1.1 AI技術の急速な発展と規制の必要性
2010年代以降、深層学習を中心とする人工知能技術が飛躍的に進歩し、画像認識、自然言語処理、自動運転などの分野で実用化が進んだ。しかし同時に、アルゴリズムによる差別、プライバシー侵害、偽情報拡散などの社会的リスクが顕在化した。欧州連合は既存の一般データ保護規則（GDPR）だけではこれらの問題に対応できないと判断し、包括的なAI規制法の策定に着手した。2021年4月に欧州委員会が法案を提出し、2024年3月に欧州議会で可決されるまでの3年間にわたる議論を経て、世界初の総合的なAI規制法が成立した。
1.2 EUのデジタル戦略と基本権保護のバランス
EUはデジタル単一市場戦略の一環として、AI技術の健全な発展を促進する一方、欧州連合基本権憲章に規定される市民の権利保護を重視している。本法案は技術革新と基本権保護の均衡を図り、AIシステムがもたらす便益を最大化しつつ、個人の尊厳、プライバシー、非差別の原則を侵害するリスクを最小化することを目的とする。特に、顔認識技術の濫用や社会的スコアリングといった、基本権に直接影響を及ぼす用途に対して厳格な規制を設けている。
1.3 グローバルな規制への先駆的影響（ブリュッセル効果）
EUの規制はしばしば「ブリュッセル効果」と称される国際的な波及力を発揮する。GDPRが世界中のプライバシー法に影響を与えたように、AI法案も他国・地域の規制モデルとなる可能性が高い。本法案のリスクベース分類や透明性義務は、米国、日本、カナダなどが検討するAI規制の参考事例として引用されている。また、EU市場で活動する外国企業も本法案の遵守を強いられるため、グローバルなAI開発基準の事実上の標準となりつつある。
2.1 許容不能リスク（禁止行為）
2.1.1 社会的信用スコアリングの禁止
政府機関や民間企業が個人の社会的行動や特性に基づいて信用スコアを付与し、そのスコアによって差別的な扱いを行うことを全面的に禁止する。この禁止は、中国で実施されている社会信用体系を念頭に置いたものであり、EU域内での同様のシステム構築を未然に防止する。
2.1.2 リアルタイム生体識別システムの原則禁止
公共空間における法執行目的のリアルタイム顔認識システムの使用を原則禁止する。ただし、テロの差し迫った脅威や誘拐事件の捜索など、厳格に限定された例外的事例に限り、司法当局の許可を得た上で使用が認められる。この例外適用には事後報告と独立した監視が義務付けられる。
2.1.3 職場・学校での感情認識の制限
雇用関係や教育の場において、従業員や学生の感情をAIシステムで分析・認識することを禁止する。これには、面接中の表情分析による採用判断や、教室での注意力モニタリングシステムなどが含まれる。感情認識技術の精度が低く、文化的・個人的差異を適切に反映できないという懸念に基づく。
2.2 高リスクAIシステム
2.2.1 定義と対象分野（医療、雇用、重要インフラ等）
高リスクAIシステムは、人の安全や基本権に重大な影響を与える可能性がある分野で使用されるものを指す。具体的には、医療機器、雇用選考、クレジット評価、重要インフラ管理、法執行、移民管理、司法制度などが対象となる。これらのシステムは、事前の適合性評価と継続的な監視の対象となる。
2.2.2 適合性評価と人的監視の義務
高リスクAIシステムの提供者は、市場投入前に第三者機関または自己適合性評価を実施し、リスク管理、データガバナンス、技術文書、透明性、人間による監視、正確性・堅牢性に関する要件を満たすことを確認しなければならない。また、システムの運用中は常に人間が監視し、必要に応じて介入できる体制を整えることが求められる。
2.2.3 透明性と文書化の要件
高リスクAIシステムの提供者は、システムの動作原理、トレーニングデータ、想定されるリスク、性能評価結果を詳細に文書化し、規制当局の要求に応じて提出する義務を負う。ユーザーには、自身がAIシステムと対話していること、およびその判断に異議を申し立てる権利があることを明示しなければならない。
2.3 限定的リスク（透明性義務）
2.3.1 チャットボットの使用明示義務
チャットボットやその他の会話型AIを利用する場合、ユーザーに対して自分がAIと対話していることを明確に通知しなければならない。この義務は、ユーザーが欺瞞的なインタラクションに陥ることを防ぎ、インフォームドコンセントを確保するためのものである。
2.3.2 ディープフェイクコンテンツのラベル表示
AIによって生成された画像、動画、音声コンテンツ（いわゆるディープフェイク）には、それが人工的に作成されたものであることを明示するラベルを付けることが義務付けられる。ただし、明らかに芸術的・創造的目的で非欺瞞的に使用される場合や、パロディ・風刺の場合は適用が緩和される。
2.4 最小リスク（規制対象外）
スパムフィルター、ビデオゲームのAI、在庫管理システムなど、人の安全や基本権にほとんど影響を与えないと考えられるAIシステムは、本法案の規制対象外となる。ただし、将来的に新しいリスクが特定された場合には、分類が見直される可能性がある。
3.1 強力な基盤モデル（GPAI）の定義
GPT-4やGeminiなどの大規模言語モデルや、画像生成モデルといった、汎用的に使用される強力な基盤モデル（General-Purpose AI、GPAI）には特別な規制が課される。GPAIは、そのトレーニングに使用された計算資源量やパラメータ数などの指標に基づいて「システム的リスクを有するGPAI」とそれ以外に分類される。システム的リスクを有するものは、より厳格な透明性とリスク管理義務を負う。
3.2 著作権法遵守とトレーニングデータ透明性
3.2.1 著作権で保護された素材の利用開示
GPAIの提供者は、トレーニングデータに著作権で保護された作品（書籍、記事、画像など）が含まれている場合、その利用状況を詳細に開示する義務を負う。これにより、著作権者が自身の作品が無断でAIトレーニングに使用されたことを把握し、権利行使が可能となる。
3.2.2 市場監視と罰則
GPAIの提供者は、自社モデルから生成されるコンテンツの出所追跡と、違法コンテンツの生成防止措置を講じなければならない。市場監視当局は定期的に検査を実施し、違反が確認された場合には罰則が科される。特に、著作権侵害や虚偽情報の拡散を防止するための内部ガバナンス体制の構築が求められる。
3.2.3 EU AIオフィスによる監督
システム的リスクを有するGPAIは、新設されるEU AIオフィスの直接監督下に置かれる。同オフィスは、モデルの安全性試験の実施、業界標準の策定、国際協調の推進などの役割を担う。また、重大なインシデントが発生した場合には、モデルの一時停止命令を発出する権限を持つ。
4.1 EU AIオフィスの設立
2024年2月に欧州委員会内に設置されたEU AIオフィスは、AI法案の一元的な執行機関として機能する。同オフィスは、GPAIの監督、加盟国間の調整、国際的協力、ガイドラインの策定を担当する。約140名の専門スタッフを擁し、技術評価と法執行の両面で中核的な役割を果たす。
4.2 各国の管轄当局と調和
各加盟国は、自国内でのAI法案執行を担当する管轄当局を指定する義務を負う。これらの当局は市場監視、苦情処理、違反調査、罰則適用を実行する。EU AIオフィスと各国当局は、情報共有、共同検査、統一解釈のための協力メカニズムを構築し、加盟国間での執行のばらつきを防ぐ。
4.3 罰則体系と制裁
4.3.1 罰金の上限と算定基準
違反の重大性に応じて段階的な罰金が科される。許容不能リスクの違反には全世界年間売上高の最大7%または3,500万ユーロのいずれか高い方、高リスクAIに関する義務違反には最大3%または1,500万ユーロ、不正確な情報提供には最大1.5%または750万ユーロの罰金が課される。罰金額は違反の悪質性、被害規模、再発防止措置の状況などを考慮して決定される。
4.3.2 中小企業への考慮
中小企業（SMEs）およびスタートアップに対しては、罰金の算定において売上高に比例した軽減措置が適用される。また、適合性評価の手続き費用を軽減するためのガイダンス提供や、規制サンドボックスへの優先的アクセスなどの支援策が設けられている。
4.4 サンドボックスとイノベーション支援
加盟国は、革新的なAIシステムの開発とテストを促進するための規制サンドボックスを設置することが義務付けられる。サンドボックス内では、一定の条件下で規制要件の一部が緩和され、企業は実環境に近い状態で新技術を試験できる。特に中小企業やスタートアップにとって、コンプライアンスコストを抑制しながら製品開発を進める重要な機会を提供する。
5.1 他国・地域への波及効果
5.1.1 日本のAI戦略への影響
日本政府は2024年に「AI事業者ガイドライン」を策定し、EU法案と同様のリスクベースアプローチを部分採用した。また、著作権法の改正議論においても、EUのトレーニングデータ透明性要件が参照されている。ただし、日本は罰則の導入には慎重な立場をとっており、自主規制とガイドラインによるソフトローアプローチを基本としている。
5.1.2 アメリカの自主規制アプローチとの比較
米国は2023年10月の大統領令による自主規制的なアプローチを採用し、EUのような包括的立法は行っていない。しかし、各州レベルではカリフォルニア州などが独自のAI規制法を検討しており、連邦レベルでもバイデン政権がAIの安全性基準を強化する方針を示している。EU法案の厳格な規制と米国の柔軟なアプローチの間で、国際的な調和が今後の課題となる。
5.2 法案の段階的施行スケジュール
5.2.1 2025年：禁止行為の適用
2025年2月を目標に、許容不能リスクに分類される禁止行為（社会的スコアリング、リアルタイム生体識別の原則禁止など）の規定が先行して施行される。これにより、最も緊急性の高い基本権侵害に対して早期に対応する。
5.2.2 2026年：高リスクAIの規定適用
2026年8月までに、高リスクAIシステムに関する適合性評価、透明性、人的監視の義務が完全に施行される。この猶予期間は、事業者がコンプライアンス体制を整備するための準備期間として機能する。
5.2.3 2027年：完全施行と見直し条項
2027年までに法案の全規定が施行され、完全な運用段階に入る。また、法案には技術の進展や社会情勢の変化を反映するための定期的な見直し条項が含まれており、施行後5年ごとに包括的な評価と改正が行われる。この見直しプロセスにより、規制の実効性と適時性が担保される。