株式会社TIMEWELLの濱本 隆太です。
米国初の包括的AI法が、施行前に死にました。2024年5月17日にPolis知事が署名し、世界中のAI規制ウォッチャーが注視していた コロラドAI法（CAIA, SB 24-205） は、当初の施行日2026年2月1日も、延期後の6月30日も迎えることなく、 2026年5月12日にコロラド州議会自身がSB 26-189を可決して廃止 されました。
24か月で生まれて死んだ法律。これは規制史上、なかなか異例の展開です。しかし「米国初の包括的AI法は失敗作だった」と片付けるのは早計だと感じています。CAIAが設計した「高リスクAI 8カテゴリ × 開発者／事業者の二層責任 × NIST AI RMF準拠セーフハーバー」というアーキテクチャは、後継のADMTフレームワーク、コネチカットSB 5、EU AI Actと並んで、日本企業のAIガバナンス設計を 長く規定し続ける枠組み だからです。
何が起きて、なぜ起きて、何が残ったか。順を追って整理します。
要約
- CAIAは 2026年5月12日にSB 26-189で廃止、ADMT（Automated Decision-Making Technology）フレームワークに置換。新施行は2027年1月1日
- 解体の引き金は (1)業界反発、(2)域外規制問題、(3)Polis知事の留保、(4)xAI訴訟＋DOJ介入 の4つ
- それでもCAIAが規定した 「高リスクAI 8カテゴリ × 開発者/事業者 × 影響評価 × NIST AI RMFセーフハーバー」 は業界共通言語として残る
- 日本企業は CAIA 本体ではなく このアーキテクチャ を基盤に整備すれば、EU AI ActとADMT、コネチカット SB 5、他州法に横展開できる
2026年5月12日に何が起きたのか — 24か月のタイムライン
主要マイルストーンを時系列で並べると、解体プロセスが見えます。
| 日付 | 出来事 |
|---|---|
| 2024年5月17日 | Polis知事 SB 24-205 署名（米国初の包括的AI法成立） |
| 2024年6月 | 知事自身が「実装に懸念がある」と異例の声明 |
| 2025年8月28日 | SB 25B-004 署名、施行を2026年2月1日 → 6月30日へ延期 |
| 2025年12月11日 | トランプ大統領が「12月令」署名、AI Litigation Task Force設置を指示 |
| 2026年4月9日 | xAI がコロラド連邦地裁に提訴（第1修正・州際通商条項・平等保護違反を主張） |
| 2026年4月24日 | DOJが xAI 訴訟に介入（EO 14365 に基づく初の州AI法介入） |
| 2026年4月27日 | 連邦マジストレート判事が CAIAの施行を停止（joint motion to stay） |
| 2026年5月12日 | コロラド州議会が SB 26-189 可決 — CAIA廃止、ADMTフレームワークへ置換 |
| 2027年1月1日 | ADMT 施行予定 |
この24か月で見られた政治力学は3層構造です。州レベルでは業界とPolis知事が緩和を求め、連邦レベルではトランプ政権が州法プリエンプションを推進し、司法レベルでは xAI 訴訟が憲法論で挑戦した——3つの圧力が同時に効いてCAIAは粉砕されました。
私はこの事例を、規制設計者へのケーススタディとして読んでいます。「先進的で包括的な制度を、対象企業の合意を取らずに先取りすると、施行までに政治的に解体されうる」という教訓です。EU AI Actが Digital Omnibus で骨抜き化されつつあるのも、同じ構造の縮小版に見えます。
AI Security training, taken seriously
A 2-day intensive course fully aligned with OWASP, NIST, ISO/IEC 42001, and METI. Take it as executives, practitioners, or both.
元のCAIAは何を要求していたのか
廃止された原典の中身を押さえておかないと、なぜ業界が抵抗したのかが見えません。
対象は8カテゴリの高リスクAI：教育（入学・奨学金・評価）、雇用（採用・昇進・解雇・報酬）、金融・与信（信用スコア・ローン審査）、必須政府サービス（給付金・福祉）、医療（診断・治療優先順位・保険給付）、住宅（入居審査・立ち退き）、保険（引受・料率）、法的サービス（リーガルテック）——いずれも消費者の生活に直結する領域です。
役割分担は開発者（Developer）と事業者（Deployer）の二層：
- 開発者：reasonable care でアルゴリズム差別を予見・防止、デプロイヤーへ技術文書提供、重大な差別発生時は 発見後90日以内 にコロラドAGとデプロイヤーに通知
- 事業者：reasonable care でアルゴリズム差別を防止、リスク管理プログラム策定（NIST AI RMF または同等枠組み準拠）、影響評価実施（使用前＋年1回更新＋実質的変更後90日以内）、消費者開示と人的レビュー権の提供
罰則は1件あたり最大2万ドル、コロラド AG専属執行、私的訴訟権なし。違反は Colorado Consumer Protection Act の違反として扱われます。
セーフハーバーは NIST AI RMF 準拠を積極的抗弁として認める設計でした。これは規制設計として優れた発想で、後継 ADMT にも引き継がれています。
ここまで読むと「悪くない設計じゃないか」と思うかもしれません。実際、コンプライアンス専門家コミュニティではCAIAは 「アメリカで最も成熟したAI規制」 と評価されていました。問題は中身よりも、実装コストと米国の連邦－州摩擦 の方にあったわけです。
なぜ施行前に解体されたのか — 4つの要因
解体に至った要因を4点に分解します。
第一に、業界の対応コスト懸念。Workday、SAP SuccessFactors、ADP、HireVue といったHR Tech製品、Hudson Cook 等が代表する金融・与信、医療AI ベンダーはいずれも「コロラドだけのためのデータカード／影響評価／告知フロー を整備するコストに見合わない」と主張しました。州ごとに似て非なる要件が積み上がる パッチワーク・コスト が、業界の最大の不満でした。
第二に、域外規制問題。CAIA は「コロラドで事業展開する者」に適用される設計ですが、ニューヨークやテキサスの企業がコロラド州民1人にサービスを提供しただけで適用される構造に対して、Dormant Commerce Clause 違反の論点が浮上しました。xAI 訴訟の通商条項主張がここに刺さりました。
第三に、Polis 知事自身の留保。署名直後から「米国全体で統一すべき。州ごとのパッチワークを避けたい」と公言し続けていた知事は、施行延期にも積極的でした。州が自分の手で作った法律を、知事が自分で骨抜きにする——通常はあり得ない政治力学です。
第四に、連邦の12月令とDOJ介入。2025年12月11日のトランプ大統領令と2026年1月9日の AI Litigation Task Force 設置は、州法に対する積極的介入の方針を明示しました。4月9日の xAI 提訴に4月24日にDOJが介入し、4月27日に裁判所が施行停止を承認した一連の動きは 3週間で完了 した、極めて速いプロセスです。
この4要因が 同時に効いた ことが致命的でした。仮に業界反発だけなら時間が解決した可能性があり、知事の留保だけなら州議会が押し返した可能性があり、連邦介入だけなら州知事が対抗 EO で応酬した可能性もある——でも、4つが揃った瞬間にCAIAは構造的に持続不可能になりました。
詳しい連邦－州摩擦の構造は 米国連邦AI政策2026 で展開しています。本記事の解体劇は、連邦側の戦術が機能した最初の事例でもあります。
SB 26-189 ADMT フレームワークは何が違うのか
CAIAを置き換えるSB 26-189は、ADMT（Automated Decision-Making Technology）という、より 狭く実装可能な枠組み に再設計されています。ポイントは3つです。
ポイント1：対象を「自動化された意思決定技術」に絞り込む。CAIA が AIシステム全般を対象にしたのに対し、ADMT は「人間の意思決定を自動化／補助する技術」に限定。生成AIによるレコメンド程度では対象外、与信スコアの最終決定を機械が下す類は対象——という設計です。これだけで HR Tech のリスクアセスメント対象が大幅に縮小しました。
ポイント2：透明性中心、差別防止は二次的。CAIA の中核概念だった「algorithmic discrimination の防止」は ADMT では後ろに下がり、 透明性開示と消費者通知 が前面に出ます。Colorado AI Policy Work Group が2026年3月17日に提案した「透明性重視の代替フレームワーク」が源流です。
ポイント3：施行は2027年1月1日。延期で時間ができたことで、業界は ADMT に合わせた実装を整備する余裕を得ました。皮肉なことに「廃止＋置換」のほうが、業界にとっては「延期して原文施行」より好都合だった——というのが2026年5月時点の業界の本音だと感じています。
EU AI Act と「対応失敗」から学ぶ
CAIA は EU AI Act の州版を目指して設計されました。8カテゴリの高リスク分類は EU AI Act の Annex III とほぼ一致し、開発者／事業者の二層責任、影響評価、消費者開示——構造は驚くほど似ています。
ただし致命的に違ったのは 罰則の桁 です。
| 項目 | CAIA | EU AI Act |
|---|---|---|
| 高リスクAI 違反罰則 | 1件最大 2万ドル | 最大 1,500万ユーロ または全世界売上3% |
| 禁止AI 違反罰則 | （該当条項なし） | 最大 3,500万ユーロ または全世界売上7% |
| 執行体制 | コロラド AG 専属 | 加盟国当局＋EU AI Office |
| 私的訴訟権 | なし | 加盟国による |
CAIA の最大2万ドルは、グローバル企業にとって「コンプライアンス投資を上回るかどうか」という経営判断にすらなりにくい金額でした。だから業界は「2万ドルを払うほうがアセスメントを毎年回すより安い」というモードに陥り、結局 法律を守るインセンティブが弱かった。これが業界の抵抗を一段強くした構造的要因です。
EU AI Act は罰金の重さで「無視できない規制」を作り、ある意味では成功しています。CAIA は中身は良かったが 罰金が軽すぎて誰も真剣に対応しなかった——という逆説的失敗が、規制設計者へのもう1つの教訓だと思います。
日本企業への教訓 — 5つの実装指針
「CAIA は死んだから無視していい」ではありません。私が日本企業の経営層・法務に整理しているのは次の5点です。
指針1：CAIAアーキテクチャを社内整備の基盤にする。8カテゴリ × 開発者／事業者 × 影響評価 × NIST AI RMF セーフハーバーは、EU AI Act、ADMT、コネチカット SB 5、他州ADMT 規則すべてと互換性があります。「CAIA本体は廃止された」と無視せず、 アーキテクチャを学ぶ参考資料として読み続ける べきです。
指針2：HR Tech ベンダー契約に「マルチ州 AI 法対応条項」を入れる。Workday や SAP SuccessFactors との契約で「ベンダーが州AI法に応じた技術文書を提供する義務」「差別発見時の通知義務」を明示しておく。コロラドが廃止しても、テキサス、ニューヨーク、コネチカットで同種の要件が課されます。
指針3：影響評価テンプレートを CAIA／EU AI Act／NIST AI RMF の3枠統合で作る。1つのテンプレートで複数規制をカバーする設計が、各州への横展開コストを最小化します。
指針4：消費者通知＋人的レビュー権の文言整備。「AI 使用しています」「不利な決定後にデータ訂正と人的再審査を受けられます」という雛形を、英語・日本語両方で整える。EU AI Act 第13条、ADMT、各州ADMT 規則すべてで再利用できます。
指針5：AG 通知体制の準備。「90日以内に州AGに差別発見を通知できる体制」を整えておく。CAIA本体は死んでも、ADMT・コネチカット・カリフォルニアで同種の通知義務は続きます。発見→法務→広報→AG通知のワークフローを今のうちに設計しておくと良いです。
WARP SECURITYでの位置づけ
TIMEWELLの WARP SECURITY では、コロラドCAIAの解体劇を「規制が成立しても施行されないケース」のワークショップ素材として組み込んでいます。
経営層向けには、 「規制ニュースのどこで腰を据えるか」 をテーマにした机上演習を用意。法律成立時／延期発表時／訴訟提起時／廃止時のそれぞれで、社内のコンプライアンス投資をどう調整するか、ベンダー契約をどう書き直すかを、参加者同士でディスカッションします。CAIAは過去事例ですが、ADMT、コネチカットSB 5、テキサスTRAIGAでも同じ判断局面が訪れます。
現場向けには、CAIAアーキテクチャ（8カテゴリ × 二層責任 × NIST AI RMF）を 自社プロダクトに当てはめるラボセッション を実施。HR、与信、医療、住宅の各業務AIに対して、影響評価テンプレートをその場で書き起こします。CAIAが残した「分類言語」を実装に落とすハンズオンです。
5つの疑似インシデント演習のうち1つは、 「州AI法に違反して90日以内のAG通知が必要になった場合の初動」 を扱います。法務・広報・経営の責任分界をロールプレイで設計する内容です。
まとめ
- 米国初の包括的AI法 CAIA（SB 24-205）は、 施行を一度も迎えずに2026年5月12日に廃止 された
- 解体は 業界反発・域外規制問題・知事留保・連邦DOJ介入 の4要因が同時に効いた結果
- それでも CAIA が規定した 「高リスクAI 8カテゴリ × 開発者/事業者 × 影響評価 × NIST AI RMF セーフハーバー」 は業界共通言語として残る
- ADMT（2027年1月施行）、コネチカット SB 5、EU AI Act すべてに横展開できる、 規制リテラシーとしての価値 がある
- 罰金が軽すぎる規制は守られない——これは EU AI Act との対比で得られる規制設計の教訓
「死んだ法律を学ぶ意味はあるか」と聞かれたら、私は迷わず「ある」と答えます。生きたまま運用される規制と、設計の良かった規制は、必ずしも一致しない。CAIAは設計が良かったがゆえに、業界に「いかに上手く抵抗するか」を学ばせた——という意味で、AI規制ガバナンスの中で最も読み返す価値のある事例だと思っています。
参考文献
[^1]: Justice Department Intervenes in xAI lawsuit Challenging Colorado's Algorithmic Discrimination Act - DOJ [^2]: Colorado AI Act - Legislative History SB24-205
- Colorado AI Act Repealed: What SB 26-189 Means - Ropes & Gray
- Navigating Colorado's AI Act and Its Repeal - Wilson Sonsini
- Colorado AI Policy Work Group Final Recommendations (March 2026)
- xAI v. Weiser - DOJ Complaint in Intervention
- Comparing Colorado's AI Act to the EU AI Act - White & Case
- NIST AI Risk Management Framework