欧州委、サイバーセキュリティーとAIに関するEU行動計画を発表

欧州委員会は7月6日、「サイバーセキュリティーと人工知能（AI）に関するEU行動計画」を発表した（プレスリリース）。同計画は、先進的なAIモデルがサイバーセキュリティーにもたらすリスクに対処するとともに、その機会を活用するための体系的な対応方針を示すものだ。AIはサイバーセキュリティー環境を急速に変化させ、脆弱（ぜいじゃく）性の検出、サイバー攻撃の防止、重要インフラの保護強化に役立つ一方、悪意を持って利用された場合には、攻撃の自動化、脆弱性の発見、かつてない速度と規模でのサイバー攻撃の実施を可能にする。同行動計画では、こうした「機会」と「脅威」の両面に対応する。

行動計画では、次の3つの目標を掲げる。

1. AI法に基づき、EU市場投入前のAIモデル評価能力を強化。先進的AIシステムへの安全なアクセスに関する指針を策定。さらに、エネルギー、運輸、医療、金融、行政などの重要分野の組織がAIソリューションを安全に試験・導入するためのテスト基盤を整備。
2. NIS2指令（注1）やサイバーレジリエンス法（CRA）（2024年12月13日記事参照）など既存のサイバーセキュリティー関連法制の実施を促進。適切なオープンソースモデルを含むAIの活用を奨励し、脆弱性の発見と対処の迅速化、サイバー攻撃の予防及び対応能力を向上。
3. 企業、研究者などを結集する枠組みを立ち上げ、AIを活用した革新的サイバーセキュリティー技術の開発を促進。AIファクトリー（注2）などを基盤として、欧州独自のAI能力への投資の継続とともに、民間投資を促進して欧州のAI技術の拡大を支援。

同計画は、AI法、CRA、NIS2指令、デジタル運営レジリエンス法（DORA）（注3）、サイバー連帯法（注4）などの法的枠組みを補完している。EU機関、加盟国、産業界、研究者、国際的パートナーなどの連携を促進し、欧州がAIの恩恵を享受しつつ、新たなサイバーセキュリティーの脅威に対して強靭性を維持することを目指す。

（注1）重要インフラやデジタルサービス事業者にセキュリティー対策の義務化、インシデント報告義務、経営層の責任強化および罰則の強化を制定した規制。

（注2）スーパーコンピュータを中心にデータセンターを設置し、生成型AIモデルなどの開発に必要な資源や人材を集結。

（注3）EU域内の金融部門全体を対象に、金融システムでの業務処理におけるICT（情報通信技術）リスク緩和に関する要件を明確化し、共通標準を課すもの。

（注4）EU全域におけるサイバーセキュリティーインシデントへの備え、検知、および対応を強化するための制度。

（坂本裕司）