欧州のAI法規制の現状と日本企業への影響

Ⅰ はじめに

2023年12月9日、欧州連合（EU）のEU理事会と欧州議会は、人工知能（AI）を包括的に規制する世界初の法的枠組みである”Artificial Intelligence Act”（以下、欧州AI法）の法案について暫定的に合意しました。2024年3月13日には欧州議会が最終案を可決し、その成立は目前に迫っています。一般データ保護規則（GDPR）、デジタルサービス法、デジタル市場法など、EUの他のデジタル関連法に続くものです。

欧州AI法案の内容は、欧州で活動する日本の企業などにも影響します。

合意された法案（以下、暫定合意案）は、本稿作成時点（2024年3月）で正式には公表されていませんが、これまでの公表内容を基にその枠組みをご紹介します。併せて、欧州チームのニュースレター「Political agreement reached on the EU Artificial Intelligence Act」（2023年12月10日リリース）もご参照ください。

Ⅱ 法案の概要

EU AI法案（Proposal for a Regulation of the European Parliament and of the Council Laying Down Harmonised Rules on Artificial Intelligence （Artificial Intelligence Act） and Amending Certain Union Legislative Acts^※1, European Commission, 2021）（以下、2021年4月版法案）は2021年4月に最初に公表されました。法案の主な目的として、次の内容が挙げられています。

• EU市場におけるAIの安全性を確保し、現行EU法の規律を尊重する
• AIへの投資とイノベーションを促進するための法的確実性を確保する
• 基本的権利や安全に関する現行EU法によるガバナンスと効果的な執行を強化する
• 安全かつ信頼できるAIの、単一のEU市場の発展を促進し、市場の分断を防ぐ

その後の議論を経て、2023年6月に欧州議会により採択されたものが、現在正式に公表されている最新の法案（Amendments adopted by the European Parliament on 14 June 2023 on the proposal for a regulation of the European Parliament and of the Council on laying down harmonised rules on artificial intelligence （Artificial Intelligence Act） and amending certain Union legislative acts^※2, European Parliament, 2023）（以下、2023年6月版法案）です。^※3

※1　www.europarl.europa.eu/RegData/docs_autres_institutions/commission_europeenne/com/2021/0206/COM_COM(2021)0206_EN.pdf（2024年1月18日アクセス）
※2　www.europarl.europa.eu/doceo/document/TA-9-2023-0236_EN.html（2024年1月18日アクセス）
※3　なお、2024年1月に、SNS上に非公式な形で最新法案とされる文書がアップロードされましたが、非公式情報のため、本稿では2023年6月版法案をベースに議論しています。

Ⅲ 対象となる「AIシステム」

2023年6月版法案は、欧州AI法の対象となる「AIシステム」の定義を、経済協力開発機構（OECD）が提唱する定義と合わせています。欧州理事会によれば、暫定合意案においてもこの前提は維持されています^※4。

OECDはAIシステムを、概要、「入力内容から予測や推奨、決定などの出力を生成できる機械ベースのシステム」と定義しています^※5。対象となるAIシステムが、機械上で一定の自律性をもってアウトプットを生み出すことのできるシステムであることを示しています。

さらに、2023年6月版法案は、生成AIについて厳格なルールを課すことを念頭に、①幅広いアプリに利用可能な「汎用目的AIシステム（general purpose AI system）」（3条1d項）、②大量のデータを用いて学習し、画像やテキスト生成など幅広いタスクに対応できる「基盤モデル（foundation model）」（3条1c項）を特に定義して、特別な規制を設けました。急速に普及した生成AIについて、特別にルールを定めるものです。

これらのモデルは、暫定合意直前に公開された妥協案（Compromise proposal on general purpose AI models/general purpose AI systems）（以下、妥協案）では、「汎用目的AIモデル（GPAIモデル）」として規制されています。
最新の定義については、今後公表される法文を確認する必要があります。

※4　Artificial intelligence act: Council and Parliament strike a deal on the first rules for AI in the world, Council of the European Union, 2023, www.consilium.europa.eu/en/press/press-releases/2023/12/09/artificial-intelligence-act-council-and-parliament-strike-a-deal-on-the-first-worldwide-rules-for-ai/ （2024年1月18日アクセス）
※5　OECD AI Principles overview, OECD, oecd.ai/en/ai-principles（2024年1月18日アクセス）

Ⅳ 規制を受ける主体

欧州AI法案は、幅広くAIのバリューチェーンにおける当事者を対象としています。同法案は、域外適用されることも明示されています。2023年6月版法案によれば、以下の者は、本法案の適用対象となります（2条1項）。

上記に登場する用語の意味は以下のとおりです（3条）。

EU内で提供されるAIシステムの利用により健康、安全または基本的権利に不利な影響を受けた者（EU内に所在）は本法案による保護の対象となります（2条1項（cc））。

なお、欧州AI法は以下には適用されないこととされています（2条3～5e項）

• 軍事目的で開発されたAIシステム（EUの規制権限の範囲外）
• EUやその加盟国と、法の執行または司法共助の協定を結んでいる非EU加盟国および国際機関の公的機関
• 上市またはサービス開始前のAIシステムに関する研究、試験、開発活動
• フリーおよびオープンソースのソフトウェア（後述の禁止または高リスクのAIに分類される場合を除く）

Ⅴ 欧州AI法案における義務の概要

1. 4段階の規制

欧州AI法案は、AIがもたらし得るリスクの高さに応じて、規制の強さを4つのランクに分けています（リスク・ベース・アプローチ）。すなわち、AIは「禁止されたAI」、「高リスクAI」、「低リスクAI」、「最小リスクAI」に分けられます。

禁止されたAIとして法文に列挙されたAIの利用、提供は認められません。

2023年6月版法案では、高リスクAIには、概要、以下のような措置が求められます。

• リスク管理システムの構築（9条）
• データガバナンスの実施（10条）
• 上市前の適切な技術文書の作成と更新（11条）
• 作動期間中のログの保存（12条）
• システムの透明性確保と情報提供（13条）
• 人間による監督の確保（14条）
• 利用目的に応じた適切な水準の正確性、頑健性、サイバーセキュリティの確保（15条）

高リスクAIの提供者は、上市前に、適合性評価を実施した上で、所定のデータベースに当該AIシステムを登録することが求められます（19条、51条）。適合性評価は自己評価で足りる場合もありますが、AIが所定の安全部品に利用される場合など、第三者による評価を要求される場合もあります。

高リスクAIの導入者も、当該AIシステムの使用前に所定の基本的権利影響評価（Fundamental rights impact assessment）を実施しなければなりません（29a条）。高リスクAIの流通者や輸入者、提供者の代理人にも、市場に出す前に、法への適合性や技術文書の確認を行うことが求められます（25～27条）。

2. 生成AIの規制

前述のとおり、欧州AI法案は、上記の4つの規制レベルの議論とは別に、ChatGPTなどの急速な普及を受け、生成AIを念頭に特別な規制を設けています。

妥協案は、一般のGPAIモデルについて、技術文書の作成や、当該モデルを自社システムに組み込もうとする提供者への情報提供、EU著作権法の順守、学習に使用されたコンテンツのサマリーの公開といった一定の透明性確保を求めています。

さらに妥協案は、特にシステム上のリスクが高いGPAIモデルについて、モデル評価やシステムリスクの評価、敵対的テストの実施、サイバーセキュリティの確保といった、加重された措置を求めています。

欧州理事会によれば、暫定合意案では、かかる生成AIを念頭とした規制について、新たな定めが追加されているとのことです。具体的な内容は、今後の公表される法文を確認する必要があります。

Ⅵ 違反者への罰則

欧州理事会によれば、暫定合意案では、違反者は以下の制裁金の対象となります。EUのGDPRより重い基準です。ただし、暫定的合意では、中小企業やベンチャー企業に対する制裁金額には、比例した上限が認められます。

Ⅶ 今後の展望と日本企業への影響

法案は、順調に進めば、2024年4月にEU理事会の承認を経て公布されます。常に最新の状況をフォローすることが重要です。

公布された内容は20日後に発効し、発効から6カ月で「禁止されたAI」についての規制が施行されます。発効後2年で全面的な施行が予定されています。

前述のとおり、日本企業であっても、EU内にグループ会社がある場合、EU向けにAIのサービスを提供しようとする場合、AIのアウトプットをEU域内で使用する場合、禁止されたAIに該当し得るシステム（人事における感情分析や社会的スコアリングのシステムなど）を利用・提供しているような場合などには、欧州AI法の適用の有無を検討する必要があります。

日本では、いまだソフトローや自主規制に対応が委ねられていることもあり、AIガバナンスの構築は途上という企業も少なくないと考えます。

特にグローバルでAI関連のサービスを提供されている場合、サービスを見直すために十分な準備期間が必要です。形式的にはGDPRよりも重い制裁金の対象となり得ることを考えますと、仮にAIを活用している事業が、付随的なものであるとか、ひ孫会社の事業であるからといって、リスクを軽視できるものではありません。早めにリスクの洗い出しをしておくことが求められます。