EU AI Act（欧州AI規制法）とは何か、各リスク区分に応じたコンプライアンス要件と施行スケジュールを整理
要点
- 世界初の包括的なAI規制法である「EU AI Act（欧州AI規制法）」の概要と、開発や運用に課される義務を解説する。
- AIシステムを「リスク」に応じて4段階に分類し、それぞれの危険度に適した法規制を適用する仕組みを説明する。
- 全面的に禁止されるAIの具体例と、最も厳しい義務が課される「高リスク」AIの分類基準や例外規定を整理する。
- チャットボットやディープフェイクなどに義務付けられる、透明性の確保に関するルールを紹介する。
- 2024年の発効から2028年の完全適用までに段階的に実施される、詳細な施行ロードマップを示す。
導入
欧州連合（EU）が策定した「EU AI Act（欧州AI規制法）」は、世界初となる包括的なAIの法規制です。この規制は、AIの学習データの文書化から運用開始後のインシデント報告にいたるまで、開発ライフサイクルのあらゆる段階においてコンプライアンス義務を定めています。EU域内に拠点を置く組織だけでなく、EU市場にAIを提供する組織や、AIの出力結果がEU内で使用される組織など、グローバルなすべての企業が適用の対象となります。
AIの危険性に基づく「4つのリスク区分」
EU AI Actは、AIシステムがもたらす危険の度合いに基づいて適用する規制を決定する「リスクベースアプローチ」を採用しています。すべてのAIシステムは以下の4つのカテゴリーのいずれかに分類され、それに応じた義務が課されます。
1. 許容できないリスク（禁止対象）
社会的な安全や個人の尊厳を脅かすAIシステムは、全面的に利用が禁止されます。この禁止規定は2025年2月2日からすでに施行されています。禁止される具体的なAI行為は以下の通りです。
- 人の行動を歪めて重大な害をもたらす、サブリミナル（無意識に働きかける）な技術や欺瞞的な手法
- 年齢、障害、または社会経済的な状況といった脆弱性を悪用するシステム
- 個人の社会的行動や特徴に基づいて評価を行うソーシャルスコアリング
- プロファイリング（個人の行動特性などの分析）のみに基づく予測取り締まり
- インターネットや監視カメラの映像から顔画像を無差別に収集してデータベースを構築すること
- 職場や教育機関における感情認識（医療や安全上の理由を除く）
- 生体分類を用いて保護された特性（人種や宗教など）を推論すること（合法的に取得したデータセットのラベル付け等を除く）
- 捜査を目的とした、公共の場所でのリアルタイム遠隔生体識別（行方不明者の捜索や重大犯罪の捜査など、非常に狭い例外を除く）
2. 高リスク（規制対象）
最も広範なコンプライアンス義務が適用される区分であり、ロギング（履歴の記録）、テスト、および文書化の作業に大きな要件が課されます。以下のいずれかのルートで高リスクに分類されます。
- 付属書Iに該当するシステム：医療機器、機械、車両など、既存の製品安全法で第三者による適合性評価（基準に適合しているかの審査）が必要な製品やその安全構成要素として使用されるAI。
- 付属書IIIに該当するシステム：生体認証、重要インフラ、教育、雇用、不可欠なサービス、法執行、移民・国境管理、司法管理の8つの領域で使用されるAI。
付属書IIIの領域で個人をプロファイリングするシステムは、例外なく自動的に高リスクに分類されます。高リスクではないと主張したいプロバイダー（開発提供元）は、市場に投入する前にその根拠を文書化して示す必要があります。
ただし、狭い手続き型のタスクを行うものや、人間の意思決定を代替せずに補助するものなど、限定的な役割のみを果たすシステムについては、高リスクの対象外とする例外規定が設けられています。
3. 限定的なリスク（透明性の義務）
チャットボットやディープフェイクといった、ユーザーがAIと接するシステムが該当します。ここでは、対話相手がAIであるとユーザーに認識させることや、合成コンテンツ（AIが生成したテキスト、画像、動画）にAI生成物であると示す機械読み取り可能なマークを付与するなどの透明性義務が課されます。
4. 最小限のリスク（規制なし）
スパムフィルターやAI搭載のゲーム、レコメンデーションエンジンなど、現在市場にある大部分のAIシステムが分類されます。具体的な規制義務はありませんが、業界の自主的な行動規範に従うことが推奨されています。
段階的な施行タイムライン
EU AI Actは、以下のスケジュールに沿って段階的に義務が適用されます。
- 2024年8月1日：AI法が発効。
- 2025年2月2日：第5条に基づく禁止対象のAI行為が違法化。AIリテラシー（AIを理解し活用する能力）に関する義務が開始。
- 2025年8月2日：一般目的AI（GPAI）モデルの義務が開始され、ガバナンス機関の設立や罰則規定の適用もスタート。
- 2026年8月2日：AI法の一般的な適用開始日。ディープフェイクのラベル付けや合成コンテンツの明示といった透明性義務（第50条）が発効。加盟国は少なくとも1つのAI規制サンドボックス（実証実験環境）を稼働させる。
- 2026年12月2日：2026年8月2日より前に市場投入されたAIに対する機械読み取り可能なマーク付与義務の猶予期間（4ヶ月）が終了。同意のないAI生成ポルノ画像や児童性的虐待コンテンツの禁止規定が適用開始。
- 2027年8月2日：既存の製品安全法（付属書I）に基づく規制製品に組み込まれたAIシステムへの適用が開始。2025年8月以前に市場投入された一般目的AIモデルの準拠期限。
- 2027年12月2日：独立した付属書IIIの高リスクAIシステムに対する要件（リスク管理、適合性評価、技術文書作成、CEマークの表示、EUデータベース登録）が完全に適用。
- 2028年8月2日：付属書I製品のコンポーネントである高リスクAIシステムへの適用。
違反に対する罰則と執行体制
コンプライアンス要件に違反した場合、最大3500万ユーロ、またはグローバル年間の総売上高の7％に達する厳しい罰則が科されます。これらの規制の執行は、各国の規制当局および新設される「EU AI Office」が担当します。