人工知能法（AI法）は、EU域内における人工知能（AI）に関する共通の規制・法的枠組みを確立する欧州連合の規則である。本法は2024年8月1日に発効し、その規定はその後6か月から36か月の間に段階的に適用される。本法は、非免除のAIアプリケーションを、害を及ぼすリスクに基づいて4つのレベル（許容不能、高、限定的、最小限）に分類し、さらに汎用AIのための追加カテゴリーを設けている。本法は、幅広い分野にわたるほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的のみに使用されるAI、または非職業的使用のためのAIは免除される。製品規制の一形態として、本法は個人の権利を創設するものではなく、AIプロバイダーおよび職業的状況でAIを使用する組織に義務を課すものである。
本法は、2021年4月21日に欧州委員会によって提案され、2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。草案は、ChatGPTなどの生成AIシステムの台頭に対応するために改訂された。これらのシステムの汎用能力は、主要な枠組みに適合しなかったためである。本法はまた、国内協力を促進し、コンプライアンスを確保するために、欧州人工知能委員会を設立する。EUの一般データ保護規則と同様に、本法は、EU域内にユーザーがいる場合、EU域外のプロバイダーにも域外適用される可能性がある。
リスクカテゴリー
リスクベースのスキームは、製品安全モデルに従い、規制上の義務がAIシステムのプロバイダーとデプロイヤーに割り当てられ、健康、安全、または基本権への潜在的な影響が増大するにつれて、これらの義務はより厳しくなる。この構造により、重大なリスクを生み出す可能性が高いシステムに監視が集中し、それほど敏感でない用途にはより軽いアプローチが可能になる。欧州議会調査サービスによる初期評価によると、委員会の影響評価は、政策オプションを比較する際に、利害関係者への協議と幅広い既存研究を活用した。
許容不能リスク
このカテゴリーのAIアプリケーションは、特定の免除を除いて禁止される。免除が適用されない場合、これには、人間の行動を操作するAIアプリケーション、公共空間でのリアルタイムの遠隔生体認証（顔認識など）を使用するもの、およびソーシャルスコアリング（個人の特性、社会経済的地位、または行動に基づいて個人をランク付けする）に使用されるものが含まれる。
高リスク
高リスクアプリケーションとは、健康、安全、または人の基本権に重大な脅威をもたらすと予想されるものである。特に、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムは、このカテゴリーに該当する。これらは、品質、透明性、人間による監視、および安全に関する義務の対象となり、場合によっては、展開前に基本権影響評価（FRIA）が必要となる。FRIAは、基本権への潜在的な影響を特定し、緩和するための事前評価である。アルゴリズム影響評価に関する初期の研究では、そのようなツールは、自動化システムの影響を受ける個人とコミュニティを特定し、起こり得る害を説明し、公的および制度的な監視の基礎を提供するべきであることが示唆されている。高リスクシステムは、市場に投入される前とライフサイクル全体の両方で評価されなければならない。高リスクアプリケーションのリストは、AI法自体を変更することなく、時間の経過とともに拡大できる。市民は、AIシステムについて苦情を申し立て、基本権に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定的リスク
限定的リスクAIシステムには透明性義務があり、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができるようにする。このカテゴリーには、例えば、画像、音声、または動画（ディープフェイクなど）を生成または操作するAIアプリケーションが含まれる。
最小限リスク
最小限リスクシステムには、ビデオゲームやスパムフィルターに使用されるAIが含まれる。ほとんどのAIアプリケーションはこのカテゴリーに該当すると予想される。これらのシステムは規制されておらず、加盟国は最大限の調和規則により追加の規制を課すことはできない。そのようなシステムの設計または使用に関する既存の国内法は無効とされる。ただし、自主的な行動規範が提案されている。
汎用AI
2023年に追加された汎用AIカテゴリーには、幅広いタスクを実行できる基盤モデル（生成AIモデルなど）が含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの要約と著作権ポリシーを公開する必要がある。クローズドソースモデルは、より広範な透明性要件を満たす必要がある。体系的なリスクをもたらす高影響モデル（トレーニングに10^25回を超える浮動小数点演算が必要）は、追加の評価を受けなければならない。2025年7月10日に公開された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章を概説し、プロバイダーがコンプライアンスを実証するのに役立つ。規範への参加は任意である。
基本的な透明性義務に加えて、本法は汎用AIモデルのプロバイダーに共通の義務リストを設定している。彼らは、トレーニングデータの要約を公開し、著作権法を遵守するためのポリシーを採用し、下流のプロバイダーおよび監督当局に技術文書を提供しなければならない。体系的なリスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価および緩和し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保しなければならない。
免除
第2.3条および第2.6条は、軍事または国家安全保障の目的、または純粋な科学研究開発に使用されるAIシステムをAI法から免除する。特に、この規則は、AIシステムが軍事、防衛、または国家安全保障の目的に排他的に使用される場合、または科学研究のみのために開発され運用されるシステムには適用されない。さらに、非職業的な個人活動に使用されるAIは免除される。
実施スケジュール
AI法は2024年8月1日に発効したが、その規定は段階的に適用される。許容不能リスクシステムの禁止は、約6か月後の2025年2月頃に適用可能となった。汎用AIモデルに関する義務は2025年8月から適用され、ほとんどの高リスクシステム要件は2026年8月から適用され、一部の規定は2027年まで延長される。この段階的アプローチにより、プロバイダーとデプロイヤーが適応する時間が確保される。
執行とガバナンス
本法は、加盟国と委員会の代表者で構成される欧州人工知能委員会を設立し、一貫した適用と協力を促進する。国内監督当局は、規制を執行する責任を負い、不遵守に対する罰則が設けられている。本法は、GDPRと同様に、EU域内でAIシステムが使用される場合、EU域外のプロバイダーにも域外適用される可能性がある。これにより、EUユーザーを対象とするAI製品およびサービスに対して、リスクベースの枠組みがグローバルな範囲を持つことが保証される。
影響と批判
法律学者は、本法が「信頼できるAI」を、安全およびリスクのしきい値へのコンプライアンスを示すことができるシステムとして位置付けていると指摘している。リスクベースのアプローチは、高影響のアプリケーションに焦点を当てていることで賞賛されているが、一部の批評家は、高リスクシステムの分類が過度に広範である可能性がある、または軍事および研究用途の免除がギャップを生み出す可能性があると主張している。また、機械学習および深層学習の急速な発展、特にAI機能が進化するにつれて、ペースを維持することの課題を指摘する者もいる。本法の透明性と人間による監視への強調は、他の法域にとってのモデルと見なされているが、その有効性は、実施が進むにつれて明らかになるであろう。
参考文献
- 欧州委員会提案、2021年4月21日
- 欧州議会通過、2024年3月13日
- EU理事会承認、2024年5月21日
- 発効、2024年8月1日
- 汎用AI行動規範、2025年7月10日