【米国初の包括的AI法が施行前に死んだ】コロラドCAIA廃止とADMT置換から日本企業が学ぶこと

株式会社TIMEWELLの濱本 隆太です。

米国初の包括的AI法が、施行前に死にました。2024年5月17日にPolis知事が署名し、世界中のAI規制ウォッチャーが注視していた コロラドAI法（CAIA, SB 24-205） は、当初の施行日2026年2月1日も、延期後の6月30日も迎えることなく、 2026年5月12日にコロラド州議会自身がSB 26-189を可決して廃止 されました。

24か月で生まれて死んだ法律。これは規制史上、なかなか異例の展開です。しかし「米国初の包括的AI法は失敗作だった」と片付けるのは早計だと感じています。CAIAが設計した「高リスクAI 8カテゴリ × 開発者／事業者の二層責任 × NIST AI RMF準拠セーフハーバー」というアーキテクチャは、後継のADMTフレームワーク、コネチカットSB 5、EU AI Actと並んで、日本企業のAIガバナンス設計を 長く規定し続ける枠組み だからです。

何が起きて、なぜ起きて、何が残ったか。順を追って整理します。

要約

• CAIAは 2026年5月12日にSB 26-189で廃止、ADMT（Automated Decision-Making Technology）フレームワークに置換。新施行は2027年1月1日
• 解体の引き金は (1)業界反発、(2)域外規制問題、(3)Polis知事の留保、(4)xAI訴訟＋DOJ介入 の4つ
• それでもCAIAが規定した 「高リスクAI 8カテゴリ × 開発者/事業者 × 影響評価 × NIST AI RMFセーフハーバー」 は業界共通言語として残る
• 日本企業は CAIA 本体ではなく このアーキテクチャ を基盤に整備すれば、EU AI ActとADMT、コネチカット SB 5、他州法に横展開できる

2026年5月12日に何が起きたのか — 24か月のタイムライン

主要マイルストーンを時系列で並べると、解体プロセスが見えます。

日付	出来事
2024年5月17日	Polis知事 SB 24-205 署名（米国初の包括的AI法成立）
2024年6月	知事自身が「実装に懸念がある」と異例の声明
2025年8月28日	SB 25B-004 署名、施行を2026年2月1日 → 6月30日へ延期
2025年12月11日	トランプ大統領が「12月令」署名、AI Litigation Task Force設置を指示
2026年4月9日	xAI がコロラド連邦地裁に提訴（第1修正・州際通商条項・平等保護違反を主張）
2026年4月24日	DOJが xAI 訴訟に介入（EO 14365 に基づく初の州AI法介入）
2026年4月27日	連邦マジストレート判事が CAIAの施行を停止（joint motion to stay）
2026年5月12日	コロラド州議会が SB 26-189 可決 — CAIA廃止、ADMTフレームワークへ置換
2027年1月1日	ADMT 施行予定

この24か月で見られた政治力学は3層構造です。州レベルでは業界とPolis知事が緩和を求め、連邦レベルではトランプ政権が州法プリエンプションを推進し、司法レベルでは xAI 訴訟が憲法論で挑戦した——3つの圧力が同時に効いてCAIAは粉砕されました。

私はこの事例を、規制設計者へのケーススタディとして読んでいます。「先進的で包括的な制度を、対象企業の合意を取らずに先取りすると、施行までに政治的に解体されうる」という教訓です。EU AI Actが Digital Omnibus（Regulation (EU) 2026/1744）で高リスクAIの適用日を後ろ倒しにしたのも、同じ構造の縮小版に見えます。

元のCAIAは何を要求していたのか

廃止された原典の中身を押さえておかないと、なぜ業界が抵抗したのかが見えません。

対象は8カテゴリの高リスクAI：教育（入学・奨学金・評価）、雇用（採用・昇進・解雇・報酬）、金融・与信（信用スコア・ローン審査）、必須政府サービス（給付金・福祉）、医療（診断・治療優先順位・保険給付）、住宅（入居審査・立ち退き）、保険（引受・料率）、法的サービス（リーガルテック）——いずれも消費者の生活に直結する領域です。

役割分担は開発者（Developer）と事業者（Deployer）の二層：

• 開発者：reasonable care でアルゴリズム差別を予見・防止、デプロイヤーへ技術文書提供、重大な差別発生時は 発見後90日以内 にコロラドAGとデプロイヤーに通知
• 事業者：reasonable care でアルゴリズム差別を防止、リスク管理プログラム策定（NIST AI RMF または同等枠組み準拠）、影響評価実施（使用前＋年1回更新＋実質的変更後90日以内）、消費者開示と人的レビュー権の提供

罰則は1件あたり最大2万ドル、コロラド AG専属執行、私的訴訟権なし。違反は Colorado Consumer Protection Act の違反として扱われます。

セーフハーバーは NIST AI RMF 準拠を積極的抗弁として認める設計でした。これは規制設計として優れた発想で、後継 ADMT にも引き継がれています。

ここまで読むと「悪くない設計じゃないか」と思うかもしれません。実際、コンプライアンス専門家コミュニティではCAIAは 「アメリカで最も成熟したAI規制」 と評価されていました。問題は中身よりも、実装コストと米国の連邦－州摩擦 の方にあったわけです。

なぜ施行前に解体されたのか — 4つの要因

解体に至った要因を4点に分解します。

第一に、業界の対応コスト懸念。Workday、SAP SuccessFactors、ADP、HireVue といったHR Tech製品、Hudson Cook 等が代表する金融・与信、医療AI ベンダーはいずれも「コロラドだけのためのデータカード／影響評価／告知フロー を整備するコストに見合わない」と主張しました。州ごとに似て非なる要件が積み上がる パッチワーク・コスト が、業界の最大の不満でした。

第二に、域外規制問題。CAIA は「コロラドで事業展開する者」に適用される設計ですが、ニューヨークやテキサスの企業がコロラド州民1人にサービスを提供しただけで適用される構造に対して、Dormant Commerce Clause 違反の論点が浮上しました。xAI 訴訟の通商条項主張がここに刺さりました。

第三に、Polis 知事自身の留保。署名直後から「米国全体で統一すべき。州ごとのパッチワークを避けたい」と公言し続けていた知事は、施行延期にも積極的でした。州が自分の手で作った法律を、知事が自分で骨抜きにする——通常はあり得ない政治力学です。

第四に、連邦の12月令とDOJ介入。2025年12月11日のトランプ大統領令と2026年1月9日の AI Litigation Task Force 設置は、州法に対する積極的介入の方針を明示しました。4月9日の xAI 提訴に4月24日にDOJが介入し、4月27日に裁判所が施行停止を承認した一連の動きは 3週間で完了 した、極めて速いプロセスです。

この4要因が 同時に効いた ことが致命的でした。仮に業界反発だけなら時間が解決した可能性があり、知事の留保だけなら州議会が押し返した可能性があり、連邦介入だけなら州知事が対抗 EO で応酬した可能性もある——でも、4つが揃った瞬間にCAIAは構造的に持続不可能になりました。

詳しい連邦－州摩擦の構造は 米国連邦AI政策2026 で展開しています。本記事の解体劇は、連邦側の戦術が機能した最初の事例でもあります。

SB 26-189 ADMT フレームワークは何が違うのか

CAIAを置き換えるSB 26-189は、ADMT（Automated Decision-Making Technology）という、より 狭く実装可能な枠組み に再設計されています。ポイントは3つです。

ポイント1：対象を「自動化された意思決定技術」に絞り込む。CAIA が AIシステム全般を対象にしたのに対し、ADMT は「人間の意思決定を自動化／補助する技術」に限定。生成AIによるレコメンド程度では対象外、与信スコアの最終決定を機械が下す類は対象——という設計です。これだけで HR Tech のリスクアセスメント対象が大幅に縮小しました。

ポイント2：透明性中心、差別防止は二次的。CAIA の中核概念だった「algorithmic discrimination の防止」は ADMT では後ろに下がり、 透明性開示と消費者通知 が前面に出ます。Colorado AI Policy Work Group が2026年3月17日に提案した「透明性重視の代替フレームワーク」が源流です。

ポイント3：施行は2027年1月1日。延期で時間ができたことで、業界は ADMT に合わせた実装を整備する余裕を得ました。皮肉なことに「廃止＋置換」のほうが、業界にとっては「延期して原文施行」より好都合だった——というのが2026年5月時点の業界の本音だと感じています。

EU AI Act と「対応失敗」から学ぶ

CAIA は EU AI Act の州版を目指して設計されました。8カテゴリの高リスク分類は EU AI Act の Annex III とほぼ一致し、開発者／事業者の二層責任、影響評価、消費者開示——構造は驚くほど似ています。

ただし致命的に違ったのは 罰則の桁 です。

項目	CAIA	EU AI Act
高リスクAI 違反罰則	1件最大 2万ドル	最大 1,500万ユーロ または全世界売上3%
禁止AI 違反罰則	（該当条項なし）	最大 3,500万ユーロ または全世界売上7%
執行体制	コロラド AG 専属	加盟国当局＋EU AI Office
私的訴訟権	なし	加盟国による

CAIA の最大2万ドルは、グローバル企業にとって「コンプライアンス投資を上回るかどうか」という経営判断にすらなりにくい金額でした。だから業界は「2万ドルを払うほうがアセスメントを毎年回すより安い」というモードに陥り、結局 法律を守るインセンティブが弱かった。これが業界の抵抗を一段強くした構造的要因です。

EU AI Act は罰金の重さで「無視できない規制」を作り、ある意味では成功しています。CAIA は中身は良かったが 罰金が軽すぎて誰も真剣に対応しなかった——という逆説的失敗が、規制設計者へのもう1つの教訓だと思います。

日本企業への教訓 — 5つの実装指針

「CAIA は死んだから無視していい」ではありません。私が日本企業の経営層・法務に整理しているのは次の5点です。

指針1：CAIAアーキテクチャを社内整備の基盤にする。8カテゴリ × 開発者／事業者 × 影響評価 × NIST AI RMF セーフハーバーは、EU AI Act、ADMT、コネチカット SB 5、他州ADMT 規則すべてと互換性があります。「CAIA本体は廃止された」と無視せず、 アーキテクチャを学ぶ参考資料として読み続ける べきです。

指針2：HR Tech ベンダー契約に「マルチ州 AI 法対応条項」を入れる。Workday や SAP SuccessFactors との契約で「ベンダーが州AI法に応じた技術文書を提供する義務」「差別発見時の通知義務」を明示しておく。コロラドが廃止しても、テキサス、ニューヨーク、コネチカットで同種の要件が課されます。

指針3：影響評価テンプレートを CAIA／EU AI Act／NIST AI RMF の3枠統合で作る。1つのテンプレートで複数規制をカバーする設計が、各州への横展開コストを最小化します。

指針4：消費者通知＋人的レビュー権の文言整備。「AI 使用しています」「不利な決定後にデータ訂正と人的再審査を受けられます」という雛形を、英語・日本語両方で整える。EU AI Act 第13条、ADMT、各州ADMT 規則すべてで再利用できます。

指針5：AG 通知体制の準備。「90日以内に州AGに差別発見を通知できる体制」を整えておく。CAIA本体は死んでも、ADMT・コネチカット・カリフォルニアで同種の通知義務は続きます。発見→法務→広報→AG通知のワークフローを今のうちに設計しておくと良いです。

WARP SECURITYでの位置づけ

TIMEWELLの WARP SECURITY では、コロラドCAIAの解体劇を「規制が成立しても施行されないケース」のワークショップ素材として組み込んでいます。

経営層向けには、 「規制ニュースのどこで腰を据えるか」 をテーマにした机上演習を用意。法律成立時／延期発表時／訴訟提起時／廃止時のそれぞれで、社内のコンプライアンス投資をどう調整するか、ベンダー契約をどう書き直すかを、参加者同士でディスカッションします。CAIAは過去事例ですが、ADMT、コネチカットSB 5、テキサスTRAIGAでも同じ判断局面が訪れます。

現場向けには、CAIAアーキテクチャ（8カテゴリ × 二層責任 × NIST AI RMF）を 自社プロダクトに当てはめるラボセッション を実施。HR、与信、医療、住宅の各業務AIに対して、影響評価テンプレートをその場で書き起こします。CAIAが残した「分類言語」を実装に落とすハンズオンです。

5つの疑似インシデント演習のうち1つは、 「州AI法に違反して90日以内のAG通知が必要になった場合の初動」 を扱います。法務・広報・経営の責任分界をロールプレイで設計する内容です。

EU AI Actの適用スケジュール — 2026年8月2日に何が始まるのか

本記事で「罰金が軽すぎると規制は守られない」というCAIAの逆説を論じましたが、その対極にあるEU AI Act（Regulation (EU) 2024/1689）は、2026年8月2日が一般適用日です。ただし「この日にすべての義務が始まる」わけではありません。ここは誤解が多いので、条文ベースで整理しておきます。

2026年8月2日から適用されるもの：第4章の透明性義務（第50条）、第3章第5節（第40〜49条＝整合規格・適合性評価・CEマーキング・登録）、第6章および第8〜11章、そして**欧州委員会が汎用AI（GPAI）プロバイダーに制裁金を科す権限（第101条）**です。GPAIプロバイダーへの欧州委員会の監督・執行権限がこの日に発効し、GPAI関連の制裁は最大1,500万ユーロ又は全世界売上高3％、禁止AI行為（第5条）違反は最大3,500万ユーロ又は全世界売上高7％とされます（Regulatory framework on AI（European Commission））。

高リスクAIの実体義務はこの日ではありません。Digital Omnibus は Regulation (EU) 2026/1744 として成立済みで（2026年7月8日採択、OJ L 2026/1744 として2026年7月24日掲載、2026年7月27日発効）、これにより附属書III型の高リスクAI（第6条2項）への第3章第1〜3節の適用は2027年12月2日、製品組込み型の附属書I型（第6条1項）は2028年8月2日となりました。EU代理人（第22条）、バリューチェーン責任（第25条）、デプロイヤー義務（第26条）、基本権影響評価＝FRIA（第27条）も、この附属書III型の適用日から発動します。既存の上市品に対する経過措置（第111条2項）も、固定日ではなく第3章の適用日以降に設計へ重大な変更を加えた場合に対象という形へ改められました。

段階適用の主な区切りは次のとおりです。

適用日	対象
2025年2月2日	第1章（総則・定義・第4条 AIリテラシー）、第2章（第5条 禁止AI行為）
2025年8月2日	第3章第4節（通知機関）、第5章（GPAIモデル）、第7章（ガバナンス）、第12章（罰則 第99・100条）、第78条（第101条は除く）
2026年7月27日	改正法 2026/1744 発効。AI Act 第102〜110条（他法令改正条項）適用開始
2026年8月2日（一般適用日）	第4章（第50条 透明性義務）、第3章第5節（第40〜49条）、第6章、第8〜11章、第101条（欧州委員会のGPAI制裁金権限）
2026年12月2日	新設の禁止行為（第5条1項(ba)(bb)、同1a・1b項）。加えて第111条4項＝2026年8月2日より前に上市された合成コンテンツ生成AIのプロバイダーはこの日までに第50条2項へ適合
2027年8月2日	第111条3項＝2025年8月2日より前に上市されたGPAIモデルの適合期限
2027年12月2日	附属書III型 高リスクAI（第6条2項）に第3章第1〜3節を適用
2028年8月2日	附属書I型 高リスクAI（第6条1項＝製品組込み型）に同適用

なお、第50条の透明性義務そのものの適用日は2026年8月2日のままです。2026/1744 が改めたのは第50条7項（実践規範）で、実体義務にあたる同条1〜6項は変わっていません。2026年12月2日に起きるのは「新しい禁止行為の開始」と「既存システムの経過措置期限」の2点だと理解しておくと、社内説明を間違えずに済みます。

CAIAが施行前に解体された一方で、EUが段階を踏みながら適用範囲を広げている対比は、本記事の「罰則の桁が対応インセンティブを決める」という見立てを補強するものと受け止めています。日本企業の実装論点は 個人情報保護法2026年改正 も併せて整理すると見通しが良くなります。

まとめ

• 米国初の包括的AI法 CAIA（SB 24-205）は、 施行を一度も迎えずに2026年5月12日に廃止 された
• 解体は 業界反発・域外規制問題・知事留保・連邦DOJ介入 の4要因が同時に効いた結果
• それでも CAIA が規定した 「高リスクAI 8カテゴリ × 開発者/事業者 × 影響評価 × NIST AI RMF セーフハーバー」 は業界共通言語として残る
• ADMT（2027年1月施行）、コネチカット SB 5、EU AI Act すべてに横展開できる、 規制リテラシーとしての価値 がある
• 罰金が軽すぎる規制は守られない——これは EU AI Act との対比で得られる規制設計の教訓

「死んだ法律を学ぶ意味はあるか」と聞かれたら、私は迷わず「ある」と答えます。生きたまま運用される規制と、設計の良かった規制は、必ずしも一致しない。CAIAは設計が良かったがゆえに、業界に「いかに上手く抵抗するか」を学ばせた——という意味で、AI規制ガバナンスの中で最も読み返す価値のある事例だと思っています。

参考文献

• Colorado AI Act Repealed: What SB 26-189 Means - Ropes & Gray
• Navigating Colorado's AI Act and Its Repeal - Wilson Sonsini
• Colorado AI Policy Work Group Final Recommendations (March 2026)
• xAI v. Weiser - DOJ Complaint in Intervention
• Comparing Colorado's AI Act to the EU AI Act - White & Case
• NIST AI Risk Management Framework