人工知能法（AI法）は、EU域内の人工知能に関する共通の規制・法的枠組みを確立する欧州連合の規則である。2024年8月1日に発効し、規定はその後6〜36か月かけて段階的に適用される。この法律は、軍事的、国家安全保障、研究、または非職業的目的にのみ使用されるものを除き、ほとんどのAIシステムを対象とする。製品規制として、個人の権利を創設するものではなく、AI提供者および職業的利用者に義務を課すものである。
この規則は、非免除のAIアプリケーションを危害のリスクに応じて、許容不能、高、限定、最小の4つのレベルに分類し、さらに汎用AIのための別のカテゴリーを設けている。許容不能リスクのアプリケーションは禁止され、高リスクのものはセキュリティ、透明性、品質に関する義務を満たし、適合性評価を受けなければならない。限定リスクのアプリケーションは透明性義務のみを負い、最小リスクのものは規制されない。汎用AIについては透明性要件が適用され、オープンソースモデルについては義務が軽減され、高能力システムについては追加の評価が行われる。この法律はまた、各国の協力とコンプライアンスを促進するため、欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、EU域内に利用者がいるEU外の提供者にも域外適用され得る。
欧州委員会は2021年4月21日にこの法律を提案した。2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。草案は、生成AIシステム（ChatGPTなど）の台頭に対応するため改訂された。これらの汎用能力は主要な枠組みに適合しなかったためである。
発効と段階的適用
AI法は、EU官報での公表から20日後の2024年8月1日に発効した。その規定は段階的に適用され、利害関係者に適応の時間を与えている。最初の重要な日付は2025年2月2日であり、許容不能リスクのAIシステムの禁止が適用された。これには、人間の行動を操作するAI、公共空間でのリアルタイム遠隔生体認証（狭い例外を除く）、またはソーシャルスコアリングを可能にするAIの禁止が含まれる。
2025年8月2日までに、汎用AIモデルに関する義務が発効し、提供者に対する透明性要件が含まれる。2025年7月10日に公表された汎用AI行動規範は、透明性、著作権、安全性・セキュリティに関する章を概説し、提供者がコンプライアンスを実証するのに役立つ。参加は任意である。高リスクシステムに関するものを含む残りの規定のほとんどは、2026年8月2日に適用される。すでにEUの分野別法規の対象となっている規制製品に組み込まれた高リスクAIシステムには、2027年8月2日までの延長期限が与えられている。これらの段階的な日付は、委員会の影響評価で指摘されているように、イノベーションと監視のバランスを取るという法律の目的を反映している。
リスクカテゴリーと義務
この法律のリスクベースのスキームは製品安全モデルに従い、健康、安全、または基本権への潜在的な影響に応じて強度が高まる規制上の義務を提供者と展開者に割り当てる。この構造は、重大なリスクを生み出す可能性が高いシステムに監視を集中させ、感度の低い用途にはより軽いアプローチを可能にする。
許容不能リスク - このカテゴリーのアプリケーションは、特定の例外を除いて禁止される。これには、人間の行動を操作するAI、公共空間でのリアルタイム遠隔生体認証、ソーシャルスコアリングが含まれる。これらの用途には、ほとんどの場合、例外は適用されない。
高リスク - 健康、安全、または基本権に重大な脅威をもたらすと予想されるAIシステムがここに該当する。例としては、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるシステムが含まれる。これらは、品質、透明性、人間による監視、安全性に関する義務を遵守しなければならない。一部は、展開前に基本権影響評価（FRIA）を必要とする。これは、基本権への影響を特定し緩和するための事前審査である。FRIAは、影響を受ける個人とコミュニティを特定し、起こり得る害を説明し、公的監視の基礎を提供するべきであると示唆した初期のアルゴリズム影響評価の研究に基づいている。高リスクシステムは、市場投入前およびライフサイクル全体を通じて評価されなければならない。高リスクアプリケーションのリストは、法律自体を修正することなく拡張できる。市民は、AIシステムについて苦情を申し立てる権利と、自分の権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定リスク - これらのシステムには透明性義務があり、利用者がAIと対話していることを認識し、情報に基づいた選択ができることを保証する。このカテゴリーには、ディープフェイクなど、画像、音声、または動画を生成または操作するAIが含まれる。
最小リスク - 例としては、ビデオゲームやスパムフィルターのAIが含まれる。ほとんどのAIアプリケーションはここに該当すると予想される。これらのシステムは規制されておらず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。これらのシステムに関する既存の国内法は無効とされるが、自主的な行動規範が提案されている。
汎用AIカテゴリー
2023年に追加された汎用AIカテゴリーは、幅広いタスクを実行できる大規模言語モデルなどの基盤モデルを対象としている。モデルの重みと設計がオープンソースである場合、開発者はトレーニングデータの要約と著作権ポリシーを公開しなければならない。クローズドソースモデルは、より広範な透明性要件を満たさなければならない。システム的リスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とするものと定義）は、追加の評価を受けなければならない。
汎用AIモデルの提供者は、トレーニングデータの要約を公開し、著作権コンプライアンスポリシーを採用し、下流の提供者および監督当局に技術文書を提供しなければならない。システム的リスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価・緩和し、重大なインシデントを報告し、適切なサイバーセキュリティを確保しなければならない。
免除
第2.3条および第2.6条は、軍事または国家安全保障の目的、または純粋な科学研究開発に使用されるAIシステムをこの法律から免除する。この規則は、AIシステムが専ら軍事、防衛、または国家安全保障の目的で使用される場合、または専らこれらの目的のために開発され運用されるシステムには適用されない。研究開発活動も適用範囲外であり、非職業的用途も同様である。これらの免除は狭いものであり、軍事的または研究的起源を持つ場合でも、民生分野でのAIの商業的展開は対象範囲に含まれる。
執行とガバナンス
この法律は、各国の協力を促進し、コンプライアンスを確保するために欧州人工知能委員会を設立する。各加盟国は、実施を監督する国内監督当局を指定する。委員会はこれらの当局を調整し、技術的および規制上の事項について委員会に助言する。執行メカニズムには、違反の重大性と事業者の規模に応じて段階的に設定された罰金が含まれる。この法律の域外適用範囲は、EU域内の利用者によってAIシステムが使用される場合、EU外の提供者もコンプライアンスを遵守しなければならないことを意味し、GDPRのアプローチを反映している。
立法経緯と背景
欧州委員会は、影響評価に文書化された広範な利害関係者協議と比較研究を経て、2021年4月21日にAI法を提案した。欧州議会は2024年3月13日にこれを可決し、EU理事会は2024年5月21日に全会一致で承認した。最終テキストには、元のリスク枠組みに適合しなかったChatGPTなどの生成AIシステムに対応するための2023年の改訂が組み込まれた。これにより、専用の汎用AIカテゴリーが設けられた。この法律の段階的適用は、提供者と展開者にコンプライアンス対策を実施する時間を与え、最初の禁止は2025年2月に発効し、ほとんどの高リスクシステムへの完全適用は2026年8月までに行われる。
影響と解釈
法律学者は、この法律が「信頼できるAI」を、安全性とリスクの閾値へのコンプライアンスを実証するシステムとして位置付けていると指摘している。リスクベースのアプローチは製品安全規制に基づいており、AIを市場に出す者と専門的に使用する者に義務を割り当てている。欧州議会調査サービスの初期評価は、利害関係者の関与と比較政策分析について委員会の影響評価を賞賛した。適用日が経過するにつれて、この法律の実際的な効果は、国内当局と委員会がその規定をどのように解釈するか、特に高リスクおよび汎用AIについてどのように解釈するかに依存するだろう。最小リスクシステムのための自主的な行動規範と、より高リスクカテゴリーのための必須義務は、基本権を保護しながらAIのための調和のとれたEU市場を創設することを目的としている。