識または生体分類を実行する企業は、その旨を人々に伝えなければなりません。

各義務には例外があり、それらを読み解く価値があります。AIが「標準的な編集の補助機能」を実行する場合、マーキングは不要であり、写真のレタッチはディープフェイクではありません。犯罪の検出または調査のために法的に許可された使用は、全面的に免除されます。芸術には特別な配慮がなされており、ディープフェイクが「明らかに芸術的、創造的、風刺的、架空の、または類似の」作品の一部である場合、開示は「作品の表示または享受を妨げない方法」でのみ行われる必要があります。公益に関するAI生成テキストは、人間の編集者がレビューし、誰かが編集責任を負っている場合を除き、開示されなければなりません。

不遵守の代償は第99条(4)項で定められており、1500万ユーロまたは全世界年間売上高の3%のいずれか高い方の罰金が科せられます。これは、禁止された行為に課せられる3500万ユーロおよび7%の罰金よりは低く、誤解を招く情報の提供に課せられる1%の罰金よりは高い、この法律の中間レベルの罰金です。執行は、製品規制を監視する各国市場監視当局が行います。

この法律は段階的に施行され、2026年8月2日が主な適用日でした

規則(EU) 2024/1689の第113条は、法律の施行を段階的に定めています。禁止されたAI行為の禁止は2025年2月2日から適用され、汎用AIモデルに関する義務は2025年8月2日から適用されます。第50条を含む規制全体は2026年8月2日から適用されます。高リスク義務の一つのカテゴリーは2027年8月2日に続きます。

マーキング義務に関しては、一つの移行措置があります。欧州委員会のガイダンスに基づき、2026年8月2日より前に市場に出された生成システムは、機械可読なマーキング要件を満たすために2026年12月2日まで猶予があり、8月2日より前に生成されたコンテンツには遡及的なラベルは不要です。展開者に対する開示義務にはこのような猶予はありません。これらは8月2日から適用されます。

補足文書は期限直前に発表されました。委員会は、2026年6月10日に、AI生成コンテンツのマーキングとラベリングに関する自主的な行動規範を公表しました。これに署名することは、遵守を証明する一つの方法ですが、「代替の同等に適切な手段」も利用可能です。範囲を明確にし、実用的な例を提供する委員会のガイドラインがこれに付随しています。

日付	規則	ステータス
2024年8月1日	AI法が発効 — 2024年7月12日に官報に掲載された規則(EU) 2024/1689は、掲載後20日目に発効。	施行済み
2025年2月2日	禁止行為が禁止 — 第1章および第2章が適用：ソーシャルスコアリング、特定の操作およびスクレイピング行為。	施行済み
2025年8月2日	汎用AIモデルの義務 — 第5章は、この日から市場に出された汎用モデルのプロバイダーに適用。	施行済み
2026年6月10日	行動規範が公表 — AI生成コンテンツのマーキングとラベリングに関する自主的な規範。委員会プレスリリースIP/26/1328。	施行済み
2026年8月2日	第50条が適用 — 規制全体が適用。マーキング、ディープフェイク開示、チャットボット識別、感情認識通知義務が発効。罰金は1500万ユーロまたは3%まで。	施行中
2026年12月2日	マーキング猶予期間終了 — 2026年8月2日より前に市場に出されたシステムは、委員会のガイダンスに従い、機械可読なマーキング義務を満たさなければならない。	今後
2027年8月2日	第6条(1)項の高リスク義務が適用 — 最終段階：既存のEU安全法に基づく製品の高リスク分類。	今後

この法律は本人確認を高リスクとはみなさない

規則(EU) 2024/1689の付属書IIIは、遠隔生体認証をAIの高リスク用途として挙げながら、境界線を引いています。このリストには、「特定の自然人が主張する本人であることを確認することのみを目的とした生体認証に使用されるAIシステムは含まれない」と明記されています。1対1の本人確認は高リスクリストには含まれていません。

起草者が行った区別は、検索と確認の間にあります。遠隔生体認証システムは、通常、個人の関与なしに、顔をデータベースと照合して誰であるかを特定します。これは高リスクであり、それに伴う適合性評価の完全な仕組みが適用されます。生体認証チェックは、より狭い質問に答えます。この人物は、このパスポート、このアカウント、この主張が属する人物であるか？と。その人物は自身を提示し、身元を主張し、システムはそれを確認または拒否します。これはこの項目から外れます。

この境界線は適用範囲の線であり、法律からの免除ではありません。認証プロバイダーは、適用される法律の残りの部分、データ保護法、およびサービスを提供するすべての顧客のセクター規則に引き続き従います。また、この法律は、感情認識や機密属性による生体分類という2つの隣接する用途を高リスクリストにしっかりと維持しており、どちらも展開時に第50条の開示義務を伴います。

ラベリング義務と併せて読むと、この法律の本人確認の地図は対称的です。顔を偽造できる生成ツールは、その出力をマークしなければなりません。顔を確認する認証ツールは、その作業を行うために高リスクリストから除外されています。ディープフェイクが攻撃する文書と、それを読み取るチェックは、この法律の枠組みでは、どちらも判読可能な状態を保つ価値のあるインフラです。ヨーロッパのもう一つの新しい本人確認規則集は、逆の方向から同じ賭けをしています。マネーロンダリング対策規制は、本人確認の代替手段として文書または電子身分証明書を受け入れ、それらを順位付けすることを拒否しています。

ラベリング義務は遵守する者を拘束し、それが未解決の問いを残す

2026年8月2日から施行された第50条は、詐欺師がディープフェイクを生成することを阻止するものではありません。合成ビデオを使って銀行を詐欺する者は、すでに犯罪を犯しており、ラベリング義務を遵守することはないでしょう。この規則が構築するのは、ツール群の遵守する大多数によって運ばれる来歴インフラです。

規制当局は以前にもこの構造を使用してきました。つまり、実際に遵守が可能な場所に義務を課し、期待される信号の欠如が有益な情報となるようにすることです。主流の生成システムがその出力を機械可読な方法でマークすれば、マークされていない合成コンテンツは異常となり、受信側のソフトウェアにはテストすべきものがあることになります。ギャンブル委員会の本人確認の両側のAIに関する評価は、攻撃側について記述していましたが、第50条は、その側が自らを表明させる最初の試みです。

コンプライアンスチームや詐欺対策チームにとって、その影響は具体的ですが、今のところは控えめです。マークは機械向けなので、標準化作業が落ち着けば、認証パイプラインは読み取るべき新しい信号を得ることになります。行動規範は、その収束が起こっている場所です。顧客コミュニケーションで生成AIを展開する企業は、8月2日から独自の開示義務を負います。そして、本人確認自体はこれまでとまったく同じように機能し続けます。なぜなら、ラベリング制度は、最も重要な攻撃者はラベリングしないと仮定しているからです。

その根底にある比例性の問題は、新しい装いで常に存在しています。この義務は、連合内のすべての遵守するプロバイダーと展開者に課せられますが、害をなすのはそれを無視する行為者です。来歴インフラがその努力の配分を正当化するかどうかは、この法律の免除条項自体が解決せずに認めている問題であり、第99条(4)項に基づく最初の執行決定が、各国当局がこれをどのように評価するかを示すでしょう。現時点では存在しません。この規則は施行から8日目です。

主なポイント

義務は適用されています。

規則(EU) 2024/1689の第50条は2026年8月2日から適用されます。プロバイダーには機械可読なマーキング、展開者にはディープフェイクの開示、チャットボットの識別、感情認識の通知が義務付けられます。

猶予期間が一つあります。

欧州委員会のガイダンスに基づき、2026年8月2日より前に市場に出されたシステムは、マーキング義務を満たすために2026年12月2日まで猶予があります。開示義務に猶予はありません。

罰金の額は1500万ユーロまたは3%です。

第99条(4)項は、透明性違反に対する上限を、全世界年間売上高の1500万ユーロまたは3%のいずれか高い方と定めており、各国市場監視当局によって執行されます。

認証は高リスクリストに含まれません。

付属書IIIは、遠隔生体認証の項目から、主張された身元を確認することのみを目的とした1対1の生体認証を除外しています。感情認識はリストに残っています。

この規則は信号を構築するものであり、防御ではない。

詐欺師はディープフェイクをラベル付けしません。その価値は、もしあるとすれば、マークされた主流の出力が、チェックする機械にとってマークされていない種類を目立たせることにあるでしょう。

Diditの役割：ディープフェイクの脅威下における本人確認

第50条の義務は、生成AIシステムのプロバイダーと展開者に課せられます。KYC（顧客確認）チェックの実行は異なる役割であり、認証を購入しても、AI法を遵守することにはなりません。貴社が顧客とのコミュニケーションで生成ツールを展開している場合、上記の開示義務を果たす必要があります。認証パイプラインが対処するのは、この記事で説明されている問題のもう一方の側面、つまりオンボーディングに現れる合成顧客です。

モジュールは攻撃に対応します。1チェックあたり0.10ドルのパッシブ・ライブネスは、カメラの前にいるのが再生されたビデオや生成されたビデオではなく、生きた人物であることをテストします。1チェックあたり0.05ドルの顔照合（1対1）は、付属書IIIが説明する確認そのものです。これは、ライブキャプチャと文書の肖像を比較して、その人物が主張する本人であることを確認します。1チェックあたり0.15ドルの本人確認は、文書自体を読み取り検証し、文書にチップがある場合は、1チェックあたり0.15ドルのNFC読み取りにより、画面に提示された偽造品では提供できない暗号署名付きデータを取得します。現在の価格は価格ページで確認できます。

あなたに残るのは、この法律が意図的に残した判断です。どのチェックを顧客に見せるかはあなたのリスク評価が決定し、チェックが失敗した場合に何が起こるかはあなたのプロセスが決定します。技術標準がまだ収束しているため、ベンダーのモジュールで第50条の機械可読マークを読み取るものはまだありません。標準が確定すれば、マークされたコンテンツはパイプラインがテストできるもう一つの信号になります。それまでは、ライブネスとチップデータが機能する防御策となります。

よくある質問

EU AI法のディープフェイク表示規則はいつ発効しましたか？

2026年8月2日です。規則(EU) 2024/1689の第113条は、この日から規制が適用されると規定しており、第50条の透明性義務も同時に適用されます。ただし、移行措置が一つあります。欧州委員会のガイダンスに基づき、2026年8月2日より前に市場に出されたシステムは、機械可読なマーキング義務を満たすために2026年12月2日まで猶予があります。

AI法はディープフェイクをどのように定義していますか？

規則(EU) 2024/1689の第3条(60)項は、ディープフェイクを「既存の人物、物体、場所、実体、または出来事に似ており、人にとって本物または真実であるかのように偽って見えるAI生成または操作された画像、音声、またはビデオコンテンツ」と定義しています。

AI法の第50条に違反した場合の罰則は何ですか？

規則(EU) 2024/1689の第99条(4)項に基づき、第50条の透明性義務違反には、最大1500万ユーロの行政罰金、または企業の場合、前会計年度の全世界年間売上高の最大3%のいずれか高い方が科せられます。

AI法は本人確認を高リスクAIとして扱っていますか？

1対1の認証は扱っていません。付属書IIIは、遠隔生体認証システムを高リスクとして挙げていますが、「特定の自然人が主張する本人であることを確認することのみを目的とした生体認証に使用されるAIシステムは含まれない」と規定しています。感情認識システムは高リスクリストに含まれています。

AIコンテンツの表示に関する行動規範は義務ですか？

いいえ。欧州委員会は、2026年6月10日にAI生成コンテンツのマーキングとラベリングに関する行動規範を自主的なツールとして公表しました。これに署名することは、第50条のマーキングとラベリング義務を遵守することを証明する一つの方法であり、プロバイダーは代わりに代替の同等に適切な手段を使用することもできます。

関連資料

• ギャンブル本人確認の両側にAIが導入 — 英国規制当局の7月30日のリスク評価は、このラベリング規則が対象とするディープフェイクを挙げています。
• EU法は、顧客の所有者を確認するまでに5年間の猶予を認める — EUのもう一つの本人確認ツールで、同じ段階的な日付パターンで作成されました。
• アジアでは、不十分な本人確認のコストを銀行やプラットフォームに転嫁 — ディープフェイクが書類チェックを上回る中、日本は写真アップロードによる認証を廃止しています。
• AMLR第26条：どのくらいの頻度で再確認する必要がありますか？ — 同世代の規則書から、オンボーディング後にEUが期待すること。

情報源

1. 人工知能に関する調和のとれた規則を定める規則(EU) 2024/1689 — 欧州議会および理事会 · EUR-Lex · 第3条(60)項、第50条、第99条、第113条および付属書III · 2026年8月2日から適用
2. 委員会がAI生成コンテンツのマーキングとラベリングに関する行動規範を公表 — 欧州委員会プレスリリースIP/26/1328 · 2026年6月10日 · Virkkunen声明の出典
3. 特定のAIシステムのプロバイダーおよび展開者に対する透明性義務に関するガイドライン — 欧州委員会 · 政策ページ2026年8月6日更新
4. AI法第50条に基づく透明性義務 — 欧州委員会FAQ · 2026年12月2日の移行措置と執行の割り当てに関する情報源
5. AI生成コンテンツの透明性に関する行動規範 — 欧州委員会 · マーキングおよびラベリング義務の自主的な遵守経路

著者

Tuan Nguyen — グロース · Didit

Diditで本人確認、詐欺、コンプライアンスについて執筆しています。

最終レビュー 2026年8月10日（上記情報源に対して）