EU AI Act 採択 ── 世界初の包括的 AI 規制

2024年3月13日、欧州議会の本会議で「人工知能法（Artificial Intelligence Act、 略称 AI Act）」が採択された。 賛成523、 反対46、 棄権49。

世界で最初の、 AI に対する包括的な法律 ── 罰金規定を伴う、 実効性のある規制 ── がここで成立した。

リスク階層

AI Act の骨格は、 AI システムを4段階のリスクに分類することにある。

1. 許容できないリスク（unacceptable risk） ── 全面禁止

• 公的機関による「社会信用スコアリング」
• リアルタイムの遠隔生体認証（公共空間での無差別な顔認証）
• 人間の脆弱性（年齢・障害等）を悪用するシステム
• サブリミナル操作
• 感情認識（職場・教育機関での）

2. 高リスク（high risk） ── 厳格な義務

• 雇用採用、 信用評価、 司法判断、 法執行、 教育、 移民、 重要インフラ運用、 医療機器など

これらの AI システムは、 リスク管理体制・データガバナンス・透明性・人間による監督・正確性とロバスト性の証明を義務づけられる。

3. 限定リスク（limited risk） ── 透明性義務

• チャットボット、 生成系（ディープフェイク等）の AI

ユーザに「AI が生成したものである」と明示することが必要。

4. 最小リスク ── 自由

• 上記以外（スパムフィルタ、 ゲームの AI 等）

汎用 AI（GPAI）への特例

ChatGPT・Claude・Gemini のような汎用大規模言語モデルは、 既存のリスク階層には収まりにくい。 AI Act は別カテゴリ「汎用 AI モデル（General-Purpose AI Model）」を設け、 計算量による二段階の規制を導入した。

• すべての GPAI: 訓練データの著作権遵守記録、 モデルカードの公開、 透明性報告書の作成
• システミックリスクのある GPAI（10²⁵ FLOPs 超）: 追加で、 モデル評価・敵対的テスト・サイバーセキュリティ強化・重大インシデント報告

GPT-4、 Claude 3.5、 Gemini Ultra などはこの上位区分に該当する。

罰金

違反に対する制裁金は、 GDPR を上回る規模となった。

• 禁止項目への違反: 最大3500万ユーロ、 または全世界年間売上の7%
• 高リスク義務の違反: 最大1500万ユーロ、 または全世界年間売上の3%
• 不正確な情報提供: 最大750万ユーロ、 または1%

「全世界年間売上の何%」という形式は、 大企業に対しても十分な抑止力となる設計。

段階的施行

2024年5月21日、 EU 理事会が正式承認。 8月1日、 EU 官報に掲載され発効。 ただし全条項が同時に施行されるわけではない。

• 2025年2月2日: 禁止項目（許容できないリスク）の条項が施行
• 2025年8月2日: 汎用 AI（GPAI）条項が施行（既存モデルへの遡及適用は段階的）
• 2026年8月2日: 高リスク AI 条項が全面施行
• 2027年8月2日: 製品安全規制との統合部分が完全施行

Brussels Effect

EU AI Act は、 EU 域外の企業にも事実上の影響を持つ。 米国企業が EU 市場向けに作る AI システムは AI Act に従わなければならず、 結果として 全世界向けの製品も同じ基準で作る方が経済的 になる（モデルを別々に維持するコストの方が高い）。

これは、 GDPR（2018年）以降の「Brussels Effect」と呼ばれる現象 ── 欧州の規制が、 立法権を持たない国の企業にも事実上の標準となっていく ── の最新の事例である。

米国・日本・英国などの各国 AI 政策は、 AI Act を明示的ないし暗黙的に参照点として展開している。 2024年3月13日の本会議採決は、 ブリュッセルから世界へ向けて、 AI 規制の最初の標準が発信された日として記録される。