EU AI Actの概要―適用範囲、リスク分類、汎用目的型AIモデル

はじめに

2024年5月21日、生成AIを含む包括的なAIの規制である「EU AI Act（欧州AI規制法）」が欧州理事会で最終承認され、同年8月1日に発効となりました。その後、2026年7月には、AI規制法に関する「Digital Omnibus on AI（AIデジタルオムニバス法）」が成立し、ハイリスクAIシステムに関する義務の適用時期を含む一部の規定が変更・明確化されました。

本規制では、リスクベースのアプローチが採用されており、AIをリスクの程度で分類し、その程度に応じた規制が適用されます。また、EU域内に所在していない日本企業であっても、EU域内でAIシステムを上市するなどしてプロバイダーに該当する場合や、EU域内でAIシステムが生成したアウトプットを利用する場合には、本規制の適用を受ける可能性があります。そして、本規制に違反した場合には、その違反類型に応じて、全世界売上ベースでの制裁金が定められています。なお、生成AIを支える汎用目的型AIモデルや、AI生成・操作コンテンツなどについても、それぞれ義務が定められています。

EU AI Actは段階的に適用されており、禁止されるAI利用に関する規定は2025年2月2日から、汎用目的型AIモデルに関する義務は同年8月2日から適用されています。さらに、2026年8月2日からは、一定のAIシステムに関する透明性義務が適用され、欧州委員会のAI Officeや各国の所管当局等による執行も開始されています。

このため、企業においては、EU AI Actを将来の規制として捉えるのではなく、既に適用されている禁止事項、汎用目的型AIモデルおよび透明性に関する義務への対応状況を確認するとともに、今後適用されるハイリスクAIシステムに関する義務を見据えた準備を進める必要があります。

そこで、本コラムでは、国際的な包括的AI規制の先駆けといえるEU AI Actの概要を紹介するとともに、企業への影響と求められる対応について考察します。

本稿における意見に関する記述は、全て筆者の私見であることをあらかじめ申し添えます。

EU AI Actの概要

EU AI Actの概要を「適用範囲」「リスクベースでのAI分類」「汎用目的型AIモデル」の順で解説します。

適用範囲

EU AI Actは、EU域内で上市・使用されるAIシステムおよび汎用目的型AIモデルと関連するステークホルダーが対象になります。

具体的には、プロバイダー、デプロイヤー、インポーターなどが規制対象の主体として想定されていることから、AIの安全性などを目的とする同法は、AIバリューチェーン全体を適用範囲としていると考えられます。

主なステークホルダーの定義は以下の通りです。

• プロバイダー：AIシステムまたは汎用目的型AIモデルを開発する、開発させて上市する、または自己の名称か商標で運用する自然人、法人、公的機関等。
• デプロイヤー：AIシステムをその権限の下で使用する自然人、法人、公的機関等。ただし、AIシステムが個人的な非職業的活動を目的として使用される場合を除きます。
• インポーター：第三国で設立された自然人または法人の名前または商標が付いたAIシステムを市場に投入する、EUに所在するまたは設立された自然人または法人。
• ディストリビューター：プロバイダーまたはインポーター以外のサプライチェーン上の者で、AIシステムをEU市場で流通させ、または利用可能にする自然人または法人。

なお、上述のとおり、EU域内に所在していない日本企業であっても、EU域内でAIシステムを上市するなどしてプロバイダーに該当する場合、本規制の適用を受けます。また、EU域外に所在するプロバイダーまたはデプロイヤーであっても、そのAIシステムによって生成されたアウトプットがEU域内で使用される場合には、本規制が適用される可能性があることに注意が必要です。

AIバリューチェーンが複雑化する中、企業には、自社が開発・提供する製品やサービスだけでなく、業務上利用するAIシステム、第三者から調達するAIシステムおよび汎用目的型AIモデルとの関係を把握することが求められます。その上で、対象となるAIごとに、自社および取引先・グループ会社などが、プロバイダー、デプロイヤー、インポーター、ディストリビューター等、いずれの役割に該当するかを確認し、AIバリューチェーン全体で責任分担と情報連携を整理することが重要です。

リスクベースでのAI分類

EU AI Actでは、AIシステムをリスクの程度に応じて、一般に「許容できないリスク」「ハイリスク」「限定的リスク」「最小リスク」の4段階に整理し、それぞれについて禁止事項、要求事項または透明性義務等を定めています。なお、汎用目的型AIモデルについては、この4段階のリスク分類とは別に、モデルのプロバイダーに対する義務が定められています。

1）「許容できないリスク」

人の安全、生活または基本的権利に対する明確な脅威となり、EUの価値および基本的権利に反するものとして、その上市、供用開始または利用が禁止されるAIの行為または利用形態です。

具体的には、人の意思決定を実質的に歪め、重大な害を生じさせる、またはその可能性が合理的に高い、サブリミナル技術または操作的・欺瞞的な手法を用いるAI、年齢、障がいまたは特定の社会的・経済的状況による脆弱性を悪用するAI、一定のソーシャルスコアリング、インターネットや監視カメラ映像から無差別に顔画像を収集して顔認識データベースを作成または拡張するAIなどが挙げられています。このほか、一定の犯罪リスク予測、職場または教育機関における感情認識、一定の生体分類、法執行目的での公共空間におけるリアルタイム遠隔生体識別などについても、禁止または厳格な例外条件が定められています。

欧州委員会は2025年2月、禁止されるAI行為に関するガイドラインを公表し、各禁止類型について法的な考え方と実例を示しました。同ガイドラインは法的拘束力を有するものではありませんが、禁止規定に関する欧州委員会の解釈を示す実務上の重要な参考資料となります。

2）「ハイリスク」

主な規制対象となるAIであり、大きく二つに分けられます。第一は、第6条第1項およびAnnex I（付属書 I）に基づくもので、Annex Iに掲げられたEU整合法令の対象製品そのもの、またはその安全コンポーネントとして使用されるAIシステムのうち、当該製品について第三者による適合性評価が必要となるものです。第二は、第6条第2項およびAnnex III（付属書 III）に基づくもので、生体認証、重要インフラ、教育・職業訓練、雇用、重要な民間・公共サービス、法執行、移民・庇護・国境管理、司法・民主的プロセス等の特定分野において、列挙された用途に使用されるAIシステムです。

ただし、Annex IIIに掲げられた分野・用途に形式的に該当する場合でも、自然人の健康、安全または基本的権利に重大な害を及ぼすリスクがなく、意思決定の結果に重大な影響を与えない場合には、一定の条件の下でハイリスクAIシステムに該当しないことがあります。他方、自然人のプロファイリングを行う場合には、ハイリスクAIシステムとして扱われます。具体的な分類は、AIシステムの意図された目的および実際の機能等を踏まえて判断する必要があります。

例えば、企業の採用活動に関連して、「ターゲットを絞る求人広告の掲載、応募のスクリーニングやフィルタリング、面接や試験での候補者評価といった採用選考に用いることを意図されたAI（Annex IIIの4）」はハイリスクAIに該当します。採用や雇用に関する判断は、個人の職業上の機会や基本的権利に重大な影響を与える可能性があるため、AIの利用を一律に禁止するのではなく、厳格な要求事項と監督の下に置くという考え方が示されています。

3）「限定的リスク」

自然人と直接相互作用するAIや、感情推定や生体分類を行うAI、人物など現実世界に実在するものに酷似させたコンテンツ（ディープフェイクコンテンツ）を生成するAI、公共の利益に関する一定のAI生成・操作テキストなどが例として挙げられています。後述する透明性義務は、ハイリスクAIやその他AIに一律に適用されるものではなく、第50条に定めるAIシステムや利用形態に該当する場合に適用されます。同一のAIシステムが、用途に応じてハイリスクAIシステムに該当するとともに、第50条の透明性義務の対象となる場合もあります。

4）「最小リスク」

上記のいずれにも該当しないAIはこの「最小リスク」に位置付けられます。EU AI Act上、こうしたAIシステムには原則として追加的な強制要件は課されませんが、ハイリスクAIシステムに関する要求事項を自主的に適用することや、第95条に基づく自主的な行動規範を策定・遵守することが奨励されています。なお、EU AI Act上の追加的義務がない場合でも、データ保護、消費者保護、知的財産等に関する他の法令が適用される可能性があります。

汎用目的型AIモデル

汎用目的型AIモデルとは、市場への提供方法を問わず、顕著な汎用性を示し、幅広い異なるタスクを適切に実行できるとともに、多様な下流のAIシステムまたはアプリケーションへ統合することが可能なAIモデルのことを指します。

典型的な例として、テキスト、画像、音声、動画等を生成でき、さまざまな下流用途へ利用できる生成AIモデルが挙げられます。ただし、「汎用目的型AIモデル」と「生成AIモデル」は同義ではなく、モデルが法令上の汎用性等の要件を満たすかを個別に判断する必要があります。

汎用目的型AIモデルは、多様な下流のAIシステムやアプリケーションに統合されて利用されることが想定されています。ただし、EU AI Act上、汎用目的型AIモデルと、それを組み込んだAIシステムは区別されます。汎用目的型AIモデルのプロバイダーと、そのモデルを組み込んだ下流のAIシステムのプロバイダーなどには、それぞれの役割に応じた義務が課される可能性があります。

前編では、EU AI Actの適用範囲、リスク分類および汎用目的型AIモデルの位置付けについて解説しました。後編では、これらの分類や事業者の役割に応じて企業に求められる具体的な義務、適用スケジュール、制裁および実務上の対応について考察します。

後編はこちら