EU AI法改正は、欧州連合が提案した人工知能法（AI法）の当初提案から最終採択までの間に加えられた一連の変更を指す。2021年4月21日に欧州委員会が提案したこの規則案は、EU全域におけるAIに関する共通の規制・法的枠組みを確立することを目的としていた。しかし、Generative AIシステム、例えばChatGPTのような汎用能力を持つシステムが急速に台頭し、当初のリスクベースの枠組みに適合しなかったことから、立法過程で大幅な修正が促された。2023年に追加されたこれらの改正は、汎用AIのための専用カテゴリーを導入し、透明性と評価義務をそれに応じて調整した。最終テキストは2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認され、2024年8月1日に発効し、その後6〜36か月かけて段階的に施行された。
これらの改正は、規制論議におけるより広範な変化を反映しており、立法者らは、多様な用途に適応できるAIシステムに対しては、従来の製品安全モデルでは不十分であると認識した。2021年に起草された当初提案は、特定の用途に対する固定されたリスクカテゴリーに焦点を当てていたが、OpenAIやAnthropicが開発したような基盤モデルや大規模言語モデルの出現により、より柔軟なアプローチが必要となった。改正された法律は、特定の用途に対する垂直的なリスクベースの義務を補完する形で、汎用AIモデルに対する水平的な義務の層を導入した。この二重構造は、個々のAI利用の潜在的な害と、高度な能力を持つ多目的モデルがもたらすシステムリスクの両方に対処するために設計された。
リスクカテゴリー
AI法は、非免除のAIアプリケーションを、許容不能、高リスク、限定的リスク、最小リスクの4つのリスクレベルに分類し、さらに汎用AIのための追加カテゴリーを設けている。このリスクベースのスキームは、健康、安全、または基本権への潜在的な影響に応じて、プロバイダーとデプロイヤーに対する規制上の義務が増加する製品安全モデルに従っている。
許容不能なリスク: このカテゴリーのアプリケーションは、特定の例外を除いて禁止される。これには、人間の行動を操作するAI、公共空間におけるリアルタイムの遠隔生体認証（顔認識など）、個人の特性や行動に基づいて個人をランク付けするソーシャルスコアリングシステムが含まれる。これらの禁止は、基本権と民主的価値への懸念を反映している。
高リスク: 健康、安全、または基本権に重大な脅威をもたらすAIシステムはここに該当し、医療、教育、採用、重要インフラ、法執行、司法で使用されるものが含まれる。これらは、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受け、場合によっては展開前に基本権影響評価（FRIA）を必要とする。高リスクアプリケーションのリストは、法律自体を改正することなく時間の経過とともに拡大でき、適応性を可能にする。
限定的リスク: これらのシステムには透明性義務があり、ユーザーがAIと対話していることを確実に認識できるようにする。このカテゴリーは、ディープフェイクなど、画像、音声、またはビデオを生成または操作するアプリケーションを対象とする。ユーザーは意識的な選択を行うために情報を得る必要がある。
最小リスク: ビデオゲームやスパムフィルターなど、ほとんどのAIアプリケーションはこのカテゴリーに該当する。これらは規制されておらず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。これらのシステムには自主的な行動規範が推奨されている。
汎用AIカテゴリー
当初提案への最も重要な改正は、2023年に汎用AIのための専用カテゴリーが追加されたことである。このカテゴリーには、ChatGPTのように幅広いタスクを実行できる基盤モデルが含まれる。この改正により、すべての汎用AIプロバイダーに透明性要件が課され、オープンソースモデルについては義務が軽減された。クローズドソースモデルについては、トレーニングデータの要約と著作権ポリシーの公開を含む、より広範な透明性規則が適用される。システムリスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とするものと定義）は、追加の評価を受けなければならない。2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章で構成されており、プロバイダーがコンプライアンスを実証するのに役立つが、参加は任意である。
この改正はまた、汎用AIプロバイダーに対する共通の義務リストを設定した。彼らは、トレーニングデータの要約を公開し、著作権法を遵守するためのポリシーを採用し、下流のプロバイダーと監督当局に技術文書を提供しなければならない。システムリスクをもたらすと指定されたモデルについては、モデル評価、敵対的テスト、リスク評価と緩和（バイアスやセキュリティ障害など）、重大なインシデントの報告、適切なサイバーセキュリティの確保などの追加の義務が含まれる。これらの規定は、Google DeepMindやXerox PARC時代の研究などの企業が開発したモデルの能力向上に影響を受けたが、法律自体は研究ではなく展開に焦点を当てている。
免除
第2.3条および第2.6条は、軍事、防衛、または国家安全保障の目的に専ら使用されるAIシステム、ならびに純粋な科学研究および開発をAI法から免除する。非専門的な使用も除外される。これは、MIT CSAILやBAIR (Berkeley AI Research)などの学術研究所で開発された研究重視のAIシステムが、研究のみに使用される場合には、この法律の規制を受けないことを意味する。ただし、そのようなシステムが後に商業的に展開される場合には、適用範囲内となる。軍事用途の免除は国家安全保障の優先事項を反映しているが、文民法執行におけるAIの使用は高リスクの義務の対象であり続ける。
この法律はまた、EUの一般データ保護規則と同様に、域外適用を認めている。EU外のプロバイダーは、EU内にユーザーがいる場合、規制の対象となり、公平な競争条件を確保し、EU市民を保護する。
制度的枠組み
この改正により、加盟国間の協力を促進し、加盟国全体での一貫したコンプライアンスを確保するために、欧州AI委員会であるEuropean Artificial Intelligence Boardが導入された。委員会は、各国の監督当局間の調整を促進し、法律の適用に関するガイダンスを提供する。この制度的メカニズムは、デジタル単一市場における調和のとれた執行の必要性に対処するために、立法過程で追加された。
立法過程
改正プロセスは反復的であった。委員会の2021年提案の後、欧州議会と理事会は変更について交渉した。生成AIの台頭、特に2022年末のChatGPTの登場により、改正の必要性が加速した。交渉は2023年末の政治的合意に至り、議会は2024年3月13日に最終テキストを採択し、理事会は2024年5月21日に採択した。これらの改正は、主要な法律を再開することなく汎用モデルの分類を可能にするため、法律を将来にわたって有効にする上で重要であった。
実施スケジュール
この法律は2024年8月1日に発効し、規定は6〜36か月かけて段階的に施行される。この段階的実施により、プロバイダーと当局は適応する時間を得ることができる。リスクベースの義務は異なる日に適用され、許容不能なリスクの禁止が最初に発効し、その後、高リスクの義務と汎用AI要件が続く。このスケジュールは、革新と保護のバランスを取るための重要な改正であった。
影響
EU AI法改正は、AI規制における画期的な出来事である。生成AIを統合することにより、この法律は他の法域にとっての先例を設定する。そのリスクベースのアプローチと汎用AIの監視を組み合わせることで、革新を可能にしながら信頼を醸成することを目指している。2025年現在、この法律はEU全体で実施されており、European Artificial Intelligence Boardが取り組みを調整している。これらの改正は、Deep learning、Large language model、Transformer (architecture)アーキテクチャの急速な技術進歩に追いつこうとする動的な規制環境を反映している。