企業が契約し、日々業務に組み込んでいるAIであっても、その利用可否が、企業間の契約だけで決まるとは限らない。2026年6月、Anthropicの先端AIモデルへのアクセスが米国の輸出規制により一時停止されたことは、そのリスクを象徴する出来事だった。

こうしたAI・クラウドへの依存を巡る議論は、欧州では以前から進んでおり、既に具体的な調達基準にも反映され始めている。

1．AIへのアクセスは、企業の意思だけでは決まらない

2026年6月、Anthropicの先端AIモデルへのアクセスが一時停止された。背景にあったのは、米国の輸出規制である。その後、先端AIモデルへのアクセスのあり方はG7でも議論され、輸出管理の解除を経て、7月には一部モデルのグローバル提供が再開された。

この出来事は、企業がAIサービスを契約していても、その利用可否が企業間の合意だけでは決まらないことを象徴している。AIへのアクセスは、今や外交や安全保障政策にも左右され得るのだ。

そして、これは国家レベルだけの問題ではない。AIが文章作成や情報検索の支援にとどまらず、顧客対応や業務システム、産業プロセス、自動運転などに組み込まれていけば、AIは企業活動を支える「システム」の一部となる。そこでAIを利用できなくなれば、その影響は単なる業務上の不便にとどまらず、事業継続やサービス提供にも及びかねない。

こうした中で注目されているのが「ソブリンAI」という考え方だ。

2．「ソブリンAI」は国産AIではない

ソブリンAIとは、国家や組織が、AIを支えるデータ、インフラ、技術などを自律的に制御・活用し、外国への依存を管理する考え方をさす。対象となるのはデータの所在だけではない。クラウド基盤やAIモデル、学習・推論環境、運用主体、ガバナンスなど、AIを利用するための幅広い要素が含まれる。

もっとも、「ソブリン」という言葉からは、海外技術を排除し、あらゆる要素を国産化するイメージを持たれやすい。しかし、現在のAIは、GPU、クラウド、AIモデルなど多様なサプライチェーンによって成り立っている。すべてを自国・自社で保有すれば統制力は高まる一方、コストや運用負荷も大きくなる。

そのため、用途やリスクに応じて、どこを自ら管理し、どこを外部に委ねるかを見極めていくことが求められる。例えば、AIモデルには海外製を利用しながら、データは国内から出さない構成も考えられる。あるいは、クラウド技術には海外企業のものを利用しつつ、運用や管理権限は国内・域内企業が担う方法もある。

つまり、ソブリンAIとは、「海外技術を使うか、使わないか」という二者択一ではなく、AIへの依存をどのようにコントロールするか、という設計の問題といえる。

3．キルスイッチが入らなくても残るリスク

海外のAIサービスへのアクセスが突然止まる、いわゆる「キルスイッチ」は、ソブリンAIの必要性を理解するうえで分かりやすい例だろう。しかし、実際にアクセスが停止しなくても、海外への依存構造そのものがリスクになり得る。

その一つが、企業の機密情報やデータに対する統制である。例えば米国のCLOUD Actでは、米国企業の管理下にあるデータは、国外に保存されていても、一定の条件下で米国当局による開示請求の対象となり得る。このため、データセンターを国内に置くだけでは、必ずしも法的な統制を確保できるとは限らない。

技術面でも同様だ。基盤AIモデルやクラウド、GPUなどを一部の海外企業に大きく依存すれば、価格や提供条件、技術仕様の変更による影響を受けやすくなる。

さらに、こうした依存が長期化すれば、競争力にも影響しかねない。AI関連の投資が域外へ流出し続ければ、自国側に技術やノウハウが蓄積しにくくなるからだ。

実際、こうした価値の域外流出を指摘する声もある。仏Mistral AIのアーサー・メンシュCEOは、AIを支えるコストのうち電力が占めるのは約1割にすぎず、欧州がエネルギー供給にとどまれば、価値の9割が域外に流出すると警告している。

つまり、ソブリンAIは非常時にAIを止めないためだけの対策ではない。平時から、データや技術、投資をどこまで海外に依存し、どう管理するのかという問題でもある。

（出所： 各種情報を基に、情報通信総合研究所にて作成）

4．欧州で進む「主権性」評価の実務化

こうしたソブリン性を巡る議論で先行しているのが欧州だ。EUでは、デジタル主権を政策理念として掲げるだけでなく、クラウドやAIサービスを調達する際に、「どの程度の主権性が確保されているか」を評価するしくみづくりが進んでいる。

その一つが、2026年6月に欧州委員会が公表した「Cloud and AI Development Act（CADA）」で提案されている、クラウド・AI主権性の保証レベルだ。公共部門によるクラウド・AIサービスの調達を念頭に、データの保存場所だけでなく、インフラ、人員、支配権、運用、AI学習へのデータ利用などを含め、主権性を4段階で評価する枠組みが示されている。CADAはまだ提案段階であり、具体的な認定基準や監査運用については、今後の立法過程でさらに詰められる見通しだ。

一方、既に実際の調達で使われ始めているしくみもある。「Cloud Sovereignty Framework」では、法的管轄、データ・AI、運用、サプライチェーン、技術など8つの観点から主権性を評価し、SEAL（0～4、最上位は4）という保証レベルでその水準を示している。

2026年4月のEU機関向けクラウド調達では、ルクセンブルクの通信事業者Post Telecomが主導する事業者連合や、ドイツのSTACKIT、フランスのScalewayなど、域内技術を軸とする事業者がSEAL-3（技術的主権）の水準を満たした。一方、ベルギーの通信事業者Proximusが主導する事業者連合のように、米国のクラウド技術（Google Cloud）を一部使いながらも、運用・管理を欧州側が担う構成でSEAL-2（データ主権）の水準を満たしたケースもある。

注目すべきは、欧州が海外技術を一律に排除しているわけではない点だ。どこに依存が残り、どこを自ら統制しているのかを評価し、「主権性」を段階的に捉えている。

（出所： 各種情報を基に、情報通信総合研究所にて作成）

ソブリンAIという言葉には、まだどこか抽象的な印象も残る。しかし欧州では既に、「主権性は必要か」ではなく、「どの程度の主権性を、どう測るか」という実務の議論に移りつつある。

AIの性能や価格だけでなく、「そのAIをどこまで自ら統制し、使い続けられるのか」。AI活用が本格化するほど、この視点は重要になる。ソブリンAIは、政府機関だけでなく、AIを事業の基盤に据える企業にとっても、これから向き合うべき経営課題になっていくだろう。