EU AI Act（規則（EU）2024/1689）は、2024年に欧州連合によって採択された、人工知能に関する包括的な法的枠組みである。これはAIシステムにリスクベースの分類体系を確立し、健康、安全、および基本権にもたらすリスクのレベルに応じて異なる義務を課すものである。この規則は単一のブロックとして発効するのではなく、その規定は段階的なスケジュールで適用され、2025年2月から2027年8月までの間に異なる日付でさまざまな要件が義務化される。この段階的アプローチは、提供者、導入者、および国内当局が新しい規則に適応する時間を確保しつつ、最も緊急の禁止事項とガバナンス構造を優先することを目的としている。
この規則は、AIシステムを開発する提供者と、それを専門的立場で使用する導入者の両方に適用され、AIシステムがEU市場に投入されるか、その出力がEU内で使用される限り、彼らがEUに拠点を置いているかどうかは問わない。これは、Machine learningモデル、大規模言語モデル、および生成AIシステムを含む幅広いAI技術を対象とするが、国家安全保障や軍事目的などの特定の領域は除外される。
発効と初期規定
AI Actは2024年7月12日に欧州連合官報で公表され、20日後の2024年8月1日に発効した。しかし、最初の拘束力のある義務のセットは2025年2月2日まで開始されなかった。この初期段階は、最も緊急と見なされた規定、すなわち許容できないリスクのあるAI慣行の禁止とAIリテラシーに関する規則に焦点を当てた。
2025年2月2日以降、以下が適用可能となった：
- 禁止される慣行（第5条）。これには、行動を歪曲するための subliminal 技術を用いるAIシステム、特定のグループ（子供や障害者など）の脆弱性を悪用するもの、社会的行動に基づいて人々を評価または分類するもの（ソーシャルスコアリング）、法執行のために公衆がアクセスできる空間でのリアルタイムの遠隔生体認証（狭い例外を除く）、およびプロファイリングのみに基づく犯罪または行政違反の予測を禁止する。
- AIリテラシー義務（第4条）。提供者と導入者に対し、技術的知識、経験、教育、訓練を考慮して、スタッフおよびAIシステムの運用に関わるその他の人々が十分なレベルのAIリテラシーを有することを確保することを要求する。
- 欧州委員会内に欧州AIオフィスの設立。これは中央執行および調整機関として機能する。
汎用AIモデル（2025年8月）
2番目の主要なマイルストーンは2025年8月2日であり、汎用AI（GPAI）モデルの提供者に対する義務が発効した。GPAIモデルは、大規模な自己教師あり学習で訓練されたものを含むAIモデルであり、幅広い異なるタスクを有能に実行できるものと定義される。このカテゴリには、OpenAI、Anthropic、Google DeepMindによって開発されたものなど、ほとんどの基盤モデルと大規模言語モデルが含まれる。
これらの規則の下で、GPAIモデルの提供者は以下を行わなければならない：
- 訓練データの説明、モデルアーキテクチャ、評価結果を含む、最新の技術文書を維持する。
- モデルを自社のAIシステムに統合する下流の提供者に情報と文書を提供する。
- EU著作権法、特にテキストおよびデータマイニングに関するものを尊重する著作権ポリシーを確立する。
- 訓練内容の十分に詳細な要約を公表する。
システムリスクを示すGPAIモデル（累積計算量が10^25浮動小数点演算（FLOPs）を超えるモデルと定義される）には、追加の義務が適用される。これには、モデル評価の実施、敵対的テスト、および重大なインシデントの欧州AIオフィスへの報告が含まれる。委員会は、計算量の閾値を下回る場合でも、その能力または影響に基づいてモデルをシステムリスクとして指定することができる。
高リスクシステムとガバナンス（2026年8月）
最も広範な義務のセットは2026年8月2日に適用可能となった。この日付は、規則の第6条および附属書IおよびIIIに基づく高リスクAIシステムの要件を対象とする。高リスクシステムには、重要インフラ、教育および職業訓練、雇用および労働者管理、必須の民間および公共サービス、法執行、移民および亡命管理、および司法行政で使用されるAIが含まれる。
この日付以降、高リスクAIシステムの提供者は包括的な要件セットを遵守しなければならない：
- システムのライフサイクル全体にわたって実行されるリスク管理システムを確立する。
- 関連性があり、代表的で、エラーやバイアスがない訓練、検証、およびテストデータを使用する。
- コンプライアンスを示す技術文書を作成する。
- トレーサビリティを確保するためのイベントの自動ログ記録を有効にする。
- 使用説明書を含む、導入者への透明性を提供する。
- 人間による監視措置を実施する。
- 堅牢性、正確性、およびサイバーセキュリティを確保する。
さらに、2026年8月2日以降、ガバナンスの枠組みが完全に運用可能となる。これには、加盟国が国内の管轄当局を指定し、適合性評価を担当する指定機関を設立する要件が含まれる。加盟国の代表者で構成される欧州人工知能委員会も完全に活動を開始する。
限定的リスクシステムの透明性義務（2026年8月）
また、2026年8月2日には、限定的リスクAIシステムの透明性義務が発効する。これらは、チャットボットなど人間と対話するAIシステム、およびコンテンツを生成または操作するシステム（ディープフェイク）に適用される。提供者は、状況から明らかでない限り、ユーザーがAIシステムと対話していることを知らされることを確保しなければならない。AIによって生成または操作されたコンテンツは、その人工的な起源を示すために機械可読形式でマークされなければならない。これにはディープフェイクおよびAI生成のテキスト、オーディオ、またはビデオが含まれる。
附属書Iの高リスクシステム（2027年8月）
最後の主要な適用日は2027年8月2日である。これは、機械、玩具、医療機器、車両など、既存のEU製品安全法の対象となる製品またはシステムの安全コンポーネントである高リスクAIシステムを対象とする。これらのシステムは附属書IIIのものと同じ高リスク要件を遵守しなければならないが、製造者が関連するセクター法に整合する時間を確保するために適用が延期された。規則はまた、委員会がこれらの製品の技術文書および適合性評価手順を更新することを要求する。
市販後監視と執行
2026年8月2日以降、高リスクAIシステムの提供者は、システムの寿命全体にわたってそのパフォーマンスに関するデータを積極的に収集および分析するための市販後監視システムを確立しなければならない。このシステムは文書化され、関連当局に報告されなければならない。規則はまた、健康、安全、または基本権へのリスクをもたらす可能性のある重大なインシデントおよび誤動作を処理する手順を導入する。
執行は、欧州AIオフィスによって調整される国内の市場監視当局によって行われる。不遵守に対する罰則は重大である：禁止された慣行の違反に対しては最大3500万ユーロまたは企業の総年間世界売上高の7%、その他のほとんどの義務の違反に対しては最大1500万ユーロまたは売上高の3%、当局への誤った情報の提供に対しては最大750万ユーロまたは売上高の1.5%である。中小企業（SME）およびスタートアップについては、これらの罰金は2つの金額のうち低い方に上限が設定される。
実施規範と標準
実施を支援するために、欧州AIオフィスは、2025年に最終化された汎用AI提供者のための実施規範の開発を促進した。この規範は、法的義務を具体的なコミットメントに変換し、透明性、著作権、およびシステムリスク管理などの領域を対象とする。規範を遵守する提供者は、規則の要件に準拠していると推定される。
規則はまた、欧州標準化機関（CEN、CENELEC、ETSI）によって開発された調和技術標準に大きく依存している。2025年および2026年を通じて起草されているこれらの標準は、適合性評価、リスク管理、およびデータ品質のための技術仕様を提供する。これらの標準が公表されるまで、提供者は代替方法を使用できるが、他の手段を通じてコンプライアンスを示さなければならない。
AI産業への影響
段階的な適用日は、AIシステムを開発および展開する企業に重要な影響を与える。OpenAI、Anthropic、Google DeepMindなどの主要なラボを含むGPAIモデルの提供者は、2025年8月の期限に備える必要があり、これはかなりの文書化と透明性の取り組みを要求した。多くの企業は内部コンプライアンスチームを設立し、訓練データとモデルの動作を追跡するツールを開発した。
高リスクAIアプリケーションについては、2026年8月および2027年8月の期限により開発者に多くの時間が与えられるが、早期の計画も必要とする。ヘルスケア（例：Intuitive Surgical）、自動運転（例：Waymo、Tesla）、および金融サービスなどのセクターの企業は、多くの場合、第三者指定機関を関与させて適合性評価を実施しなければならない。規則はまた、AIプラットフォームを提供し、その役割に応じて導入者または提供者と見なされる可能性があるAmazon Web Services、Microsoft Azure、Google Cloudなどのクラウドサービスプロバイダーにも影響を与える。
規則はまた、他の法域がEUを規制モデルとして見ているため、グローバルなAIガバナンスに影響を与えた。しかし、段階的なタイムラインの複雑さは批判のポイントとなっており、一部の業界団体は、段階的アプローチが不確実性とコンプライアンスの負担を生み出すと主張している。欧州委員会は、あいまいな規定を明確にするためにガイダンス文書を発行し、利害関係者の協議プロセスを確立することで対応している。
将来の展開
2025年現在、欧州委員会は、特にシステムリスクの定義、既存のセクター法との相互作用、および透明性要件の実際的な適用に関する追加の実施法とガイドラインに取り組んでいる。委員会はまた、2027年までに規則の禁止された慣行と高リスク領域のリストをレビューし、新しいAIアプリケーションに範囲を拡張する可能性を計画している。AI Actの完全な影響は、さまざまな適用日が経過し、執行措置が開始されるにつれて明らかになるだろう。