The General-Purpose AI Code of Practiceは、2025年に欧州委員会が公表した規制文書の草案であり、EU AI法に基づき、汎用人工知能（GPAI）モデルの提供者に課せられた義務を具体化することを目的としている。このコードは、大規模言語モデルやその他の生成AIシステムを含む基盤モデルを開発・展開する企業に対し、立法上の高水準の要件を具体的かつ実行可能な措置に変換するものである。これは、EUがAIガバナンスの世界的な基準を確立し、革新と基本的人権保護のバランスを取るための取り組みにおける重要な一歩を示す。
このコードは、産業界の代表者、市民社会組織、学界、独立した専門家が関与するマルチステークホルダープロセスを通じて策定された。これは、透明性と著作権コンプライアンス、リスクの特定と評価、内部リスク管理、システム的リスクの評価と緩和という4つの主要な柱に対応している。草案はパブリックコメントのために公表され、ステークホルダーと欧州AIオフィスからのフィードバックを反映した最終版が予定されている。
背景と法的根拠
2024年に正式に採択されたEU AI法は、AIシステムに対するリスクベースの規制枠組みを導入した。大規模データで訓練され、幅広いタスクを実行できるGPAIモデルは、同法の第51条から第56条に基づき、技術文書の提供、訓練データの要約の公表、EU著作権法の尊重に関するポリシーの実施など、特定の義務の対象となる。システム的リスクを持つモデル（高い計算能力または重大な影響力を持つもの）には、敵対的テストやインシデント報告などの追加要件が適用される。
Code of Practiceは独立した法的文書ではなく、欧州委員会がコンプライアンスのベンチマークとして使用することを意図したガイダンス文書である。コードを遵守する提供者は、AI法のGPAI規定に適合していると推定される。この「ソフトロー」アプローチは、欧州委員会が欧州標準化機関を通じて調和された基準を開発する間、明確性と柔軟性を提供することを目的としている。
策定プロセス
2024年11月、欧州AIオフィスはコードの草案作成のための協議プロセスを開始した。4つの作業部会が設置され、それぞれが特定の柱に焦点を当てた。作業部会には、OpenAI、Anthropic、Google DeepMind、Amazon Web Servicesなどの大手テクノロジー企業の代表者に加え、欧州のスタートアップ、Access Nowなどの市民社会団体、MIT CSAILやStanford AI Labなどの学術機関が含まれていた。プロセスは、コンピューター科学者のMichael I. Jordanや法学者のMarietje Schaakeなどの独立した専門家が議長を務めた。
作業部会は数ヶ月にわたり、オンラインと対面で会合を重ね、反復的な草案を作成した。最初の完全な草案は2025年4月14日に公表され、その後6週間のパブリックコメント期間が設けられた。40か国から500件以上の提出物が寄せられ、EUのAI規制に対する世界的な関心を反映している。最終版は2025年後半に採択される予定で、提供者が慣行を整合させるための移行期間が設けられる。
柱1：透明性と著作権
最初の柱は、GPAI提供者に対し、モデルアーキテクチャ、訓練データソース、使用された計算リソースを含む詳細な技術文書の維持を義務付ける。提供者は、AI法第53条(1)(a)に基づき、訓練コンテンツの十分に詳細な要約を公表しなければならない。コードは、この要約にデータカテゴリ、言語、データセットの出所に関する情報を含めるべきであると規定しているが、営業秘密は尊重される。
著作権コンプライアンスは中心的な関心事である。コードは、提供者に対し、機械可読なオプトアウトプロトコルの使用など、著作権者が表明した権利留保を特定し尊重するための最先端の措置を実装することを義務付ける。また、テキストおよびデータマイニングの例外に関するEUデジタル単一市場著作権指令の遵守ポリシーを文書化することも要求される。草案は、提供者が著作権関連の苦情とその解決策の記録を維持すべきであると示唆している。
柱2：リスクの特定と評価
2番目の柱は、GPAIモデルに関連するリスクを特定し評価するための内部プロセスに焦点を当てている。提供者は、データ収集と訓練から展開と市場後監視までのモデルライフサイクル全体をカバーするリスク管理システムを確立しなければならない。コードは、NIST AIリスク管理フレームワークなどの既存の枠組みに基づく構造化されたアプローチを推奨し、EUの文脈に適応させている。
具体的なリスクカテゴリには、バイアスと差別、プライバシー侵害、安全性の失敗、偽情報やサイバー攻撃への悪用の可能性が含まれる。提供者は、特に高い能力を持つモデルについて、レッドチーミング演習と敵対的テストを実施することが期待される。コードはまた、バイアス（例：人口統計学的パリティ）や堅牢性（例：分布シフト下でのパフォーマンス）を測定するための指標を含む、リスク評価方法論の文書化を要求する。
柱3：内部リスク管理
3番目の柱は、ガバナンスと運用上の措置を詳述する。提供者は、AIコンプライアンスの責任者またはチームを任命し、明確な説明責任のラインを設けなければならない。コードは、倫理学者や法律専門家を含む多様な視点を取り入れた内部レビューボードを設置し、リスク決定を監督することを推奨する。スタッフ向けのAI安全性と倫理に関するトレーニングプログラムも義務付けられている。
技術的措置には、意図しない行動を減らすためのModel Pruningやその他の最適化技術の実装、モデル更新のバージョン管理と監査証跡の維持が含まれる。提供者はまた、重大なインシデントを15日以内に欧州AIオフィスに報告する手順を含む、インシデント対応プロトコルを確立しなければならない。コードは、モデルの堅牢性を向上させ、既知の障害モードを減らす方法として、Data AugmentationとCurriculum Learningの重要性を強調している。
柱4：システム的リスクの評価と緩和
システム的リスクがあると見なされるモデル（訓練実行ごとに10^25回以上の浮動小数点演算を必要とするものと定義）に対しては、コードは追加の義務を課す。提供者は、標準化されたベンチマークとストレステストを使用した包括的な評価を実施しなければならない。これには、サイバー攻撃能力、化学的または生物学的兵器の知識、自律複製の可能性の評価が含まれる。草案は、フロンティアAIリスク評価に関するBAIR (Berkeley AI Research)とUniversity of Oxfordの方法論を参照している。
緩和措置には、訓練を安定させるためのReinforcement Learning from AI Feedback (RLAIF)（AIフィードバックからの強化学習）とGradient Clippingの実装、生成行動を制御するためのTop-K SamplingとTemperature Scalingの展開が含まれる。提供者はまた、安全性の調査結果を欧州AIオフィスと、適切な場合には他の提供者と共有することを約束しなければならない。コードは、AnthropicやGoogle DeepMindが主導する共同安全性研究イニシアチブへの参加を奨励している。
業界の反応と批判
草案コードには賛否両論がある。大手テクノロジー企業は概ね、提供される明確性を歓迎したが、コンプライアンスコストと過剰規制の可能性について懸念を表明した。OpenAIとAnthropicはコードの要件を満たすことを公に約束した一方、Google CloudとMicrosoft Azureは断片化を避けるための国際的な整合性の必要性を指摘した。AI21 LabsやMistral AIなどの欧州のスタートアップは、文書化への強調がリソースの限られた小規模プレーヤーに不利に働く可能性があると主張した。
市民社会組織は透明性と著作権への焦点を称賛したが、拘束力のある執行メカニズムの欠如を批判した。Melanie MitchellやAleksander Madryを含む一部の学者は、現在の評価方法では創発的能力を予測するには不十分であると指摘し、提案されたリスク評価の実現可能性に疑問を呈した。独立諮問機関であるOpenPanelは、訓練データの公開に関するより強力な規定と、より厳格な第三者監査を推奨した。
次のステップと実施スケジュール
欧州委員会は、協議からのフィードバックを組み込み、2025年12月までにコードを最終化する計画である。採択後、コードは2026年8月2日に発効し、GPAI義務に関するAI法の一般的な適用日と一致する。提供者には慣行を整合させるための6ヶ月の移行期間が与えられ、欧州AIオフィスは2027年初頭からコンプライアンスチェックを実施する。
このコードは、EU域外のAIガバナンスにも影響を与えると予想され、カナダや日本などの他の管轄区域が同様の枠組みの採用に関心を示している。Artificial intelligenceコミュニティは、特にシステム的リスクの閾値がどのように適用されるか、コードが革新と公共の安全のバランスをうまく取れるかどうかに注目し、その実施を注意深く監視するだろう。2025年半ばの時点で、最終テキストは変更される可能性があり、ステークホルダーは引き続きルールメイキングプロセスに関与している。