EU AI Act 採択 ── 世界初の包括的 AI 規制

2024年3月13日、欧州議会の本会議で「人工知能法（Artificial Intelligence Act、 略称 AI Act）」が可決された。 賛成523、 反対46、 棄権49。

欧州委員会が「AI に関する世界初の包括的な法的枠組み」と呼ぶ規制である ── 制裁金規定を伴い、 EU 域外の事業者にも及ぶ。 ただしこの採決は立法手続の終点ではない。 理事会の採択（5月21日）、 EU 官報への掲載（7月12日、 Regulation (EU) 2024/1689）、 その20日後の発効（8月1日）を経て、 適用は条項ごとに段階的に始まる。 「可決」「採択」「発効」「適用」は別の日を指す。

リスク階層

AI Act の骨格は、 AI システムを4段階のリスクに分類することにある。

1. 許容できないリスク（unacceptable risk） ── 全面禁止

• 社会信用スコアリング（公的機関に限らず、 民間による実施も対象）
• 法執行目的での、 公衆がアクセス可能な空間におけるリアルタイム遠隔生体識別（誘拐被害者の捜索など限定的な例外あり）
• インターネットや監視カメラ映像からの顔画像の無差別なスクレイピングによる顔認証データベース構築
• 機微な属性を推論する生体分類
• 個人の特性のみに基づく予測的取り締まり（predictive policing）
• 人間の脆弱性（年齢・障害等）を悪用するシステム
• サブリミナルな操作技法
• 職場・教育機関における感情認識

2. 高リスク（high risk） ── 厳格な義務

• 雇用採用、 信用評価、 司法判断、 法執行、 教育、 移民、 重要インフラ運用、 医療機器など

これらの AI システムは、 リスク管理体制・データガバナンス・透明性・人間による監督・正確性とロバスト性の証明を義務づけられる。

3. 限定リスク（limited risk） ── 透明性義務

• チャットボット、 生成系（ディープフェイク等）の AI

ユーザに「AI が生成したものである」と明示することが必要。

4. 最小リスク ── 自由

• 上記以外（スパムフィルタ、 ゲームの AI 等）

汎用 AI（GPAI）への特例

ChatGPT・Claude・Gemini のような汎用大規模言語モデルは、 既存のリスク階層には収まりにくい。 AI Act は別カテゴリ「汎用 AI モデル（General-Purpose AI Model）」を設け、 計算量による二段階の規制を導入した。

• すべての GPAI: 技術文書の作成、 EU 著作権法の遵守、 訓練に用いたコンテンツの詳細な要約の公表
• システミックリスクのある GPAI: 追加で、 モデル評価・敵対的テスト・サイバーセキュリティ強化・重大インシデント報告

第51条2項は、 「訓練に用いられた計算量の累積が浮動小数点演算（FLOP）で 10²⁵ を超える」場合に高影響能力を推定すると定める。 該当するかどうかは提供者自身が AI Office へ通知する仕組みで、 当局が事前にモデル名の一覧を出すわけではない。 公開推計では GPT-4 級以上のフロンティアモデルがこの線を超えるとされる。

なお米国の EO 14110 の報告義務は 10²⁶ の整数演算または浮動小数点演算だった。 桁が1つ違い、 単位の定義も違う。

罰金

第99条の制裁金は、 GDPR の上限（2000万ユーロまたは4%）を上回る。 いずれも「金額と比率のうち高い方」である。

• 第5条の禁止行為への違反: 最大3500万ユーロ、 または前会計年度の全世界年間売上高の7%
• その他の義務（高リスク義務を含む）への違反: 最大1500万ユーロ、 または3%
• 不正確・不完全・誤解を招く情報の提供: 最大750万ユーロ、 または1%

「全世界年間売上の何%」という形式は、 大企業に対しても十分な抑止力となる設計。

段階的適用 ── そして2026年の後ろ倒し

2024年5月21日、 EU 理事会が採択。 7月12日に EU 官報へ掲載され、 その20日後の8月1日に発効した。 ただし全条項が同時に適用されるわけではない。

• 2025年2月2日: 禁止行為（許容できないリスク）の条項と AI リテラシー義務の適用開始
• 2025年8月2日: 汎用 AI（GPAI）に関する義務の適用開始。 同日より前に上市された既存モデルには2027年8月2日までの猶予
• 2026年8月2日: 一般適用日。 第50条の透明性義務などが動き出す

そして2026年7月、 この時間割が書き換えられた。 欧州委員会が2025年11月19日に提案した「Digital Omnibus on AI」が Regulation (EU) 2026/1744 として成立し、 7月24日に官報掲載、 7月27日に発効した ── AI Act の一般適用日である8月2日のわずか6日前という滑り込みである。

• 附属書III の単独型高リスク AI: 2026年8月2日 → 2027年12月2日
• 附属書I の製品組込み型高リスク AI: 2027年8月2日 → 2028年8月2日
• 第5条に禁止行為を追加（同意のない性的画像の生成、 児童性的虐待素材の生成）。 経過措置は2026年12月2日まで
• AI 規制サンドボックスの整備期限: 2026年8月2日 → 2027年8月2日

GPAI の義務（第51〜56条）と 10²⁵ FLOP の閾値は変更されていない。 「世界初の包括的 AI 規制」は、 その中核である高リスク条項が実際に効き始める前に、 いちど期限を延ばされたことになる。

Brussels Effect

EU AI Act は、 EU 域外の企業にも事実上の影響を持つ。 米国企業が EU 市場向けに作る AI システムは AI Act に従わなければならず、 結果として 全世界向けの製品も同じ基準で作る方が経済的 になる（モデルを別々に維持するコストの方が高い）。

これは、 GDPR（2016年発効、 2018年5月25日適用開始）以降の「Brussels Effect」と呼ばれる現象 ── 欧州の規制が、 立法権を持たない国の企業にも事実上の標準となっていく ── の最新の事例である。

米国・日本・英国などの各国 AI 政策は、 AI Act を明示的ないし暗黙的に参照点として展開している。 ただし引力は一様ではない。 米国は2025年1月に自国の大統領令を撤回し、 以後は逆向きの主張を続けている。 ブリュッセル自身も、 産業界と外交の圧力の下で2026年を簡素化と延期に費やした。 2024年3月13日の本会議採決で、 AI 規制の最初の包括的な標準がブリュッセルから出た ── その標準が交渉可能なものだったこと込みで。