人工知能法（AI法）は、欧州連合の規則であり、EU域内における人工知能に関する共通の規制および法的枠組みを確立するものである。本法は2024年8月1日に発効し、その後の6か月から36か月の間に段階的に規定が適用される。本法は、広範な分野にわたるほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的、または非職業的用途にのみ使用されるAIは適用除外となる。製品規制の一形態として、本法は個人の権利を創設するものではなく、AIプロバイダーおよび職業的状況でAIを利用する組織に義務を課すものである。
本法は、適用除外されないAIアプリケーションを、害を引き起こすリスクに基づいて4つのレベル（許容不能、高、限定的、最小）に分類し、さらに汎用AIのための追加カテゴリーを設けている。許容不能なリスクを持つアプリケーションは禁止される。高リスクのアプリケーションは、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。限定的リスクのアプリケーションは、透明性義務のみを負う。最小リスクのアプリケーションは規制の対象とならない。汎用AIについては、透明性要件が課され、オープンソースモデルには要件が軽減され、高能力モデルには追加の評価が課される。本法はまた、国家間の協力を促進し、規則の遵守を確保するために、欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、本法はEU域内にユーザーがいる場合、EU外のプロバイダーにも域外適用される可能性がある。
立法経緯
欧州委員会は2021年4月21日にAI法を提案した。草案は、ChatGPTなどの生成AIシステムの普及に対応するため改訂された。これらのシステムの汎用能力は、主要な枠組みに適合しなかったためである。欧州議会は2024年3月13日に本法を可決し、EU理事会は2024年5月21日に全会一致で承認した。この規則は2024年8月1日に発効し、その後の6か月から36か月の間に段階的に規定が適用される。
リスクカテゴリー
AI法はリスクベースのアプローチを採用し、AIシステムのプロバイダーおよび導入者に規制上の義務を課している。これらの義務は、健康、安全、または基本権への潜在的な影響が大きくなるにつれて、より厳しくなる。この構造により、重大なリスクを生み出す可能性が高いシステムに監視が集中し、それほど重要でないと見なされる用途にはより軽いアプローチが可能となる。
許容不能なリスク
このカテゴリーのAIアプリケーションは、特定の適用除外を除き、禁止される。適用除外が適用されない場合、これには人間の行動を操作するAIアプリケーション、公共空間でのリアルタイム遠隔生体認証（顔認識など）を使用するもの、およびソーシャルスコアリング（個人の特性、社会経済的地位、または行動に基づいて個人をランク付けするもの）に使用されるものが含まれる。
高リスク
健康、安全、または人の基本権に重大な脅威をもたらすと予想されるAIアプリケーションは、このカテゴリーに分類される。特に、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムが含まれる。これらは、品質、透明性、人間による監視、安全性に関する義務の対象となり、場合によっては、導入前に基本権影響評価（FRIA）が必要となる。FRIAは、AIシステムが導入される前に、基本権への潜在的な影響を特定し、緩和するための事前審査である。アルゴリズム影響評価に関する初期の研究では、このようなツールは、自動化システムの影響を受ける個人とコミュニティを特定し、起こり得る害を説明し、その使用に対する公的および制度的な監視の基盤を提供すべきであることが示唆されている。高リスクシステムは、市場に投入される前とライフサイクル全体を通じて評価されなければならない。高リスクアプリケーションのリストは、AI法自体を修正することなく、時間の経過とともに拡大できる。市民は、AIシステムについて苦情を提出する権利と、自分の権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定的リスク
このカテゴリーのAIシステムは透明性義務を負い、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができるようにする。このカテゴリーには、ディープフェイクなど、画像、音声、または動画を生成または操作するAIアプリケーションが含まれる。
最小リスク
このカテゴリーには、ビデオゲームやスパムフィルターに使用されるAIシステムが含まれる。ほとんどのAIアプリケーションはこのカテゴリーに分類されると予想される。これらのシステムは規制されておらず、最大調和規則により、加盟国は追加の規制を課すことができない。このようなシステムの設計または使用に関する既存の国内法は無効となる。ただし、自主的な行動規範が提案されている。
汎用AIの義務
2023年に追加された汎用AIカテゴリーには、幅広いタスクを実行できる基盤モデル（ChatGPTなど）が含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの概要と著作権ポリシーを公開しなければならない。クローズドソースモデルは、より広範な透明性要件を満たさなければならない。システムリスクをもたらす高影響モデル（トレーニングに1025回以上の浮動小数点演算を必要とするもの）は、追加の評価を受けなければならない。
これらの基本的な透明性義務に加えて、本法は汎用AIモデルのプロバイダーに対する共通の義務リストを定めている。プロバイダーは、トレーニングデータの概要を公開し、著作権法を遵守するポリシーを採用し、下流のプロバイダーおよび監督機関に技術文書を提供しなければならない。システムリスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価および緩和し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保しなければならない。
2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性およびセキュリティに関する3つの主要な章を概説し、プロバイダーがAI法への準拠を示すのに役立つ。規範への参加は任意である。
適用除外
第2.3条および第2.6条は、軍事または国家安全保障目的、または純粋な科学研究開発に使用されるAIシステムをAI法から適用除外する。この規則は、AIシステムが軍事、防衛、または国家安全保障目的にのみ使用される場合、または科学研究のみを目的として開発および運用されるシステムには適用されない。
実施と執行
本法は、国家間の協力を促進し、規則の遵守を確保するために、欧州人工知能委員会を設立する。段階的な実施により、発効後6か月から36か月の間に、異なる義務が異なる時期に適用されることになる。域外適用範囲はGDPRと同様であり、EU域内にユーザーがいる場合、EU外のプロバイダーにも適用される。
評価と分析
リスクベースのスキームは製品安全モデルに従い、「信頼できるAI」を安全性とリスクの閾値への準拠を示すことができるシステムとして位置づけている。欧州議会調査サービスによる初期評価によると、委員会の影響評価は、このリスクベースの枠組みの政策オプションを比較する際に、利害関係者への協議と幅広い既存研究を活用した。