AIの分野に足を踏み入れ始めたばかりの企業の多くは、 新しいEU AI法 の影響をそれほど受けないでしょう――少なくとも当初は。 しかし、それでもなお、より詳細に検討する必要があります。なぜなら、一見些細に見えるAIの活用であっても、透明性の要件やリスク評価の対象となる可能性があるからです。
「 」法案（ ）は、3月13日に欧州議会で可決され、今月中にEU理事会による承認が見込まれており、正式な法律は5月下旬か6月上旬に施行される見通しです。
EUのAI法は、欧州における AIシステム の開発、導入、および利用を規制するリスクベースの枠組みを策定するものであり、その規則は2024 年から2026年にかけて段階的に施行される予定です。 規則を無視したり、これに違反したりした企業は、全世界の売上高の最大 7％に相当する罰金を科される可能性があります。
「ヨーロッパに何らかの形で関わるAIシステムをお持ちの場合は、EU AI法について検討する必要があります」と、グッドウィン・ローのロンドン事務所でテクノロジー・パートナーを務めるグレッチェン・スコット氏は述べています。
あなたのAIリスクレベルはどの程度でしょうか？ EUのAI法では、皆様が以下のことをご存じであることを想定しています
弁護士たちは、ご自身の立場を把握するために、いくつかの手順を踏むことを推奨しています。
「ヨーロッパに何らかの形で関わるAIシステムをお持ちの場合は、EU AI法について検討する必要があります。」グッドウィン法律事務所のテクノロジー・パートナー、グレッチェン・スコット氏
まず、スコット氏は、AIのバリューチェーンにおける自社の位置づけを把握し、EU AI法が規制の対象としている主要な役割（AIシステムのプロバイダー、導入事業者、販売業者、製造業者、輸入業者など）のいずれかに該当する可能性があるかどうかを確認することが重要だと述べています。
次に、彼女は、EU AI法で規定されている4つのレベルに基づいて、AIシステムのリスクレベルを判断すべきだと述べています。
1. 許容できないリスク
これは、EUが市民の基本的権利を侵害したり、社会的弱者を搾取したりするとみなすAIの利用を禁止するカテゴリーです。 禁止されるAIシステムには、以下のものが含まれます：脆弱性を悪用して行動を歪め、重大な危害をもたらすもの；職場や学校における感情認識；機微な特徴を用いた生体認証による分類システム；インターネットやテレビから顔画像を収集して顔認識データベースを作成するもの；ソーシャルスコアリング、予測型警察活動（『 』（）、『マイノリティ・リポート』（）、『』などを参照）、および人間の行動を操作するAIツール。
2。 高リスク
貴社の事業がこのカテゴリーに該当する場合、相当な規制要件に直面することになります。 EUの製品安全法（おもちゃ、医療機器、機械など）の対象となるAIシステムは、高リスクとみなされます。また、 に記載されている重要インフラ、、 に記載されている教育 および職業訓練、雇用、 に記載されている医療 や に記載されている銀行業務 といった不可欠な民間・公共サービス、ならびに法執行、移民・国境管理、司法および民主的プロセスにおける特定のシステムも同様に高リスクとみなされます。
[関連記事：ジェネレーティブAIがもたらす 3 の最大の脅威（さらに1つのリスク）と、それらに対抗する方法]
高リスクのAIシステムを提供する事業者は、 に規定された包括的なリスクおよび品質管理プロセス およびシステムを導入し、リスクを評価・低減し、利用ログを維持し、透明性と正確性を確保し、人間の監督を確実に行い、市販後のモニタリング体制を確立しなければなりません。 一方、高リスクのAIシステムを利用する者には、提供者の指示に従ってAIシステムを使用すること、影響評価を実施すること、人間の監督と透明性を確保すること、およびシステムのリスクを監視することといった、厳格な義務が課されています。
3。 汎用AI（GPAI）
このカテゴリーでは、OpenAI、Google、Microsoftなど、AI分野でよく知られた多くの企業を取り上げます。 概して、これらはリスクの低い用途と見なされています。 しかし、GPAIモデルは多くの下流AIシステムの基盤となっているため、GPAIプロバイダーは、AIエコシステムにおける自らの役割と責任を認識し、透明性の確保などの義務を負うことになります。
米国を舞台とした一連の知的財産権訴訟が、現在、GPAIモデルの学習はまさに「無法地帯」のような状況にあることを浮き彫りにしています。特に、AIを賢くするために他者のデータを 無断で流用しているとの疑惑に関しては、 その傾向が顕著です。 EUは、GPAIプロバイダーに対し、地域の著作権法を遵守するための方針を実施すること、およびトレーニングに使用されるコンテンツの詳細な概要を公開することを求めています。 無料のオープンソースモデルは、これらの要件の対象外となります。 システミック・リスクを伴う、より強力なGPAIモデルには、より厳しい要件が課されます。 スコット氏によると、 影響力の大きい機能を備えた大規模言語モデル（LLM） を構築・提供している場合、定期的なモデル評価を実施し、システムリスクを評価・軽減し、 サイバー攻撃 を含む発生したあらゆるインシデントについて報告を行っていることを証明する必要があるとのことです。
4。 リスクが限定的
他のいずれのカテゴリーにも該当しないAIシステムについては、ユーザーがAIとやり取りしていること、あるいは読んでいる出力が人工的に生成されたものであることを確実に認識できるよう、透明性に関する要件が適用されます。 例えば、人工的または加工された画像、 音声、および動画コンテンツ（ディープフェイクなど） は、その旨を明確に表示する必要があります。 AIを開発または導入する企業は、組織内で十分なレベルのAIリテラシーを確保する必要もあります。
[関連記事：最高AI責任者（CAIO）をご紹介――経営陣に新たなポストを設ける時が来ました]
EU AI法に基づく義務（およびAIガバナンス）の整理
AIのバリューチェーンにおける自社の役割と、自社のAIシステムのリスク分類を理解すれば、規制上の義務を特定できるようになります。 スコット氏は、EUのAI法の下では、ほとんどのAIシステムが禁止されたり、高リスクとみなされたりすることはないと述べています。 「しかし、規制上の負担が最も大きいAIシステムの開発や導入に伴うリスクを軽減するため、企業が対策を講じるようになるにつれ、EU AI法の影響は広範囲に及ぶものと考えています」と彼女は述べています。
「組織におけるAIの開発や活用状況を評価するためのタスクフォースやAI委員会を設置し、組織内の主要なステークホルダーが確実に参加できるようにしてください。」アナ・ハドネス・ブルーダー氏（メイヤー・ブラウン法律事務所 パートナー）
メイヤー・ブラウン法律事務所のパートナーであるアナ・ハドネス・ブルーダー氏は、コンプライアンスを確保するためには、少なくとも最低限のAIガバナンスを確立することが重要だと述べています。 また、AIが何らかの高リスクカテゴリーに該当する企業は、強固なAIガバナンスを導入すべきです。
「具体的に言えば、組織におけるAIの開発や活用状況を評価し、組織内の主要なステークホルダーが確実に関与できるようにするため、タスクフォースやAI委員会を設置すべきだということです」と、ドイツのフランクフルトを拠点とし、 データプライバシー、 サイバーセキュリティ、およびAI関連の問題を専門とするブルーダー氏は述べています。 「そして、そのグループ をできるだけ多様性に富んだものにするよう心がけてください 。なぜなら、人によって視点が異なるものであり、AIに偏りが生じないようにするためには、それが非常に重要だからです。」
EUのAI法をめぐり、さらなる議論が巻き起こっています――順守すべきか、それとも順守すべきでないか
ブルダー氏によると、ほとんどのAI委員会が必ず提起する重要な疑問の一つは、自組織のAI導入が、EU AI法への準拠を目指す必要がある水準に本当に達しているかどうかという点だといいます。 何と言っても、どのような規制への準拠も、時間と費用がかかるものです。 しかし、ブルーダー氏は、事態の行方は明らかだと考えています。この規制は、ほんの始まりに過ぎないのです。
「私はクライアントに対し、この動きが活発化すると予想すべきだとアドバイスしてきました」とブルーダー氏は述べています。
実際、弁護士たちは、EUのAI法が、 の一般データ保護規則（GDPR） のように他国で模倣されるとは予想していませんが、多くの政府がAIの無制限な拡大を抑制しようとしています。 例えば、バイデン政権は昨年、「 」という大統領令（ ）に署名し、米国の国家安全保障、経済、公衆衛生、または安全を脅かすおそれのあるAIシステムの開発者に対し、製品を一般に公開する前に安全性試験の結果を開示することを義務付けました。 中国の規制当局 も、生成AIに関する規則を定めています。 昨年10月時点で、 31 カ国 がAI関連法案を可決したと報じられており、さらに 13 カ国がAI関連法案の審議を行っていました。
概して、大手AI企業は、こうした規制に対して半ば消極的な賛同を示しています。それは、こうした法律から逃れることはできないと認識している上、事業を継続するための基本ルールを確立したいと考えているからです。 一方で、一部のAI分野のリーダーたちは、AIに対する人間の制御が失われ、無制限に暴走してしまう可能性について、公の場で懸念を表明しています。
しかし一方で、規制がイノベーションを阻害するのではないかという懸念も寄せられてきました。これは、過去5年ほどの間、EU AI法の各条項について協議を行ってきた立法者たちが、回避しようとしてきた点でもあります。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
AIガバナンス・プラットフォーム「CredoAI」のグローバル・ポリシー・ディレクターであるエヴィ・フエル氏は、その点において、最終的な法案は適切な水準に落ち着いたと考えています。
「EUのAI法はイノベーションを阻害するものではなく、むしろ促進するものです」と彼女は述べています。 「このエコシステムにおいては、コンプライアンスよりも信頼の欠如の方が、より大きな障壁となっていると、私たちはよく言っています。」
フエル氏によると、EUのAI法は、AIのどのような利用が禁止されているか、高リスクか、あるいはリスクが最小限か、あるいはリスクがないかを明確にし、それぞれに対応する透明性確保の義務を定めていることで、企業に確実性を与えているとのことです。
「この主要なマーケットプレイスが、透明性や信頼性に欠ける高リスクなAIモデルの利用や提供を一切認めないという点で、強く合意していることを企業が把握しているため、企業は『設計段階から責任あるAI』に確信を持って投資できるようになります」と彼女は述べています。
