EUのAI法は、2025年2月2日に第1章と第2章が施行される計画だ。第2章には、生体認証や顔認証のデータなどの用途を制限する項目が含まれる。同年8月までに、そうした項目に従わなかったベンダーとユーザー企業は、最大3500万ユーロか、前会計年度の全世界での年間売上高の7％を上限とする罰金が科される可能性がある。

　2027年8月には「高リスクAIシステム」に対する追加の規制も発効する見通しだ。高リスクAIシステムは、セーフティーコンポーネント（機械の安全性を確保する制御装置）として使用されるAIシステム、もしくは生体認証や重要インフラの管理など8つの分野で使われるAIシステムを指す。

　一部のアナリストは、こうした規制に懸念を示す。急速に進化しているAI技術に対して規制を導入すると、数カ月後には“的外れ”になる恐れがあるためだ。

　「もし1～2年前に大規模言語モデル（LLM）のサイズを制限する規制を設けていたとしたら、完全に的外れなものになっていた。それほど技術は急速に進化している」と調査会社HyperFrame Researchの主任アナリスト、スティーヴン・ディケンス氏は指摘する。「AI技術の進化は初期段階にあり予測が難しい。規制当局からすると恐ろしいことだが、様子見も悪くない」（同氏）

　ITニュースサイトを運営するSiliconANGLE Mediaの調査部門theCUBE Researchのアナリスト、ロブ・ストレチェイ氏は、2027年に施行される高リスクAIシステムの条項について次のように指摘する。「この条項では、AIシステムのリスク管理の仕組みを整え、文書化しておくことなどが求められる。しかし開発者がサードパーティーのAI技術を利用する場合、順守が難しい可能性がある」

　高リスクAIシステムに関する他の条項では、不適合のシステムについて欧州委員会に報告するよう求めている。特に同条項に不適合なシステムを識別するために必要な情報や、AIシステムの開発元、サプライチェーンに関与する企業などの報告が必要とされる。しかしGoogleのエンジニアが2024年4月に発表した論文「Securing the AI Software Supply Chain」には、高リスクAIシステムの扱いについて業界内で合意が形成されていないと記されている。

　セキュリティ企業Endor Labsの最高セキュリティアドバイザー、クリス・ヒューズ氏は、EUの規制方針は「経済とサイバーセキュリティの観点でデメリットがある」と指摘する。

　ヒューズ氏は「すでに一部のAIベンダーがEUの市場を避けたり、特定の製品や機能をEUの市場で提供しない方針を採ったりしている」と述べる。このことは消費者だけでなく、経済や国家安全保障にも影響を与える恐れがあるという。「商用技術と国家安全保障の結び付きが強まっている状況では、特に重要な問題だ」（ヒューズ氏）

　一方、規制緩和が進む米国では、別の懸念が浮上している。後編は、米国での規制の動向を紹介する。