1 背景と制定経緯
1.1 デジタル単一市場戦略との関連
欧州連合（EU）は、デジタル単一市場戦略の一環として、AI技術の統一的な規制枠組みを構築する必要性を認識した。加盟国間で異なる規制が生じることを防ぎ、域内でのAIシステムの自由な流通とイノベーション促進を目的とした。この戦略は、データ経済の拡大とデジタル主権の強化に寄与する。
1.2 立法過程の主要なマイルストーン
欧州委員会は2021年4月に法案を提案し、欧州議会とEU理事会での審議を経て、2024年3月に正式採択された。特に、ChatGPTなどの生成AI急拡大を受け、2023年に汎用AI（GPAI）規制が追加されるなど、立法過程で内容が大幅に調整された。公布後、官報掲載から20日後に発効した。
1.3 国際的な規制動向との比較
世界初の包括的AI法として、米国のセクター別アプローチや中国の社会的安定重視型規制とは対照的である。EUはリスクベースの原則を先駆けとし、カナダ、ブラジル、日本などが類似の法律を検討する際の参照基準となっている。
2 定義と適用範囲
2.1 AIシステムの法的定義
「AIシステム」とは、人間が定義した目標のために、予測、推奨、決定を生成する機械ベースのシステムと定義される。OECDの定義を基盤とし、機械学習や論理ベースの手法を含む広範な概念をカバーする。
2.2 対象主体（プロバイダ、デプロイヤ、インポータ、ディストリビュータ）
- プロバイダ: AIシステムを開発・販売する者。
- デプロイヤ: AIシステムを業務で使用する者。
- インポータ: EU域外からシステムを持ち込む者。
- ディストリビュータ: 流通チェーンでシステムを提供する者。各主体はリスクレベルに応じた義務を負う。
2.3 域外適用の原則
AIシステムの出力がEU域内で利用される場合、プロバイダやデプロイヤが域外に所在しても本法が適用される。これにより、グローバルなAI企業に対する規制の実効性を確保する。
2.4 適用除外（軍事、国防、安全保障等）
純粋な軍事、国防、国家安全保障目的のAIシステムは適用除外とされる。また、研究開発や個人の非業務目的での利用も除外される。
3 リスクベースの分類システム
3.1 許容不能なリスク（禁止行為）
人間の尊厳や基本権を侵害するAIシステムは全面的に禁止される。
3.1.1 ソーシャルスコアリング
政府や企業による社会的行動の評価に基づく信用スコアリングシステムは、差別や不公正な扱いを生むため禁止される。
3.1.2 職場や教育機関での感情認識
従業員や学生の感情を分析するシステムは、プライバシー侵害と操作リスクから禁止される。
3.1.3 リアルタイム遠隔生体認証
公共空間でのリアルタイム顔認識などの生体認証は、犯罪捜査などの厳格な例外を除き禁止される。
3.2 高リスクAIシステム
3.2.1 高リスク該当基準
AIシステムが人の安全や基本権に重大な影響を与える場合、またはEUの調和法律（安全規制）でカバーされる製品の安全コンポーネントとして使用される場合に該当する。
3.2.2 高リスク分類の具体的カテゴリ
3.2.2.1 生体認証と重要インフラ
生体データの遠隔識別、重要インフラ（交通、エネルギー、水道等）の管理システムが含まれる。
3.2.2.2 教育、雇用、法執行等の機会決定
入学選考、採用選考、ローンの信用評価、法執行機関によるリスク評価など、個人の権利や機会に直接影響するシステム。
3.3 限定的リスク（透明性義務）
3.3.1 チャットボットとの対話義務
ユーザーがAIシステムと対話していることを明示する必要がある。人間と思い込ませることは禁止される。
3.3.2 ディープフェイクの開示
AI生成または改変された画像、音声、動画コンテンツには、その旨を明確に表示しなければならない。
3.4 最小リスク（自由利用）
スパムフィルター、ゲーム内AIなどの低リスクシステムは、特別な規制義務なく自由に利用できる。
4 高リスクAIシステムに対する要件
4.1 リスク管理システム
開発・運用の全段階で継続的なリスク評価と緩和策の実施が義務付けられる。システムの意図された目的と予見可能な誤用を考慮する。
4.2 データガバナンスとトレーニングデータの品質
トレーニングデータは偏りがなく、適切に代表性を持ち、正確かつ完全でなければならない。個人データの取り扱いはGDPRに従う。
4.3 技術的文書の作成と保存
システムの設計、開発プロセス、学習データ、性能評価などを詳細に記述した文書を作成し、規制当局の要求に応じて提出する。
4.4 記録保持とログ機能
システムの動作を自動的に記録する機能が必須。ログはシステムの寿命期間中、少なくとも6か月間保存する。
4.5 透明性とユーザーへの情報提供
デプロイヤは利用者に対して、システムの存在、目的、機能について明確に説明する義務を負う。
4.6 人間による監視
人間のオペレーターがシステムの出力を上書きまたは停止できる設計が必要。自動判断の結果に対する人間の介入手段が求められる。
4.7 正確性、堅牢性、サイバーセキュリティ
システムは適切なレベルの精度、誤差への耐性、ハッキングなどへの防御を保証しなければならない。
5 汎用AI（GPAI）の規制
5.1 透明性要件
GPAIモデルのプロバイダは、モデルの能力、制限、エネルギー消費などの技術文書を公開し、規制当局に提供する。
5.2 訓練データの著作権ポリシー開示
トレーニングに使用されたデータの著作権保護に関するポリシーを公表し、著作権者が自らの作品の使用を拒否できる措置を講じる。
5.3 システム的リスクを持つGPAIモデルへの追加義務
大規模な影響力を持つモデル（例：GPT-4クラス）には、モデル評価、インシデント報告、サイバーセキュリティ強化などの追加義務が課される。
6 ガバナンス体制
6.1 欧州人工知能委員会（European AI Board）
加盟国の代表で構成される委員会。EU全体での一貫した執行とガイダンスの提供を担う。
6.2 各国管轄当局（市場監視当局）
各加盟国は、自国内でのAIシステム監視と執行を担当する当局を指定する。市場監視、苦情処理、罰則適用を行う。
6.3 AIオフィス（European AI Office）
欧州委員会内に設置され、GPAIモデルの規制執行、国際調整、迅速なルール更新を専門に担う。2024年2月に先行設立された。
7 施行と罰則
7.1 行政罰金の算定基準（全世界の年間売上高に基づく）
罰金は違反企業の全世界の前年度年間売上高に基づいて算出される。これにより、グローバル企業への高い抑止効果を狙う。
7.2 違反類型ごとの罰金上限
- 禁止行為違反：最大3500万ユーロまたは全世界売上高7％のいずれか高い方。
- データガバナンス違反：最大1500万ユーロまたは3％。
- 誤情報提供：最大750万ユーロまたは1.5％。
7.3 自主規制のための行動規範
中小企業を含む事業者がコンプライアンスを容易にするため、業界団体と協力して自主規制規範の策定が奨励される。
8 関連法令との関係
8.1 一般データ保護規則（GDPR）
AIシステムの個人データ処理はGDPRの制約下にある。AI ActはGDPRを補完し、AI特有のリスクに対する追加要件を課す。
8.2 製品責任指令
高リスクAIシステムに欠陥があった場合の損害賠償責任は、既存の製品責任指令の枠組みで扱われる。AI Actは予防的規制として機能する。
8.3 セクター別規制（医療機器、自動車等）
医療機器、自動車、航空機などのセクター固有の安全規制と重複する場合、AI Actはそれらを補完する形で適用される。既存規制でカバーされないリスクに焦点を当てる。
9 施行スケジュールと今後の展開
9.1 段階的施行のタイムライン
- 発効後6ヶ月：禁止行為の施行開始（2025年初頭）。
- 発効後12ヶ月：GPAI透明性義務の施行。
- 発効後24ヶ月：高リスクルールの全面施行（2026年）。
- 発効後36ヶ月：全条項が完全に適用（2027年）。
9.2 迅速なAIリスク追加リストの更新
欧州委員会は、技術進歩に応じて高リスクリストや禁止行為リストを委任法により迅速に更新できる。定期的なレビューが義務付けられる。
9.3 国際調和の可能性
EUは、米国、日本、韓国などとの間で相互運用性のあるAI規格の開発を推進。OECDやG7での協議を通じて、グローバルなAIガバナンスの共通基盤形成を目指す。