人工知能法は、欧州連合による規則であり、加盟国全体にわたる人工知能のための共通の規制・法的枠組みを確立するものである。この規則は2024年8月1日に発効し、その条項はその後6か月から36か月の間に段階的に施行される。この規則は、EU内で使用されるほとんどのAIシステムにルールを定義しており、軍事、国家安全保障、研究、または非営利目的で使用されるものは除外される。製品安全モデルに従い、AIプロバイダーと専門ユーザーに義務を課し、イノベーションと市民の基本的権利の両方を育成することを目的としている。
この提案は2021年4月21日に欧州委員会から発出され、生成AIシステム（OpenAIのChatGPTなど）の台頭に対応するための大幅な改訂を経て、2024年3月13日に欧州議会を通過し、2024年5月21日にEU理事会で全会一致で承認された。AI法は、一般データ保護規則と同様に、EU内にユーザーがいる場合、EU域外の管轄区域からのプロバイダーにも域外適用され得る。ルールは、汎用AI専用カテゴリによって補完された4段階のリスク分類を通じて実装され、管理可能な導入を促進しつつ潜在的な害を軽減することを目指している。
採択と立法の経緯
採択への道のりは複数年にわたるプロセスであった。EUの執行機関である欧州委員会は、2021年4月21日に最初の草案を提出した。その草案は、委員会の評価、利害関係者との協議、および政策オプションに関する既存の調査に基づいていた。この提案は、データ保護分野における2016年の一般データ保護規則と同様に、EUを規制ガバナンスの基準を設定する革新的なAI国家として位置づけるという野心を反映していた。
2022年から2023年にかけて交渉が再開されたのは、ChatGPTや同様の大規模言語モデルなどの生成AIモデルの人気により、従来の機械学習システムに焦点を当てた当初の草案では、そのような能力を容易に包含できないことが浮き彫りになったためである。立法者らはこうして、汎用AIのためのまったく新しいセクションを統合した。この変更は最終テキストで正式化され、多種多様なタスクを実行できるニューラルネットワークに対処した。
2024年3月13日に議会が最終テキストを可決し、2024年5月21日にEU理事会が全会一致で承認した。規則の公式公表が続き、2024年8月1日に正式に発効した。しかし、義務は段階的にのみ導入される。許容不能リスクAIの禁止はそれに応じて早期に発効し、リアルタイム生体認証識別ルールも同様である。高リスク適合性評価のほとんどを含む完全なルールセットは、発効から36か月以内に施行されるか、施行される予定である。
リスクベースの分類
EU AI法の中核構造は、製品安全法に倣ったリスク階層型フレームワークである。分類は、健康、安全、または基本的権利への潜在的な影響に基づいて義務を割り当てる。このアプローチは、最大の潜在的な害を持つシステムに監視を集中させ、低リスクの使用に対する官僚主義を削減することを目的としている。
4つの明示的なリスクレベルは、許容不能、高、限定的、最小である。さらに、この法律は、後の改訂で導入された汎用AI専用に設計された5番目のカテゴリを追加する。
許容不能リスク
許容不能リスクに分類されるアプリケーションは完全に禁止されるが、狭い例外がある。例えば、禁止は、人の意識を超えたサブリミナル操作を使用して行動を歪めたり、年齢、障害、または経済状況による脆弱性を悪用したり、身体的または心理的害につながるAIシステムを対象としている。また、公的または私的当局による個人の特性、社会経済的地位、または行動に基づいて個人をランク付けするソーシャルスコアリングに使用されるシステムも禁止されている。公共アクセス可能な空間でのリアルタイム遠隔生体認証識別システムも一般的に禁止されており、特定の重大な犯罪の場合に適用される可能性のある限定的な例外があり、事前の司法承認が条件となる。
高リスク
高リスクAIシステムは、健康、安全、または基本的権利に重大な脅威をもたらすものである。これには、医療、教育、雇用、重要インフラ、法執行、移民、司法などの分野における幅広いアプリケーションが含まれる。高リスクAIシステムのプロバイダーとデプロイヤーは、厳格なセキュリティ、透明性、品質、および人間による監視の義務を遵守しなければならない。これらは、アプリケーションに応じて、自己評価または第三者認証機関による適合性評価の対象となる。基本的権利に影響を与える高リスク分野（法執行や移民など）では、プロバイダーは展開前に基本権影響評価を実施しなければならない。これは、影響を受ける個人とコミュニティへの潜在的な影響を特定し軽減するための事前チェックである。そのようなシステムは、市場に出す前に評価され、ライフサイクル全体にわたって再度評価される義務がある。高リスクアプリケーションのリストは、新しい規則を必要とせずに拡張できる。市民は、AIシステムについて苦情を申し立て、権利に影響を与える高リスクAIによって行われた決定について説明を受ける権利を有する。
限定的リスク
限定的リスク層のシステムは、透明性義務のみを持つものである。このカテゴリでは、個人は、チャットボットを使用する場合など、AIシステムと対話していることを通知されなければならない。同様に、ディープフェイクなど、AI生成または操作されたコンテンツは、関係者から同意が提供されない限り、そのように明確にラベル付けされなければならない。この義務により、ユーザーはコンテンツまたは対話の性質を理解し、情報に基づいた選択を行うことができる。
最小リスク
最小カテゴリ（おそらくAIシステムの約80%に近い）には、ビデオゲーム、スパムフィルターなどが含まれる。これらのシステムには、規則に基づく特別な義務はない。最大限の調和ルールの下で、加盟国はこれらのために追加のライセンス要件や追加のコンプライアンスフレームワークを課すこともできない。既存の国内法は、それらが優先される範囲でさらに無効とされる。それでも、この法律は、これらの低リスク用途について自主的な行動規範の遵守を奨励している。
汎用AIカテゴリ
2023年に、テキストは、推奨事項、テキスト、または画像を生成するトランスフォーマーベースのネットワークなどの汎用AI専用のレイヤーで拡張された。これには、大規模言語モデルなどの基盤モデルが含まれる。責任者は、トレーニングデータの透明性サマリーを公開し、著作権コンプライアンスポリシーを採用し、後続プロバイダーおよび監督当局に技術文書を提供する。
オープンソースプロバイダーには特定の注意点がある。モデルの重みと設計が自由に利用可能な場合、より厳格な透明性要件を回避できるが、著作権ポリシーとある程度のトレーニングデータサマリーを公開する必要がある。より高性能または高影響力のあるモデル、つまりトレーニングに10²⁵乗算浮動小数点演算（すなわち、10,000,000,000,000,000,000,000,000）以上を必要とするモデルは、敵対的テスト、モデル評価、バイアスとセキュリティに関するリスク軽減、インシデント報告、および適切なサイバーセキュリティを含む追加の義務の対象となり、これはいわゆるシステムリスクAIモデルを対象としている。
汎用プロバイダー向けに、この規則は2025年7月10日に最初に公開された「汎用AI行動規範」によって補完された。これには、透明性、著作権、および予測安全性/セキュリティをカバーする3つの主要な章が含まれており、プロバイダーが規則への適合を示す際に役立つ。
執行と域外適用
AI法は、包括的なガバナンス構造を構築し、加盟国代表者で構成される欧州人工知能委員会を設立して、協力、一貫性、およびガイダンスを促進する。独立した国内監督当局は、苦情、市場監視タスク、および執行措置においてこの機関と協力する。GDPRと同様に、この法律は外部プロバイダーにも域外適用を念頭に置いている。彼らが連合内でAIシステムまたはサービスを提供する場合、彼らの国内企業は、物理的に世界の他の地域に設立されている場合でも、遵守する必要がある。
免除と範囲
軍事、防衛、または国家安全保障目的専用に使用されるAIシステムは、この規則から除外され、純粋な科学研究および開発のために開発されたシステムも同様である。文言は、免除ラインの外側の活動の余地を残していない。非専門的利用も対象外である。この規則自体は個人の権利を創設するものではなく、代わりにプロバイダーと組織に義務を課すものであり、それによってそれらの権利が保護される。