欧州連合(EU)は、AI法の主要部分の施行を開始しました。これにより、チャットボットやディープフェイク、その他消費者向け人工知能(AI)システムに、目に見える形で即座に影響が及ぶことになります。
8月2日以降に目にすることが増えるのは、「これはAIです」というラベル表示の増加、強力な基盤モデルに関するより明確なルール、そしてシステムが問題を起こした際にユーザーや研究者が苦情を申し立てる新たな手段です。
AI法は、次の3つの主要分野で理論から実践へと移行しました。
- 汎用AI(GPAI)モデル: ブリュッセルに新設されたAIオフィスは、各国の規制当局とともに、汎用AIモデル(多くのツールの基盤となる大規模言語モデルやその他の基盤モデルを指す)を提供する事業者に対して、ルールを執行できるようになりました。
- 透明性義務: 対話型システムおよびAI生成コンテンツに対する透明性ルールが発効します。チャットボットは自らがボットであることを明示しなければならず、合成音声・画像・動画・テキストはAIによって生成または加工されたものであることを明示する必要があります。
- 禁止されるAI利用: 「許容できないリスク」に分類されるAI利用方法が正式に禁止されました。執行はAIオフィス、各国当局、そしてEU機関を対象とする欧州データ保護監督機関の間で分担されます。
なお、8月2日より前に生成・公開されたコンテンツについては、遡ってラベルを付ける必要はありませんが、それ以降に公開されるコンテンツは、たとえ生成自体がそれ以前であっても規制の対象となります。
セキュリティの観点から見ると、AI法が推し進める透明性の取り組みは、AIそのものを禁止するというより、AIが持つ最大の隠れ蓑、すなわち「人間のふりをすること」を奪うものだと言えます。
透明性義務への違反には、最大1,500万ユーロ(1,730万米ドル)、または全世界年間売上高の3%のいずれか高い方の制裁金が科される可能性があり、大手プロバイダーの注意を引くには十分な水準と言えるでしょう。
この執行を単なる「張り子の虎」に終わらせないため、AIオフィスは内部の関係者やユーザーの立場から問題を発見した人々向けに、次のようなツールを提供開始しました。
- 苦情申し立てツール: 個人や組織は、AIオフィスの監督下にあるAIシステムの提供者や運用者によるAI法違反の疑いを報告できます。
- 内部告発ツール: AIプロバイダーや運用者と職務上関わりのある人々は、基本的権利、健康、あるいは公衆の信頼を脅かしかねない違反の疑いを、匿名で通報できる窓口を利用できます。
- 下流事業者向け申し立て窓口: GPAIモデルを基盤にサービスを構築する企業は、基盤モデル提供者による違反の疑いを報告できます。
これにより、システムレベルの問題、たとえば安全性を欠くモデルの挙動、無視されたレッドチームの指摘、あるいは操作や差別に関する法的な一線をひそかに越えるような展開など、を報告するための正式な経路が確立されました。
「ヌーディファイア」と虐待的コンテンツの禁止
AIオフィスは、非同意の性的・親密なコンテンツを生成するAIシステム(いわゆる「ヌーディファイア」アプリを含む)、および児童性的虐待コンテンツを明示的に禁止しました。
こうした被害に遭った人々にとって、これは象徴的な意味以上のものを持ちます。規制当局や法執行機関は、こうしたシステムの提供者と運用者の両方をEU域内で追及するための明確な法的根拠を得ることになり、より一般的で用途の限定されない旧来の法律に無理に当てはめる必要がなくなるのです。
これらのルールは2026年12月2日から適用され、企業にはシステムを規制に適合させるか、EU市場から撤退するかの猶予期間が与えられます。
残念ながら、これによって不正利用が完全になくなるわけではありません。攻撃者は依然として、ラベル表示のないツールやEU域外のインフラを利用し続けるでしょう。しかし、正当なサービスに対するハードルは引き上げられ、主流プラットフォームが欺瞞的なAI駆動機能のリスクを見過ごすことは、これまでより難しくなるはずです。
AI法によってAIが一夜にして安全になるわけではありませんが、デフォルトの状態を「何でもあり」から「EU域内で事業を行うなら最低限のルールに従わなければならない」へと転換させます。ユーザーにとっては、目に見えない技術が知らぬ間にオンライン体験を形作るのではなく、少なくともAIシステムを認識し、疑問を持てるようにするための一歩だと言えるでしょう。
詐欺師はあなたをハッキングする必要すらありません。あなたに一度クリックさせるだけでいいのです。
Malwarebytes Identity Theft Protectionは、問題になる前に不審な動きを検知します。
