EUサイバーセキュリティ・AI行動計画はどの法的枠組みに依拠していますか？

本計画はAI法、NIS2指令、サイバー連帯法など、AIとサイバーセキュリティの両分野を網羅する既存のEU規制に基づいており、新たな立法措置を導入するものではない。

行動計画の実施を調整するのは誰ですか？

本計画は、欧州委員会が主導する統一戦略的枠組みのもとで、EU全**27**加盟国が産業界およびENISAなどのEU機関と連携して実施を調整する。

防衛を支援するAIモデル（異常の自動検知やインシデント対応の迅速化）は、攻撃の自動化、脆弱性の探索、脅威のスケールアップにも利用できる。本計画は一つの戦略文書の中でその両面を取り上げている。

欧州委員会は本日、AIとサイバーセキュリティに関する共同行動計画を発表した。EU既存法的枠組みに基づき、加盟国と産業界を調整しながら、AIを攻撃ベクターと防衛ツールの両面から同時に取り上げる内容となっている。

欧州委員会は2026年7月7日、サイバーセキュリティと人工知能に関する行動計画を発表した。デジタルセキュリティにおけるAIの二重の役割――攻撃ベクターと防衛ツール――を初めて一つの戦略的枠組みのもとで取り上げた文書だ。行動計画の全文とともに、主要措置の概要を示すファクトシートも公表された。

行動計画の中心的な前提は、高度なAIモデルがサイバー防衛を強化できる一方で、同じモデルが直面する脅威の性質をも変えつつあるというものだ。

具体的に本計画は、AIが攻撃ツールとして悪用される三つの方法に対処している。

脆弱性の自動探索 ―― AIはソフトウェアシステムやネットワークインフラを手動の手法よりはるかに高速にスキャンし、自動化なしでは実現できなかった規模で悪用可能な弱点を特定できる。

攻撃のスケールアップ ―― AIの支援を受けることで、攻撃者は同じリソースでより多くの標的を同時に攻撃できるようになり、サイバー犯罪の経済学が攻撃者有利に変化する。

攻撃側のインシデント対応の加速 ―― 脆弱性の発見からその悪用までの時間が短縮され、防衛チームが対応に使える時間が少なくなる。

一方でAIは、ネットワーク内の異常の自動検知、悪用前の予測的な脆弱性特定、インシデント対応の迅速なオーケストレーションといった重要な防衛機会も開く。行動計画は防衛的な可能性を活用しながら、攻撃的な側面を制限することを目指している。

欧州委員会の執行副委員長で技術主権・安全保障・民主主義担当のヘンナ・ヴィルクネン氏は状況の緊迫性を直接訴えた。「AIはサイバーセキュリティの意味を変えています。我々はその変化に遅れを取ってはなりません。」

ヴィルクネン氏は短い任期の中で、欧州の非欧州サプライヤーへの技術依存を低減することを目指した複数のイニシアチブを開始している。今回の計画への直接の関与は、欧州委員会がAIのサイバーセキュリティを規制上の問題だけでなく、欧州デジタル主権の戦略的優先事項として扱っていることのシグナルだ。

背景も重要だ。2025年から2026年にかけて、欧州の重要インフラへの一連のサイバー攻撃が記録されており、攻撃者はAIツールを使って偵察フェーズを加速させカスタムエクスプロイトを開発している。したがってこの計画は理論的なシナリオへの対応ではなく、すでに現実化した具体的な脅威への回答だ。

本計画がもたらす重要な戦略的選択は、欧州委員会が新たな立法メカニズムを導入しないという点だ。代わりに、過去数年間に整備してきたEU規制を基盤とする。

AI法 ―― 重要インフラに適用されるものを含む高リスクAIシステムを規制する。本計画はサイバーセキュリティのシナリオへの既存要件の適用を明確にする。

NIS2指令 ―― 重要・重要サービスのより広い範囲の事業者にサイバーセキュリティ義務を拡大する。本計画はAI固有の脅威を念頭においた実施を調整する。

サイバー連帯法 ―― EUレベルでのサイバー攻撃の検知と協調対応の能力を強化する。本計画はAI主導のインシデントへの迅速な対応の運用基盤としてこれを活用する。

このアプローチは意識的な判断だ。新法には年単位の立法手続きと各国への移植が必要であり、AI脅威の緊急性は既に確立されたメカニズムの範囲内でより迅速な行動を求めている。

本計画は、一つの戦略的枠組みのもとで調整すべき3つのステークホルダーグループを特定している。

加盟国 ―― EU全27カ国が独自のサイバーセキュリティ能力を構築しているが、成熟度とリソースのレベルは大きく異なる。本計画は国家機関間でのAI関連の脅威情報や検証済み防衛実践の構造的共有メカニズムを規定している。

産業界 ―― テクノロジー企業、特にAIモデルの開発者と重要インフラの運営者は、新たなAI攻撃手法に対して最も早い可視性を持ち、防衛ソリューションに最も直接的な利害関係を持つ重要なパートナーだ。

EU機関 ―― ENISAはEUサイバーセキュリティ機関として脅威分析と対応調整で中心的な役割を担っており、本計画はAI固有のサイバーリスクに向けたENISAの運用上の役割強化を規定している。

欧州委員会は7月7日のプレスリリースとともに行動計画の全文と一般向けの措置概要を示すファクトシートの2文書を公表した。いずれもdigital-strategy.ec.europa.euで入手可能だ。

複雑な立法手続きを経る指令や規則とは異なり、行動計画は欧州委員会が直接実施できる政策手段だ――資金の配分、調整メカニズム、EU機関への運用ガイダンスを通じて。これにより採択から適用までの時間が短い手段となっている。

EUはこの計画により、多くの世界の政府がまだ検討中の一歩を踏み出した。AIとサイバーセキュリティを明示的に同じ戦略的枠組みのもとに置き、AI時代においては脅威と防衛が不可分に絡み合っており、どちらか一方を同時に扱わずして対処することはできないという認識を明確に示した。