EU AI法 第50条 API開発者向け：必須の表示項目とタイミング

EU AI法第50条は2026年8月2日に施行されました。これは透明性に関する章であり、システムの高リスク性に関わらず、一般のエンジニアリングチームに最も影響を与える可能性が高い条項です。なぜなら、人々が機械と対話していることを認識できるかどうかを問題にしているからです。

ほとんどの報道はモデルプロバイダーに焦点を当てています。Anthropicが第50条(2)の行動規範に署名し、Claudeに透かし機能（ウォーターマーキング）を実装したことは、プロバイダー側の話です。もしあなたがそのAPIを呼び出し、その出力を製品に組み込む場合、あなたは異なる役割と異なる義務を負うことになり、プロバイダーがコンプライアンスを遵守していてもあなたには何の役にも立ちません。

ここでは、APIを提供する者の視点から第50条を読み解きます。各条項が何を要求しているか、どれがあなた自身の責任か、免除規定が実際に何を意味するか、そしてその結果をスプレッドシートではなくApidogでCI（継続的インテグレーション）が強制できるものに変換する方法について説明します。

5つの条項とそれぞれの対象者

ここではプロバイダーとデプロイヤーの区別が大部分を占めますが、これは企業の規模による区分ではありません。それはシステムごとにあなたが担う役割です。生成AIシステムを構築し、EU市場に投入すれば、あなたはそのシステムのプロバイダーです。他者のシステムを自身の権限で使用すれば、あなたはデプロイヤーです。Claudeを自社製品に組み込み、リブランドする場合、スタックの異なる部分で両方の立場になる可能性があります。

50条(2): 機械可読なマーキング

これはAnthropicが行動規範に署名した条項です。合成音声、画像、動画、テキストを生成するAIシステムのプロバイダーは、出力が機械可読形式でマークされ、人工的に生成または操作されたものとして検出可能であることを保証しなければなりません。

この条項は絶対的なものではなく、現実的な基準を設けています。ソリューションは、さまざまなコンテンツタイプの特性と制約、実装コスト、そして一般的に認められている最新技術を考慮し、技術的に可能な限り、効果的で、相互運用可能で、堅牢で、信頼できるものでなければなりません。この表現が、市場が単一の技術ではなく2つの技術に集約された理由です。テキストには統計的透かし（ウォーターマーキング）、ファイルには署名付きC2PAマニフェストが使用されています。どちらも完璧ではなく、法律もそれを事実上認めています。

ツール開発チームにとって重要な2つの免除があります。

標準的な編集のための補助機能。 標準的な編集のための補助機能を実行するシステムは対象外です。スペルチェッカー、フォーマッター、入力中の単語を補完するオートコンプリートなどがこれに該当します。

入力データの実質的な変更なし。 システムが与えられたデータを実質的に変更しない場合、50条(2)は適用されません。

「補助的な編集」と「実質的な変更」の間のギャップには、多くの実際の製品が存在し、その線引きは明確ではありません。トーンを変えるために段落を書き換えるツールはスペルチェッカーではありません。JSONキーを並べ替えるツールは、合成コンテンツを生成しているわけではありません。その中間のどこかに、アーキテクトではなく法務チームが引くべき線があります。

マークがモデルレベルで適用されるため、マーク付きモデル上で構築する場合、通過するテキストに対して50条(2)の適用範囲を無料で得られます。これは本当に有用であり、また義務の中で最も範囲が狭いものです。

50条(4): おそらくあなたが対象となる条項

デプロイヤーには2つの義務があり、2つ目はチームが見落としがちなものです。

ディープフェイク。 ディープフェイクを構成する画像、音声、または動画コンテンツを生成または操作するシステムを展開する場合、それが人工的に生成または操作されたものであることを開示しなければなりません。芸術作品、風刺、フィクション、および類似の作品については、より軽い扱いとなり、作品の表示や享受を妨げない方法で生成されたコンテンツの存在を開示します。

公共の利益に関する事項のAI生成テキスト。 公共の利益に関する事項について一般市民に情報を提供するために公開されるテキストを生成または操作するシステムを展開する場合、そのテキストが人工的に生成または操作されたものであることを開示しなければなりません。

そして、ほとんどの実際のケースを決定する免除規定があります。これは、コンテンツが人間によるレビューまたは編集上の管理を受け、自然人または法人がその公開に対する編集上の責任を負う場合には適用されません。

これを注意深く読んでください。なぜなら、これは真のセーフハーバーであり、また聞こえるよりも範囲が狭いからです。「人間がざっと目を通した」だけでは、編集上の責任を伴う編集上の管理とは言えません。公開に責任を負う指名された個人または法人であれば、それは該当します。AIアシストのニュース編集室、政策ブログ、または健康情報サイトを運営している場合、コンプライアンス遵守と不遵守の差は、技術的な管理ではなく、多くの場合、証拠を提出できる編集プロセスにかかっています。

50条(4)がカバーしない点にも注意してください。製品のコピー、サポートマクロ、コードコメント、および内部の要約は、公共の利益に関する事項について一般市民に情報を提供するために公開されるテキストではありません。この義務は、すべての公開テキストではなく、公共の利益に関する情報に限定されます。

50条(1)および50条(5): チャットウィンドウのルール

50条(1)は最も簡単に満たせる条項であり、技術的な理由で最も失敗しやすい条項でもあります。自然人と直接対話することを意図したシステムは、それらの人々がAIシステムと対話していることを知らされるように設計されなければなりません。ただし、合理的に情報に通じ、観察力があり、慎重な人物にとって明白である場合は除きます。

「明白である」という言葉は多くの意味を含んでおり、それに頼るのは賭けです。ボットとして明確に表示されているウィジェットは問題ありません。人間の声で、人間の名前を名乗り、何の表示もなくモデルが応答するサポートチャネルは問題です。

50条(5)は時期と形式を定めています。情報は、最初の対話または露出時までに提供されなければならず、明確で、識別可能で、アクセス可能でなければなりません。利用規約に埋もれた開示は、最初の対話時に提供されたことにはなりません。アクセシビリティ要件を満たさない免責事項は、アクセス可能ではありません。

APIチームにとって、50条(5)にはあまり注目されない結果があります。もしあなたのAPIが他者のチャットUIを動かしている場合、あなた自身で開示義務を果たすことはできません。それはあなたのAPIを呼び出す側が行います。しかし、あなたの契約がどの応答がモデルによって生成されたものであるかを彼らに伝える場合にのみ、彼らは確実にそれを行うことができます。これはまさにあなたのAPIにAI開示を追加するという議論の核心です。

期日と、まだ変動しているもの

2026年8月2日。 第50条が施行されました。これは確定日です。

2026年6月10日。 AI生成コンテンツの透明性に関する行動規範が公開されました。欧州委員会とAIボードは、これをコンプライアンスを実証するための適切な自主的ツールとして確認しました。7月末までに約190の組織が署名しており、Anthropicもその一つです。署名は任意であり、署名しない場合は市場監視当局が個別に評価します。

2026年12月2日。 2026年5月に暫定合意されたAIオムニバスパッケージを介して、2026年8月2日以前に市場に出ていた生成システムが50条(2)の機械可読なマーキング要件を満たすための延長として広く報じられています。これは変動する目標として扱い、見出しに沿って計画するのではなく、弁護士と最終テキストを確認してください。

Anthropic自身の移行もこの期間内に収まります。2026年8月2日以降にリリースされたClaudeモデルはリリース時にマーキングされます。古いモデルは後付けで対応されています。もしあなたの製品が古いモデルIDを使用している場合、あなたはそのレトロフィットが適用されることに依存しています。

不遵守の代償

第50条の違反は、第99条の罰金階層の第2層に位置します。前会計年度の全世界年間売上高の3%または1500万ユーロのいずれか高い方までの罰金が科せられます。資格のある中小企業（SME）の場合、どちらか低い方が適用されます。

補足として、禁止された行為に対する最高層は3500万ユーロまたは7%であり、当局に誤解を招く情報を提供した場合は750万ユーロまたは1%です。透明性は最も厳しい階層ではありませんが、全世界売上高の3%も誤差とは言えません。執行は各国の市場監視当局を通じて行われます。

それをエンジニアリング作業に変える

法的分析はあなたの仕事ではありません。結果として得られる決定を永続的なものにすることが仕事です。APIチームが実際に所有できる4つのこと：

1. システムごとにあなたが占める役割を書き出す。 インターフェースごとにプロバイダーかデプロイヤーか。この1行がどの条項が適用されるかを決定し、第三者のモデルを自社モデルとしてリブランドする際に変更されます。

2. モデル設定にマーキングステータスを記述する。 どのモデルIDが出力をマークするか、そしていつからか。移行期間中は混合フリートが通常の状態で、コストベースのフォールバックにより、マーク付き出力とマークなし出力の間でサイレントに移行する可能性があります。解決されたモデルをテストでアサートし、ビルドが失敗することなく移行できないようにします。

3. 開示をUIの決定ではなく、契約にする。 もしあなたのAPIがモデル出力を他者のコードに返す場合、それをレスポンスに含めます。ヘッダーまたはフィールドとして、OpenAPI定義に文書化し、他のものと同様にバージョン管理します。UIバナーは機械のコンシューマーには届きません。

4. 他の保証と同様に開示をテストする。 リファクタリングで消えてしまう開示フィールドは、マージによって生じるコンプライアンスのギャップです。キャッシュされた応答やエラー応答を含む、モデル出力を返すすべてのパスでそれをアサートし、仕様に対して応答を検証して、フィールドが静かに消えることがないようにします。OpenAPI仕様を検証する方法は仕様側をカバーし、APIアサーションは実行時側をカバーします。

Apidogでは、これらすべてをテストシナリオとして表現できます。解決されたモデルをアサートし、開示ヘッダーとボディフィールドをアサートし、OpenAPIスキーマに対して検証し、その後、保証が破られた場合にビルドが失敗するようにパイプラインでapidog-cliからシナリオを実行します。GitHub ActionsでAPIテストをすでに実行しているチームは、既存のジョブに追加できます。読みながら構築したい場合はApidogをダウンロードしてください。

ガバナンスを重視するチームは、APIガバナンス必須チェックリストや大規模チーム向けの最適なAPIガバナンスツールで、より広範なプロセスビューを求めるかもしれません。

よくある質問

EU圏外にいても第50条は適用されますか？ 適用される可能性があります。EU AI法は、システムをEU市場に投入するプロバイダー、および特定の状況下で、システム出力がEUで使用されるEU圏外のプロバイダーとデプロイヤーに適用されます。どこで法人化されているかは判断基準ではありません。

モデルプロバイダーが出力をマークしています。私はコンプライアンスを遵守していますか？ いいえ。プロバイダーが50条(2)を満たしていることは、プロバイダーの義務が果たされていることを意味します。デプロイヤーとしての50条(1)、50条(4)、および50条(5)に基づくあなたの義務は別です。Anthropicは自社のガイダンスでこれを明示的に述べています。「あなたの製品とサービスに第50条が何を要求するかを個別に評価してください。」

公開するAI生成テキストすべてにラベルを付ける必要がありますか？ いいえ。50条(4)は、公共の利益に関する事項について一般市民に情報を提供するために公開されるテキストを対象としており、その場合でも、人間によるレビューまたは編集上の管理があり、誰かが編集上の責任を負っている場合は免除規定があります。

利用規約にあるチャットボットの免責事項で十分ですか？ いいえ。50条(5)は、最初の対話時までに、明確かつ識別可能な形式で情報を提供することを要求しています。

50条(4)におけるディープフェイクとは何ですか？ 実際の人々、物体、場所、または出来事に似ており、偽って本物のように見える生成または操作された画像、音声、または動画です。芸術作品、風刺、フィクション作品は、より軽い開示義務が課せられます。

罰金はいくらですか？ 第99条に基づき、前年度の全世界年間売上高の3%または1500万ユーロのいずれか高い方までです。資格のある中小企業（SME）の場合、どちらか低い方が適用されます。

行動規範に署名すべきですか？ これは任意であり、主にプロバイダーを対象としています。署名することで、コンプライアンスを実証するための認められた経路が得られます。署名しない場合は、当局があなたのアプローチをそのメリットに基づいて個別に評価します。これは技術的な判断ではなく、法的な判断です。

まとめ

第50条は短く、ほとんどのAPIチームに適用される部分はさらに短いです。あなたがウォーターマークを埋め込む必要のある人物である可能性はほとんどありません。あなたは、人々が機械と話していることを伝え、編集上の責任を持たずに公開するAI生成の公共の利益に関するテキストにラベルを付け、そしてその両方を最初の接触時に行う必要がある人物である可能性が高いです。

エンジニアリング上の解釈は、法的解釈が示唆するよりも小規模です。あなたの役割を知り、どのモデルがマークするかを知り、開示を契約に盛り込み、そしてそれをテストすることです。最後は、ポリシーと保証の違いです。