【EU AI Act】EU(欧州連合)のAI規制法案ざっくり解説 (3)

おはようございます！マネジメントオフィスいまむらの今村敦剛です。

今回はEUが現在制定中の、AI規制法案(AI act)についてざっくりと解説をします。3回目の今回は、この法案は採用しているリスクベースのアプローチについて説明をします。

これまでの解説はこちら

動画でも解説しています（無料・登録不要）

参考資料

EUDRに関するEU公式ページ(英語)

EU官報に掲載された法案本文(英語)

※規制対象原材料・製品リスト(Annex1)も上記URLから参照可能

総務省による法案の仮訳(日本語)

JETRO記事(日本語)

AI Actにおけるリスクベースのアプローチ

法案が定めているリスクベースのアプローチについて、もう少し詳しく説明をしましょう。AIのリスクに応じて4つの分類があります。

まず許容できないリスクですが、これには4つあります。1つ目はサブリミナル技術を用いたものです。

2つ目は、子どもなどの弱い立場にある人々の脆弱性を利用するものです。例えば、子どもに対して、何かを買うように誘導するようなAIの仕組みのようなことかなと思います。

3つ目はソーシャルスコアリングです。人々の行動を点数化して、それによって社会的評価が決めるシステムのことですね。これがAIと何の関係があるかというと、AIで評価の低い人を分類できてしまうんですよね。例えば「40代の男性はダメな人が多い」みたいな。するとその層に対して不利益な取扱をすることができてしまいますよね。

最後はリアルタイム遠隔生体識別システムです。例えばAI対応の監視カメラで、特定の民族を不当に監視するようなことに使えてしまいます。こうした問題を引き起こす可能性があるため、許容できない、つまり禁止となりそうです。

続いて、高リスクとされるAIシステムです。ここがAI規制法案の肝だと思っています。

高リスクAIには大きく分けて２つあって、一つは産業用ロボットのように、他のEU指令や規則で規制されている製品や部品に関連するAIです。

２つ目は法案の附属書(Annex3)でリストアップされている分野のAIです。例えば重要なインフラで使われるものや、教育・職業訓練などで使われるAIなど、だそうです。

高リスクとみなされるAIシステムを提供する場合は、EU市場に出したりサービスを開始したりする前に、適合性評価を行うとか、社内の管理体制を整えるなど、かなりの義務を果たさなければなりません。ここが非常に関係企業にとっては重たい部分になりそうなんですが、この義務についてはまた別の機会に解説をしたいと思います。

限定的なリスクとされるAIシステムには、例えば、チャットボットがあります。AIを使ったチャットボットをWebに実装しているのならば「これはAIを使っています」というようなことを、わかりやすい方法でユーザーに通知しなければならない、というのが「透明性」ですね。

ディープフェイクもこのカテゴリーです。ディープフェイクというのは、例えば、画像生成AIで作った、実際にはありもしない画像のことですね。そうした画像を公開するときは、これは作られた画像ですよということを通知しないといけないということです。

これ以外のAIシステムはすべて、低リスクまたは最小リスクとみなされます。この分類では、特定の法的義務を果たすことなく、EU内で提供・販売が可能です。しかし、行動規範の作成が推奨されています。行動規範とは、例えば「我が社は低リスクAIしか扱っていませんが、それでも自主的に高リスクAIに対する義務を適用しています」といった自社の方針のようなものですね。