EU AI Actは、人工知能に関する共通の規制枠組みを確立する欧州連合の規則である。2024年8月1日に発効し、規定は6か月から36か月かけて段階的に適用される。この規則は、AIアプリケーションをリスクカテゴリー（許容不能、高、限定的、最小限）に分類し、さらに汎用AI向けの特定カテゴリーを設けている。許容不能なリスクをもたらすとみなされるアプリケーションは全面的に禁止される。この規則は個人の権利を創設するものではないが、提供者と専門的な導入者に義務を課し、EU内に利用者がいる非EU提供者にも域外適用される可能性がある。
「許容不能なリスク」のある慣行の禁止は、この規則の最も重要な部分の一つである。これは、基本権と民主的価値を損なう可能性のある特定のAI利用に対して明確な線引きを行うという政策選択を反映している。この規則はある程度の柔軟性を認めているが、特定の免除が適用されない限り、これらの禁止は絶対的であり、欧州委員会は禁止の範囲を明確にするためのガイダンスを提供している。
禁止規定に基づく禁止慣行
この規則の禁止事項は、脆弱性を悪用し、行動を操作し、社会的スコアリングを可能にし、または特定の形態の生体認証監視を展開するAIシステムを対象としている。具体的には、以下のものがEU内で発生する場所を問わず、狭い例外を条件として許容不能とみなされる。
行動操作と悪用。 人の行動を歪め、重大な害を引き起こすように設計された、 subliminal（潜在意識下の）、操作的、または欺瞞的な技術を使用するAIシステムは禁止される。これには、年齢、障害、社会経済的状況などに関連する個人の脆弱性を悪用し、その慣行が行動を実質的に歪め、その人または別の人に害を引き起こす、または引き起こす可能性が高い場合が含まれる。例えば、危険な行為を子供に促す音声アシスタントを使用する玩具は禁止される。
社会的スコアリング。 この規則は、異なる文脈にわたる社会的行動に基づいて個人を評価または分類し、その結果得られる社会的スコアが、元のデータや状況に不釣り合いな不利益または不利な扱いにつながるAIシステムを禁止する。この禁止は、元のデータ収集とは無関係な文脈で悪い扱いをもたらす社会的信用スコアを、公的または私的機関が市民に割り当てる慣行を対象としている。
禁止事項は、最も有害とみなされる特定の慣行に対処し、欧州法を国民の期待と人権義務に沿わせるように設計されている。
リアルタイム生体認証監視
この規則は、法執行目的で公共にアクセス可能な空間におけるリアルタイムの遠隔生体認証のためのAIシステムを、狭く定義された状況を除いて禁止する。リアルタイムとは、遅延なく、大幅な遅れなしに処理が行われることを指す。この禁止は公共空間（例：公園、通り、スタジアム、およびそのような空間のデジタル版）に適用される。特に、セキュリティ目的で個人をリアルタイムに識別する顔認識技術を対象としている。
ただし、狭く明確に定義された例外により、特定の正当な目的または重大な利益のために必要である場合、法執行機関はこれらを使用できる。これには、国家安全保障または規則に明記された以下のものが含まれる：
- 特定の行方不明者の捜索。
- テロ攻撃の脅威。
- 殺人、児童性的虐待、強姦などの特定の重大犯罪の訴追または検出。使用が必要とみなされ、厳格な保護措置の下でのみ。
このような使用はすべて、独立した行政裁判所または行政機関による承認が必要である。承認は客観的証拠に基づき、目的を定義しなければならず、最終的に範囲を一般的な法的枠組みと矛盾しないように制限する。実際には、これらの例外により、法執行機関は適正手続きの要件が満たされれば、例外的な場合に遠隔生体認証を使用できる。
範囲と免除
いくつかのカテゴリーはAI Actの範囲外であり、軍事、防衛、または国家安全保障専用のAIシステム、および純粋な科学研究または開発に使用されるものは、第2.3条により含まれない。また、個人の非専門的使用のために展開されるAIは対象外である。禁止はそのようなシステムには適用されないが、EUの領域で禁止されたシステムを使用する組織を憲法上の保護から解放するものではない。
実施スケジュールと禁止
第5条で定義される許容不能なリスクのある慣行の禁止は、2025年2月2日から適用される。これは、2024年8月1日の発効から6か月後に設定された。この規則は、欧州委員会が2021年4月21日に提案し、欧州議会が2024年3月13日に採択し、EU理事会が2024年5月21日に承認した。最終テキストは、大規模言語モデルなどの汎用AIの台頭を考慮して強化され、操作的利用や感情認識に対応するために禁止事項もそれに応じて精緻化された。
猶予期間は、提供者が新しい制限に準拠するためにAIシステムを変更できるようにし、当局が準備できるように設計された。禁止以降、事業者と公的機関は、AIシステムが禁止された方法のいずれかに依存していないか、禁止カテゴリーに該当しないかを監査する必要がある。
限界的に、欧州委員会は解釈に関するガイダンスを発行しているが、文言が政治的妥協の産物であるため、依然としてかなり広範である。脆弱な人々への操作的使用など一部の慣行は、害が保証されていないか、意図が悪意でない場合、厳密には禁止されない。また、社会的信用の禁止は最も深刻な差別的扱いのみを対象としており、それほど深刻でない結果は高リスクカテゴリーや他の規制義務に該当する可能性がある。
執行と罰則
各EU加盟国は、市場監視を担当する当局を指定する。当局は違反に対して金銭的罰則を課す権限を持つ。禁止された慣行の場合、罰則は最大3500万ユーロまたは違反企業の全世界年間売上高の7%のいずれか高い方に達する可能性がある。これは一般データ保護規則（GDPR）のアプローチを反映しており、当局は特定のAIシステムを市場から禁止するなどの是正措置を発行することもできる。
域外適用のため、EU外に拠点を置く提供者は、EU内に認定された代理人を指定し、その代理人に説明責任を持たせる必要がある。企業が他に本社を置いていても、EU内の利用者にシステムを市場に投入またはサービスを提供する場合、依然として責任を負う可能性がある。
欧州人工知能委員会
規制枠組み全体を監督するため、この規則は欧州人工知能委員会を設立する。これは、各加盟国から1名ずつ計21名の代表者と、欧州データ保護監督官で構成される。これは国内監督当局を調整し、ガイダンスと意見を発行する。特に、禁止の解釈と運用に関する一貫したアプローチを促進する。
委員会は、明示的に禁止としてリストされていないが、その評価で許容不能とみなされる調査慣行においても重要な役割を果たす可能性があるが、自らの発意で行動する権限には限界がある。これは制限の実際の適用を監督する。
より広い文脈：AI Actのリスクモデル
禁止された慣行は、リスクピラミッドの頂点を表す。高リスクのAIアプリケーションは適合義務に直面し、限定的リスクのものは透明性義務を負い、Generative AIシステム（例：ディープフェイク）はAI生成であることを開示する必要がある。禁止リストは、個人と社会への実際の脅威に狭く焦点を当てている。
注意すべきは、高リスクアプリケーションのカテゴリーには一部の「生体認証識別」が含まれるが、これは禁止とは異なる。高リスクシステムは適合性評価を受ける必要があるが、法執行を支援しない場合、これは許可された使用である。例えば、犯罪データベースで指紋を照合するAIシステムは許容不能なリスクではないが、混雑した空間でのリアルタイムの遠隔生体認証は許容不能である。これが優先事項である。
AI Actは製品規制として、私的訴権を確立しないが、システム導入者に義務を課す。また、コンプライアンスのための調整と技術的アドバイスを提供するパネルも創設する。一部の影響評価では、特に実際の例外について、禁止された高リスクシステムの境界を明確にする必要性が指摘されている。欧州委員会はこの可能性を約束している。
潜在的な世界的影響
社会的スコアリングと生体認証の禁止は、カナダなどの他の法域がAI Actをモデルとして引用し、テック業界もある程度影響を受けている。特に、公共空間での生体認証識別の禁止は、安全性と基本権のために一部の使用はリスク評価では許容できないというコンセンサスを反映している。
最小限の生体認証識別の使用のための例外が悪用されるかどうかはまだ不明である。短期的には、OpenAI、Anthropic、Google DeepMindなどのテック大手は、法的な予防措置としてではなく、制限を反映するようにポリシーを適応させている。この禁止は、特定のAI慣行が民主的社会で決して受け入れられないという前例を設定した。
結論
EU AI Actの禁止された慣行は、この規則の際立った特徴である。強制的操作、社会的スコアリング、リアルタイム生体認証監視に対する明確な線引きは、制約のない技術進歩と衝突する場合に基本権を優先する主要な法的革新を示している。2025年初頭の時点で、企業はコンプライアンスのためにAIシステムを慎重に監査する必要があり、AI Actは残りの義務を段階的に導入しており、今後数年間で施行が予定されている。委員会の活動は禁止された慣行の正確な境界を解釈する上で重要であり、禁止は継続的な見直しの対象となる。法律の変更には修正が必要だが、EUは近い将来この分野を縮小する意図はない。
すべての行為において境界は調整可能であるが、許容不能なリスクの厳格な禁止は、AI ActとEUのデジタル政策の主要部分であり続けるだろう。