EU AI Act 2028とは、欧州連合の人工知能法（AI Act）が完全な運用上の執行に達し、2024年8月1日の規則発効後に開始された段階的実施が完了する節目の年を指す。AI Actは、EU域内の人工知能に関する共通の規制・法的枠組みを確立する包括的な規則であり、幅広い分野にわたるほとんどのAIシステムを対象としている。これは、非免除のAIアプリケーションを、害を及ぼすリスクに基づいて、許容不能、高、限定、最小の4段階に分類し、さらに汎用AIのカテゴリーを追加している。製品規制の一形態として、個人の権利を創設するものではなく、AIプロバイダーおよび専門的な文脈でAIを利用する組織に義務を課すものである。
この法律は、2021年4月21日に欧州委員会によって提案され、2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。草案は、ChatGPTなどの生成AIシステムの台頭に対応するために改訂され、その汎用能力は主要な枠組みに適合しなかった。2028年までに、高リスクアプリケーションや汎用AIモデルに関する規定を含むすべての条項が完全に適用される予定であり、欧州人工知能委員会が各国の協力とコンプライアンスを監督する。
リスクカテゴリーと義務
AI Actのリスクベースのスキームは、製品安全モデルに従っている。許容不能なリスクを持つアプリケーションは、特定の免除を除いて禁止されており、人間の行動を操作するAI、公共空間でのリアルタイムの遠隔生体認証、社会的スコアリングなどが含まれる。高リスクアプリケーション（健康、教育、採用、重要インフラ、法執行、司法など、健康、安全、または基本権に重大な脅威をもたらすもの）は、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。一部は、展開前に基本権影響評価を受ける必要があり、これは基本権への潜在的な影響を特定し緩和するための事前審査である。これらのシステムは、市場投入前およびライフサイクル全体を通じて評価されなければならず、市民は苦情を提出し、自身の権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定リスクシステム（ディープフェイク生成器など）は、ユーザーがAIと対話していることを確実に認識させる透明性義務を負う。最小リスクアプリケーション（ビデオゲームやスパムフィルターなど）は規制されておらず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。高リスクアプリケーションのリストは、法律自体を修正することなく、時間の経過とともに拡大できる。
汎用AIと基盤モデル
2023年に追加された汎用AIカテゴリーには、幅広いタスクを実行する大規模言語モデルなどの基盤モデルが含まれる。モデルの重みと設計がオープンソースである場合、開発者はトレーニングデータの要約と著作権ポリシーを公開しなければならず、クローズドソースモデルはより広範な透明性要件に直面する。体系的なリスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とするもの）は、追加の評価を受けなければならない。2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性・セキュリティに関する章を概説し、プロバイダーがコンプライアンスを実証するのに役立つもので、参加は任意である。汎用AIモデルのプロバイダーは、トレーニングデータの要約を公開し、著作権ポリシーを採用し、下流のプロバイダーおよび当局に技術文書を提供しなければならない。体系的なリスクをもたらすと指定されたモデルは、モデル評価、敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価・緩和し、重大なインシデントを報告し、適切なサイバーセキュリティを確保しなければならない。
免除と域外適用
第2.3条および第2.6条は、軍事、防衛、または国家安全保障目的に専ら使用されるAIシステム、および純粋な科学研究開発をAI Actから免除する。EUの一般データ保護規則と同様に、この法律は、EU域内にユーザーがいる場合、EU外のプロバイダーにも域外適用される可能性がある。これは、米国、アジア、またはその他の地域に拠点を置く企業が、システムが開発された場所に関係なく、EU居住者にAIサービスを提供する際にコンプライアンスを遵守しなければならないことを意味する。
執行スケジュールと2028年の節目
この規則は2024年8月1日に発効し、条項は6か月から36か月かけて段階的に運用される。2028年までに、最終段階の義務が有効になり、特に医療、教育、法執行などの分野の高リスクAIシステムに適用される。この法律によって設立された欧州人工知能委員会は、各国の協力を促進し、加盟国間での統一的なコンプライアンスを確保する上で中心的な役割を果たす。各国の監督当局は適合性評価手続きを確立していることが期待され、プロバイダーは高リスクシステムの認証を完了している必要がある。2028年の節目は、不遵守に対する罰則を含む法律の完全な執行メカニズムが、すべてのカテゴリーで運用可能になる時点でもある。
AI開発と展開への影響
2028年の完全な執行は、AI開発者と展開者の広範なエコシステムに影響を与える。OpenAI、Anthropic、Google DeepMindなどの汎用モデルを生産する企業は、そのモデルがEUで使用される場合、透明性と評価要件を遵守しなければならない。NVIDIA（明示的にはリストされていないが、エコシステムによって示唆される）やAMDなどのハードウェアプロバイダーは、そのチップが体系的なリスク評価の対象となるモデルに電力を供給するため、間接的な影響を受ける可能性がある。Amazon Web Services、Azure、Google Cloudなどのクラウドサービスプロバイダーは、そのAI提供が法律の基準を満たすことを確保しなければならない。MIT CSAIL、Stanford AI Lab、Berkeley AI Researchなどの研究機関は、そのモデルがEUで商業的に展開される場合に影響を受けるが、純粋な研究は免除される。この法律の透明性とリスク緩和への重点は、モデルプルーニング、データ拡張、AIフィードバックからの強化学習などの技術的実践と一致しており、コンプライアンスの実証に役立つ。
コンプライアンスの課題と業界の対応
2028年時点で、多くの組織は重大なコンプライアンスの課題に直面している。高リスクAIシステムは、厳格な文書化、人間による監視メカニズム、継続的なモニタリングを必要とする。基本権影響評価プロセスは、アルゴリズム影響評価に関する初期の研究に基づいており、影響を受けるコミュニティの特定、起こり得る害の説明、公的監視の基盤の提供を必要とする。汎用モデルについては、体系的なリスク指定のための10^25回の浮動小数点演算の閾値が、主要ラボによってトレーニングされた最大のモデルを捕捉する。任意の行動規範は、必須ではないが、透明性、著作権、安全性をカバーする、プロバイダーがコンプライアンスを実証するための構造化されたアプローチを提供する。業界の対応には、内部ガバナンスフレームワークの開発、評価ツールへの投資、欧州人工知能委員会との関与が含まれる。一部の小規模プロバイダー、特にオープンソースモデルを提供するものは、要件が軽減されるが、トレーニングデータの要約と著作権ポリシーを公開する必要は依然としてある。
グローバルなAIガバナンスへの広範な影響
EU AI Act 2028は、世界中のAI規制のベンチマークとして機能する。そのリスクベースのアプローチと域外適用は、米国やアジアを含む他の法域での政策議論に影響を与える。この法律のオープンソースモデルとクローズドソースモデルの区別は、革新と安全性に関する議論を引き起こしており、オープンソースの透明性要件が不十分だと主張する者もいれば、バランスの取れたアプローチと見なす者もいる。2028年の執行は、機械学習と深層学習の進歩とも一致しており、トランスフォーマーアーキテクチャやマルチヘッドアテンションメカニズムの発展を含み、規制枠組みによって完全には予測されていない新たな能力を導入する可能性がある。この法律の高リスクリスト更新と技術変化への適応に関する条項は、そのような進化に対処するために設計されているが、その有効性は欧州人工知能委員会の応答性に依存する。2028年時点で、AI革新、市場競争、基本権保護に対する法律の完全な影響は、法律学者、技術者、政策立案者の間で継続的な分析の対象となっている。
将来の見通し
2028年以降を見据えると、AI ActはAI技術の進歩に応じて進化することが期待される。欧州委員会は、ニューラルネットワークの解釈可能性、大規模言語モデルの整合性、自動運転車などの自律システムにおけるAIなど、新たな分野に対処するための修正案を提案する可能性がある。この法律の最大限の調和条項は、加盟国が最小リスクシステムに追加の規制を課すことを防ぐが、高リスクリストの拡大は許可する。汎用AI行動規範は、新しい技術基準とベストプラクティスを反映するために更新される可能性がある。したがって、2028年の節目は終点ではなく、継続的な規制適応の基盤を表しており、EUはAIガバナンスのグローバルリーダーとしての地位を確立している。この法律と、データ保護やデジタルサービスなどの他のEU規制との相互作用は、EU内外のAIプロバイダーおよび展開者のコンプライアンス環境を形成し続けるだろう。