EU AI規制法

EU AI 規制法（EU AI Act）は、欧州連合（EU）が制定した、AI を包括的に規制する法律です。2024年に成立し、その後、規定ごとに段階的に適用されていく形で進められています。細かな適用時期や運用の指針は更新されることがあるため、実際に対応する際は最新の公式情報を確認する必要があります。

基本の考え方：リスクに応じた規制

この法律の特徴は、AI を使い道の危険度に応じて分類し、重さの違う義務を課す点です。

• 許容できないリスク：禁止されます。たとえば、人の弱みにつけ込んで行動を操作する AI や、公的機関による社会的な点数づけなどが例として挙げられます。
• 高リスク：採用、教育、重要インフラ、法執行などの分野で使う AI。リスク管理、データの品質、記録の保存、人による監督、説明資料の整備などが求められます。
• 透明性のリスク：チャットボットと対話していることの告知や、AI が生成・加工した画像・音声・動画（ディープフェイクなど）の表示が求められます。
• 最小リスク：特別な義務は少ない。多くの一般的な用途が含まれます。

加えて、ChatGPT のような汎用 AI モデルの提供者には、技術文書の整備や学習に使ったデータの概要の公開、著作権への配慮などの義務が定められています。特に影響力の大きいモデルには、追加の義務があります。

日本の企業との関わり

EU 域内で AI システムを提供・販売する事業者や、その出力を EU 域内で使う場合は、EU の外にある企業でも対象になりえます（域外適用）。日本企業でも、EU 向けに製品やサービスを展開するなら無関係ではありません。違反した場合は、重い制裁金が科される定めです。

具体例

人事部門が応募者の書類選考に AI を使う場合は、高リスクに当たる可能性があります。人間が最終判断をする体制や、結果の記録を整える必要があります。一方、社内向けの文章の要約ツールは、通常は最小リスクです。ただし、顧客と対話するチャットボットなら、AI であることの告知が必要になる場合があります。

使うときの注意

• 自社の用途がどのリスク区分に当たるかは、具体的な使い方次第です。一般論で判断せず、条文と公式の指針を確認します。
• 義務を負うのは、AI を作る提供者だけではありません。導入して使う側にも義務があります。
• 個人データを扱うなら、GDPR も別に関係します。
• 法律の解釈は、法務の専門家への相談が前提です。

関連する考え方

AI の安全性の取り組みであるガードレール、レッドチーミング、電子透かしや C2PA による出所の表示、データの扱いに関する GDPR などが、この法律への対応の実務と重なります。