EUのAI規則(３/４)－適合性審査、汎用モデル　|ニッセイ基礎研究所

3｜汎用AIモデル提供者の義務
汎用AIモデルの提供者は、以下のことを行わなければならない(53条1項)。

(a) 要請に応じてAIオフィス及び各国所轄官庁に提供する目的で、最低限、付属書XI（汎用モデルの一般的な説明と開発プロセスの関連情報。ここでは省略）⁹に定める情報を含む技術文書を作成、アップデートしなければならない。

(b) 汎用AIモデルをそのAIシステムに組み込むことを意図するAIシステムの提供者に対して、汎用AIモデルの最新の情報および文書を利用可能にすること。そして、EU法および国内法に従い、知的財産権および業務上の機密情報または企業秘密を遵守し保護する必要性を損なうことなく、情報および文書について以下を満たさなければならない（図表6）。

⁹ 概略（一部）だけ述べると1)AIモデルの規模とリスクプロファイルに適合した技術文書、2)AIモデルの四要素に関する詳細な説明、3)評価戦略の詳細な説明、4)該当する場合、外部及び内部からの敵性攻撃テストを実施するために導入した手段の詳細な説明が含まれる。

(c) 著作権および関連する権利に関するEU法を遵守し、特に、指令(EU) 2019/790の第4条(3)¹¹に従って表明された権利の留保を、最先端技術を通じて特定し、遵守するための方針を導入する。

¹¹ 本指令の4条(3)は、テキスト・データ・マイニングのための著作物の複製・抽出は、著作者が適切な方法で明確に権利を留保していなければ、著作権の例外又は制限の対象とするという規定である。

(d) AIオフィスが提供する様式に従って、汎用AIモデルの学習に使用したコンテンツ（著作物等）に関する十分に詳細な要約を作成し、一般に公開する。

（注記）本項は知的財産権、特に著作権との関係を規定する。AIモデルの開発と学習には著作物を利用する必要があるが、一般的には著作物の利用には著作権者の同意が必要である¹²。前文では「著作権で保護されたコンテンツの使用には、関連する著作権の例外や制限が適用されない限り、当該権利者の承認が必要である」（前文105）としている。

しかしながら、EUにおいてはテキストマイニング¹³およびデータマイニングについては、権利者の権利留保（オプトアウト）がない限り、上記指令4条(3)によって、著作物の利用が可能となっている。この手法を利用することで、指令4条(3)により、著作物を著作権者の権利留保がない限りにおいて、汎用AIモデルの学習データとして取り込むことができることとなる。

日本では、「当該著作物の種類及び用途並びに当該利用の態様に照らし著作権者の利益を不当に害することとなる場合」を除き、AIシステム学習用の著作物利用が認められており、著作者に権利留保の権利は認められていない点が相違する。

¹² 日本では訓練用のデータセットに著作物を利用することは原則として可能になっている（著作権法30条の4）。
¹³ テキストマイニングとは、定型化されていない文章の集合からなるテキストデータをフレーズや単語に分解して詳細に解析し、有用な情報を抽出する分析手法を指す。

4｜汎用AIモデル提供者の認定代理人
(1) 汎用AIモデルを域内市場に投入する前に、第三国で設立された提供者は、書面による委任により、域内に設立された認定代理人を任命しなければならない(54条1項)。

(2) 提供者は、その権限を有する代理人が、プロバイダーから受領した委任状で指定された業務を遂行できるようにしなければならない(54条2項)。

（注記）汎用AIモデル提供者にはさまざまな義務が課されるため、域外に所在する汎用AIモデル提供者は法的な代理権限を有するEU域内に所在する代理人を任命しなければならない（前回レポートP14も参照）。

7――システミック・リスクを伴う汎用AIモデルの提供者の義務

1｜システミック・リスクを伴う汎用AIモデル提供者の義務の内容
第53条および第54条に記載された義務に加えて、システミック・リスクを有する汎用AIモデルの提供者は、以下の義務を負う(55条1項。図表7)。

ここで重大インシデントとは、直接的または間接的に以下のいずれかにつながるAIシステムの事故または誤作動を意味する(3条(49)。図表8)。

（注記）本項はシステミック・リスクを有するAIモデルの提供者の義務を列挙する。主なものとして、市場投入前の敵対的テスト¹⁴の実施と重大インシデントの報告である。前文では、敵対的テストの実施理由は「システミック・リスクを提示する汎用AIモデルの提供者は、汎用AIモデルの提供者に規定される義務に加えて、単体モデルとして提供されるか、AIシステムや製品に組み込まれて提供されるかにかかわらず、これらのリスクを特定・軽減し、適切なレベルのサイバーセキュリティ保護を確保することを目的とした義務を負うべき」（前文114）であるためである。また、重大インシデントの報告については「システミック・リスクの可能性がある汎用AIモデルに関連するリスクを特定し、防止するための努力にもかかわらず、当該モデルの開発または使用が重大なインシデントを引き起こした場合、汎用AIモデルの提供者は、過度の遅滞なくインシデントを追跡し、関連する情報および可能な是正措置を欧州委員会および各国の所轄当局に報告すべきである」（前文115）とされている。

¹⁴ AIシステムに対して内外からのサイバー攻撃等を行うテストを指す。

2｜システミック・リスクを伴う汎用AIモデル提供者の義務遵守
システミック・リスクを伴う汎用AIモデルのプロバイダーは、整合的な基準が公表されるまでは、55条1項（上記１｜参照）に定める義務の遵守を証明するために、第56条にいう意味での実践規範に依拠することができる。欧州の実践規範への準拠は、当該基準が本条1項の義務をカバーしている限りにおいて、提供者に適合の推定を与える(55条2項)。

（注記）次項参照。

3｜実践規範
AIオフィスは、国際的なアプローチを考慮しつつ、本規則の適切な適用に寄与するため、EUレベルでの実践規範の作成を奨励し、促進するものとする(56条1項)。

AIオフィスおよび理事会は、以下の事項を含め、少なくとも第53条および第55条に規定される義務を実施規範がカバーすることを確保することを目指すものとする（同条2項。図表9）。

（注記）AIオフィスとは、2024年1月24日の欧州委員会決定で規定された、AIシステムおよび汎用AIモデルの導入、監視および監督、ならびにAIガバナンスに貢献する欧州委員会の機能を意味する (3条(47))。なお、詳細は次回レポートで解説予定。

本条でいう実践規範はAIオフィスが作成する。前文では「AIオフィスは、国際的なアプローチを考慮した実践規範の作成、見直し、適応を奨励・促進すべきである。AIオフィスは、実践規範が最先端の状況を反映し、多様な視点を適切に考慮することを確実にするため、関連する各国所轄庁と協力すべきであり、適切な場合には、市民社会組織、その他の関連する利害関係者、および科学パネルを含む専門家と、そのような規範の作成について協議することができる」（前文116）とする。そして、「実践規範が発行され、AIオフィスにより関連義務をカバーするのに適切であると評価されれば、実践規範への準拠は、提供者に適合の推定を与えるべきである」（前文117）とする。条文にある通り、AIオフィスは欧州委員会の機能の一つとされていて、したがってAIシステムを監視する権限は、加盟国の管轄官庁および欧州委員会にあることになる。

8――小括

本稿で述べたのは、主に「適合性評価」と「汎用AIモデル」であった。さらに本稿の範囲にはディープフェイクに関する対処の規定もあった。

適合性評価は、高リスクAIシステムのEU域内への市場投入や流通にあたって、適合性評価機関（被通知団体）からの審査を受けることを求めている。前回のレポートでは高リスクAIシステム提供者が自社で実施すべきリスク管理システムを解説したが、今回のレポートで第三者の適合性評価について解説した。この適合性評価機関はEUレベルではなく、各国に設置されるものであることから、機関の間で意見が分かれる可能性もあり、本規則では、その場合の措置も規定されている（82条。次回レポートで解説）。

また、汎用AIモデルは欧州委員会の原案にはなかったものであるが、その後の欧州議会や理事会との折衝の過程で盛り込まれた規定である。汎用AIモデルで問題視されているのは、システミック・リスクである。システミック・リスクはさまざまな場面で異なる意味で使用されている（たとえば銀行の連鎖倒産）が、ここでは重大事故、民主主義や公共の安全に関する悪影響が大規模に拡散することを指す(3条(65))。システミック・リスクを有する可能性のあるAIシステムは汎用AIモデルに限定されないとも思われるが、本規則では人と同じ能力を有する汎用AIモデルが特に危険と判断したものであろう。

AIを用いた世論誘導疑惑は過去にも発生しているが、今後、ディープフェイク¹⁵などを用いて、ますますリスクとして高まっていくであろう。汎用AIモデルの精度もますます高まる中で民主主義や公共の安全への危惧は増えこそすれ、減ることはない。汎用AIモデルに係る条文は重要な規定であると考えられる。

¹⁵ ただし、本規則において、ディープフェイクについての規律は汎用AIモデルにかかる規定とは異なる条文で行われている(50条)。

日付	タイトル	執筆者	媒体
2024/12/03	AI事業者ガイドライン－総務省・経済産業省のガイドライン	松澤登	基礎研レポート
2024/11/22	TemuのEU消費者保護法制違反被疑事案－CPCネットワークの指示・調査	松澤登	研究員の眼
2024/11/19	欧州委員会によるTemuの調査－デジタルサービス法違反被疑事案	松澤登	研究員の眼
2024/11/06	情報伝達・取引推奨による内部者取引－東証職員によるインサイダー取引疑惑	松澤登	研究員の眼

EUのAI規則(３/４)－適合性審査、汎用モデル | ニッセイ基礎研究所