人工知能法（AI法）は、EU域内の人工知能（AI）に関する共通の規制・法的枠組みを確立する欧州連合の規則である。2024年8月1日に発効し、その後の6〜36か月にわたって段階的に施行される。本法は、幅広い分野にわたるほとんどのAIシステムを対象とするが、軍事、国家安全保障、研究目的、または非職業的用途にのみ使用されるAIは適用除外となる。製品規制の一形態として、個人の権利を創設するものではなく、AI提供者および業務上AIを使用する組織に義務を課すものである。
本法は、適用除外されないAIアプリケーションを、害を及ぼすリスクに基づいて4つのレベル（許容不能、高、限定的、最小限）に分類し、さらに汎用AIのための追加カテゴリーを設けている。許容不能なリスクを有するアプリケーションは禁止される。高リスクアプリケーションは、セキュリティ、透明性、品質に関する義務を遵守し、適合性評価を受けなければならない。限定的リスクアプリケーションには透明性義務のみが課され、最小限リスクアプリケーションは規制の対象外である。汎用AIについては透明性要件が課され、オープンソースモデルについては要件が軽減され、高能力モデルについては追加の評価が求められる。本法はまた、各国の協力を促進し遵守を確保するために、欧州人工知能委員会を設置する。EUの一般データ保護規則（GDPR）と同様に、本法はEU域内にユーザーがいる場合、EU域外の提供者にも域外適用される可能性がある。
立法経緯
欧州委員会は2021年4月21日にAI法を提案した。この草案は、ChatGPTのような生成AIシステムの人気の高まりに対応するために修正された。これらのシステムの汎用能力は、主要な枠組みには適合しなかったためである。欧州議会は2024年3月13日に本法を可決し、EU理事会は2024年5月21日に全会一致で承認した。最終文書はEU官報に掲載され、本規則は2024年8月1日に発効した。段階的な施行により、許容不能なリスクを有するシステムの禁止などの一部の規定は早期に適用され、高リスクシステムに関する義務などのその他の規定は後日適用される。
リスク区分
AI法は、製品安全モデルに従ったリスクベースの制度を確立している。規制上の義務はAIシステムの提供者と展開者に課され、健康、安全、または基本権への潜在的な影響が大きくなるほど、これらの義務はより厳しくなる。この構造により、監督は重大なリスクを生み出す可能性が高いシステムに焦点が当てられ、それほど重要でないとみなされる用途にはより軽いアプローチが許容される。一部の法律学者は、実際には本法が「信頼できるAI」を、これらの安全性とリスクの基準への適合を示すことができるシステムとして位置づけていると論じている。欧州議会調査サービスの初期評価によると、欧州委員会の影響評価は、このリスクベースの枠組みの政策オプションを比較する際に、利害関係者への協議と幅広い既存研究を活用した。
許容不能なリスク
このカテゴリーのAIアプリケーションは、特定の例外を除いて禁止される。例外が適用されない場合、これには人間の行動を操作するAIアプリケーション、公共空間でのリアルタイム遠隔生体認証（顔認識など）を使用するもの、およびソーシャルスコアリング（個人の特性、社会経済的地位、または行動に基づいて個人をランク付けするもの）に使用されるものが含まれる。
高リスク
健康、安全、または人の基本権に重大な脅威をもたらすと予想されるAIアプリケーションは、このカテゴリーに分類される。特に、医療、教育、採用、重要インフラ管理、法執行、または司法で使用されるAIシステムが含まれる。これらは品質、透明性、人間による監督、および安全性の義務の対象となり、場合によっては展開前に基本権影響評価（FRIA）が必要となる。基本権影響評価（FRIA）は、AIシステムが展開される前に、基本権への潜在的な影響を特定し緩和するための事前審査である。アルゴリズム影響評価に関する初期の研究では、そのようなツールは、自動化システムの影響を受ける個人とコミュニティを特定し、起こりうる害を説明し、その使用に対する公的および制度的な監視の基盤を提供すべきであると示唆されている。高リスクシステムは、市場に投入される前とライフサイクル全体の両方で評価されなければならない。高リスクアプリケーションのリストは、AI法自体を修正することなく、時間の経過とともに拡大することができる。市民はまた、AIシステムについて苦情を申し立てる権利と、その権利に影響を与える高リスクAIによる決定について説明を受ける権利を有する。
限定的リスク
このカテゴリーのAIシステムには透明性義務があり、ユーザーがAIシステムと対話していることを知らされ、情報に基づいた選択ができることが保証される。このカテゴリーには、例えば、画像、音声、または動画の生成や操作を可能にするAIアプリケーション（ディープフェイクなど）が含まれる。
最小限のリスク
このカテゴリーには、例えば、ビデオゲームやスパムフィルターに使用されるAIシステムが含まれる。ほとんどのAIアプリケーションはこのカテゴリーに分類されると予想されている。これらのシステムは規制の対象ではなく、完全調和の規則により、加盟国は追加の規制を課すことができない。そのようなシステムの設計または使用に関する既存の国内法は無効とされる。ただし、自主的な行動規範が提案されている。
汎用AI
2023年に追加された汎用AIカテゴリーには、幅広いタスクを実行できる基盤モデル（例えばChatGPT）が含まれる。モデルの重みと設計がオープンソース化されている場合、開発者はトレーニングデータの概要と著作権ポリシーを公開しなければならない。クローズドソースモデルは、より広範な透明性要件を満たさなければならない。システム的リスクをもたらす高影響力モデル（トレーニングに10^25回以上の浮動小数点演算を必要とする）は、追加の評価を受けなければならない。2025年7月10日に公表された汎用AI行動規範は、透明性、著作権、安全性とセキュリティに関する3つの主要な章を概説し、提供者がAI法への適合を示すことを支援する。この規範への参加は任意である。
これらの基本的な透明性義務に加えて、本法は汎用AIモデルの提供者に対する共通の義務リストを定めている。提供者は、トレーニングデータの概要を公開し、著作権法に準拠するためのポリシーを採用し、下流の提供者および監督当局に技術文書を提供しなければならない。システム的リスクをもたらすと指定されたモデルは、モデル評価と敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価・緩和し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保しなければならない。
適用除外
第2条第3項および第2条第6項は、軍事または国家安全保障の目的、または純粋な科学研究開発に使用されるAIシステムをAI法の適用から除外している。特に、本規則は、AIシステムが専ら軍事、防衛、または国家安全保障の目的で使用される場合、または専ら科学研究のために開発され運用されるシステムには適用されない。さらに、非職業的な個人活動に使用されるAIは対象外である。
執行とガバナンス
本法は、各国の協力を促進し、本規則の遵守を確保するために、欧州人工知能委員会を設置する。各加盟国は、市場監視と執行のための所管当局を指定することが期待されている。本法は、GDPRと同様に、EU域内にユーザーがいる場合、EU域外の提供者にも域外適用される可能性がある。違反に対する罰則は重大なものとなり得るが、具体的な金額は情報源では詳述されていない。
影響と評価
AI法は、世界初の包括的なAI法として、画期的な立法とみなされている。EU域外の企業がEU市場にアクセスするためにその基準に準拠することを選択する可能性があるため、その潜在的な世界的影響力においてGDPRと比較されている。リスクベースのアプローチは実際の害に焦点を当てている点で賞賛されているが、一部の批評家は、高リスクの定義が広すぎる、または軍事および安全保障用途の適用除外が広すぎると主張している。本法はまた、AI開発者とユーザーに法的確実性を提供することにより、イノベーションを促進することを目的としている。
他のAI開発との関係
AI法の汎用AI規定は、OpenAI、Anthropic、Google DeepMindによって開発されたものなどの生成AIモデルの急速な進歩に対応して導入された。これらのモデルは、Transformerアーキテクチャに基づいて構築され、機械学習技術を使用してトレーニングされており、多くの領域にまたがる能力を持つため、従来の製品カテゴリーに適合させることが難しい。本法の透明性とリスク評価に関する要件は、モデル枝刈りやデータ拡張などの技術的安全対策を補完することを意図しているが、本法自体は特定の技術的方法を規定していない。
将来の見通し
2025年現在、AI法は初期の実施段階にある。欧州委員会は、特定の規定を明確にするために、さらなるガイダンスと委任規則を発行することが期待されている。2025年7月10日に公表された汎用AI行動規範は、提供者のコンプライアンスを支援する重要なステップである。EUおよびその他の地域におけるAIのイノベーションと展開に対する本法の長期的な影響はまだ未知数であるが、今後何年にもわたってAIガバナンスに関する世界的な議論を形成する可能性が高い。