エンジニア必見！EU AI Act、汎用AIモデルの新しいガイドラインを解説

2025年7月18日、欧州委員会はEU AI Actにおける汎用AI（GPAI）モデルに関する重要なガイドラインの草案を公開しました。これは、AIを開発・利用する私たちエンジニアにとって、見過ごせない内容です。このガイドラインは、GPAIモデルの定義、ライフサイクルにおける義務、系統的リスクの基準などを明確にするものです。

今回は、こちらのページを読み解いていきます。

「汎用AIモデル」って何？

まず、自分が開発しているモデルがこの「汎用AIモデル」に該当するのかが重要です。ガイドラインでは、以下の基準が示されています。

• 計算能力の閾値: モデルの学習に10²³ FLOPS（浮動小数点演算/秒）を超える計算能力が使用され、かつ、言語（テキスト/音声）、テキストから画像、またはテキストから動画を生成できるモデルが対象です。

◦ モデルのサイズ（パラメータ数）と訓練データセットのサイズを組み合わせた計算で、約10億パラメータのモデルが相当する可能性があります。

• 機能的汎用性の要件: ただし、上記計算能力の閾値を超えていても、文字起こし、画像アップスケーリング、天気予報、ゲームなど、特定のタスクに特化しており、幅広いタスクで汎用的な能力を持たないモデルは除外されます。

モデルが一度GPAIモデルと認定されると、プレトレーニング段階からその後のすべての開発フェーズ、さらには市場投入後の変更に至るまで、AI Actに基づく義務がライフサイクル全体にわたって適用されます。

重要な義務と「系統的リスク」のあるGPAIモデル

GPAIモデルのプロバイダー（提供者）には、以下のような基本的な義務が課せられます。

• 文書化: 常に最新の状態に保ち、下流の提供者やAI Officeの要求に応じて提供する必要があります。

• 訓練データサマリー: AI Officeが発行するテンプレートを使用して概要を公開する必要があります。「AI Office」とは、EU AI Act（EU人工知能法）の執行と監視を担う機関です。

• 著作権ポリシー: 著作権遵守に関するポリシーを持つ必要があります。

さらに、10²⁵ FLOPS以上の計算能力で学習されたモデルは、「系統的リスク（Systemic Risk）のあるGPAIモデル」として扱われる可能性があります。これらのモデルには、さらに厳格な義務が追加されます。

• ライフサイクル全体を通じた包括的なリスク評価と軽減策、モデル評価。

• 強固なサイバーセキュリティ対策。

• 重大なインシデントの追跡と報告。

エンジニアが特に知っておくべきポイント

1. プロバイダーの特定: モデルを開発し、EU市場に投入するエンティティが「プロバイダー」となります。コンソーシアムで開発された場合は、調整役やコンソーシアム自体がプロバイダーとなることもあります。

2. 下流の変更者: ダウンストリームでモデルに変更を加える場合、その変更に使用された計算能力が元のモデルの訓練に使用された計算能力の3分の1を超える場合、その変更者が新たなGPAIプロバイダーとなり、義務を負います。

3. オープンソースモデルの特例と注意点:

◦ オープンソースライセンスで提供されているGPAIモデルは、文書提供義務など一部の義務が免除されます。

◦ しかし、訓練データサマリーや著作権ポリシーの遵守は必要です。

◦ 系統的リスクのあるGPAIモデルと指定された場合、オープンソースであってもすべての義務を完全に満たす必要があります。

収益化（Monetisation）があると、オープンソースの特例は失われます。商用ライセンスとのデュアルライセンス、有料サポート、特定の機能へのアクセス料、広告収入を伴うホスト型アクセス、ユーザーデータの処理（非商用セキュリティ目的を除く）などが収益化とみなされる可能性があります。

今後の動き

AI Actの義務は2025年8月2日から適用されてますが、AI Officeが完全な執行権限を持つのは2026年8月2日です。それ以前に市場に出されたモデルについては、2027年8月2日までに準拠する必要があるなど、移行期間も設けられています。
このガイドラインは、将来的に市場や技術の発展に応じて更新される可能性があります。私たちエンジニアは、これらの動きを注視し、開発するAIモデルが法的要件を満たしているかを確認していく必要があります。