罰金は売上の7%か：EU AI法の全面適用で企業に求められる「信頼できるAI」のガバナンスと実装要件
1. リスクベース・アプローチによる世界水準の規制フレームワーク
2024年に成立した欧州連合（EU）の「EU AI法（EU AI Act）」は、過渡期を経て本格的な適用・制裁規定の運用フェーズへと突入しました。この法律は、EU域内で提供される、あるいはEU域内の利用者に影響を与えるあらゆるAIシステムを対象としており、日本企業を含むグローバル企業に対して極めて強い法的拘束力を持っています。違反した場合には、最大で「3,500万ユーロ（約55億円）」または「前年度の世界的年間売上高の7%」という、GDPR（EU一般データ保護規則）をも上回る巨額の制裁金が科されるリスクがあります。
EU AI法の根幹をなすのが、AIシステムが社会や人権に与える危険度に応じて規制のレベルを変える「リスクベース・アプローチ」です。AIの用途は主に以下の4つのカテゴリーに分類されます。
- 不可容認リスク（Prohibited Risk）: 人間の行動を不当に操作するサブリミナル技術、個人の社会的信用を評価する「ソーシャルスコアリング」、公共空間でのリアルタイム遠隔生体識別など。原則として全面的に禁止。
- 高リスク（High Risk）: 採用・人事評価、信用スコアリング、医療機器、インフラ制御、教育の合否判定、司法手続きなどに使われるAI。厳格な適合性評価、データの品質管理、人間の監視体制（Human Oversight）、詳細な技術文書の作成と提出が義務付けられる。
- 透明性リスク（汎用AI・生成AI）: チャットボットやディープフェイク、画像・動画生成AIなど。ユーザーに対して「AIと対話していること」「コンテンツがAIによって生成・編集されたこと」を明確に通知・表示（電子透かし等）する透明性義務が課される。
- 最小リスク（Minimal Risk）: 迷惑メールフィルターやAI搭載ゲームなど。特別な法的義務はなく、自主的な行動規範の遵守が推奨される。
2. 生成AI・汎用AI（GPAI）に対する透明性義務と著作権対応
生成AIモデルの開発者や、それを自社サービスに組み込んで提供する事業者に対しては、特に「透明性の確保」が強く求められています。具体的には、モデルのトレーニングに使用したデータに関する詳細な要約の公開や、EUの著作権法を遵守していることの証明が必須となりました。
また、AIによって生成された画像、音声、動画などのディープフェイクコンテンツについては、人間が一目で判別できる表示を行うことに加え、メタデータ内に暗号化された電子透かし（C2PA規格など）を埋め込む技術的措置が義務化されました。これにより、SNSやニュースメディア上での誤情報の拡散を防ぎ、デジタルコンテンツの出所（オーセンティシティ）を保証するインフラの構築が進んでいます。
3. 企業が取り組むべき「AIガバナンス」の実装ステップ
EU AI法の全面運用に伴い、企業は単に「法律を守る」という受動的な対応を超えて、組織全体での「AIガバナンス体制」の構築を急いでいます。先進企業が実施している具体的なアプローチは以下の通りです。
- 全社AIインベントリの作成: 部署ごとに無断で導入されている「シャドーAI」を含め、社内で利用・開発されているすべてのAIツールを棚卸しし、リスクカテゴリーへ分類。
- AIアセスメントプロセスの構築: 新たなAIツールやアルゴリズムを導入する際、開発・調達の初期段階で偏見（バイアス）、プライバシーリスク、法的適合性をチェックする審査フロー（AI倫理審査委員会など）を設置。
- 人間の監視（Human-in-the-Loop）の組込み: 高リスクに分類され得る判断業務においては、AIの出力をそのまま自動実行せず、訓練を受けた人間が必ず内容をチェックして承認するワークフローをシステムレベルで固定化。
コンプライアンスの遵守は、単なる法的リスクの回避にとどまらず、顧客や取引先に対して「安心・安全なAIを提供する信頼できるブランド」としての価値を高めるための重要な戦略的投資となっています。