人工知能法（AI法）は、EU全域における人工知能に関する共通の規制・法的枠組みを確立する欧州連合の規則である。2024年8月1日に発効し、その後の6か月から36か月の間に段階的に適用が開始される。この法律は、広範な分野にわたるほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的、または非職業的利用にのみ使用されるAIは免除される。製品規制の一形態として、個人の権利を創設するものではなく、AIプロバイダーおよび専門的な文脈でAIを利用する組織に義務を課すものである。
この法律は、免除されないAIアプリケーションを、害を引き起こすリスクに基づいて、許容不能、高、限定的、最小の4つのレベルと、汎用AIのための追加カテゴリに分類する。許容不能なリスクを持つアプリケーションは禁止される。高リスクのアプリケーションは、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。限定的リスクのアプリケーションは、透明性に関する義務のみを負う。最小リスクのアプリケーションは規制の対象外である。汎用AIについては、透明性要件が課され、オープンソースモデルについては要件が軽減され、高性能モデルについては追加の評価が求められる。この法律はまた、各国の協力を促進し、規則の遵守を確保するために、欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、この法律は、EU域内にユーザーがいる場合、EU域外のプロバイダーにも域外適用され得る。
提案と立法経緯
欧州委員会は2021年4月21日にAI法を提案した。草案は、既存の製品安全法と同様のリスクベースのアプローチに従い、単一市場全体でAIシステムに関する規則を調和させることを目的としていた。当初の提案は、従来の機械学習および深層学習システムに焦点を当て、それらを害を及ぼす可能性によって分類していた。
立法過程において、ChatGPTなどの生成AIシステムの台頭により、大幅な修正が促された。当初の枠組みでは、さまざまな分野にわたる幅広いタスクを実行できる汎用モデルに適切に対処できていなかった。2023年には、基盤モデルと大規模言語モデルを対象とする、汎用AI専用のカテゴリを追加するために草案が改訂された。この改訂により、ChatGPTやその他の大規模言語モデルのようなシステムは、より限定的なアプリケーションとは異なる規制上の扱いが必要であることが認識された。
議会承認と理事会採択
欧州議会は、広範な交渉と修正を経て、2024年3月13日にAI法を可決した。議会版では、基本権に関する規定が強化され、高リスクシステムに対する基本権影響評価の要件が追加され、生成AIに対する透明性義務が拡大された。EU理事会は2024年5月21日に最終テキストを全会一致で承認し、立法プロセスが完了した。
最終規則は2024年7月に欧州連合官報で公表され、2024年8月1日に発効した。段階的な実施スケジュールにより、義務の適用日は異なり、許容不能なリスクを持つアプリケーションの禁止は、高リスクシステムの要件よりも早期に発効する。
リスクカテゴリの詳細
この法律は、4つの主要なリスクカテゴリと、汎用AIのための別のカテゴリを確立する。許容不能なリスクを持つアプリケーションは、特定の例外を除き、全面的に禁止される。これには、人間の行動を操作するAI、公共空間でのリアルタイムの遠隔生体認証、個人の特性や行動に基づいて個人をランク付けするソーシャルスコアリングシステムが含まれる。
高リスクのアプリケーションは、健康、安全、または基本権に重大な脅威をもたらすと予想されるものである。これには、医療、教育、採用、重要インフラ管理、法執行、司法で使用されるAIシステムが含まれる。これらのシステムは、品質、透明性、人間による監視、安全性に関する義務を満たさなければならない。一部のシステムは、展開前に基本権影響評価を受ける必要があり、これは基本権への潜在的な影響を特定し緩和するための事前評価である。高リスクシステムは、市場投入前とライフサイクル全体の両方で評価されなければならない。高リスクアプリケーションのリストは、AI法自体を修正することなく、時間の経過とともに拡大できる。市民は、AIシステムについて苦情を申し立てる権利と、自身の権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定的リスクのシステムは透明性義務を負い、ユーザーがAIと対話していることを認識し、情報に基づいた選択を行えるようにする。このカテゴリには、ディープフェイクなど、画像、音声、またはビデオを生成または操作するアプリケーションが含まれる。最小リスクのシステム（ビデオゲームAIやスパムフィルターなど）は規制の対象外であり、最大限の調和規則により、加盟国は追加の規制を課すことはできない。
汎用AIに関する規定
2023年に追加された汎用AIカテゴリは、生成AIシステムを含む、幅広いタスクを実行できる基盤モデルを対象とする。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの要約と著作権ポリシーを公開しなければならない。クローズドソースモデルは、より広範な透明性要件を満たさなければならない。システム的リスクをもたらす高性能モデル（トレーニングに1025回を超える浮動小数点演算を必要とするものと定義）は、追加の評価を受けなければならない。
2025年7月10日に公表された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章で構成され、プロバイダーが適合性を実証するのに役立つ。規範への参加は任意である。基本的な透明性義務に加えて、この法律は汎用AIモデルプロバイダーに対する共通の義務リストを定めている。プロバイダーは、トレーニングデータの要約を公開し、著作権コンプライアンスポリシーを採用し、下流のプロバイダーおよび監督当局に技術文書を提供しなければならない。システム的リスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価および緩和し、重大なインシデントを報告し、適切なサイバーセキュリティを確保することも求められる。
免除と範囲
第2.3条および第2.6条は、軍事または国家安全保障目的、または純粋な科学研究開発に使用されるAIシステムをAI法から免除する。この規則は、AIシステムがもっぱら軍事、防衛、または国家安全保障目的で使用される場合、またはもっぱら科学研究のために開発され使用されるシステムには適用されない。この免除は、イノベーションと規制のバランスをとりつつ、安全保障問題に対する加盟国の管理を維持する必要性を認識している。
実施と執行
この法律は、各国の協力を促進し、規則の遵守を確保するために、欧州人工知能委員会を設立する。欧州AI委員会は、一般データ保護規則によって確立されたガバナンス構造と同様に、加盟国全体の監督当局を調整する。段階的な実施スケジュールは執行スケジュールに詳述されており、発効後6、12、24、36か月の時点で異なる義務が発動する。
域外適用範囲により、EU域内にユーザーがいる場合、EU域外のプロバイダーも遵守する必要がある。これはGDPRのアプローチを反映しており、米国、中国、その他の主要なAI市場を含む世界的なAI開発者に重大な影響を与える。この法律のリスクベースの枠組みは、製品安全モデルに従い、規制上の義務はプロバイダーとデプロイヤーに割り当てられ、健康、安全、または基本権への潜在的な影響が増すにつれて義務はより厳しくなる。
より広い文脈と影響
AI法は、地域レベルで人工知能を規制する最初の包括的な試みの1つを表している。その制定は、現代の大規模言語モデルの基盤となるトランスフォーマーアーキテクチャを含む、機械学習および深層学習技術の急速な進歩と並行して進められた。立法スケジュールは、急速に進化する分野を規制するという課題を反映しており、2023年の改訂は生成AIツールの爆発的な成長に対応するものであった。
この法律のアプローチは他の法域での議論に影響を与えてきたが、その完全な影響は実施が進むにつれて明らかになるだろう。欧州議会調査サービスは、委員会の影響評価の初期評価を提供し、政策オプションを比較する際に利害関係者との協議と既存の研究を利用した。法律学者は、この法律が「信頼できるAI」を安全性とリスクの閾値への適合性を実証できるシステムとして位置づけ、AIガバナンスへのコンプライアンス重視のアプローチを確立していると指摘している。
段階的な展開により、組織は適応する時間を得られるが、特に高リスクおよび汎用AIに関する要件の複雑さは、テクノロジーセクター全体で重大なコンプライアンス活動を生み出している。この法律の発効時点では、EU内外のAI開発者、デプロイヤー、ユーザーに対する完全な運用上の影響はまだ明らかになりつつある。