【EU規制】これだけあるEUのIT関連の規制 - 代表的なものをピックアップして解説
EUの規制を理解する作業は、ひたすら膨大なEU公式の英文文書を読み解いていくことの繰り返しです。日本にいる専門家も全体像を把握している人はほとんどいないはず。そういう方々も都度、個別の規制に関するEU公式文書を読み込んで、リンクされている実務的な指南書を読み込んで、日本の企業が対応するにはどうすればいいか？を考える...という作業になります。難物です。対応しない外国企業はEUに来ないで下さいと言っている、率直に言えば参入障壁です。
今回、【EUデータ法】が適用開始になったのを契機に、私も全体像を改めて整理する作業を始めています。過去にEECC: European Electronic Communications Code, Directive関連の特に携帯電話に関する各国の対応状況を細かく咀嚼した際に苦労した（こちらの投稿の冒頭を参照）頃と違って、現在はChatGPTなどのAIがフルに活用できる時代になっています。従って、膨大なEU公式英文文書の山も難なく整理できます。
個々の規制について細かく記述しているEU公式英文文書は、日本語にそのまま翻訳しても無味無臭の意味のポイントがどこにあるかわからない文書です。彼ら（EU）のそもそもの狙い、規制の中核部分、規制によって変化する市場...といった具合に、ビフォーとアフターを頭に入れながら、規制の中身のコアを把握していく...といった、有意味的なアプローチをすることで始めて全体像が見えてきます。現在はそれの労力多い部分をAIがやってくれます。
以前であれば...EUの規制に強い国際法律事務所がアソシエイト（若手）クラスを使って2週間程度かけて全体像を読み解き、核となる部分のレポートを書いて、上席の判断を仰ぐ...そうして上席が日本企業に対する提言を書いたりセミナーで説明する。そういうプロセスが必要だった知的作業が、コツがわかれば、1時間ぐらいで済みます。そうしてきちんと整理された成果物（調査報告書。長いもので2万字。短いものでA4 2-3枚）が出てきます。
以下は現時点で最も優れた知性であり、EU規制は全部頭に入っているChatGPT 5で整理したIT関連の主な規制です。これを見ると、今回注目されている【EUデータ法】がどういう位置付けにある規制（正確に言えば規則）なのか、わかります。
1) データ保護・プライバシー
GDPR（General Data Protection Regulation, Reg. (EU) 2016/679）
-
狙い：個人データの保護と域内での自由なデータ流通の両立。大陸共通の「個人データ処理の原則」「本人の権利」「罰則」を一本化。European Commission
-
日本で該当しやすい企業：
海外EC・SaaS・広告・旅行/ホスピタリティ・製造業のオンライン会員サイトなど、EU在住者の個人データを取得・分析・越境移転するすべての企業。日本拠点でもEU向けサービスがあれば適用可能性。 -
まずの行動：データマッピング、同意・透明性（プライバシー通知）・契約（処理委託/越境移転）の3点を最低限整備。EDPBの同意/透明性ガイドラインが実務向け。EDPB+1
-
公式・実務資料：
・EU委員会「GDPR 法的枠組み」総合ページ。European Commission
・法条文ブラウズ（gdpr-info.eu 便利版）。GDPR
2) デジタル市場・プラットフォーム規制
DMA（Digital Markets Act, Reg. (EU) 2022/1925）
-
狙い：巨大プラットフォーム（ゲートキーパー）の囲い込み行為を事前規制し、相互運用・公正競争を確保。Digital Markets Act (DMA)
-
だれがターゲットか（米系の具体名）：
欧州委の指定企業は Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft。該当する「コア・プラットフォーム・サービス」は検索、アプリストア、OS、SNS、広告、ブラウザ等で計22件。AppleはiPadOSも追加指定。Digital Markets Act (DMA)+1 -
日本で該当しやすい企業：
直接の「ゲートキーパー」該当は稀。ただしアプリ提供・課金・広告・マーケットプレイス出店の事業者は、**ゲートキーパー側のルール変更（手数料、外部誘導、相互運用義務）**の影響を受ける。 -
公式・実務資料：
・EU公式DMAポータル（指定企業・義務一覧）。Digital Markets Act (DMA)+1
3) データ共有・利用（IoT・クラウド）
Data Act（Reg. (EU) 2023/2854）-- 2025年9月12日適用開始
-
狙い：接続製品（IoT）・関連サービスの利用データをユーザーが取り出し、第三者へ渡せるようにする（データアクセス権）。さらに**クラウドの乗り換え容易化（スイッチング）**でロックインを解く。デジタル戦略+1
-
日本で該当しやすい企業：
自動車・産業機械・医療機器・家電などのIoT製品メーカー／関連サービス提供者、およびEU顧客を持つクラウド/SaaS事業者。
例：コネクテッドカーの走行・状態データ、工作機械の稼働データ、スマート家電の利用ログ、SaaSのデータエクスポート対応。 -
まずの行動：
①対象製品・データの棚卸し、②ユーザーへのデータ出力（機械可読・共通形式）設計、③第三者提供の契約・営秘保護、④クラウド切替プロセス設計。 -
公式・実務資料：
・EUデジタル戦略のData Actページ（適用開始日、実装支援ツール）。デジタル戦略
・適用開始の時期説明。eu-data-act.com
4) サイバーセキュリティ
Cyber Resilience Act（CRA）-- 製品のサイバー要件
-
狙い：**"デジタル要素を持つ製品"（ソフト/ハード）に、設計段階からのセキュリティ・脆弱性対応・CEマーキングを義務付け、市場投入前後の製品安全（サイバー）**を底上げ。コンサリウム
-
ステータス：2024年12月10日発効。主な義務は2027年12月11日から適用（通報など一部は前倒し）。デジタル戦略
-
日本で該当しやすい企業：
欧州に製品を出す製造業全般（家電、産業用IoT、車載機器、ロボット、ソフトウェア）。更新提供・脆弱性対応・SBOM相当の文書化など、製品ライフサイクル運用が要件化。 -
公式・実務資料：
・EUデジタル戦略のCRAページ（適用日程と実装体制）。デジタル戦略
・EU理事会プレス（CEマーキングを含む要件の概観）。コンサリウム
※組織運用側の強化は NIS2指令（重要分野の事業者にリスク管理・通報義務）。EU現地拠点を持つ日本企業は対象になり得ます。各国が国内法化を進行中。
5) AI・アルゴリズム
AI Act（Reg. (EU) 2024/...）-- 世界初の包括的AI規則
-
狙い：リスクに応じて禁止AI／高リスクAI／限定リスクの義務を分ける。高リスクAIにはデータ品質、技術文書、記録、透明性、ガバナンスなどを法的義務に。デジタル戦略+1
-
ステータス：2024年8月1日発効。段階適用で、2026年8月2日に大半が適用。禁止類型やAIリテラシーは2025年2月から、GPAI（汎用AI）ガバナンスは2025年8月から適用などの経過措置あり。デジタル戦略+1
-
日本で該当しやすい企業：
医療機器・自動車・産業機器など「規制製品に組み込まれた安全関連AI」、HR/信用スコア等の特定用途AIを欧州で提供する企業。GPAIモデル提供者／利用者も要注意。 -
公式・実務資料：
・AI Actの発効と適用ロードマップ説明。デジタル戦略
・条文閲覧（OJ掲載・エクスプローラ）。EU人工知能法案+1
まとめ：日本企業はここを見ればよい
-
個人データを扱うなら → GDPR（通知・同意・委託・越境移転）。European Commission
-
IoT/クラウドで欧州に出すなら → Data Act（ユーザーデータの取り出し・第三者提供、クラウド切替）。デジタル戦略
-
製品を欧州で売るなら → CRA（設計〜出荷後のサイバー要件、CE）。デジタル戦略
-
AIを組み込む/提供するなら → AI Act（用途別義務・経過措置）。デジタル戦略
-
ゲートキーパーに依存（アプリ/広告/マーケットプレイス）なら → DMAによる相互運用・手数料・外部誘導の変化を注視。Digital Markets Act (DMA)
企業向けに役立つ読み物・実務ガイド（無料中心）
-
GDPR
・EDPBガイドライン（同意・透明性など）。EDPB+1
・EU委員会GDPR総合ページ。European Commission -
DMA
・EU公式「DMAとは・指定企業一覧」。Digital Markets Act (DMA)+1 -
Data Act
・EUデジタル戦略ページ（適用開始、実装支援）。デジタル戦略
※日本語の商用書籍は版の古さ・情報鮮度に差が出やすい領域です。まずは上記の公式一次情報で骨格を掴み、必要に応じて各社の実務レポート（法律事務所・監査法人の最新解説）で補強するのが安全です。