EU AI Act(規則(EU)2024/1689)は、AIシステムを4つのリスク区分 — 禁止、高リスク、限定リスク、最小リスク — に分類します。高リスクのカテゴリー(第6条ならびに附属書Iおよび附属書IIIのリストで定義)は、企業のAIに関する義務の大半が集中する領域です。

附属書IIIには高リスクのユースケースが8つのカテゴリーで含まれています。すなわち、生体認証、重要インフラ、教育、雇用、必須サービス、法執行、移民、司法/民主主義です。お客様のAIがいずれかに該当する場合、適合性評価、技術文書、人的監督、市販後モニタリングの一式が全面的に適用され、罰則は最大1,500万ユーロまたは全世界売上高の3%に達します。

高リスクの義務は2026年8月2日から適用されます。第6条(3)は、AIが「限定的な手続き的タスク」のみを行う場合、過去に完了した人間の活動の結果を改善する場合、意思決定パターンからの逸脱をそれに代わることなく検出する場合、または準備的タスクを行う場合に、限定的な適用除外を定めています。

EU AI Act は、世界初の包括的かつ横断的なAI規制です。EU市場にAIシステムを投入する提供者、およびEU域内でAIシステムを利用する導入者 — 出力がEU域内で利用される非EU企業を含む(第2条) — に適用されます。

GDPRと同様に、AI Act は域外適用されます。GDPRと同様に、違反には売上高に対する一定割合の罰則が科されます。GDPRと異なり、禁止されるユースケースの明示的なカテゴリーと、高リスクシステムに対するはるかに大量の市販前要件があります。

• 禁止(第5条)。 コンプライアンス措置の如何を問わずEUで禁止されます。罰則: 最大3,500万ユーロまたは全世界売上高の7%。
• 高リスク(第6条 + 附属書I + 附属書III)。 許容されるが厳格に規制されます — 適合性評価、FRIA、登録、継続的なモニタリング。罰則: 最大1,500万ユーロまたは全世界売上高の3%。
• 限定リスク(第50条)。 透明性義務のみ — 利用者への通知、合成コンテンツのラベル付け。
• 最小リスク。 AI Act 固有の義務はありません。自主的な行動規範が推奨されます。

企業のAIの大半は、高リスク(HR、与信、生体認証のユースケースによる)または限定リスク(チャットボットの導入による)のいずれかに該当します。

第6条は、AIシステムが次のいずれかを満たす場合に高リスクと分類します:

1. 第6条(1) + 附属書I。 当該システムが、特定のEU整合法令(機械、玩具、リフト、医療機器、体外診断用医療機器、民間航空、農業用車両、船舶設備、無線機器など)の対象となる製品の安全コンポーネントであるか、もしくはそれ自体が当該製品であり、かつその製品が当該法令の下で第三者による適合性評価を受けることが求められる場合。
2. 第6条(2) + 附属書III。 当該システムが附属書IIIの8つのユースケースカテゴリーのいずれかに該当する場合。

多くのシステムは両方の判定を満たします。大半のプロダクトチームが理解すべきは附属書IIIのルートです。

第6条(3)は限定的な適用除外を設けています。附属書IIIに掲載されたAIシステムは、意思決定の結果に実質的な影響を及ぼさないことを含め、自然人の健康、安全、または基本的権利に対する重大な被害のリスクをもたらさない場合には、高リスクではありません。第6条(3)の条件は次のとおりです:

1. 当該システムが限定的な手続き的タスクを行うこと。
2. 過去に完了した人間の活動の結果を改善することを意図していること。
3. 意思決定パターン、または過去の意思決定パターンからの逸脱を検出することを意図しており、適切な人的レビューなしに過去に完了した人間の評価を代替または左右することを意図していないこと。または
4. 附属書IIIに掲載されたユースケースの目的に関連する評価に対する準備的タスクを行うことを意図していること。

この適用除外は、AIシステムが自然人のプロファイリングを行う場合には適用されません。提供者が附属書IIIのシステムを高リスクではないと結論づける場合、提供者はその評価を文書化し(第6条(4))、当該システムをEUデータベースに登録(第49条)しなければなりません。

高リスクの義務は広範にわたります。提供者は次を行わなければなりません:

• リスク管理システム(第9条) — 継続的、反復的で、ライフサイクル全体にわたるプロセス。
• データとデータガバナンス(第10条) — 訓練、検証、テストのデータは品質基準とバイアス検査の対象となる。
• 技術文書(第11条) — 市場投入前に作成し、常に最新の状態に保つ。
• 記録の保持とロギング(第12条) — ライフサイクル全体にわたる自動ログ。
• 透明性と導入者への情報提供(第13条) — 使用方法、意図された目的、制限事項。
• 人的監督(第14条) — システムの使用期間中、自然人による効果的な監督ができるよう設計する。
• 正確性、堅牢性、サイバーセキュリティ(第15条) — 使用方法において適切な水準を表明する。
• 品質管理システム(第17条) — 文書化された方針、手順、指示。
• 適合性評価(第43条) — ほとんどの附属書IIIシステムは内部手続き。生体認証および特定の規制対象製品は第三者評価。
• EU適合宣言とCEマーキング(第47〜48条)。
• EUデータベースへの登録(第49条)。
• 市販後モニタリング(第72条)および重大インシデントの報告(第73条) — 市場監視当局への報告。

導入者 — その権限の下でAIシステムを使用する自然人または法人 — には、より軽いものの実際の義務があります:

• 提供された指示に従ってシステムを使用する。
• 必要な能力、訓練、権限を備えた者に人的監督を割り当てる。
• 重大インシデントや誤作動を監視し、第73条に基づき報告する。
• 公共部門の導入者および特定の民間部門の導入者は、第27条に基づき基本的権利影響評価(FRIA)を実施しなければならない — ユースケース、影響を受ける人々、被害のリスク、緩和措置を文書化する。
• AIを用いて自然人に関する決定を行う導入者は、その人々に通知しなければならない(第26条(11))。

• 2025年2月2日 — 第5条の禁止行為が施行。AIリテラシーの義務(第4条)。
• 2025年8月2日 — 汎用AI(GPAI)規則が施行。ガバナンス機関が稼働。罰則が適用可能に。
• 2026年8月2日 — 附属書IIIに基づく高リスクシステムの義務が適用。
• 2027年8月2日 — 第6条(1)(附属書I法令の対象製品の安全コンポーネント)に基づく高リスクの義務が適用。

• 第5条の禁止行為 — 最大3,500万ユーロまたは全世界年間売上高の7%(第99条(3))。
• その他のAI Act の義務への不適合 — 最大1,500万ユーロまたは全世界年間売上高の3%(第99条(4))。
• 当局への不正確、不完全、または誤解を招く情報の提供 — 最大750万ユーロまたは全世界年間売上高の1%(第99条(5))。
• 中小企業およびスタートアップ — 経済的存続可能性を考慮して制裁金が適用され、より低い上限割合が適用される場合がある。