EU AI法：その概要と、データおよび解析への影響
AIは今や、AIによるおすすめ表示から不正検知システムに至るまで、日常生活の一部となっています。その利用が拡大するにつれ、透明性や公平性、そしてユーザーデータの取り扱いに関する懸念も高まっています。
欧州連合（EU）は、個人データを保護するために、一般データ保護規則（GDPR）やeプライバシー指令などの法律をすでに導入しています。しかし、AIは、特にシステムが意思決定を行ったり、意思決定に影響を与え始めたりする場合、新たなプライバシーの課題や倫理的な問題を提起しています。
これに対処するため、EUは、企業がAIを安全かつ責任を持って利用することを確保する規制である「EU AI法」を導入しました。
本記事では、同法の仕組みと、企業およびウェブ解析の活用方法にどのような影響を与えるかについて解説します。
主なポイント
- EUのAI法は、AIに関するリスクベースの枠組みを提示しており、個人や社会に対してより大きなリスクをもたらすシステムに対しては、より厳格な規則が適用されます。
- 企業は、AIツールがデータをどのように利用しているかを理解し、自社の広範なコンプライアンス責任の枠組みにどのように位置づけられるかを把握する必要があります。
- コンプライアンス違反は多額の罰金につながる可能性があるため、早期の準備が不可欠です。
- ウェブ解析においてAI機能が普及するにつれ、多くの組織が、プライバシー、透明性、責任あるデータ管理を重視するMatomoなどのプラットフォームを採用するようになっています。
EU AI法とは？
EU AI法は、EU初の人工知能に関する包括的な法律であり、AIシステムの開発および利用方法に関する指針を定めています。同法は2021年に欧州委員会によって提案されました。EUは2024年にこのAI法を採択し、義務事項は段階的に適用されることになっています。
同法では、AIシステムを「入力情報から、物理的または仮想的な環境に影響を与える可能性のある予測、コンテンツ、推奨事項、または決定といった出力を生成する方法を推論できる、機械ベースのシステム」と広く定義しています。AIシステムをさまざまなリスクカテゴリーに分類し、それに応じて要件を適用しており、これについては次のセクションで詳しく説明します。
EU AI法によるAIの分類：4つのリスクカテゴリー
同法は、規制ガイドラインの策定を支援するためにリスクベースのアプローチを採用しています。AIシステムは、そのリスクの程度に基づいてグループ分けされます。
同法はAIを4つの主要なカテゴリーに分類しています。これらの分類は単なる技術的な名称ではなく、AIシステムに求められる管理、透明性、監督の程度を決定するものです。この枠組みは主にAIシステムに適用されます。汎用AIモデルについては、同法の下で別途扱われます。
容認できないリスク（禁止）
「容認できないリスク」は危険であるとみなされるため、法律で禁止されています。これらは、プライバシーを侵害したり、個人に対して不当な支配をもたらしたりする可能性のある利用方法です。実務上、企業はこうしたシステムの構築や利用を避けるべきです。
例：
- 政府や公的機関によるソーシャル・スコアリング
- 人々に有害な方法で操作を行うAIシステム
- 特定の生体認証監視の利用
- インターネットや防犯カメラなどのソースから画像を収集して顔認識データベースを作成すること
- 職場や教育機関における感情認識
- 人々を生体認証によって分類する一部の形態
このカテゴリーが重要なのは、明確な一線を引いているからです。ここでAIが使用される場合、問題は「どのようにして法令に準拠させるか」ではなく、「そもそも使用すべきかどうか」という点にあります。
高リスク
EUのAI法では、高リスクAIの使用は認められていますが、人々の生活に影響を及ぼす可能性がある場合には、一定の規則に従わなければなりません。そのため、EUは特に細心の注意と文書化を求めています。
例：
- 診断や治療の決定を支援する医療システム
- 履歴書の審査や候補者の順位付けなど、採用・人材募集プロセスで使用されるAI
- 信用スコアリングシステム
- 教育分野で使用されるAI（入学選考や評価に影響を与えるシステムなど）
- 重要インフラで使用されるAI
- 特定の生体認証システム
- 特定のケースにおける法執行や国境管理に使用されるAIシステム
システムが高リスクに分類された後はどうなるのでしょうか？ 事業者は、そのシステムに対してより一層の注意を払い、以下の措置を講じなければなりません：
- 潜在的なリスクを確認し、それらを軽減するための対策を策定する
- エラーを最小限に抑え、公正な結果を得るために、高品質なデータを使用する
- システムの機能や意思決定の過程に関する記録を保持する
- ユーザーがシステムを適切に利用できるよう、十分な情報を提供する
- すべての意思決定をAIに完全に委ねないよう、重要な事項については人間が介入する
- セキュリティ上の脅威からシステムを保護し、高い精度と信頼性を維持する
限定的なリスク
限定的なリスク（透明性リスクとも呼ばれる）は、通常、危険とは見なされませんが、ユーザーは自分がAIとやり取りしていることを認識しておく必要があります。そのため、ここでの主な懸念事項は透明性であり、システムはユーザーを誤解させてはなりません。
例：
- 顧客と対話するチャットボット
- ウェブサイト上で基本的な質問に答えるAIアシスタント
- 合成コンテンツを生成するツール（ユーザーがAIによって作成されたものであることを認識する必要があるもの）
- 目に見える形でユーザーと直接やり取りするレコメンデーションツール
- プロセスを案内するバーチャルアシスタント
これらの透明性に関する義務は、2026年8月2日から適用される予定です。
リスクが最小限のもの
リスクが最小限のAIは、人々の権利や安全に与える影響が極めて少ないものです。例としては、スパムフィルターや、重要な意思決定に影響を与えない単純なAIツールなどが挙げられます。
こうしたツールは、一般的に自由に利用でき、AI法に基づく特別な義務も課されません。つまり、人々へのリスクが低いため、法律による規制もほとんどないということです。
分類後の流れ
まず、企業は、自社が使用または開発しているAIツールがAIシステムに該当するか、その使用方法、および提供者や導入者など、企業が果たす役割を把握する必要があります。次に、そのシステムがどのリスクカテゴリーに該当するかを確認します。このカテゴリーによって、その後の対応が決まるからです。
システムが高リスクに分類された場合、企業は、導入前および導入後に適用される追加の義務に備える必要があります。ただし、関連する規則は段階的に導入されています。システムが高リスクに分類された場合、企業は、導入前および導入後に適用される追加の義務に備える必要があります。ただし、関連する規則は段階的に導入されています。欧州委員会の現在のガイダンスでは、特定の高リスク分野については2027年12月2日から、規制対象製品に統合されたシステムについては2028年8月2日から適用されるとされています。組織は、これらの日付を鵜呑みにする前に、最新の実施スケジュールを確認する必要があります。
リスク分類と汎用AI
汎用AI（GPAI）とは、質問への回答、文書の要約、画像生成の支援など、さまざまなタスクを実行できるAIのことです。柔軟性が高いため、高リスクのものも低リスクのものも含まれる可能性があります。
そのため、EU AI法では、GPAIを通常のリスク分類に組み込むのではなく、別途扱っています。これらの規則は、明確性、安全性、説明責任を目的としています。また、これらの規則により、責任ある形でAIを活用することが容易になります。
すべてのGPAIプロバイダーに求められること
同法は、GPAIプロバイダーに対し、透明性と責任ある対応を求めています。プロバイダーは技術文書を作成し、下流のプロバイダーに対して関連情報を提供しなければなりません。これにより、下流のプロバイダーはモデルの能力と限界を理解し、自らが負うAI法の義務を履行できるようになります。
さらに、プロバイダーはEUの著作権規則を遵守するための方針を策定しなければなりません。また、モデルの学習に使用したコンテンツの詳細な概要を公開する必要があります。簡単に言えば、プロバイダーは、そのモデルが何であるか、どのように構築されたか、そしてどのようなデータがその形成に寄与したかを説明しなければならないのです。
フリーかつオープンなライセンスのGPAIモデル
一部のGPAIモデルは、フリーかつオープンなライセンスの下で公開されています。これは、モデルのパラメータ、重み、アーキテクチャ、および利用規約が一般に公開されていることを意味し、これにより、人々はより自由にモデルにアクセスし、利用、修正、共有することができます。
無料かつオープンライセンスのGPAIモデルは、モデルがシステミックリスクをもたらさない場合、より緩やかな義務が適用されます。一般的に、オープンソースの免除により、文書化や下流情報の提供義務が軽減されますが、著作権ポリシーやトレーニングコンテンツの要約に関する義務は依然として適用される場合があります。モデルがシステミックリスクをもたらす場合には、より厳格な義務が適用されます。
サンドボックスを活用したAIの安全な試験環境
AI法は、単に規制を定めるだけのものではありません。特に規則が新しく、より明確な指針が必要な場合、企業がAIを安全に試験する手段も提供しています。つまり、この法律はAIのリスクを管理しつつ、新たなアイデアを奨励するという2つの役割を同時に果たしているのです。
AI規制サンドボックスとは、AIシステムが本格導入される前に、管理された環境下で試験を行う場です。企業がAIシステムの開発、学習、試験、検証を行うのを支援するとともに、法的ガイダンスを提供し、コンプライアンスが実際にどのように実践されるかを理解する手助けをします。特に、大規模なコンプライアンスチームや十分な法的支援を持たない中小企業やスタートアップにとって有用です。また、規制当局と企業が互いに学び合う機会ともなり、より良い規則の策定につながります。
EU加盟国はそれぞれ、少なくとも1つのサンドボックスを設置しなければならず、一部の国は共同で設置することも可能です。各国当局は、指導や監督を行うほか、リスクやコンプライアンス上の問題の特定を支援します。
企業は、AI法への準拠を示すために、サンドボックスに関する文書を活用することができる。サンドボックスへの参加によって法的責任が免除されるわけではないが、企業が承認されたサンドボックス計画およびガイダンスを誠実に遵守している場合、サンドボックスプロセスで対象となる問題について行政罰金が科されるリスクを軽減できる可能性があります。
一部の公益プロジェクトにおいて、サンドボックス内で個人データが使用される場合があるが、それは必要な場合に限り、安全に管理され、外部に共有されず、使用後に削除されることが条件となります。
EU AI法が企業とウェブ解析に与える影響
ウェブ解析は、EU AI法とは無関係に見えるかもしれません。何しろ、多くの解析ツールは単にウェブサイトのトラフィックやユーザーのエンゲージメントを測定するだけだからです。
しかし、現代の解析プラットフォームは、単に訪問数やページビューをカウントするだけにとどまりません。AIを活用して次のようなことを行うものもあります：
- どのユーザーがコンバージョンに至るか、あるいはウェブサイトを離脱する可能性が高いかを予測する
- 大規模なデータセット全体から行動パターンを特定する
- オーディエンスを自動的にセグメント化する
- コンテンツ、製品、またはマーケティング施策を推奨する
- 手作業を必要とせずにレポートを生成する
すべての解析プラットフォーム、ダッシュボード、またはレポート機能が、AI法における「AIシステム」に該当するわけではありません。その判断は、具体的な機能、その意図された目的、生成される出力、および組織がプロバイダー、導入者、輸入業者、販売業者、あるいはその他の規制対象の役割を担っているかどうかに依存します。
同法に基づき、AIシステムの提供者は、自社の製品が規制の枠組みに準拠しているかどうかを評価する必要があります。義務の内容は、技術の種類、その使用方法、および伴うリスクのレベルによって異なります。
アナリティクスプラットフォームの選定は、単なる技術的な決定にとどまりません。組織は、そのツールがどのように機能するか、どのようなデータに依存しているか、そしてその利用によってどのような責任が生じる可能性があるかを理解する必要があります。アナリティクスツールを評価する企業は、次のような質問を投げかける必要があります。
- そのプラットフォームはAIを活用した機能を提供していますか？
- ベンダーはそれらの機能をどのように説明していますか？
- ベンダーは、適用されるAI法上の義務に関する情報を提供していますか？
- システムはどのようなデータを用いてインサイトを生成しているか？
その結果、多くの組織がMatomoのようなプライバシー重視のプラットフォームを検討しています。次のセクションでは、Matomoとその解析アプローチについて見ていきます。
プライバシーファーストの解析への移行
多くの組織は、規制上の要件により、過剰なデータを収集することなく、ウェブサイトの詳細なインサイトを得たいと考えています。
そこで役立つのがMatomoです。これはプライバシーファーストのプラットフォームであり、これを利用することで以下のことが可能になります：
データの管理権を維持
解析においては、ソフトウェアがどのようにデータにアクセスし、それがどのように使用されているかを把握することが重要です。Matomoを利用すれば、組織は解析データに対する管理権を保持できます。データの保存場所、利用権限、利用可能期間を自ら決定できます。
データの保存場所を選択
医療業界など、厳格なコンプライアンス要件がある多くの組織では、自社のシステム外にデータを保存することができません。Matomoは、企業が解析データを自社のインフラ内に保持できるセルフホスティングオプションを提供しています。
クッキーへの依存度を低減する
プライバシーに対する期待の高まりを受け、組織はクッキーへの取り組みを見直す必要に迫られています。Matomoは、クッキーを使用しないトラッキングオプションをサポートしています。これにより、チームはクッキーベースのトラッキング手法への依存度を低減しつつ、ウェブサイトのパフォーマンスを測定することができます。
プライバシー管理を実践する
プライバシーにおいて重要なのは、実は些細な運用上の判断です。例えば、組織はIPアドレスの一部をマスキングして訪問者データを匿名化したり、不要になった情報を自動的に削除する保存期間を設定したりすることができます。こうした管理措置により、解析の実践をより広範なプライバシー目標と整合させることが容易になります。
必要なインサイトを引き続き取得
プライバシーを重視した解析であっても、データの可視性を犠牲にする必要はありません。組織は、トラフィックソース、ユーザージャーニー、コンバージョン、コンテンツのパフォーマンスを理解し続ける必要があります。Matomoは、こうしたインサイトを提供すると同時に、データの収集や管理方法について企業により多くの制御権を与えます。
まとめ
EUのAI法は、組織に対し、AIの活用方法やそれに伴う責任についてより深く検討するよう促しています。
つまり、顧客体験の全過程においてデータの収集、解析、活用に影響を与えるウェブ解析プラットフォームを含め、日常的に使用されている技術について検討する必要があるということです。
これが、多くの組織が透明性と管理の両方を兼ね備えたソリューションを求めている理由の一つです。Matomoのようなプラットフォームは、企業がウェブサイトのパフォーマンスに関する貴重な洞察力を得るのを支援すると同時に、解析データに対する管理権限を強化し、特に自社ホスティング環境では、サードパーティによるデータ処理への依存度を低減します。
現在、Matomoは世界中で100万以上のウェブサイトを支えています。
無料のオンプレミス版をダウンロードするか、クレジットカード不要の21日間無料トライアルでMatomo Cloudをお試しいただき、Matomoの利用を始めてください。
よくある質問
EU AI法ではどのような適用除外が定められていますか？
EU AI法は、AIの利用のすべてを対象としているわけではありません。軍事、防衛、または国家安全保障の目的のみに使用されるAIは適用除外となっており、また、AIシステムが市場に投入されるか、または運用開始される前の段階で行われる研究、試験、開発も対象外となっています。
コンプライアンス違反の場合、組織にはどのような罰則が科されるのでしょうか？
EUのAI法には、多額の金銭的罰則が盛り込まれています。多くの組織の場合、罰金の上限は定額と売上高の一定割合のうち高い方が適用されますが、中小企業については、AI法においてこの2つの基準のうち低い方が適用されます。
- 禁止されているAI慣行の禁止規定に違反した場合、最大3,500万ユーロ、または全世界の年間売上高の7％の罰金が科される可能性があります。
- 高リスクAIシステムの要件、透明性確保の義務、または同法のその他の規定を満たさない場合、最大1,500万ユーロ、または全世界の年間売上高の3％の罰金が科される可能性があります。
- 規制当局に不正確、不完全、または誤解を招く情報を提供した組織には、最大750万ユーロ、または全世界の年間売上高の1％の罰金が科される可能性があります。
施行のスケジュールはどのようになっていますか？
要件の大部分は2026年8月2日から適用開始となるため、組織には規則を理解し、それに応じて準備を進めるための時間が与えられます。
ただし、一部の規定はそれより早く適用されます。許容できないレベルのリスクをもたらすAIシステムを禁止する規則は、同法の発効から6か月後に適用が開始されました。大規模言語モデルなどの汎用AIモデルに関する要件は、12か月後に適用されます。
また、欧州委員会は「AI協定」を発足させました。これは、法制度が正式に確立される前に、企業が主要な原則の採用を開始するよう促す自主的な取り組みです。
さらに、欧州委員会は、企業が新しい規則を解釈し適用できるよう支援するための実践的なガイダンスや行動規範の策定にも取り組んでいます。
監督責任を担う当局はどれですか？
AI法の実施を支援する3つの機関があります。
- 欧州AI委員会は、各国当局が規則を適用する際に、足並みを揃え、一貫性を保つよう支援する。
- 技術的な問題については、独立専門家科学パネルが対応する。同パネルは複雑なAI問題について助言を行い、GPAIモデルに関連するリスクを特定した場合には懸念を提起することができる。
- 諮問フォーラムは、より幅広い視点をもたらします。産業界、学界、市民社会からの意見を反映し、AIに関する議論が規制当局のみによって形作られることのないよう支援しています。
EUのAI法は、AIの環境への影響について規定しているのでしょうか？
はい。AI法は主に安全性と基本権に焦点を当てていますが、AIシステムが環境に与える影響についても認識しています。
大規模なAIモデルは、膨大な計算能力とエネルギーを必要とする場合があります。透明性を高めるため、特定のGPAIモデルの提供者は、そのエネルギー消費量に関する情報を開示しなければなりません。また、最も高性能なモデルについては、エネルギー効率もリスク評価プロセスの一部となる可能性があります。
また、欧州委員会は、標準化機関と協力して、ライフサイクル全体にわたるエネルギー使用量を含め、AIシステムの資源効率を測定・改善するための指針を策定しています。