LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EU向けにシステムを構築するとき、クラウドの選定理由を説明する枠組みが変わります*1。

欧州委員会はクラウド・AI開発法（Cloud and AI Development Act、CADA）を進めています*1。AI Continent Action Planの重要な一部と位置づけられた規則案で、EU全域で共通の主権評価の枠組みと、4つの保証レベルを導入するとされています*1。

EU域内向けの開発や、公的機関を発注元に持つ案件を担う立場に向けて、レベル1から4の違いと容量・調達の側の動きを一次情報から整理します。規則案の段階ですので、最新の状況は法務とあわせて確認してください。

CADAは何を解こうとしているのか

まず狙いです*1。

欧州委員会は、CADAがクラウドとAIのエコシステムにおける欧州の主権と競争力を強めるものであり、エコシステム、投資、インフラを強化することでクラウドとAIにおけるEUのリーダーシップを補強するAI Continent Action Planの重要な一部だと説明しています*1。

課題の側も明示されています*1。現状では、長い許認可手続き、エネルギー・土地・資金への限られたアクセスが、欧州でデジタルインフラを拡張することを難しくしているとされています*1。加えてEU域外のクラウドサービス提供者への過度な依存が、欧州のデジタルの自律性とレジリエンスに重大なリスクをもたらすと述べられています*1。

これに対してCADAは、持続可能なクラウドとデータセンターのインフラをより容易かつ迅速に展開できるようにし、重要な分野へのクラウドとAIの展開を加速する一方で、市場をパートナーに開かれたまま保つことを目指すとされています*1。

取り組みは三つの領域に分かれます*1。

対象として想定されているのは企業、クラウド提供者、投資家、研究者、公的機関で、AIとクラウド技術におけるイノベーションと投資の条件を整えることを支えるとされています*1。同時に欧州の技術的主権を強め、重要なデジタルインフラにおける戦略的依存を減らすことも目的に挙げられています*1。

レベル1〜4の違いを分解する

ここが実務でいちばん使う部分です*1。

欧州委員会は、CADAがクラウドとAIの主権を4つの保証レベルからなるものとして定義し、公的機関がそれぞれのリスク評価に基づいて用いると説明しています*1。クラウドサービス提供者は、監査を受けたうえで、加盟国によってこの枠組みのもとで認定されることができるとされています*1。

並べてみると、問いの性質が段ごとに変わることが見えます*1。レベル1はデータの所在地という物理的な事実、レベル2は依存関係と情報開示、レベル3は資本と人の属性、レベル4は供給網の統制です*1。

設計に響くのはレベル2以降です*1。ソフトウェアのサプライチェーンに関する透明性が問われるため、どのライブラリと外部サービスを使っているかを出せる状態にしておく必要が出てきます*1。ここはCRAの報告義務や脆弱性対応の文脈で整備するSBOM（ソフトウェア部品表）と重なる作業です。

レベル3で挙げられている要員の市民権は、受託の体制設計に直接影響します*1。オフショアやニアショアで開発・運用を担う構成では、どのレベルを求められる案件なのかを最初に確かめておかないと、体制を組み替える手戻りが生じます。

ただし門が閉じているわけではありません*1。レベル3については欧州委員会が第三国の提供者を認定することができるとされています*1。また自律性の領域全体として、重要分野への展開を加速する一方で、市場の圧倒的な部分はパートナーに開かれたまま保つとされています*1。

容量とデータセンター——3倍と許認可

主権の話と並んで、物理的な容量が柱になっています*2。

欧州委員会は、CADAの第一の目的がAI Continentのニーズに見合う容量とサービスの面で、欧州のクラウド提供を支え、EUの競争力を補強することだと説明しています*2。数値目標として今後5〜7年でEUのデータセンター容量を少なくとも3倍にし、2035年までに企業と公的機関のニーズを完全に満たす水準へ引き上げることが挙げられています*2。

手段も具体的です*2。データセンター容量の拡張に対する障壁に対処し、民間投資を促すとされ、持続可能なデータセンターの運営者が、より速い許認可付与の手続きの恩恵を受け、EU域内で土地・資金・エネルギーへのアクセスを得られるようにすると述べられています*2。

選択肢の広がりについても言及があります*2。EU単一市場におけるクラウドサービス提供者の選択肢を改善し、特に極めて重要なユースケース向けの、高度にセキュアなEU域内クラウドサービスについて広げるとされています*2。

持続可能性の側も枠組みに入っています*2。欧州委員会は2030年までにデータセンターを気候中立で、高いエネルギー効率を持ち、持続可能なものにする取り組みを続けるとし、CADAとエネルギー分野のデジタル化とAIに関する戦略ロードマップが、データセンターをエネルギーシステムへ持続可能に統合する措置などに対処すると説明しています*2。

計算資源の受け皿としてはAI Factoriesが挙げられています*2。欧州を代表するEuroHPCスーパーコンピュータの公的なネットワークの周りに形成される、開かれた動的なAIエコシステムとされ、計算能力、データ、人材を集めて先端的で信頼できるAIモデルとアプリケーションを生み出すものと説明されています*2。特に中小企業とスタートアップ、大学、産業界の可能性を引き出すとされ、ワンストップショップとして位置づけられています*2。

投資の枠組みも公表されています*2。2025年2月、パリで開かれたAI Action SummitにおいてフォンデアライエンEU委員長がInvestAIを立ち上げ、AIへの投資として2,000億ユーロを動かすこととしたとされ、そのうち欧州投資銀行グループとともに整備するInvestAIファシリティは、AI Gigafactoriesの設立に向けて200億ユーロの投資を動かすことを視野に入れていると説明されています*2。

調達とオープンソース、R&D&Iの枠組み

自律性の領域には、買い方の話が含まれています*1。

公的機関が共同の購買力を活かすための、EUレベルの共通調達枠組みを確立するとされています*1。公共案件では、個別の機関ごとの調達条件から、共通の枠組みに沿った条件へ寄っていく可能性があります。

評価軸についても記述があります*1。クラウドとAIのEU付加価値を促進し、EU域内のイノベーションとサプライチェーンのレジリエンスへの貢献に報いるとされています*1。安さだけでない軸が明文で入る形です。

オープンソースの促進も挙げられています*1。レジリエンスを補強するためにオープンソースの解決策を促進するとされています*1。データ法によるクラウド切替の規定と合わせて考えると、乗り換えやすさと供給網の見通しやすさが同じ方向を向いていることが分かります。

R&D&Iの側では、対象技術が三つ名指しされています*1。フロンティアAI、産業AI、フィジカルAIです*1。あわせて「グランドチャレンジ」を導入して将来のR&D&Iの取り組みを推し進めるとされています*1。

普及の仕組みも用意されます*1。加盟国における国別のクラウド・AI戦略とAIのための経験・加速センター（Experience and Acceleration Centres for AI）を通じて、戦略的な産業部門と公共部門におけるクラウドとAIの採用を確保するとされています*1。

関連する政策も並んでいます*1。CADAのページでは技術主権パッケージ（Tech Sovereignty package）とChips Act 2.0が関連リンクとして示されています*1。AI規制そのものの適用時期については、AI Actの高リスクの期限と分けて把握しておくと混乱しません。

EU向け案件で先に決めておくこと

着手の順序を挙げます。

第一に、案件ごとの求めレベルの確認です。4つの保証レベルは公的機関がリスク評価に基づいて用いるものです*1。発注元が公的機関、またはその下請けに入る構成では、どのレベルを前提とした調達なのかを早い段階で確かめます。レベル1で足りるのか、レベル3が求められるのかで、体制と基盤の選び方が変わります*1。

第二に、データの所在の整理です。レベル1はデータがEU域内に所在するインフラで処理され保管されていることです*1。バックアップ、ログ、監視のメトリクス、障害解析用のダンプ——本番データ以外の流れまで含めて、どこに置かれるかを一覧にしておきます。

第三に、ソフトウェア供給網の可視化です。レベル2はソフトウェアのサプライチェーンに関する透明性を求めます*1。レベル4はさらに完全な透明性と統制です*1。依存関係の一覧を出せる仕組みは、他の規制対応とも共用できます。

第四に、要員要件の確認です。レベル3には要員の市民権のような追加の基準が挙げられています*1。遠隔での運用・保守を含む契約では、誰がアクセスするかが条件に触れる可能性があります。

第五に、調達枠組みの動きの追跡です。EUレベルの共通調達枠組みが確立されるとされています*1。公共案件を狙う場合は、要求仕様の書き方が共通化されていく前提で提案の型を用意しておくと、後の作業が軽くなります。

もうひとつ、社内の説明で混同されやすいのが「主権レベル」と「AI Actの高リスク」です。前者はクラウドとAIの提供体制を評価する枠組み*1、後者はAIシステムの用途に応じた義務です。別の軸として並べておくと、要件表が整理しやすくなります。

容量の話も、提案の材料になります*2。5〜7年で少なくとも3倍という目標と許認可の迅速化が掲げられているため*2、EU域内リージョンの選択肢は今後増える方向です。いま域内に置けないから諦めるという判断は、時間軸を確認してからにしたい部分です。

なお、これは規則案の段階です*1。CADAのページには規則案（Proposal for a regulation – Cloud and AI Development Act）へのリンクが置かれています*1。条文の確定と適用時期は今後の手続きによりますので、枠組みの形を押さえたうえで、確定を待つ部分と先に整えられる部分を分けて進める形が現実的です。

枠組みの詳細は、欧州委員会のサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：CADAで押さえる3つの視点

EUのクラウド・AI開発法（CADA）は、AI Continent Action Planの重要な一部として、クラウドとAIのエコシステムにおける欧州の主権と競争力を強めることを目指す規則案です。押さえたい視点は三つです。第一に、主権の4つの保証レベル。公的機関がリスク評価に基づいて用いるもので、クラウドサービス提供者は監査を受けたうえで加盟国から認定されることができます。レベル1はデータがEU域内に所在するインフラで処理され保管されていること、レベル2は提供者が第三国からの独立とソフトウェアのサプライチェーンに関する透明性を示すこと、レベル3は提供者がEUから所有され支配され要員の市民権など追加の基準を満たすこと（欧州委員会は第三国の提供者を認定できるとされています）、レベル4は提供者がソフトウェアのサプライチェーンについて完全な透明性と統制を持ち第三国からの干渉がないことです。第二に、容量。今後5〜7年でEUのデータセンター容量を少なくとも3倍にし、2035年までに企業と公的機関のニーズを完全に満たす水準へ引き上げるとされ、持続可能なデータセンターの運営者がより速い許認可付与の手続きの恩恵を受け、土地・資金・エネルギーへのアクセスを得られるようにするとされています。第三に、調達とオープンソース。公的機関の共同購買力を活かすEUレベルの共通調達枠組みを確立し、EU域内のイノベーションとサプライチェーンのレジリエンスへの貢献に報い、レジリエンスを補強するためにオープンソースの解決策を促進するとされています。研究・開発・イノベーションの側では、フロンティアAI、産業AI、フィジカルAIが対象として名指しされ、「グランドチャレンジ」の導入と、加盟国の国別クラウド・AI戦略やAIのための経験・加速センターを通じた採用の確保が挙げられています。

よくある質問

出典

1. *1　参考：European Commission「Cloud and AI Development Act」（https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act）。CADAがクラウドとAIのエコシステムにおける欧州の主権と競争力を強めるものでありAI Continent Action Planの重要な一部であること、長い許認可手続きとエネルギー・土地・資金への限られたアクセスが欧州でのデジタルインフラ拡張を難しくしていること、EU域外のクラウドサービス提供者への過度な依存が欧州のデジタルの自律性とレジリエンスに重大なリスクをもたらすこと、CADAが持続可能なクラウドとデータセンターのインフラの展開を容易かつ迅速にし重要分野への展開を加速する一方で市場をパートナーに開かれたまま保つことを目指すこと、三つの領域（研究・開発・イノベーション、容量、自律性）の内容（フロンティアAI・産業AI・フィジカルAI、グランドチャレンジ、加盟国の国別クラウド・AI戦略とAIのための経験・加速センター、5〜7年でのデータセンター容量の少なくとも3倍化、許認可と展開の簡素化・迅速化、エネルギー・土地・水・資金へのアクセス改善、計算能力の確保、EU全域で単一の主権評価の枠組み、EU付加価値の促進とEU域内のイノベーション・サプライチェーンのレジリエンスへの貢献への報い、公的機関の共同購買力を活かすEUレベルの共通調達枠組み、オープンソースの促進）、ならびに主権の4つの保証レベル（レベル1＝EU域内のインフラでの処理と保管、レベル2＝第三国からの独立とソフトウェアのサプライチェーンの透明性、レベル3＝EUによる所有と支配および要員の市民権などの追加基準と欧州委員会による第三国提供者の認定、レベル4＝ソフトウェアのサプライチェーンの完全な透明性と統制および第三国からの干渉がないこと）と、クラウドサービス提供者が監査を経て加盟国に認定されうること、関連する技術主権パッケージおよびChips Act 2.0の一次情報として。最終更新2026年6月3日。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：European Commission「AI Continent Action Plan – Q&A」（https://digital-strategy.ec.europa.eu/en/faqs/ai-continent-action-plan-qa）。CADAの第一の目的がAI Continentのニーズに見合う容量とサービスの面で欧州のクラウド提供を支えEUの競争力を補強することであること、今後5〜7年でEUのデータセンター容量を少なくとも3倍にし2035年までに企業と公的機関のニーズを完全に満たす水準にすること、データセンター容量拡張の障壁への対処と民間投資の促進、持続可能なデータセンターの運営者がより速い許認可付与の手続きの恩恵を受け土地・資金・エネルギーへのアクセスを得られるようにすること、EU単一市場におけるクラウドサービス提供者の選択肢の改善（特に極めて重要なユースケース向けの高度にセキュアなEU域内クラウドサービス）、AI FactoriesがEuroHPCスーパーコンピュータの公的ネットワークの周りに形成される開かれた動的なAIエコシステムであり計算能力・データ・人材を集めワンストップショップとして機能すること、2025年2月にパリのAI Action Summitでフォンデアライエン委員長がInvestAIを立ち上げAIへの投資として2,000億ユーロを動かすこととし欧州投資銀行グループとのInvestAIファシリティがAI Gigafactoriesの設立に向けて200億ユーロの投資を動かすことを視野に入れていること、ならびに2030年までにデータセンターを気候中立で高いエネルギー効率を持ち持続可能なものにする取り組みとCADAおよびエネルギー分野のデジタル化とAIに関する戦略ロードマップがデータセンターのエネルギーシステムへの持続可能な統合に対処することの一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet