EU AI法（Artificial Intelligence Act）は、人工知能技術の開発と利用を規制するために欧州連合が導入した画期的な法律です。
目次
EU AI法とは？
EU AI法は、欧州連合内における人工知能システムの開発、市場投入、および利用方法を定めた包括的な規制枠組みです。同法では、AIシステムが個人、社会、および基本的人権に与える影響に基づいて、AIプロバイダと利用者の両方に明確な法的義務を定めています。同法は、AIライフサイクル全体にわたる透明性、リスク管理、人的監視、データガバナンス、サイバーセキュリティに関する要件を定めることにより、健康、安全、および基本的人権を保護しつつ、イノベーションを促進することを目標としています。
EU AI法のリスクカテゴリ
EU AI法はリスクベースのアプローチを採用しています。これはつまり、AIシステムが、個人や社会にもたらすリスクのレベルに応じて規制されるということです。潜在的なリスクが大きいほど、プロバイダと利用者に課される義務が厳しくなります。
- 禁止されている行為
許容できないリスクをもたらすAIシステムは、全面的に禁止されます。認知行動操作、公的機関による社会的評価、顔画像の無差別な収集、政治的信条や性的指向といった機密性の高い属性の生体認証による推論などを実行するAIシステムが、これに該当します。 - 高リスクAIシステム
高リスクシステムとは、重要インフラ、採用および人事、信用評価、教育、医療、法執行、国境管理、司法行政など、機密性の高い分野や規制の厳しい分野で使用されるシステムを指します。このシステムは、市場に出回る前に、リスク管理プロセス、高品質の学習データ、技術文書、人的監視、サイバーセキュリティ対策、CEマーキングなど、厳格な要件を満たさなければなりません。 - 汎用AIモデル（GPAI）
このカテゴリには、大規模言語モデル（LLM）をはじめとする大規模モデルが含まれます。プロバイダは、透明性に関する義務を遵守し、著作権に関する各種規則を尊重し、学習に関する慣行を文書化するとともに、特に高性能または広く普及しているモデルについては、さらにシステム上のリスクに対処するための措置を実施しなければなりません。 - 低リスクAIシステム
このカテゴリのAIシステムには、主に透明性に関する義務が適用されます。例外規定が適用される場合を除き、チャットボットやディープフェイクなどのAI生成コンテンツとのやり取りが発生する場合には、ユーザにその旨を通知しなければなりません。 - 極小リスク/ゼロリスクAIシステム
AIを活用したビデオゲームやスパムフィルターなど、リスクがほとんどない、あるいはまったくないAIアプリケーションは、多くの場合、AI法に基づく規制の対象外となります。
AI法に違反した場合、最高で3,500万ユーロまたは全世界年間売上高の7%のいずれか高い方の罰金が科せられる可能性があります。
EU AI法とAIリテラシー
2025年2月2日以降、プロバイダおよび利用者は、担当者のAIリテラシーを十分に確保しなければなりません。研修の実施が推奨されますが、必須ではありません。
重要な検討事項としては、会社の役割、AIに関する一般的な理解、関連するリスク、そして技術的な知識と文脈に基づいて個別に調整されたリテラシー対策などが挙げられます。
会社における実践
EU AI法の実践に際しては、組織は規制上の義務を運用上の管理策に落とし込む必要があります。監査は、会社がAIシステムの利用状況、リスクが存在する領域、必要なコンプライアンス対策を理解するうえで役立つという点で、このプロセスにおいて重要な役割を果たします。
監査の目的は以下のとおりです。
- 同法のリスクカテゴリに従ってAIシステムを特定および分類する
- 組織がプロバイダ、利用者、またはその両方として機能しているかどうかを判断する
- AIシステムがどのようにデータを処理し、出力を生成しているかを評価する
- 透明性、人的監視、サイバーセキュリティ、リスク管理におけるギャップを特定する
- コンプライアンスに必要な是正計画、ガバナンス構造、内部統制について情報を提供する
実務的には、ここに挙げた評価がAIガバナンスプログラムの基盤となり、組織がリスクと規制の適用状況に基づいてコンプライアンスへの取り組みに優先順位を付けることが可能になります。
EU AI法の施行スケジュール
EU AI法では、組織がAIガバナンス、リスク管理、コンプライアンスプログラムを調整する猶予期間を設けるという観点から、段階的な施行スケジュールを採用しています。重要な節目としては、規制の発効日、具体的な義務が適用される時期、完全な遵守が必要になる時期などが挙げられます。
EU AI法の主要日程
日付
内容
2024年8月1日
EU AI法が発効し、正式にEU法となる。
2025年2月2日
禁止されているAI利用行為が発効し、禁止となる。また、執行責任を負う国家当局が任命される。
2025年8月2日
汎用AI（GPAI）モデルに関する規則および関連するガバナンス義務の適用が開始される。
2026年8月2日
AI法が完全に適用される。高リスクシステムを含めたすべてのAIリスクカテゴリにコンプライアンス義務が適用される。
2027年8月2日
規制対象製品に組み込まれる高リスクAIシステムについて、EU AI法の要件の完全遵守が求められる。
この段階的なアプローチは、イノベーションと法的確実性のバランスを確保し、組織がAIのリスクに基づいてガバナンス、技術的安全対策、監視メカニズムを段階的に導入できるようにすることを意図したものです。
人工知能（AI）とは？
人工知能（AI）は、入力データを識別および分類することによって人間の認知能力を模倣するコンピュータ科学の一分野です。この知能は、プログラムされたワークフローに基づくものもあれば、機械学習によって生成されるものもあります。
機械学習では、AIのパターン認識および予測の訓練に学習データを使用します。EU AI法は、AIシステムを「様々なレベルの自律性をもって動作し、予測、コンテンツ、推奨、意思決定などの出力を生成する機械ベースのシステム」であると定義しています。
EU AI法に基づくAIシステムの例としては、感情認識、顔認識、候補者選定、司法、医療（症状分析など）、お客さまサービス、チャットボット、生成AIなどが挙げられます。
生成AIとは、機械学習と大規模言語モデル（LLM）を使用して入力データに基づく結果を自律的に生成するAIシステムを指します。代表的なものとしてChatGPTがあります。生成AIシステムは間違いを犯したり、「ハルシネーション」を起こしたり、もっともらしくはあるものの不正確な回答をしたりすることがあります。
データ保護
AIシステムの使用に際して個人情報が関わる場合には、GDPRを遵守し、情報漏洩防止（DLP）を実施する必要があります。違反に対する罰金は、世界売上高の4%または2,000万ユーロに達する可能性があります。
会社は、データを合法的に処理するとともに、データの最小化、正確性、機密性を尊重し、さらに、情報に関する義務を履行しなければなりません。
法的効力を持つ自動化された意思決定には、人間による判断が介在する必要があります。また、暗号化や匿名化といった技術的/組織的対策（TOM）も不可欠です。
高リスクのデータ処理には、データ保護影響評価が必要です。
企業秘密の保護
企業秘密は、不正取得および漏洩から保護しなければなりません。要件としては、機密保持措置、アクセス制限、秘密保持契約（NDA）などがあります。
AIシステム、学習データ、および出力は、企業秘密に該当する可能性があります。会社は、情報漏洩リスクを回避するために、入力データの利用を制限するとともに、第三者との契約条件を見直す必要があります。
AIが著作権に及ぼす影響
著作権の問題は、AIシステムの入力側と出力側の両方で発生する可能性があります。保護されたコンテンツを学習目的で使用することに関しては、法的に厳しい議論が続けられています。
AIが生成した作品は、人間の創作物ではないため、現行法の下では著作権による保護を受けません。つまり、AIの出力はパブリックドメインに属します。
EU AI法の適用対象
EU AI法は、組織の本社所在地に関係なく、EU市場に影響を与えるAIシステムの開発、流通、または使用に関与する組織に広く適用されます。
具体的に責任を負う当事者は以下のとおりです。
- AIプロバイダ：EU市場でAIシステムや汎用AIモデルを開発または提供する会社などを指します。
- 利用者：ビジネス運営、意思決定、お客さま向けのサービスにAIシステムを使用する組織などを指します。
- 輸入者および流通業者：EUのサプライチェーンにAIシステムを持ち込んだ場合に、AI法の適用対象になります。
- 製品メーカー：規制対象の製品やサービスにAIを組み込んだ場合に、AI法の適用対象になります。
組織内の責任分担の典型例は、以下のとおりです。
- 経営層：ガバナンスとリスク管理を担当
- 法務およびコンプライアンス担当部門：規制上の義務の管理を担当
- IT、セキュリティ、データ担当部門：実装、監視、および保護を担当
EU AI法には、これらの関係者に責任を負わせる各種の執行メカニズムがあります。具体的には、AIシステムによる法令違反または損害が発生した場合、罰金、市場規制、損害賠償責任などが科されることがあります。
EU AI法は英国に適用されるか
英国は欧州連合から脱退しているため、EU AI法は英国に直接適用されません。しかし、英国に拠点を置く組織であっても、EU域内で使用される、あるいはEU市民に影響を与えるAIシステムを開発、販売、または展開する場合は、同法の影響を受ける可能性があります。
このような場合、英国の会社はEU AI法を域外適用法として遵守する必要が生じる可能性があります。このため、EU AI法の要件に対応することは、国際的に事業を展開している、あるいはEU市場にサービスを提供している英国の組織にとっても無関係ではありません。特に、規制対象となるユースケースやリスクの高いユースケースにおいては非常に重要です。
AIシステムの利用規約で確認すべき事項
会社としては、以下の点を中心にサードパーティ製AIシステムの利用規約を精査することが重要です。
適用法および管轄裁判所
学習のための入力データの保存と使用
出力に対する権利
著作権侵害請求に対する免責/補償
保証および責任の制限
EU AI法の遵守のために従うべきガイドライン
社内にAIガイドラインを設けておけば、従業員によるAIシステムの利用の管理に役立ちます。社内ガイドラインに掲載する項目としては、以下のものが考えられます。
AIシステムの説明と承認
入出力の取り扱いに関する指示
機密保持およびデータ保護に関する法令の遵守
サイバーセキュリティ対策と透明性に関する義務
EU AI法まとめ
EU AI法は、2026年8月2日には主な規定のほとんどが発効します。AIを利用する会社は、これを遵守しなければなりません。EU AI法は、リスクベースのアプローチを通じてAIプロバイダと利用者の双方を規制します。その規制は、社会に危害を及ぼすリスクが高ければ高いほど厳しくなります。
AIシステムを用いて個人情報を処理する場合には、GDPR（一般データ保護規則）への準拠が必須です。
AIシステムは、不正アクセスやサイバー攻撃から保護しなければなりません。
AIシステムを使用する際には、企業秘密を保護しなければなりません。
著作権の問題については、入力と出力のどちらに関しても厳しい法的議論が続いています。
会社は、AIによって引き起こされた製品やサービスの欠陥に対して責任を負います。
サードパーティ製AIシステムの利用規約は、慎重に確認する必要があります。
社内ガイドラインを整備し、従業員のAIリテラシーを高める必要があります。
トレンドマイクロがEU AI法の遵守をサポート
EU AI法を遵守するにあたっては、単に規則を理解するだけでは足りません。AIシステム全体にわたる積極的なガバナンス、リスク監視、そして明確な説明責任が求められます。いずれの組織も、著作権や法的責任から利用規約や社内ガイドラインに至るまで、展開するAIのあらゆる側面が進化を続ける法的基準に準拠した状態を確保しなければなりません。
そこで活用したいのが、トレンドマイクロの Cyber Risk Exposure Management プラットフォームです。このプラットフォームは、脆弱性の特定、AI関連リスクの管理、デジタルオペレーション全体における信頼性の維持に役立つように設計されており、コンプライアンスを簡素化し、サイバーリスクを軽減する高度なツールを各種利用できます。
Fernando Cardosoはトレンドマイクロのプロダクトマネジメント担当バイスプレジデントとして、進化を続けるAIとクラウドの領域に注力しています。ネットワークエンジニアおよびセールスエンジニアとしてキャリアをスタートさせ、データセンター、クラウド、DevOps、サイバーセキュリティといった分野でスキルを磨きました。これらの分野は、今なお彼の情熱の源となっています。
よくあるご質問（FAQ）
EU AI法とは何ですか？
EU AI法は、AIシステムに関して安全性、透明性、および基本的人権の保護を確保することを目的とした規則です。
EU AI法はいつ施行されますか？
EU AI法は2024年に施行され、2026年までにすべてのEU加盟国で完全に適用される見込みです。
EU AI法は誰に適用されるのでしょうか？
EU AI法は、欧州連合市場内で事業を展開する、または欧州連合市場を対象とするAIシステムのプロバイダ、ユーザ、および輸入者に適用されます。
EU AI法が可決されたのはいつですか？
EU AI法は、広範な交渉と利害関係者との協議を経て、2024年に欧州議会で可決されました。
EU AI法を遵守するにはどうすればよいでしょうか？
組織がEU AI法を遵守するためには、AIシステムをリスク別に分類し、透明性を確保し、適合性評価を実施し、文書を維持管理する必要があります。
EU AI法に違反した場合、どのような罰則がありますか？
- EU AI法に違反した場合、最大で 3,500万ユーロまたは全世界売上高の7%の罰金が科せられる可能性があります。