人工知能法（AI法）は、EU域内の人工知能（AI）に関する共通の規制・法的枠組みを確立する欧州連合の規則である。2024年8月1日に発効し、その後の6〜36か月にわたって段階的に規定が適用される。この法律は、幅広い分野のほとんどのAIシステムを対象とする一方、軍事、国家安全保障、研究目的、または非職業的利用にのみ使用されるAIは免除される。製品規制の一形態として、個人の権利を創設するものではなく、AIプロバイダーおよび職業的状況でAIを利用する組織に義務を課すものである。
この法律は、免除されないAIアプリケーションを害を引き起こすリスクに基づいて分類し、許容不能、高、限定的、最小の4つのレベルと、汎用AIの追加カテゴリーを設けている。許容不能なリスクを持つアプリケーションは禁止され、高リスクのアプリケーションは安全性、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。限定的リスクのアプリケーションには透明性義務が課され、最小リスクのアプリケーションは規制されない。汎用AIについては透明性要件が課され、オープンソースモデルでは要件が軽減され、高能力モデルでは追加の評価が求められる。
立法経緯
欧州委員会は2021年4月21日にAI法を提案した。草案は、OpenAIやAnthropicが開発したような生成AIシステムの普及に対応するため改訂され、その汎用能力は主要な枠組みに適合しなかった。欧州議会は2024年3月13日にこの法律を可決し、EU理事会は2024年5月21日に全会一致で承認した。この規則は2024年8月1日に発効した。
この法律はまた、各国の協力を促進し、遵守を確保するために欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、この法律はEU域内にユーザーがいる場合、EU外のプロバイダーにも域外適用される可能性がある。
リスク区分
リスクベースのスキームは製品安全モデルに従い、規制上の義務はAIシステムのプロバイダーと展開者に割り当てられ、健康、安全、または基本権への潜在的な影響が増大するにつれて、より厳しくなる。この構造により、重大なリスクを生み出す可能性が高いシステムに監視が集中し、感度の低い用途にはより軽いアプローチが可能となる。
許容不能なリスクを持つアプリケーションは、特定の免除を除いて禁止される。これには、人間の行動を操作するAI、公共空間でのリアルタイム遠隔生体認証（顔認識など）、および個人の特性や行動に基づいて個人をランク付けするソーシャルスコアリングが含まれる。
高リスクのアプリケーションは、健康、安全、または基本権に重大な脅威をもたらすと予想されるものである。これには、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIが含まれる。これらのシステムは、品質、透明性、人間による監視、安全性に関する義務を満たさなければならず、場合によっては展開前に基本権影響評価が必要となる。市民は、AIシステムについて苦情を申し立て、自分の権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定的リスクのシステムには透明性義務があり、ユーザーがAIと対話していることを認識し、情報に基づいた選択を行えるようにする。これには、ディープフェイクなど、画像、音声、または動画を生成または操作するアプリケーションが含まれる。ビデオゲームやスパムフィルターなどの最小リスクのシステムは規制されず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。
汎用AI
2023年に追加された汎用AIカテゴリーには、大規模言語モデルなど、幅広いタスクを実行できる基盤モデルが含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの概要と著作権ポリシーを公開しなければならない。クローズドソースモデルは、より広範な透明性要件を満たす必要がある。システム的リスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とするもの）は、追加の評価を受けなければならない。
2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章を概説し、プロバイダーが遵守を実証するのに役立つ。規範への参加は任意である。汎用AIモデルのプロバイダーは、トレーニングデータの概要を公開し、著作権遵守ポリシーを採用し、下流のプロバイダーおよび監督当局に技術文書を提供しなければならない。システム的リスクをもたらすと指定されたモデルは、モデル評価、敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価・軽減し、重大なインシデントを報告し、適切なサイバーセキュリティを確保しなければならない。
免除と執行
第2.3条および第2.6条は、軍事または国家安全保障目的、または純粋な科学研究開発に使用されるAIシステムをAI法から免除する。この規則は、AIシステムが専ら軍事、防衛、または国家安全保障目的で使用される場合、または専らこれらの理由で開発・運用されるシステムには適用されない。
この法律の域外適用により、Google DeepMindやAmazon Web Servicesなどの主要テクノロジー企業を含むEU外のプロバイダーは、EU域内にユーザーがいる場合、遵守しなければならない。欧州人工知能委員会は、各国の協力を促進し、加盟国間での一貫した適用を確保する。高リスクアプリケーションのリストは、AI法自体を修正することなく時間の経過とともに拡大でき、新たなAI能力とアプリケーションに適応することを可能にする。