EU AI Act 採択 ── EU の包括的 AI 規制

2024年3月13日、欧州議会の本会議で「人工知能法（Artificial Intelligence Act、 略称 AI Act）」が可決された。 賛成523、 反対46、 棄権49。

欧州委員会が「世界で初めての、 AI に関する包括的な法的枠組み」と呼ぶ規制である ── 制裁金規定を伴い、 EU 域外の事業者にも及ぶ。 ただしこの採決は立法手続の終点ではない。 理事会の採択（5月21日）、 EU 官報への掲載（7月12日、 Regulation (EU) 2024/1689）、 その20日後の発効（8月1日）を経て、 適用は条項ごとに段階的に始まる。 「可決」「採択」「発効」「適用」は別の日を指す。

リスク階層

AI Act の骨格は、 AI システムを4段階のリスクに分類することにある。

1. 許容できないリスク（unacceptable risk） ── 全面禁止

• 社会信用スコアリング（公的機関に限らず、 民間による実施も対象）
• 法執行目的での、 公衆がアクセス可能な空間におけるリアルタイム遠隔生体識別（誘拐被害者の捜索など限定的な例外あり）
• インターネットや監視カメラ映像からの顔画像の無差別なスクレイピングによる顔認証データベース構築
• 機微な属性を推論する生体分類
• 個人の特性のみに基づく予測的取り締まり（predictive policing）
• 人間の脆弱性（年齢・障害等）を悪用するシステム
• サブリミナルな操作技法
• 職場・教育機関における感情認識

2. 高リスク（high risk） ── 厳格な義務

• 雇用採用、 信用評価、 司法判断、 法執行、 教育、 移民、 重要インフラ運用、 医療機器など

これらの AI システムは、 リスク管理体制・データガバナンス・透明性・人間による監督・正確性とロバスト性の証明を義務づけられる。

3. 限定リスク（limited risk） ── 透明性義務

• チャットボット、 生成系（ディープフェイク等）の AI

ユーザに「AI が生成したものである」と明示することが必要。

4. 最小リスク ── 自由

• 上記以外（スパムフィルタ、 ゲームの AI 等）

汎用 AI（GPAI）への特例

ChatGPT・Claude・Gemini のような汎用大規模言語モデルは、 既存のリスク階層には収まりにくい。 AI Act は別カテゴリ「汎用 AI モデル（General-Purpose AI Model）」を設け、 計算量による二段階の規制を導入した。

• すべての GPAI: 技術文書の作成、 EU 著作権法の遵守、 訓練に用いたコンテンツの詳細な要約の公表
• システミックリスクのある GPAI: 追加で、 モデル評価・敵対的テスト・サイバーセキュリティ強化・重大インシデント報告

第51条2項は、 「訓練に用いられた計算量の累積が浮動小数点演算（FLOP）で 10²⁵ を超える」場合に高影響能力を推定すると定める。 該当するかどうかは提供者自身が AI Office へ通知する仕組みで、 当局が事前にモデル名の一覧を出すわけではない。 Epoch AI の集計では、 この規模で訓練された最初のモデルは GPT-4（2023年3月）で、 2025年6月までに公表モデルの30件超がこの線を超えた。

なお米国の EO 14110 の報告義務は 10²⁶ の整数演算または浮動小数点演算だった。 桁が1つ違い、 単位の定義も違う。

罰金

第99条の制裁金は、 GDPR の上限（2000万ユーロまたは4%）を上回る。 いずれも「金額と比率のうち高い方」である。

• 第5条の禁止行為への違反: 最大3500万ユーロ、 または前会計年度の全世界年間売上高の7%
• その他の義務（高リスク義務を含む）への違反: 最大1500万ユーロ、 または3%
• 不正確・不完全・誤解を招く情報の提供: 最大750万ユーロ、 または1%

「全世界年間売上の何%」という形式は、 大企業に対しても十分な抑止力となる設計。

段階的適用 ── そして2026年の後ろ倒し

2024年5月21日、 EU 理事会が採択。 7月12日に EU 官報へ掲載され、 その20日後の8月1日に発効した。 ただし全条項が同時に適用されるわけではない。

• 2025年2月2日: 禁止行為（許容できないリスク）の条項と AI リテラシー義務の適用開始
• 2025年8月2日: 汎用 AI（GPAI）に関する義務の適用開始。 同日より前に上市された既存モデルには2027年8月2日までの猶予
• 2026年8月2日: 一般適用日。 第50条の透明性義務などが動き出す。 欧州委員会が GPAI 提供者に制裁金を科す権限（第101条、 最大1500万ユーロまたは3%）は2025年の適用から外されており、 この日から適用される

2つ目と3つ目の日付のあいだに、 欧州委員会は2025年7月10日に「汎用 AI 行動規範（General-Purpose AI Code of Practice）」を公表した。 任意の規範で、 透明性・著作権・安全とセキュリティの3章からなる（最後の章はシステミックリスクのあるモデルだけが対象）。 委員会の署名者一覧には Amazon・Anthropic・Google・IBM・Microsoft・Mistral AI・OpenAI が並び、 xAI は安全とセキュリティの章だけに署名した。 Meta は署名を拒んだ ── 2025年7月18日、 同社の最高グローバル渉外責任者 Joel Kaplan は「欧州は AI について誤った道を進んでいる」と書いた。

そして2026年7月、 この時間割が書き換えられた。 欧州委員会が2025年11月19日に提案した「Digital Omnibus on AI」が Regulation (EU) 2026/1744 として7月8日に採択され、 7月24日に官報掲載、 7月27日に発効した ── AI Act の一般適用日である8月2日のわずか6日前という滑り込みである。

委員会の提案は、 高リスク条項の期限を整合規格や指針が出そろう時期に連動させ、 2027年12月2日と2028年8月2日はあくまで最終期限（バックストップ）としていた。 2026年5月7日の政治合意で欧州議会と理事会はこれを固定日付に改め、 最終的な条文は次のとおりになった。

• 附属書III の単独型高リスク AI: 2026年8月2日 → 2027年12月2日
• 附属書I の製品組込み型高リスク AI: 2027年8月2日 → 2028年8月2日
• 第5条に禁止行為を追加（同意のない性的画像の生成、 児童性的虐待素材の生成）。 経過措置は2026年12月2日まで
• AI 規制サンドボックスの整備期限: 2026年8月2日 → 2027年8月2日
• 2026年8月2日より前に上市された生成系 AI には、 出力に AI 生成の印を付ける第50条2項の義務について2026年12月2日までの猶予

GPAI の義務（第51〜56条）と 10²⁵ FLOP の閾値は変更されていない。 したがって2026年10月時点では、 禁止行為・GPAI の義務・一般規定が適用され、 欧州委員会は GPAI の規則を執行できる。 単独型の高リスク規制が始まるのは2027年12月2日である。 欧州委員会が最初の包括的 AI 枠組みと呼ぶこの法律は、 その中核である高リスク条項が実際に効き始める前に、 いちど期限を延ばされたことになる。

Brussels Effect

EU AI Act は、 EU 域外の企業にも事実上の影響を持つ。 米国企業が EU 市場向けに作る AI システムは AI Act に従わなければならず、 結果として 全世界向けの製品も同じ基準で作る方が経済的 になる（モデルを別々に維持するコストの方が高い）。

これは、 GDPR（2016年発効、 2018年5月25日適用開始）以降の「Brussels Effect」と呼ばれる現象 ── 欧州の規制が、 立法権を持たない国の企業にも事実上の標準となっていく ── の最新の事例である。

各国の AI 政策は、 明示的かどうかはともかく AI Act を視野に入れてきた。 日本は推進を先に置いた軽い法律を選んでいる（AI 推進法）。 ただし引力は一様ではない。 米国は2025年1月に自国の大統領令を撤回し、 以後は逆向きの主張を続けている。 ブリュッセル自身も、 2025年末から2026年を簡素化と延期に費やした。 2024年3月13日の本会議採決は、 ブリュッセルが AI の包括的な標準を示した日である ── その標準が、 のちに交渉し直されたこと込みで。