欧州連合理事会は2024年5月21日、人工知能法（AI法）に最終承認を与え、2021年4月21日の欧州委員会による提案から始まった立法プロセスを締めくくった。加盟国閣僚による全会一致の投票は、この規則が発効する前の最後の主要なハードルとなり、Artificial intelligenceを規律する世界初の包括的な法的枠組みの舞台を整えた。この法律は2024年3月13日に欧州議会を既に通過しており、その最終文書には、OpenAIのChatGPTなどのGenerative AIシステムの急速な台頭に対応して行われた重要な修正が盛り込まれた。これらのシステムの汎用能力は、当初のリスクベースの枠組みには適合しなかった。
この規則は正式に2024年8月1日に発効し、その規定はその後6か月から36か月の間に段階的に適用される予定である。この段階的実施は、企業、国内当局、およびAIシステムの提供者に、新たな義務に適応するための十分な時間を与えるように設計された。AI法は、全EU加盟国にわたるAIの共通の規制および法的枠組みを確立し、幅広い分野のほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的、または非職業的使用にのみ使用されるAIは除外される。製品規制の一形態として、これは個人の権利を創設するものではなく、代わりにAI提供者および専門的状況でAIを使用する組織に義務を課すものである。
リスクベースの分類
この法律は、非免除のAIアプリケーションを、許容不能、高、限定的、最小の4つのリスクレベルに分類し、さらに汎用AIの追加カテゴリーを設けている。このリスクベースのスキームは製品安全モデルに従い、規制上の義務は提供者と展開者に割り当てられ、健康、安全、または基本権への潜在的な影響が大きくなるにつれて、その義務はより厳しくなる。この構造により、重大なリスクを生み出す可能性が高いシステムに監視が集中し、感度の低い用途にはより軽いアプローチが可能になる。
許容不能なリスクを持つアプリケーションは、特定の免除を除いて全面的に禁止される。これには、人間の行動を操作するAIシステム、公共空間でのリアルタイムの遠隔生体認証（顔認識など）を使用するシステム、および個人の特性、社会経済的地位、または行動に基づいて個人をランク付けする社会的スコアリングシステムが含まれる。高リスクのアプリケーションは、セキュリティ、透明性、および品質に関する義務を遵守し、展開前に適合性評価を受ける必要がある。これには、健康、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムが含まれ、場合によっては基本権影響評価（FRIA）も受ける必要がある。これは、基本権への潜在的な影響を特定し緩和するための事前審査である。
限定的リスクのアプリケーションには透明性義務のみがあり、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができるようにする。このカテゴリーには、ディープフェイク生成ツールや、画像、音声、またはビデオを操作する他のシステムが含まれる。最小リスクのアプリケーション（ビデオゲームやスパムフィルターのAIなど）は規制されておらず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。ほとんどのAIアプリケーションはこのカテゴリーに該当すると予想され、ベストプラクティスのための自主的な行動規範が提案されている。
汎用AIの規定
2023年に追加された汎用AIカテゴリーは、大規模言語モデルや他のMachine learningシステムを含む、幅広いタスクを実行できる基盤モデルに対応する。モデルの重みと設計がオープンソースにされた場合、開発者はトレーニングデータの要約と著作権ポリシーを公開する必要がある。クローズドソースのモデルは、より広範な透明性要件を満たす必要がある。システム的リスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とすると定義される）は、モデル評価、敵対的テスト、バイアスとセキュリティ障害のリスク評価、重大インシデントの報告、および適切なサイバーセキュリティ対策を含む追加の評価を受けなければならない。
基本的な透明性義務に加えて、汎用AIモデルの提供者は、トレーニングデータの要約を公開し、著作権法を遵守するポリシーを採用し、下流の提供者および監督当局に技術文書を提供する必要がある。2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、および安全性とセキュリティに関する3つの主要な章を概説し、提供者がコンプライアンスを実証するのに役立つ。この規範への参加は任意である。
免除と域外適用
この法律の第2.3条および第2.6条は、軍事、防衛、または国家安全保障の目的にのみ使用されるAIシステム、および純粋な科学研究開発を免除する。この規則はまた、これらの目的のためだけに開発され運用されるシステムには適用されない。EUの一般データ保護規則と同様に、AI法は、EU内にユーザーがいる場合、EU外の提供者にも域外適用される可能性がある。つまり、Google DeepMind、Anthropic、またはAmazon Web Servicesなどの企業がEUの顧客にAIサービスを提供する場合、本社の場所に関係なく遵守する必要がある。
ガバナンスと執行
この法律は、国内の協力を促進し、規則の遵守を確保するために、欧州人工知能委員会を創設する。この委員会は、加盟国全体の監督当局を調整し、規則の一貫した適用を促進する。市民は、AIシステムについて苦情を提出し、自分の権利に影響を与える高リスクAIによる決定の説明を受ける権利を有する。高リスクアプリケーションのリストは、AI法自体を修正することなく時間の経過とともに拡大でき、枠組みが新たなリスクに適応できるようにする。
立法の経緯と修正
欧州委員会の2021年4月21日の当初提案は、利害関係者との協議と幅広い既存研究に基づいていたと、欧州議会調査サービスによる初期評価は述べている。草案は、交渉中に、その汎用能力が主要な枠組みに適合しなかった生成AIシステムの人気の高まりに対処するために修正された。最終文書は、技術企業、市民社会組織、学術機関を含むさまざまな利害関係者からの意見を組み込み、イノベーションの懸念と基本権保護のバランスを取った。
2024年5月21日のEU理事会による全会一致の承認は、重要な政治的成果を表し、AI規制に関する超党派および超国家的なコンセンサスを示した。段階的実施スケジュールは、異なる規定が異なる時期に適用されることを意味し、最も緊急の禁止と透明性要件が最初に発効し、その後、高リスクシステムと汎用AIモデルへの義務が続く。
産業への影響
AI法の域外適用範囲と包括的なカバレッジは、世界中の主要な技術企業が開発および展開の慣行を調整しなければならないことを意味する。Large language modelシステム、Neural networkベースのアプリケーション、および他のAIツールの提供者は、トレーニングデータを文書化し、著作権ポリシーを実装し、リスク評価を実施する必要がある。オープンソースとクローズドソースのモデルの区別は、異なるコンプライアンス負担を生み出し、企業がAIシステムをリリースする方法に影響を与える可能性がある。この法律のリスクベースのアプローチは、高リスクのAIアプリケーションが最も厳しい要件に直面する医療、教育、法執行などのセクターにも影響を与える。
より広い文脈
AI法は、包括的な立法を通じて世界標準を確立するというEUのパターンに従い、技術規制における画期的な出来事を表す。そのリスクベースの枠組みは、同様のアプローチを検討している他の管轄区域の規制当局によって研究されてきた。この法律の透明性、人間の監視、および基本権保護への強調は、民主主義、プライバシー、および個人の自律性に対するAIの影響に関するより広い社会的懸念を反映している。規定が段階的に運用されるにつれて、実際の実施は世界中の産業、市民社会、および政策立案者によって注意深く見守られるだろう。
この規則の成功は、国内当局と欧州人工知能委員会による効果的な執行、およびAI提供者の協力にかかっている。最小リスクアプリケーションのための自主的な行動規範と汎用AI行動規範は、コンプライアンスのためのガイダンスを提供し、この法律の柔軟性は、AI技術が進化するにつれて将来の更新を可能にする。したがって、2024年5月21日の理事会の承認は終わりではなく始まりを意味した。すなわち、EUで運用されるAIシステムが、健康、安全、および基本権を保護するために設計された明確で執行可能な規則へのコンプライアンスを実証しなければならない新しい時代の始まりである。