人工知能法（AI法）は、欧州連合（EU）における人工知能（AI）に関する規則であり、EU域内でのAIに関する共通の規制・法的枠組みを確立するものである。この規則は2024年8月1日に発効し、その規定はその後6か月から36か月の間に段階的に適用される。この規則は、幅広い分野のほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的、または非職業的目的でのみ使用されるAIは例外とされる。製品規制の一形態として、個人の権利を創設するものではなく、AI提供者と職業的状況でAIを使用する組織に義務を課すものである。
この法律は、非免除のAIアプリケーションを害を引き起こすリスクに基づいて分類し、4つのレベル（許容不能、高リスク、限定的リスク、最小リスク）と、汎用AIのための追加カテゴリを設けている。許容不能なリスクを持つアプリケーションは禁止される。高リスクのアプリケーションは、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。限定的リスクのアプリケーションは、透明性義務のみが課される。最小リスクのアプリケーションは規制されない。汎用AIについては、透明性要件が課され、オープンソースモデルでは要件が軽減され、高能力モデルでは追加の評価が求められる。この法律はまた、国内協力を促進し、規則の遵守を確保するために欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、この法律はEU域外の提供者に対しても、EU域内にユーザーがいる場合には域外適用される可能性がある。
立法経緯
欧州委員会によって2021年4月21日に提案されたこの法律の草案は、2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。草案は、ChatGPTなどの生成AIシステムの人気上昇に対応するために改訂され、その汎用能力は主要な枠組みに適合しなかった。最終テキストは2024年7月にEU官報で公表され、規則は2024年8月1日に発効した。段階的適用のタイムラインにより、許容不能なリスクシステムの禁止は2025年2月に適用され、汎用AIの義務とガバナンス規則は2025年8月に続き、ほとんどの高リスクシステム要件は2026年8月以降に予定されている。
リスクカテゴリ
この法律は、製品安全モデルに従ったリスクベースのスキームを確立し、規制上の義務はAIシステムの提供者と展開者に割り当てられ、健康、安全、または基本権への潜在的な影響が増大するにつれて義務はより厳しくなる。この構造により、重大なリスクを生み出す可能性のあるシステムに監視が焦点を当て、感度の低い用途にはより軽いアプローチが可能になる。
許容不能なリスク
このカテゴリのAIアプリケーションは、特定の例外を除いて禁止される。例外が適用されない場合、これには人間の行動を操作するAIアプリケーション、公共空間でのリアルタイムの遠隔生体認証（顔認識など）を使用するもの、およびソーシャルスコアリング（個人の特性、社会経済的地位、または行動に基づいて個人をランク付けする）に使用されるものが含まれる。これらの禁止は、発効から6か月後の2025年2月に施行された。
高リスク
人の健康、安全、または基本権に重大な脅威をもたらすと予想されるAIアプリケーションは、このカテゴリに分類される。特に、健康、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムが含まれる。これらは、品質、透明性、人間の監視、安全性に関する義務の対象となり、場合によっては展開前に基本権影響評価（FRIA）が必要となる。FRIAは、AIシステムが展開される前に基本権への潜在的な影響を特定し緩和するための事前審査である。アルゴリズム影響評価に関する初期の研究では、そのようなツールは、自動化システムの影響を受ける個人とコミュニティを特定し、潜在的な害を説明し、その使用に関する公的・制度的監視の基盤を提供すべきであると示唆されている。高リスクシステムは、市場に投入される前とライフサイクル全体を通じて評価されなければならない。高リスクアプリケーションのリストは、AI法自体を変更せずに時間の経過とともに拡大できる。市民はまた、AIシステムに関する苦情を提出し、自分の権利に影響を与える高リスクAIによる決定の説明を受ける権利を有する。
限定的リスク
このカテゴリのAIシステムには透明性義務があり、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができるようにする。このカテゴリには、ディープフェイクなど、画像、音声、またはビデオを生成または操作するAIアプリケーションが含まれる。これらの透明性義務は2026年8月から適用されるが、汎用AIの透明性に関連する一部の規定はより早く施行された。
最小リスク
このカテゴリには、ビデオゲームやスパムフィルターに使用されるAIシステムが含まれる。ほとんどのAIアプリケーションはこのカテゴリに分類されると予想される。これらのシステムは規制されておらず、最大限の調和規則により、加盟国は追加の規制を課すことはできない。そのようなシステムの設計または使用に関する既存の国内法は無効とされる。ただし、自主的な行動規範が推奨される。
汎用AI
2023年に追加された汎用AIカテゴリには、ChatGPTなど、幅広いタスクを実行できる基盤モデルが含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの要約と著作権ポリシーを公開する必要がある。クローズドソースモデルは、より広範な透明性要件を満たす必要がある。システムリスクをもたらす高影響モデル（トレーニングに10^25回以上の浮動小数点演算を必要とする）は、追加の評価を受けなければならない。2025年7月10日に公表された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章を概説し、提供者がAI法への準拠を示すのに役立つ。規範への参加は任意である。
基本的な透明性義務に加えて、この法律は汎用AIモデルの提供者に対する共通の義務リストを設定している。彼らはトレーニングデータの要約を公開し、著作権法を遵守するポリシーを採用し、下流の提供者と監督当局に技術文書を提供しなければならない。システムリスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価・緩和し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保しなければならない。
免除
第2.3条と第2.6条は、軍事または国家安全保障目的、または純粋な科学研究開発に使用されるAIシステムをAI法から免除する。この規則は、AIシステムが軍事、防衛、または国家安全保障目的のみに使用される場合、または科学研究のみを目的として開発され運用されるシステムには適用されない。さらに、非職業的な個人活動に使用されるAIは範囲外となる。これらの免除により、Bhabha Atomic Research Centreなどの組織による防衛関連のAI開発は、この法律の義務の対象とならない。
執行とガバナンス
この法律は、国内協力を促進し、規則の遵守を確保するために欧州人工知能委員会を設立する。各加盟国は、AIシステムの市場監視と監督のための権限ある国内当局を指定しなければならない。欧州委員会は、システムリスクモデルの指定を含む、汎用AIモデルの監督において中心的な役割を果たす。執行メカニズムには、不遵守に対する罰金が含まれ、禁止行為の場合には最大3500万ユーロまたは世界年間売上高の7%に達する可能性があり、他の違反にはより低い上限が設定されている。域外適用の範囲により、OpenAI、Anthropic、Google DeepMindなどの主要テクノロジー企業を含むEU域外の提供者は、EU域内のユーザーにAIサービスを提供する場合、遵守しなければならない。
実施タイムライン
段階的適用は、2025年2月の許容不能リスクシステムの禁止から始まった。ガバナンス規則と汎用AI義務（AI委員会の設立と行動規範を含む）は2025年8月に適用された。限定的リスクシステムの透明性義務とほとんどの高リスクシステム要件は、2026年8月から適用される予定である。医療機器や車両などの規制製品に組み込まれた高リスクシステムは、2027年8月まで延長されたタイムラインがある。この段階的アプローチにより、提供者と展開者はコンプライアンスフレームワークを適応させる時間を確保できる。
影響と評価
法律学者は、この法律が「信頼できるAI」を、安全性とリスクのしきい値への準拠を示すことができるシステムとして位置付けていると指摘している。欧州議会調査サービスによる初期評価によると、委員会の影響評価は、このリスクベースの枠組みの政策オプションを比較する際に、利害関係者協議と幅広い既存研究を活用した。この法律のアプローチは、世界的にAI規制の議論に影響を与えており、他の法域もEUモデルを検討している。しかし、一部の業界関係者は、小規模な提供者へのコンプライアンスコストについて懸念を表明しており、市民社会団体は、生体認証監視などの分野でのより強力な保護を主張している。最小リスクシステムの自主的な行動規範と汎用AI行動規範は、必須要件を超えたベストプラクティスを奨励する取り組みを表している。