AIとデータ活用に対するEUの方針を解説

パロアルトインサイトの嶋崎です。AIの活用が急激に広がる現代社会では、従来の法律や規制が想定していなかった状況が次々に生まれています。日本だけでなく世界各国が対応に追われる中で、いち早くルールを整備し、存在感を強めているのが欧州連合（EU）です。EUがAIやデータ活用に対して、どのようにアプローチしているのかを紹介します。

シリコンバレーから現役データサイエンティストのインサイトをお届けする「The Insight」。今回取り上げるのは、AIの普及に対応してEUが整備を進める法的な枠組みです。

2021年4月、EUはAIに対する方針を公表しました。その狙いと内容について解説します。

EUの方針は3種類の文書から成り立っています。EUの公式サイトから引用すると、以下の通りです。

これらを策定することで、安全と基本的権利を確保しつつ、AIの開発を進めようとしています。AI研究の環境を整備して、優秀な人材を育成することで、EUの国際競争力を高めることが狙いです。

さらにEUはAI開発に多額の投資を続けることで、最先端の研究で世界のリーダーとなることを目指しています。投資額は年間200億ユーロを継続することを目標としており、EUとしてAI開発に注力する方針が明確です。

EUはAIに関する法的な枠組みの整備も進めています。研究開発を思い切って進めるためにも、AIの利用によって生じるリスクに備えることは非常に重要です。

AIのリスクを以下の4つのレベルに分類して対処することを、EUは提案しています。

これらのリスクに対して、加盟各国の国内法およびEU法ではカバーできないケースにのみ介入するというのが、EUのAI関連法の基本方針です。AIへの対処方針を定めるのに時間がかかっている国が多い中で、EUによる法的枠組みの整備は先進的なものといえます。

データ活用に関してもEUは法律を制定済みです。EUのデータ保護法「General Data Protection Regulation（GDPR）」について解説します。

GDPRは2018年5月に施行されました。EUの人々を個人情報の誤用や悪用から保護することを目的としています。プライバシー保護と安全性を、世界でも最も厳しい水準で求めている点が特徴です。

GDPRが対象とするのは、EU各国に拠点を構える企業だけではありません。EU域内の人々に商品・サービスを提供したり、データを収集したりする、すべての企業や個人が従うことを求められます。国際的に事業を展開している日本企業の多くも対象となるため、GDPRに違反しないように注意が必要です。

国境を超えて提供されるオンラインサービスの多くは、世界のどの国でも使えるように設計されます。すべての国に対応するには、最も厳しいEUのデータ保護水準をクリアしなければなりません。そのため、GDPRは実質的に世界的な基準として扱われています。

データ保護に関しては「Personally identifiable information（PII）」についても理解しておくべきです。PIIとは、特定の個人を識別できる可能性のあるデータを指します。例としては以下の通りです。

インターネット上にあふれる情報の中でも、PIIは特別に価値が高いといえます。そのため、PIIを狙ったデータ侵害やサイバー攻撃は増え続けているのが現状です。GDPRでもPIIの保護は重視されており、企業は厳格な保護基準をクリアすることを求められます。

PIIを収集すればするほど、情報を管理する責任は重くなり、データ漏洩やサイバー攻撃などによる損失も大きくなります。企業が顧客のPIIを取得する際には、必要最小限の情報だけにとどめるべきです。

大規模なAIモデルの学習には、インターネット上から集められた大量のデータが使用されることが一般的です。OpenAIが開発する自然言語処理AI「GPT-3」や画像生成AI「DALL·E 2」はその典型例です。