EU AI法、高リスク規制の8月2日期限が接近

結論

EUのAI法で、高リスク用途に関する義務の適用期限が8月2日に迫っている。人工的に生成した内容の透明性に関するルールも同じ月に発効する。義務を2027年まで遅らせる案は政治的な対立が続き、決着していない。EU域内で事業を持つ、あるいはAIの出力をEUで使う日本企業は、自社が対象かどうかの確認を急ぐ段階にある。不確実な部分が残るため、最新の状況は公式で確認する必要がある。

何が起きているのか

EUのAI法は段階的に適用が進んでおり、その節目が8月2日である。高リスクとされる用途に課される義務が、この日を境に本格的に効いてくる。高リスクに当たるのは、採用選考、与信判断、教育の評価、重要インフラの制御など、人の権利や安全に大きく関わる用途である。こうした用途では、リスク管理の体制、学習データの品質確保、記録の保存などが求められる。

一方で、規制の運用には流動的な部分が残る。高リスクの義務を2027年12月まで遅らせる提案が出ているが、政治的に対立しており決着していない。暫定合意では、国の当局が規制の試験環境を整える期限を2027年8月2日まで延ばす一方、人工的に生成した内容に透明性の仕組みを設ける猶予は6カ月から3カ月に短縮され、期限は2026年12月2日とされた。適用の細部は今も動いているため、断定は避けるべきである。

高リスクに該当した場合の義務は幅広い。リスクを評価し管理する体制の整備、学習に使うデータの品質と偏りの確認、システムの動作を記録して保存すること、人が監督できる仕組みを設けることなどが求められる。これらは一度整えれば終わりではなく、運用を続ける限り維持する必要がある。該当の有無を早く見極め、義務の内容と自社の現状の差を把握しておくことが、期限に追われないための第一歩になる。

規制強化はEUだけの動きではない。EUではクラウド・AI開発法が官報に公布され、ポーランドがAI専門の規制機関の設置に前進した。米国でも州ごとの規制案が相次ぎ、各国でルール整備が加速している。企業は、複数の地域で異なる規制に同時に向き合う状況にある。

現場の実務にどう効くか

EUと接点を持つ企業にとって、当面の対応は具体的である。

第一に、自社のAI利用がEUと接点を持つかを確認することである。EU域内で製品やサービスを提供する、あるいはAIの出力をEU内で使う場合、日本企業でも対象になりうる。拠点が日本にあることは対象外の理由にならない。まず、自社が使っているAIのどれがEUの利用者や業務に関わっているかを洗い出す。

第二に、高リスクに該当する用途がないかを点検することである。採用選考や与信判断でAIを使っている場合、その用途は義務の対象になりうる。該当するなら、リスク管理の体制や記録の保存といった要件を満たしているかを確認する。社内でAIを使う部署が分散していると、対象の用途を見落としやすい。利用状況を一覧にして把握しておくことが要る。

第三に、生成した内容の透明性への対応である。AIが作った文章や画像であることを示す仕組みは、透明性のルールで求められる方向にある。Google広告がAI生成の透明化ラベルを導入したように、生成物であることを明示する動きは広がっている。自社が外部に出すコンテンツにAIを使っている場合、その事実をどう示すかを決めておくべきである。

規制対応は、法務や情報システムだけの仕事ではない。実際にAIを使う現場の部署が、自分の業務が対象かを理解している必要がある。企業のAI統治は導入55%に対し体制整備が26%にとどまるとの調査もあり、利用が先行し管理が追いつかない状況は各社に共通する。期限を機に、社内のAI利用の棚卸しを進めておくとよい。適用の細部と最新の期限は公式情報で確認してほしい。

出典

• Regulatory framework for AI（European Commission）
• Artificial Intelligence: Council and Parliament agree to simplify and streamline rules（Consilium）