EU、AIを包括的に規制する法案で政治合意、生成型AIも規制対象に

EU理事会（閣僚理事会）と欧州議会は12月9日、EU域内で一律に適用される人工知能（AI）の包括的な規制枠組み規則案（AI法案）に関して、暫定的な政治合意に達したと発表した（プレスリリース）。AIシステムの技術革新が急速に進む中、域内で提供されるAIシステムの安全性や基本的人権などEUの価値の保障を確保することが狙い。また、EUは世界初になるとみられるAI法案を、AI規制における世界標準にしたい考えだ。

欧州委員会が2021年4月にAI法案を発表して以降（2021年4月23日記事参照）、2022年末に提供を開始した米国オープンAIの生成型AI「ChatGPT」が大きな反響を呼ぶなど、AIへの投資は加速している（2023年9月26日付地域・分析レポート参照）。現地報道によると、世界的に開発競争が激化する中、域内での生成型AIへの過度な規制はEU企業を不利にするとして、ドイツやフランスなどの加盟国が規制に反対。生成型AIに対して一定の規制を求める欧州議会との間で、交渉が難航していた。最終的に、両機関は3日間の長時間にわたる直接交渉を経て、ようやく合意にこぎつけた。AI法案は今後、両機関による正式な採択を経て施行され、2026年中に適用が開始されるとみられる。なお、今回合意された法文案は公開されていない。

両機関はまず、AI法案の適用範囲に関わるAIシステムの定義に関して、OECDが提案するアプローチと一致させることで合意。その上で、理事会の要求により、軍事・防衛専用のシステムを適用から除外した。研究・技術革新が目的の場合も適用外とする。

AI法案は、AIのリスクに応じてAIを規制しており、リスクが高いほど規制が厳しくなる。容認できないリスクを伴う用途については、AI利用そのものが禁止される。禁止対象として両機関が合意したのは、欧州委が提案した、個人の行動操作、ソーシャルスコアリング（社会的行動や個人の特徴に基づく信用格付け）の運用、年齢・障がい・社会経済的状況による個人の脆弱（ぜいじゃく）性の搾取だ。加えて、欧州議会が主張した、政治・宗教・思想・性的指向・人種など慎重に取り扱うべき特性を利用した生体分類システムの運用、インターネット・監視カメラからの無差別での顔画像の収集、職場・教育機関での感情認識技術の利用、個人に対する予測的取り締まりの一部も禁止される。顔認証などの遠隔生体認証技術の公共の場でのリアルタイム利用については、欧州議会は全面的な禁止を求めたが、最終的にはEU理事会の要求どおり、セーフガードを追加することで、被害者の捜索やテロ防止などの限定的な状況において認められる。

高リスクのAIシステムに関しては、リスク軽減システム、データガバナンス、ログ管理、詳細な技術文書、利用者への十分な情報提供、人間による監視、高水準の頑健性、正確性、サイバーセキュリティーなどの厳しい要件と、適合性評価などの提供事業者に対する義務を満たすことで域内での提供が認められる。また両機関は、欧州議会が主張していた基本的人権に関する影響評価の実施を提供事業者に義務付けることでも合意した。

リスクが限定的なAIシステムには、透明性に関する義務のみが課される。チャットボットやディープフェイクを使用したサービスを提供する場合は、AI生成コンテンツであるラベル付けをし、生体認証や感情認識システムが使用されている場合は利用者に通知する必要がある。最小リスクのAIシステムに関しては、新たな義務は課されない。

さらに、交渉において最大の焦点となった生成型AIなどの「汎用目的型AI（general purpose AI、GPAI）」については、欧州委案では明確に考慮されていなかったが、両機関は新たにGPAIに特化した規定を追加。GPAIモデルまたそれが組み込まれたGPAIシステム全般に対して、透明性要件を課すことで最終的に合意した。加えて、影響がバリューチェーン全体に波及するリスクのあるGPAIモデルについては、リスク管理、重大インシデントの監視、モデル評価や敵対的サンプルに基づくテストの実施などのより厳格な義務が課される。なお、これらの義務は、欧州委が産業界、科学者、市民社会などと共同で開発する実施指針を通じて運用される予定だ。

なお、罰金に関しては、AI利用の禁止事項に関する違反の場合は、最大3,500万ユーロあるいは前年度の全世界総売上高の7％のいずれが高い方を科すことで合意。罰金の上限を欧州委案から引き上げた。一方で、それ以外の違反に関しては上限を引き下げたほか、中小企業やスタートアップに対しては企業規模に応じてより低い上限を認める規定を追加した。

（吉沼啓介）