2024年8月1日、人工知能に関する欧州規則（以下「AI法」という。）が発効した。AI法は、欧州連合（以下「EU」という。）の全加盟国において、人工知能（以下「AI」という。）の開発と応用を規制し、その使用から生じるリスクを軽減する統一的な法的枠組みを確立することを目的とする。
EUはこの技術を規制するパイオニアであった。この規制プロセスは、2021年4月に欧州委員会がEU初の規制枠組みを提案し、理事会と議会がその議会規制に合意したことから始まり（この問題については、当事務所の記事をご参照：「AI法案に関する新EU合意」）、この提案は、2024年3月の欧州議会によるAI法の採択、2024年5月の欧州理事会による承認、そして今回の発効によってようやく具体化した。
以下では、AI法の適用範囲、EU企業（公的機関及び民間企業）に課される主な法的義務、AI法発効後に適用される規定、および今後数カ月以内に発効する規定について説明する。
適用範囲
一般データ保護規則（GDPR）と同様に、AI法は域外適用範囲を有している。すなわち、その適用は、AIマーケティング担当者の所在地だけでなく、AIシステムやモデルの性質、AIシステムによって生成される情報や製品の所在地にも適用される。
特に、その第2条によれば、AI法は、(i)EU加盟国に所在するか否かを問わず、EU域内で一般的に使用されているAIシステムまたはAIモデルを販売または運用するプロバイダー、(ii)EU域内に設立または所在するAIシステムの実装者、(iii)AIが生成した製品がEU域内で使用されるAIシステムのプロバイダーおよび実装者（第三国に所在または設立されているか否かを問わない）、(iv)AIが生成した製品がEU域内で使用されるAIシステムの輸入業者および販売業者（第三国に所在または設立されているか否かを問わない）、 (iv)AIシステムの輸入業者および販売業者、(v)自社名または自社ブランドの製品とともにAIシステムを市場に投入または使用する製造業者、(vi)EU加盟国に設立されていないAIシステム提供者の公認代理店、(iv)EU域内に所在する影響を受ける者に適用される。
AIシステムのリスクレベル
AI法の発効により、公的機関および民間企業は、主に運用するAIシステムまたはモデルのリスク・レベルに応じた特定の義務を遵守する必要があり、主にAIシステム・プロバイダーの規模に応じた罰則が課される。
AI法はまず、人工知能システムを、人間や機械から提供されたデータや入力を使って、提案された目的や対応を達成する方法を推測する、ある程度の自律性を持ったシステムと定義している。そのために、自動学習、推論、モデリングに基づく技術を使用する。この主な特徴こそが、単なるコンピュータ・プログラム、ソフトウェア・システム、伝統的なプログラミング・アプローチと異なる点である。そして、AI法は、システムが使用するAIの用途に応じて3段階のリスクレベルを設定し、第4のカテゴリーとして、許容できないリスクや禁止行為を定めている。本稿では、許容できないリスクのカテゴリーと高リスクのシステムに焦点を当てる。なぜなら、後者のカテゴリーは、「デプロイヤー」、すなわちこの種のシステムを業務目的で使用する個人または企業に最も多くの義務を課すからである。
容認できないリスクまたは禁止行為
AI法は、サブリミナル的、操作的、欺瞞的なテクニックを用いて個人や集団の行動に影響を与え、彼らにとって有害なことをさせたり、特定の集団やグループの脆弱性を悪用して彼らの行動を変え、有害な結果をもたらすようなシステムを含む、「容認できないリスク」のあるAIシステムやモデルを禁止している。また、「ソーシャル・スコアリング」システム、すなわち社会的行動に従って個人や集団を評価したりランク付けしたりするAIシステムなども明示的に禁止している。
リスクの高いシステム
AI法は、AIシステムの使用が健康、安全、または基本的権利に重大な危険をもたらす場合、そのAIシステムを高リスクとみなしている。 また、高リスクの2つのサブカテゴリーに分けており、それは、(i)製品安全に関する整合法に関連するシステムで、そのセクター規制により特別なアセスメントを受けなければならないもの（AI法の別紙I）、(ii)使用されるセクターまたは意図される特定の用途により、AI法が高リスクとみなすシステム（AI法の別紙III）である。
これらのシステムのうち、その範囲（AI法 別紙 III）により、バイオメトリクス識別のための AI システム、重要なインフラのセキュリティと管理を担う AI システム、教育と職業訓練、労働者管理、必要不可欠な公共・民間サービス、法の遵守と司法行政に関連する AI システムなどが挙げられる。
しかし、例えば、バイオメトリクス識別の使用により、特定のケースが高リスクのAIシステムに該当することはあっても、AIの使用が基本的権利、健康、安全保障を害する重大なリスクをもたらさない場合は、高リスクとはみなされない。したがって、先験的に、AI法は、どのような条件下で実害のリスクがあるかを判断する上で、多くの問題を引き起こすであろう。実際、AI法は当初より、AIシステムの分類を容易にするため、欧州委員会が高リスクおよび低リスクのAIシステムの具体例を網羅的に示すリストを作成すべきであると提案している。
高リスクのAIシステムを使用する企業に対する義務
AI法が高リスクAIシステムの提供者に課す主な義務は以下の通り：
- 健康、安全、基本的権利に関するリスクを特定し、軽減するためのリスク管理システムの導入。
- 利用者に悪影響を及ぼすバイアスを回避し、データの正確性、妥当性、統計的表現を確保するためのトレーニングデータとテストデータの適切な管理。
- AI法の要件に適合していることを証明する最新の技術文書で、欧州委員会が定める最低限の内容。
- システムの能力、正確性、適用範囲、用途について利用者に知らせる義務。また、職場で専門的に使用する場合には、その事実を労働者とその法定代理人に知らせる義務。
情報提供義務には、AI提供者が、その利用者または影響を受ける者に対して、AIが生み出す機能や結果について透明性を保つ義務も含まれる。この例として、被災者が実在の人物ではなく、AIシステムと直接やりとりしている場合、被災者に通知する義務や、(i)人為的に生成または操作されたコンテンツに対応する出力結果を、操作されていないものと区別するためにマークする義務、(ii)生成されたコンテンツが実在の人物に似ており、なりすましや「ディープフェイク」に該当する可能性がある場合、人為的に生成または操作されたコンテンツを報告・公表する義務などが挙げられる。
- AIシステムによって生成され、その管理下にあるすべてのログファイルの保管の義務化。
- AIシステムのリスクを最小化するために、AIシステムによって生成された出力を1人以上の自然人が検証するなど、AIシステムの人間による監督を義務付けること。
- AIシステムの運用と使用に関わる人員の訓練と適性の確保。
- データ操作に対する具体的な対策の実施により、AIシステムの正確性、堅牢性、安全性を確保するための正確性とサイバーセキュリティ。
- 検出されたコンプライアンス違反やリスクの報告における当局との連携、および当局から要求されたすべての情報や書類の通知・提供義務。
- 国境管理、出入国管理、公序良俗、庇護を目的とする公共部門のAIシステムを除き、AIシステムの稼働前または市販前にEUのデータベースに登録する義務。
- 公共サービスを提供し、リスクの高いAIシステムを使用する公法機関または民間団体に対する基本的権利影響評価の義務化。
AI法はまた、AIシステムの提供者と利用者によるこれらの義務と要件の遵守を、AI市場関係者による適切なリスク管理を確保・監視するために、各加盟国が指定する「通知機関」が監督することを定めている。さらに、AI法は、EUにおけるAI規制の調和された枠組みを協力し、さらに発展させるために、各加盟国から1名の代表者を選出する「欧州AI委員会」という新たな機関を設立する。
発効
AI法は8月1日に発効したが、当該条項が完全に適用されるのは、発効から36ヵ月後である。特に、許容できないリスクをもたらすAIシステムの禁止は、AI法が発効から6ヵ月後の2025年初頭から適用され、リスクの高いAIシステムの提供者に対する義務と要件は、発効から36ヵ月後の2027年8月から適用される。ただし、報告や透明性など一部の義務は、発効から12ヵ月後の2025年8月から適用される。
AI法は、欧州機関が時間をかけて議論を重ねてきた規制プロセスの集大成である。しかし、その影響は、すでに解釈の初期段階での乖離を見せているさまざまなEU加盟国による採択にかかっている。さらに、AI法はAIを網羅的に規制することを目的としているわけではなく、(i)AIシステムによって引き起こされた損害に対する契約外の民事責任を規制することを主目的とするAI分野の民事責任に関する指令の提案、(ii)欠陥製品の責任に関する指令の提案という、現在も進行中の2つの立法構想によって補完されることに留意する必要がある。
