EU AI Act「汎用AI行動規範」入門：日本のエンジニアが知っておくべきこと
AI技術の進化は目覚ましく、その利用は世界中で広がり続けています。しかし、その急速な発展に伴い、倫理的、法的、社会的な課題も浮上しています。特に欧州連合（EU）では、AIに対する包括的な規制枠組みである「EU AI Act（AI法）」が導入され、世界中のAI開発者に大きな影響を与えています。
今回は、EU AI Actの中でも特に重要な仕組みの一つである「汎用AI（General-Purpose AI: GPAI）行動規範（Code of Practice）」について、日本のエンジニアの皆さんが知っておくべきポイントを分かりやすく解説します。
今回は、こちらのサイトを読み解いていきます。
この文書は、EUのAI法の施行を円滑にするための汎用AI（GPAI）の行動規範に焦点を当てています。具体的には、GPAIモデル提供者が、AI法の義務が発効した2025年8月から、対応する欧州標準が採択される2027年以降の過渡期において、いかにして法令遵守を実証できるかを説明しています。この規範は、透明性と著作権に関する要件を全てのGPAIモデル提供者に、そして安全性とセキュリティに関する追加要件をシステミックリスクを伴うGPAIモデルの提供者に課しています。法的拘束力はないものの、この規範を遵守することで、提供者はコンプライアンスを示すことができ、非遵守者よりも罰金が軽減される可能性があります。この規範は、多数の利害関係者が関与する共同プロセスを通じて策定され、主要なAI企業がこれに署名しています。
汎用AI行動規範とは何か？
EU AI Actの導入後、規制の実施は段階的に進められています。AI法における義務、特に汎用AIモデル提供者に関する義務は、2025年8月2日から施行されています。しかし、これらの義務を具体的に運用するための「調和された欧州標準（harmonised European standards）」の策定には、通常3年以上かかり、特にGPAIのような高度な技術標準ではさらに長引く可能性があります。
この標準が策定されるまでの「暫定期間」を埋めるためのツールとして導入されたのが、この汎用AI行動規範です。
• 目的: AI法（特に第53条および第55条）の義務を遵守するためのガイドラインであり、GPAIモデル提供者がAI法への準拠を示すための重要な手段です。
• 法的拘束力: 法的拘束力はありません。しかし、これに従うことで、標準が導入されるまでの間、AI法に準拠していることを証明できます。
• 策定プロセス: AI Officeと、学術・独立専門家、GPAIモデル提供者、下流デプロイヤー、市民社会団体など、幅広いステークホルダーの参加を得て開発されました。最終版は2025年7月に公開されています。
誰が対象となるのか？
この行動規範は、すべてのGPAIモデル提供者、および「システミックリスクを伴うGPAIモデル」の提供者を対象としています。
1. すべてのGPAIモデル提供者
行動規範の**「透明性」および「著作権」に関する章**が適用されます。
• GPAIモデルの定義: AI法では、「広範な汎用性を示し、多様なタスクを高い能力で実行でき、様々な下流システムやアプリケーションに統合可能なモデル」と定義されています。
• 指標となる基準: 例えば、10^23 FLOP（浮動小数点演算）以上で訓練され、言語、テキストから画像、テキストから動画を生成できるモデルはGPAIと見なされる可能性があります。
• 対象となる提供者: GPAIモデルを開発し、自らの名前または商標で市場に出す個人、法人、公的機関などが含まれます。
• 免除の例外: 無償でオープンソースライセンスの下で公開され、システミックリスクをもたらさないGPAIモデルは、一部の義務から免除されます。
2. システミックリスクを伴うGPAIモデル提供者
行動規範の**「安全性とセキュリティ」に関する章**が適用されます。
• システミックリスクの定義: GPAIモデルの高い影響力を持つ能力に特有のもので、公衆衛生、安全、公共のセキュリティ、基本的人権、または社会全体に広範囲にわたる深刻な悪影響を及ぼす可能性があるものと定義されています。
• 指標となる基準: 10^25 FLOPを超える計算量で訓練されたモデルは、システミックリスクがあると推定されます（反証可能）。現在、世界でこのしきい値を超えるモデルを提供しているのは約11社と推定されています。
• 下流の変更者: 下流の変更者が元のモデルの訓練計算量の3分の1を超える計算量を用いてモデルを修正した場合、新たなGPAIモデル提供者（またはシステミックリスクを持つGPAIモデル提供者）と見なされる可能性があります。
行動規範の具体的な内容
行動規範は、以下の3つの章で構成されており、それぞれ特定のコミットメントと、それを達成するための措置が定められています。
1. 透明性に関する章（すべてのGPAIモデル提供者に適用）
• モデル文書の維持: EU内で配布するすべてのGPAIモデル（一部の例外を除く）について、ライセンス、技術仕様、ユースケース、データセット、計算量、エネルギー消費量などの詳細を記載した最新かつ包括的な文書を維持することにコミットします。
• 情報提供: この文書は、AI Officeや下流の利用者の要求に応じて利用可能にされ、一般公開が推奨されています。
2. 著作権に関する章（すべてのGPAIモデル提供者に適用）
• 著作権ポリシーの策定: 社内の責任を明確にし、既存の連合著作権法に準拠する堅牢な著作権ポリシーを策定し、定期的に更新することにコミットします。
• データ収集の合法性: ウェブクローリングを通じて収集されたデータが合法的にアクセス可能であることを確保し、robots.txtのような機械可読な権利信号を尊重します。
• 侵害コンテンツの防止: 侵害コンテンツの生成を最小限に抑えるための技術的保護措置を講じ、サービス利用規約で不正利用を明確に禁止します。
• 苦情対応: 著作権者からの苦情を受け付けるための連絡先を提供し、効率的かつ公平なプロセスで処理します。
3. 安全性およびセキュリティに関する章（システミックリスクを伴うGPAIモデル提供者のみに適用）
• 安全性・セキュリティフレームワーク: モデルリリース前に、評価トリガー、リスクカテゴリー、軽減戦略、予測方法、組織的責任を概説する最先端の安全性・セキュリティフレームワークを開発することにコミットします。
• リスク評価と軽減: 在庫調査、シナリオ分析、内外の専門家との協議などの構造化されたプロセスを通じてシステミックリスクを特定し、定義されたリスク階層フレームワークを適用して許容されるリスクを評価します。
• モデルレポート: リリース前に義務的な「安全性およびセキュリティモデルレポート」を提出し、リスクの進化に合わせて更新します。
• 組織的責任: 組織のガバナンス構造内で監督、所有権、監視、保証の役割を明確に割り当て、適切なリソース、強力なリスク文化、および内部告発者の保護を確保します。
• 重大インシデント報告: 重大インシデントを迅速に追跡、文書化し、規制当局に報告します。
• 記録保持: 安全性およびリスク管理活動の詳細な記録を最低10年間保持します。
なぜ行動規範への遵守が重要なのか？
行動規範は任意ですが、遵守することには大きなメリットがあります。
• コンプライエンスの実証: 署名することで、AI法に基づく義務への遵守を簡単に実証できます。
• 規制当局からの信頼: 欧州委員会は、行動規範への遵守を監視することに重点を置き、署名者に対しては信頼を高め、罰金の額を決定する際に軽減要因として考慮する場合があります。
• 非署名者への影響: 一方、行動規範に署名しない提供者は、他の適切な手段でコンプライエンスを証明する必要があり、より多くの情報要求を受けたり、より詳細な情報を提供する必要がある場合があります。
• 主要な署名者: Amazon、Anthropic、Google、IBM、Microsoft、Mistral AI、OpenAIなど、主要なGPAIモデル開発企業の多くが署名しています（ただし、METAや中国に拠点を置く企業は例外です）。
施行と今後の展望
• GPAI規則の施行: 2025年8月2日から、その日以降にリリースされるすべての新しいモデルが遵守義務の対象となります。
• 規制措置の開始: 欧州委員会による情報要求、モデルへのアクセス、モデルのリコールなどの規制措置は、2026年8月2日から開始されます。
• 既存モデルへの猶予期間: 2025年8月2日以前にリリースされたモデルの提供者は、2027年8月2日までにAI法に準拠させる必要があります。
• 規制当局の姿勢: 欧州委員会は、GPAI規定の監督、調査、執行、監視に対して、協力的で段階的、かつ比例的なアプローチを取ると述べています。
• 将来の可能性: 欧州委員会は、実施法によって行動規範を承認し、EU内で「一般的有効性」を与える可能性もあります。
まとめ
EU AI Actの汎用AI行動規範は、EU市場でAIモデルを展開する可能性のある日本のエンジニアにとって、決して無視できない重要なガイドラインです。法的拘束力はないものの、これに準拠することは、コンプライエンスを容易にし、規制当局からの信頼を得るための賢明な選択と言えるでしょう。
皆さんが開発するAIモデルがグローバル市場で受け入れられ、信頼されるために、この行動規範の内容を理解し、今後の動向を注視していくことが非常に重要です。
もしEU市場にAIモデルを展開する予定がある場合、まずは自社のモデルがGPAIに該当するか、あるいはシステミックリスクを伴うGPAIに該当するかを確認し、行動規範の各章に記載された義務を理解することから始めてみましょう。