EU AI Act 2025は、人工知能に関する共通の規制・法的枠組みを確立する欧州連合の規則である人工知能法の運用上の執行開始を示す。この規則は2024年8月1日に発効し、その後6か月から36か月かけて段階的に規定が適用される。2025年には、EU域内のAIシステムの提供者と利用者に対する主要な義務が適用され始め、EU域外の事業者でもEU内に利用者がいる場合は対象となり、一般データ保護規則の域外適用を反映している。
この法律は、軍事、国家安全保障、研究目的、または非職業的利用にのみ使用されるAIを除き、広範な分野のほとんどのAIシステムを対象とする。製品規制の一形態として、個人の権利を創設するものではなく、AI提供者と職業的状況でAIを利用する組織に義務を課す。この規則は2021年4月21日に欧州委員会が提案し、2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。草案は、ChatGPTなどの生成AIシステムの普及に対応するため改訂され、その汎用能力が主要な枠組みに適合しなかった。
リスクカテゴリ
この法律は、非免除のAIアプリケーションを害を引き起こすリスクに基づいて分類し、許容不能、高、限定的、最小の4つのレベルと、汎用AIの追加カテゴリを設ける。許容不能なリスクを持つアプリケーションは禁止される。高リスクのアプリケーションは、セキュリティ、透明性、品質の義務を遵守し、適合性評価を受ける必要がある。限定的リスクのアプリケーションは透明性の義務のみを持つ。最小リスクのアプリケーションは規制されない。
許容不能なリスクには、人間の行動を操作するAIアプリケーション、公共空間でのリアルタイムの遠隔生体認証（顔認識など）を使用するもの、および個人の特性、社会経済的地位、または行動に基づいて個人をランク付けするソーシャルスコアリングに使用されるものが含まれる。特定の免除を除いて禁止が適用される。
高リスクのアプリケーションは、人の健康、安全、または基本権に重大な脅威をもたらすと予想されるものである。特に、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムがこのカテゴリに該当する。これらは、品質、透明性、人間の監視、安全性の義務の対象となり、場合によっては展開前に基本権影響評価（FRIA）が必要となる。FRIAは、AIシステムが展開される前に基本権への潜在的な影響を特定し緩和するための事前審査である。これらのシステムは、市場に投入される前とライフサイクル全体を通じて評価されなければならない。高リスクアプリケーションのリストは、AI法自体を修正せずに時間の経過とともに拡大できる。市民は、AIシステムに関する苦情を提出し、権利に影響を与える高リスクAIによる決定の説明を受ける権利を有する。
限定的リスクには、画像、音声、または動画（ディープフェイクなど）を生成または操作できるAIアプリケーションが含まれる。これらのシステムには透明性の義務があり、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができるようにする。
最小リスクには、ビデオゲームやスパムフィルターに使用されるAIシステムが含まれる。ほとんどのAIアプリケーションがこのカテゴリに該当すると予想される。これらのシステムは規制されず、最大限の調和規則により、加盟国は追加の規制を課すことができない。既存の国内法は、そのようなシステムの設計または使用に関するものが優先される。ただし、自主的な行動規範が提案されている。
汎用AI
2023年に追加された汎用AIカテゴリには、OpenAI、Anthropic、またはGoogle DeepMindによって開発されたものなど、幅広いタスクを実行できる基盤モデルが含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの概要と著作権ポリシーを公開する必要があり、クローズドソースモデルはより広範な透明性要件を満たす必要がある。システムリスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算が必要）は、追加の評価を受けなければならない。
2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章を概説し、提供者がAI法への準拠を示すのに役立つ。規範への参加は任意である。基本的な透明性義務に加えて、この法律は汎用AIモデルの提供者に対する共通の義務リストを設定する。彼らはトレーニングデータの要約を公開し、著作権法を遵守するポリシーを採用し、下流の提供者と監督当局に技術文書を提供する必要がある。システムリスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価および緩和し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保する必要がある。
免除
第2.3条および第2.6条は、軍事または国家安全保障目的、または純粋な科学研究開発に使用されるAIシステムをAI法から免除する。この規則は、AIシステムが専ら軍事、防衛、または国家安全保障目的で使用される場合、または専ら科学研究のために開発され運用されるシステムには適用されない。この免除は、軍事または安全保障機関によって開発された場合でも、民間の状況で使用されるAIシステムには適用されない。
ガバナンスとコンプライアンス
この法律は、国家間の協力を促進し、規則の遵守を確保するための欧州人工知能委員会を創設する。この委員会は、一般データ保護規則の下で確立された構造と同様に、加盟国全体の監督当局を調整する。委員会は、ガイダンスの発行、一貫した適用の促進、およびAIシステムを含む国境を越えた案件への対応を担当する。
2025年には、執行活動が本格的に開始された。国家監督当局は、市場に投入された高リスクAIシステムの適合性評価を実施し始めた。汎用AIモデルの提供者は、モデルを登録し、文書を提出する必要があった。欧州委員会はまた、特定の規定を明確にするための実施法とガイドラインの策定を開始し、適合性評価の技術基準や欧州人工知能委員会の手順を含む。
産業への影響
AI法の域外適用範囲により、米国やアジアを含むEU域外の主要テクノロジー企業は、EUユーザーにAIサービスを提供する場合、準拠する必要がある。これには、Amazon Web Services、Microsoft Azure、Google Cloudなどのクラウドコンピューティングサービスの提供者や、NVIDIA（リストにはないが主要プレーヤー）やAMDなどのAIチップメーカーが含まれる。この規則により、多くの企業がコンプライアンスチームを設立し、内部監査を実施し、AI製品のリスク管理フレームワークを開発するようになった。
汎用AI提供者にとって、トレーニングデータの要約と著作権ポリシーを公開する義務は重要な影響を与える。機械学習モデルを開発する企業は、データソースを文書化し、EU著作権法への準拠を確保する必要がある。これにより、特にインターネットから収集された大規模なデータセットに依存する生成AIシステムのトレーニングデータ取得慣行への監視が強化された。
タイムラインと移行
AI法の規定は、2024年8月1日の発効から6か月から36か月かけて段階的に導入されている。2025年には、最初の主要な期限が発効した。2025年2月2日までに、許容不能なリスクのAIアプリケーションの禁止が適用された。2025年8月2日までに、汎用AIモデルの義務が適用された。高リスクAIシステムの要件は段階的に適用される予定で、最初の義務セットは2026年8月に、残りは2027年8月に適用される。
この移行期間中、欧州委員会は加盟国および業界関係者と協力して、実施ガイドラインと調和された基準を策定してきた。欧州人工知能委員会は設立され、2025年に最初の会合を開催した。2025年7月10日に公開された汎用AI行動規範は、提供者が準拠を示すための実用的なツールとして機能するが、参加は任意である。
より広い文脈
AI法は、AI規制に向けたより広範な世界的傾向の一部である。これは、デジタル技術の包括的な規制枠組みを確立するという点で、EUの一般データ保護規則に続くものである。この法律のリスクベースのアプローチは他の法域に影響を与えてきたが、EUは拘束力のある水平型AI法を制定した最初の主要経済圏である。この規則の基本権と安全性への強調は、バイアス、差別、自動意思決定における説明責任に関する懸念を含む、AIの社会的影響に関する進行中の議論を反映している。
ディープフェイクなどの限定的リスクAIシステムに対する透明性の規定は、偽情報と操作に関する高まる懸念に対処する。高リスクAIシステムが適合性評価と基本権影響評価を受ける要件は、AIの展開がEUの価値観と法的原則を尊重することを確保することを目的としている。2025年現在、この規則がイノベーションと競争力に与える完全な影響はまだ明らかではなく、規制と欧州におけるAI開発の促進のバランスに関する継続的な議論が行われている。