Loading article…
人工知能法（AI法）[ 1 ]は、人工知能（AI）に関する欧州連合の規則です。これは、欧州連合（EU）内でのAIに関する共通の規制および法的枠組みを確立します。[ 2 ]この規則は2024年8月1日に発効し、[ 3 ]規定はその後6～36か月かけて段階的に施行されます。[ 4 ]
これは幅広い分野のほとんどのAIシステムを対象としており、軍事、国家安全保障、研究目的、または非専門的な用途にのみ使用されるAIは例外とされています。[ 5 ]製品規制の一形態として、個人の権利を創設するものではなく、AIプロバイダーと専門的な文脈でAIを使用する組織に義務を課すものです。[ 6 ] [ 7 ]
この法律は、非免除のAIアプリケーションを危害を引き起こすリスクによって分類しています。許容できない、高い、限定的、最小限の4つのレベルに加えて、汎用AIのための追加のカテゴリがあります。[ 8 ]
汎用AIには透明性の要件が課せられ、オープンソースモデルには要件が緩和され、高性能モデルには追加の評価が課せられる。[ 9 ] [ 10 ]
また、同法は、各国間の協力を促進し、規制の遵守を確保するために、欧州人工知能委員会を設立する。[ 11 ] EUの一般データ保護規則と同様に、同法は、EU域内にユーザーを持つEU域外のプロバイダーにも域外適用することができる。 [ 7 ]
2021年4月21日に欧州委員会によって提案され[ 12 ] 、 2024年3月13日に欧州議会を通過し[ 13 ] 、 2024年5月21日にEU理事会で全会一致で承認された[ 14 ]。草案は、 ChatGPTなどの生成型人工知能システムの普及に対応するために修正された。これらのシステムの汎用的な機能は、主要な枠組みには適合しなかった[ 15 ] 。
アプリケーションの種類に応じてリスクのカテゴリーが異なり、汎用生成AI専用のカテゴリーも存在する。
リスクベースのスキームは、AI システムのプロバイダーと展開者に規制上の義務が割り当てられ、健康、安全、または基本的人権への潜在的な影響が大きくなるにつれてこれらの義務がより厳しくなるという製品安全モデルに従っています。この構造は、重大なリスクを生み出す可能性のあるシステムに監視が集中し、それほど敏感ではないと考えられる用途にはより緩やかなアプローチが可能であることを確認することを目的としています。[ 25 ]また、一部の法学者は、実際には、この法律は「信頼できる AI」を、これらの安全とリスクの閾値への準拠を示すことができるシステムとして定義していると主張しています。[ 26 ]欧州議会調査サービスによる初期評価によると、委員会の影響評価は、このリスクベースのフレームワークの政策オプションを比較する際に、利害関係者との協議と幅広い既存の研究を参考にしました。[ 27 ]
2023 年に追加された汎用 AI カテゴリには、幅広いタスクを実行できる基盤モデル(たとえば ChatGPT) が含まれます。モデルの重みと設計がオープンソースである場合、開発者はトレーニング データの概要と著作権ポリシーを公開する必要があります。クローズド ソースのモデルは、より広範な透明性の要件を満たす必要があります。システム上のリスクをもたらす高影響モデル (トレーニングに 10 25を超える浮動小数点演算が必要) [ 28 ] は、追加の評価を受ける必要があります。[ 6 ] [ 10 ] 2025 年 7 月 10 日に公開された汎用AI 行動規範は、プロバイダーが AI 法への準拠を示すのに役立つ透明性、著作権、安全性とセキュリティに関する 3 つの主要な章の概要を示しています。規範への参加は任意です。[ 29 ]
これらの基本的な透明性義務に加えて、本法は汎用AIモデルの提供者に対する共通の義務リストを定めている。提供者は、トレーニングデータの概要を公開し、著作権法を遵守する方針を採用し、下流の提供者および監督当局に技術文書を提供しなければならない。システムリスクをもたらすと指定されたモデルは、モデル評価および敵対的テストを実施し、バイアスやセキュリティ障害などのリスクを評価および軽減し、重大なインシデントを報告し、適切なレベルのサイバーセキュリティを確保しなければならない。[ 30 ]
第2.3条および第2.6条は、軍事目的または国家安全保障目的、あるいは純粋な科学研究開発に使用されるAIシステムをAI法から除外している。[ 16 ]特に、AIシステムが軍事、防衛、または国家安全保障目的のみに使用される場合、あるいは科学研究開発のみを目的として開発され運用されるシステムには、本規則は適用されない。そのようなシステムが後に他の目的（例えば、民間または法執行機関での使用）に使用される場合は、本法が適用される。[ 1 ]これらの活動は、AI法自体ではなく、防衛、安全保障、および諜報に関するEUおよび各国の個別の規則によって引き続き規制される。[ 31 ]
第5条2項は、アルゴリズムによる人々のビデオ監視（「公共の場での「リアルタイム」遠隔生体認証システムの使用」[ 32 ] ）を、リアルタイムで実施する場合に限り禁止している。リアルタイムのアルゴリズムによるビデオ監視を許可する例外には、「現実的かつ現在または現実的かつ予見可能なテロ攻撃の脅威」 [ 16 ]などの警察活動が含まれる。
同法の前文31項は、「公的または私的行為者による自然人の社会的スコアリングを提供するAIシステム」を禁止することを目的としているが、「EU法および国内法に従って特定の目的のために実施される自然人の合法的な評価行為」は認めていると述べている。[ 33 ] La Quadrature du Netはこの例外を、フランスの家族給付機関であるCaisse d'allocations familialesが使用する疑念スコアなど、セクター固有の社会的スコアリングシステムを許可するものと解釈している。[ 16 ] [ 34 ] [ 16 ]
AI法は、第64条およびそれに続く条項において、様々な新たな機関を設立する。これらの機関は、同法の実施と執行を担う。このアプローチは、EUレベルでの調整と各国における実施を組み合わせたものであり、公的機関と民間部門双方の参加を伴う。
以下の機関が設立されました: [ 35 ] [ 36 ] [ 37 ]
EUレベルでは新たな機関の設立が計画されているが、加盟国は「国内管轄当局」を指定しなければならない。[注1 ]これらの当局は、AI法の適用と実施の確保、および「市場監視」の実施を担当する。[ 38 ]これらの当局は、適合性評価の適切な実施状況の確認や、外部適合性評価を実施する第三者の任命などにより、AIシステムが規制に準拠していることを検証する。
AI法の調和規格が官報に掲載されると、準拠製品は規制に適合しているとみなされます。これらの規格は、CEN/CENELEC合同技術委員会21（JTC 21）によって作成されています。[ 39 ]
この法律は、新しい立法枠組みを使用してEU域内市場への参入を規制しています。この法律には、すべてのAIシステムがEU市場にアクセスするために満たさなければならない必須要件が含まれています。これらの必須要件は、欧州標準化機関に伝えられ、これらの要件をさらに詳細化する技術標準が開発されます。[ 40 ]これらの標準は、CEN/CENELEC JTC 21によって開発されています。[ 41 ]
同法は、加盟国が独自の通知機関を設立することを義務付けている。適合性評価は、AIシステムがAI法に定められた基準に準拠しているかどうかを確認するために実施される。[ 42 ]この評価は、AIシステムプロバイダーが適合性を確認する自己評価、または通知機関が評価を実施する第三者適合性評価の2つの方法で行うことができる。[ 24 ]通知機関は、適切な適合性評価を確実にするために監査を実施する権限も有している。[ 43 ]
EU加盟国はそれぞれ、法令遵守を監視し、苦情を処理し、EU全体の執行を調整する欧州AI事務局と情報を共有する国家監督機関を指定しなければならない。[ 6 ]
これらの主体が連携して、多層的な監督システムを形成している。各国の市場監視・監督当局は、リスクの高いAIシステムやその他の規制対象用途について検査を実施し、規則を執行する一方、AIオフィスや欧州人工知能委員会などのEUレベルの機関は、同法の実施を支援し、特に汎用AIモデルに関して一貫した適用を確保するのに役立っている。[ 25 ]
多くの高リスクAIシステムが第三者による適合性評価を必要としないという事実に関して批判が生じている。[ 44 ] [ 45 ] [ 46 ]一部の評論家は、高リスクAIシステムが展開前に安全性を確保するためには、独立した第三者による評価が必要であると主張している。法学者は、政治的な誤情報のためにディープフェイクを生成したり、同意なしに親密な画像を作成したりできるAIシステムは、高リスクとして分類され、より厳格な規制の対象となるべきだと示唆している。[ 47 ]しかし、同法は特定のディープフェイク検出メカニズムを明示的に義務付けておらず、そのような合成メディアの拡散から生じるより広範な人権への影響を包括的に扱っていない。[ 48 ]学者はさらに、製造業者の自己評価は複雑な生成的危害に対処するには不十分であり、効果的な執行を確保するためには強制的なアーキテクチャの義務付けと標準化された検証フレームワークが必要であると主張している。[ 49 ]
第 5 条の禁止事項を遵守しない場合、最大 3,500 万ユーロの行政罰金、または違反者が企業の場合はその全世界の年間総売上高の最大 7% のいずれか高い方の罰金が科せられます。その他の事業者の義務違反には、最大 1,500 万ユーロまたは全世界の年間売上高の 3% のいずれか高い方の罰金が科せられる場合があります。不正確、不完全または誤解を招く情報を提供した場合、最大 750 万ユーロまたは全世界の年間売上高の 1% の罰金が科せられる場合があります。スタートアップを含む中小企業の場合、適用される上限は、該当する割合または固定額のいずれか低い方です。汎用 AI モデルの提供者に対しては、第 101 条に列挙されている特定のケースにおいて、委員会は最大 1,500 万ユーロまたは全世界の年間売上高の 3% の罰金を別途科すことができます。[ 1 ]
同法は、「規制サンドボックス」、すなわち、各国の所管当局が運営する管理されたテスト環境を規定しており、開発者はそこで、安全対策を維持しながら、AIシステムを市場に出す前に監督下で試用することができる。加盟国は、調整されたEU規則の下でこのようなサンドボックスを設置することが奨励されており、中小企業（SME）やスタートアップ企業は、準拠した環境でテストシステムへの優先的なアクセスを受けることができる。[ 50 ]
2020年2月、欧州委員会は「人工知能に関する白書 – 卓越性と信頼への欧州のアプローチ」を発表した。[ 51 ] 2020年10月、欧州理事会でEU首脳による議論が行われた。2021年4月21日、欧州委員会はAI法案を正式に提案した。[ 12 ] 2022年12月6日、欧州理事会は一般方針を採択し、欧州議会との交渉を開始できるようにした。2023年12月9日、3日間の「マラソン」協議の後、EU理事会と議会は合意に達した。[ 52 ] [ 53 ]
この法律は、2024年3月13日に欧州議会で可決され、欧州議会議員は本会議で賛成523票、反対46票、棄権49票で最終案を採択した。[ 22 ] 2024年5月21日にEU理事会で承認された。[ 14 ] 2024年7月12日に官報に掲載されてから20日後の2024年8月1日に発効した。[ 3 ] [ 13 ] [ 54 ]発効後、適用開始までには遅延があり、適用の種類によって異なる。この遅延は、「許容できないリスク」のAIシステムの禁止については6か月、行動規範については9か月、汎用AIシステムについては12か月、「高リスク」のAIシステムに関連する一部の義務については36か月、その他すべてについては24か月である。[ 54 ] [ 22 ]
法律評論家は、AI法を、複数の分野にわたるAI規制のための初の包括的な枠組みであり、EU域外の企業や規制当局が独自のAIガバナンスのアプローチを設計する際の参考点となる可能性が高いと評している。[ 55 ]
専門家らは、この法律の管轄は欧州にあるものの、欧州への進出を計画している国際企業にとって広範囲にわたる影響を及ぼす可能性があると主張している。[ 56 ]コロンビア大学のアヌ・ブラッドフォード氏は、この法律はAI技術を規制する世界的な動きに大きな勢いを与えると主張している。[ 56 ]
アムネスティ・インターナショナルは、EUの政策立案者がAI法をAI規制のグローバルモデルとして提示している一方で、同法は基本的な人権原則を考慮に入れておらず、影響を受ける人々や疎外された人々に対する保護も限定的であると指摘した。同法は、いわゆる「過酷なAI技術」の無謀な使用や輸出を禁止しておらず、移民、難民、亡命希望者に対する平等な保護を確保しておらず、適切な説明責任と透明性に関する規定も欠如しているため、人権侵害を悪化させる恐れがあると主張した。[ 57 ]
一部のテクノロジー監視団体は、この法律には大きな抜け穴があり、大手テクノロジー独占企業がAIにおける優位性を強化したり、規制を弱めるためのロビー活動を行ったりできると主張している。[ 58 ] [ 59 ]一部のスタートアップ企業は、この法律による明確化を歓迎したが、他のスタートアップ企業は、追加の規制によってヨーロッパのスタートアップ企業がアメリカや中国のスタートアップ企業に比べて競争力を失うと主張した。[ 59 ]また、法的な分析では、この法律はAIガバナンスフレームワークの初期の参照点となる可能性がある一方で、その詳細な要件は、複数の管轄区域で事業を展開するプロバイダーにとってコンプライアンスの複雑さを大幅に増す可能性があると示唆されている。[ 55 ] La Quadrature du Net (LQDN) は、AI法を「テクノロジー業界、ヨーロッパの警察、そして社会統制の自動化を熱望するその他の大規模な官僚組織のために特別に作られた」と評した。LQDNは、この法律における自主規制と免除の役割は、「AIの普及に関連する社会的、政治的、環境的損害を阻止する能力をほとんど持たない」と評した。[ 16 ]環境問題への懸念から、一部の学者は、同法の高リスク分類フレームワークは、大規模なモデルのトレーニングと展開に伴うエネルギー消費と資源需要を含む、AIシステムの環境影響を考慮していないと主張している。[ 60 ]彼らは、規制が主に基本的人権と製品安全リスクに焦点を当てているため、持続可能性への懸念と、拡大するAIインフラストラクチャの気候への影響を見落としていると主張している。[ 60 ]国家安全保障に関する論評では、同法の安全保障と防衛に関する分野別除外が、別の安全保障フレームワークと並んで存在し、これらの免除が将来の安全保障と防衛政策とどのように相互作用するかについて疑問が生じていることも指摘されている。[ 31 ]学術的な論評では、同法は製品安全と基本的人権のフレームワークの「寄せ集め」であると表現されており、製品安全アプローチがプロバイダーの自己評価に大きく依存しているため、効果的な執行について懸念が生じていると警告している。[ 24 ] [ 46 ]欧州議会調査局による委員会の影響評価の初期評価でも同様に、分析の大部分は定性的なものであり、さまざまな選択肢の下での遵守コストを含むいくつかの推定値は、モデリングの仮定と入手可能な証拠に依存していることが指摘された。[ 27 ] Some scholars also note that linking "trustworthy AI" to compliance with these risk thresholds can make the underlying policy choices about what levels of risk are acceptable less visible.[26] Separate proposals for algorithmic impact assessments, such as a framework developed by the AI Now Institute for public agencies, argue that impact assessments should map affected communities, examine fairness, bias and due process, and allow ongoing public and researcher scrutiny of automated decision systems.[21]
A broad civil society coalition coordinated by European Digital Rights (EDRi) published a joint analysis comparing the final AI Act with its earlier demands and concluded that the law falls short of what is needed to protect rights to privacy, equality, non-discrimination and the presumption of innocence. The coalition also called for stronger safeguards for people on the move and for people with disabilities, arguing that the final rules leave significant gaps in these areas.[61]
Organisations representing authors, performers, publishers and producers have also criticised the implementation of the Act, particularly its rules for general-purpose AI. A joint statement from 38 global creators' organisations, reported by Le Monde, argued that the Code of Practice, the guidelines for general-purpose AI and the template for training-data summaries under Article 53 do not adequately protect intellectual property rights or ensure sufficient transparency about the data used to train generative AI models, describing the outcome as a missed opportunity to deliver on the Act's stated goals. This criticism has been discussed as part of wider debates about how the AI Act and its general-purpose AI provisions may affect the position of cultural and creative industries in the EU.[62]
これらの批判を踏まえ、学者たちは特に、社会に大きな影響を与える可能性のある、訓練済みAIモデルの二次利用を規制する同法のアプローチについて懸念を表明している。[ 63 ] [ 64 ]彼らは、同法が展開コンテキストに狭く焦点を当て、意図された目的をプロバイダーが自己申告することに依存しているため、誤解や不十分な監視が生じる可能性があると主張している。[ 64 ]さらに、同法はオープンソースモデルを免除することが多く、訓練済みモデルの再利用などの重要なライフサイクル段階を無視している。[ 63 ]訓練済みモデルは、トレーニングデータからのパターンを近似するパラメータとして意思決定マッピングを保存する。この「モデルデータ」は元のトレーニングデータとは異なり、多くの場合、個々のデータ主体に遡って追跡できないため、通常は非個人データとして分類される。したがって、 GDPRなどの他の規制の範囲外となる。[ 63 ]一部の学者は、AI法がモデルデータの再利用を十分に規制していないと批判し、個人のプライバシー、社会の公平性、民主的プロセスに潜在的に有害な結果をもたらす可能性があると警告している。[ 63 ]他の評論家は、汎用AIに関する新しい規則の民主的正当性、透明性、および実効的な執行可能性にも疑問を呈しており、その影響は監視機関が時間とともにどのように適用するかによって決まると指摘している。[ 30 ]
法学者は、EU AI法のようなコンプライアンスに基づく枠組みでは害を防ぐには不十分である可能性があると主張している。なぜなら、最適化されたシステムは形式的な要件を満たしながら禁止されている結果を生み出す可能性があるからである。これは「合成無法者」問題と呼ばれる現象であり、名目上のコンプライアンスと実際の影響との間のギャップは規制されないままである。[ 65 ]