他人事ではない、AI規制の最先端「EU AI Act」に備えよ 何が禁止され、誰に影響が及ぶのか：AI規制の最先端「EU AI Act」の全体像（2/3 ページ）

本連載では、企業がAIに対する包括的な規制“EU AI Act”（EU AI規制法）に対応するための基礎的な内容と抑えておくべきポイントなどを全3回にわたって解説する。

[熊谷堅（KPMGコンサルティング），ITmedia]

誰に規制が及ぶのか

　EU AI規制法の特徴の一つとして、AIシステムやAIモデルに関わる事業者などを複数に分けて規定していることが挙げられる。

　関係者はAIシステムやAIモデルを自ら開発したり開発させたりすることによって市場投入する「プロバイダー」（提供者）、AIシステムの提供を受け、利用する「デプロイヤー」（導入者）、EU域内に所在し、第三国のAIシステムを市場投入する「インポーター」（輸入者）、バリューチェーンの一部となる「ディストリビューター」（流通者）に分けられる。

図1：AIシステムなどに関わるプレイヤー

　いずれも、法的な義務と制裁金を含む罰則が規定されている。最も多くの義務が課せられるのはプロバイダーだ。具体的に必要となる対応は第2回で解説する。

AIシステムのカテゴリー

　EU AI規制法のもう一つの特徴として、AIシステムやモデルの分類方法（リスクベース・アプローチの採用）が挙げられる。EUの価値観によって、リスクの大きさや他の法規制との関係性に基づき、主にユースケース（目的・用途）別に分けられる。カテゴリーやその名称などは、図2のように表現されることが多い。それぞれ規制の適用期日が異なっており、対象や猶予期間などには注意が必要になる。

図2：AIシステムなどのカテゴリー

　AIシステムは、さらに「透明性義務のあるAI」が「限定的リスクAI」や「特定の透明性義務のあるAI」などと称して分類され規制されるケースもある。ただし「ハイリスクAI」や「汎用目的AIモデル」との重なりもあることに留意すべきだ。

　また、主にユースケース（目的・用途）を前提としたAIシステムの分類と、それとは異なる汎用目的型があることに注目されたい。前者はAIモデルを含むシステムであるが、後者はAIモデル自体を対象としている。近年の生成AIの登場・進展と合わせて、いわゆるファウンデーション（基盤）モデルが急速に普及し、今後も多くのモデルが市場投入（オープンソース化含む）されていくことを予測し、法律にも反映されたものといえる。

今後のタイムライン

　前述の通りEU AI規制法は、すでに発効されており、多くの条文が26年8月までに適用される予定だ。AIシステムの分類ごとに適用時期や猶予期間なども定められているが、実はその一部である「禁止AI」については、25年2月から適用される。主な適用期日のタイムラインは図3に示す。

図3：EU AI 規制法の適用タイムライン

　次に、25年8月にはプロバイダーを対象にした「汎用目的AIモデル」への規制が適用される予定だ。ただしその時点までに投入済みのモデルは、27年8月まで猶予期間が設定されている。

　ハイリスクAIへの規制は原則として26年8月となっているが、例外もある。別途定める法令の対象になっているAIなどは、1年後の27年8月となる。

　さらに、罰則の適用についても注意しなければならない。実は、罰則もAIシステムの分類によって適用期日が異なる。加えて、義務の適用から罰則適用まで猶予がある場合と、即適用となる場合がある。

　なお、EUの法律は一般的に罰則として課せられる制裁金の上限が極めて高額だ。EU AI規制法も同様で、準拠するための各種取り組みの対応期限や厳格さを見極める際、念頭に置く必要があるだろう。

図4：EU AI規制法における制裁金および罰則の適用条件