ＥＵその他諸外国における⽣成ＡＩに対する規制の概要
⼀橋⼤学⼤学院法学研究科ビジネスロー専攻教授
⽣⾙直⼈ 博⼠（社会情報学）

1

⽬次• ①著作権• ②個⼈情報・プライバシー• ③有害情報（誤情報・偽情報・バイアス等）• ④EU AI規則案を巡る議論

2

①著作権
• 開発・学習段階（法域により異なる）• ⽇本法：情報解析等のための「著作物に表現された思想⼜は感情の享受を⽬的としない利⽤⾏為」の権利制限、「必要と認められる限度」や「著作権者の利益を不当に害することとなる場合」の解釈（著作権法30条の4 ）• EU法：学術研究⽬的の場合は原則権利制限（DSM著作権指令3条）、それ以外の営利⽬的等は権利者の権利留保を規定（同4条）• 指⽰段階（およそ各国共通）• 純粋なAI（あるいは⼈以外の動物等）による作品は保護対象とはならず、プロンプト等により⼈の創作的寄与が認められるか等の論点• ⽣成・利⽤段階（およそ各国共通）• 既存著作物との「類似性」「依拠性」等の論点

3

②個⼈情報・プライバシー• 開発・学習段階：要配慮個⼈情報の学習利⽤等• 指⽰段階：個⼈に関する情報のプロンプト⼊⼒等• ⽣成・利⽤段階：学習した個⼈情報の出⼒可能性等• EU GDPRにおける論点• 個⼈データ処理・アルゴリズムの透明性（GDPR12条等）• 不正確な⽣成情報の消去、学習データ処理からのオプトアウト（GDPR17条）• ⾮ユーザー個⼈データ処理の法的根拠：GDPR6条(f)「正当な利益」の適⽤可能性（ウェブ上の⼤量の顔画像による顔認識システムを捜査当局に提供したクリアビューAIとの対⽐）• 「フランス国内の数百万⼈のインターネット利⽤者のインターネット上に存在する画像を検索することが可能な、このプロセスの侵⼊的で⼤規模な性質を考慮すると、クリアビューAIは当該データを収集し使⽤する正当な利益を有していない。SNSを含む様々なウェブサイトで写真やビデオにアクセスされるこれらの⼈々は、国家が法執⾏⽬的で使⽤できる顔認識システムを提供するために、⾃分の画像が同社によって処理されることを合理的に期待していない。」
4③有害情報（誤情報・偽情報・バイアス等）• それ⾃体違法ではないが広く所謂「有害（harmful）な情報」
について、法はどのように対応しうるか• 「リテラシー向上」や「ファクトチェック」や⾮法的アプローチ• SNS等プラットフォーム事業者の「⾃主的対応」の後押し• 法の役割の例：EUデジタルサービス法のアプローチ• EU域内で4,500万⼈以上が利⽤する超巨⼤プラットフォーム（SNS等）・検索エンジン提供者は、⾃らのサービスがもたらしうる基本権や⺠主主義、差別、公衆衛⽣、⻘少年保護等への「システミック・リスク」を評価し、合理的な緩和措置を採り、外部監査を受ける義務• ⽣成AIにおいて同様の法的枠組が必要か否か→AI規則の議論
5

④EU AI規則案（2021年4⽉提案時点）• AIシステムをリスクに応じて4段階に分類した規律を置く• 許容できないリスク（禁⽌されるAI利⽤⾏為：潜在意識操作、弱者搾取等）• ハイリスク（適合性評価等の義務）• 限定的リスク（コンテンツがAIで作成されたことの明⽰等）• 低リスク・無リスク（⾏動規範）• ハイリスクAIに位置付けられる⽤途（⼀部）• 教育や職業訓練、雇⽤・労働管理• 重要な⺠間・公共サービス（公的⽀援⾦給付、融資、緊急対応措置）• 法執⾏、移⺠・亡命・国境管理、司法⼜は⺠主主義プロセス• ハイリスクAIシステム提供者の義務• リスクマネジメントシステム構築、適切なデータガバナンス、技術⽂書、記録保持、透明性と利⽤者への情報提供、⼈間による監視、正確性・堅牢性・サイバーセキュリティ

6

AI規則案：ハイリスクAIに関する義務• ハイリスクAIシステムの要求事項（第2部第2章、8-15条）• リスクマネジメントシステムの構築、データとデータガバナンス、技術⽂書、記録保持、透明性と利⽤者への情報提供、⼈間による監視、正確性・堅牢性・サイバーセキュリティ• ハイリスクAIシステム提供者の義務（第2部第3章、16-23条等）• 上記要求事項の遵守確保、品質マネジメントシステムの構築、技術⽂書の作成、適合性評価の実施、⾃動⽣成ログの保存、本規則不適合時の是正、リスク検知時の監督機関への通知、監督機関との協⼒、CEマーク付与、データベース登録等• AI規則案40条：整合規格（Harmonized standard、第2部第5章）• 「欧州連合官報に掲載された整合規格⼜はその⼀部に適合している⾼リスクAIシステムは，それらの規格が要件を網羅している限りにおいて，第2部第2章に定める要件に適合しているものと推定される。」• 整合規格：CEN (欧州標準化委員会)やCENELEC (欧州電気標準化委員会)、ETSI (欧州通信規格協会)が発⾏する欧州統⼀規格

7

EU法と整合規格・共同規制

CEN-CENELEC “Drafting Harmonized Standards in supportof the Artificial Intelligence Act (AIA)” より「例えば、EU市場に投⼊される製品やサービスの認証に使⽤される整合規格も、共同規制⼿法（co-regulatory instruments）の⼀種である。この点、ECが発表したAI法の提案は、CEマークを取得しAIソフトウェアを市場に出すためのコンプライアンスツールとして整合規格に依存している。
整合規格は「New legislative framework」（NLF）の⼀部であり、リスクの⾼い製品やサービスを特徴とする⼀部の技術・産業分野を規制するために採⽤されているアプローチである。NLF
では、法律が⼀般的な要求事項のみを定義し、どのように遵守するかは法律の受け⼿に委ねられる。
このようなコンプライアンスは、整合規格を通じて実際に達成されうるが、その採⽤は暫定的なものである。」
Vigna Francesco [2022] “Co-regulation Approach for
Governing Big Data: Thoughts on Data Protection Law”
8

⾃主・共同規制（self- and co-regulation）• ⾃主規制の持つ柔軟性等の利点と政府規制が持つ信頼性等の利点を組み合わせ、イノベーション親和的かつ確実なルール枠組を作り出すための政策⼿法• 各段階間に明確な区分があるわけではなく、特に政策⼿段としての⾃主規制と共同規制を合わせて「ソフトロー・アプローチ（政策）」と呼ぶことも多い
規制なし
自主規制

特に規制の必要なく、市場自身が問題の発生を抑止・解決している業界団体等による自主的な規制によって当該問題が適切に解決されている（政府による一般原則の提示は存在し得る）

共同規制

自主規制と政府規制の混合措置により問題が解決されている（政府の自主規制補強措置が存在する）

政府規制

目的とプロセスが政府によって定義されており、政府機関によるエンフォースメントが担保されている

共同規制の概念と実践詳細：拙著『情報社会と共同規制』勁草書房、2011年
英Ofcom [2008] Identifying appropriate regulatory solutions: principles for analysing self- and co-regulation.を元に作成

規制弱動的対応
規制強9

AI規則案の共同規制アプローチ
AI規則案の要求事項（執⾏当局）
整合規格要求直接監督

標準化機関（CEN/CENELEC）による規格策定・適合性評価機関による評価違反に対する執⾏遵守・CEマーキング

個別のAIシステム提供者
10

AI規則案：基盤モデル・⽣成AI提供者の義務（2023年6⽉時点）• 2021年提案当初はChatGPT等の⽣成AIは想定されておらず、2023年6⽉に採択された議会修正案では、LLMなど基盤モデル・⽣成AIに特化したカテゴリーを設ける• 基盤モデル（foundation model）：「⼤規模なデータで学習され、出⼒の汎⽤性を考慮して設計され、幅広い特徴的なタスクに適応できるAIモデル」• 基盤モデル提供者（オープンソースを含む）の義務• 健康、安全、基本権、環境、⺠主主義及び法の⽀配への合理的に予⾒可能なリスク特定と緩和• 適切なデータガバナンス、特にデータに起因するバイアスの緩和等• エネルギー使⽤の削減と効率性向上• 川下利⽤者が本規則を遵守するための情報提供等の⽀援（基盤モデル提供側（川上）と利⽤側（川下）の規制負担を巡る論争）• 特に⽣成AI（複雑なテキスト、画像、⾳声⼜は映像等のコンテンツを様々なレベルの⾃律性をもって⽣成することを特に意図したAIシステム）提供者の義務• EU法違反コンテンツ⽣成へのセーフガードを伴う設計・開発• 著作権保護学習データの概要公表
11AI規則案 2023年6⽉

議会修正案

第28b条 基盤モデル提供者の義務
1. 基盤モデルの提供者は、それを市場に提供し⼜はサービスに供する前に、それがスタンドアロンモデルとして提供されるか、AIシステム⼜は製品に組み込まれるか、フリー及びオープンソースライセンスの下で提供されるか、サービス、並びにその他の流通経路として提供されるかにかかわらず、本条に定める要件に適合することを確保しなければならない。
2. 第 1 項の⽬的のため、基盤モデルの提供者は、以下のことをしなければならない：• (a) 健康、安全、基本権、環境、⺠主主義及び法の⽀配に対する合理的に予⾒可能なリスクを、適切な設計、試験及び分析を通じて、独⽴した専⾨家の関与などの適切な⽅法により、開発前及び開発期間中に特定、低減及び緩和し、また開発後に残る軽減できないリスクについて⽂書化して⽰すこと；• (b) 基盤モデルのための適切なデータガバナンス対策、特にデータソースの適合性、起こりうるバイアス及び適切な緩和を検討するための対策の対象となるデータセットのみを処理し、取り⼊れること；• (c) 基盤モデルは、そのライフサイクルを通じて、独⽴した専⾨家の関与によるモデル評価、⽂書化された分析、及び概念化、設計、開発中の広範なテストなどの適切な⽅法を通じて評価された、性能、予測性、解釈性、適格性、安全性とサイバーセキュリティの適切なレベルを達成するように設計及び開発されること；• (d) エネルギー使⽤、資源使⽤及び廃棄物の削減、並びにエネルギー効率及びシステム全体の効率を向上させるために、適⽤される基準を活⽤し、基礎モデルを設計及び開発する。これは、関連する既存のEU法及び国内法を害するものではなく、この義務は、第40条にいう規格が公表される前には適⽤されないものとする。また、エネルギー及び資源の消費の測定及び記録、並びに技術的に可能な場合には、システムの展開及び使⽤がその全ライフサイクルにわたって与え得るその他の環境影響を可能にする機能を有するように設計されなければならない；• (e) 川下供給者が第16条及び第28条1項に基づく義務を遵守できるように、広範な技術⽂書及び分かりやすい使⽤説明書を作成すること；• (f) 本条への準拠を保証し、⽂書化するための品質管理システムを構築し、この要件を満たすために実験を⾏う可能性を有すること；• (g) 附属書VIII項Cに概説された指⽰に従い、第60条のEUデータベースに基盤モデルを登録する。これらの要件を満たす場合、関連する整合規格⼜は共通仕様に反映されているもの、並びに、特に第58a条（新）に⾔及するベンチマーク
指針及び能⼒に反映されている最新の評価及び測定⽅法と同様に、⼀般に認められた技術状況を考慮するものとする。
12

3. 基盤モデルの提供者は、その基盤モデルが市場に出され⼜は使⽤開始されてから10年を経過する期間、第1項(c)にいう技術⽂書を国の権限ある当局が⾃由に利⽤できるよう保管するものとする。
4. 複雑なテキスト、画像、⾳声⼜は映像等のコンテンツを様々なレベルの⾃律性をもって⽣成することを特に意図したAIシステム（「⽣成系AI」）及び⽣成系AIシステムに基盤モデルを特化させるプロバイダで使⽤される基盤モデルの提供者は、加えて、• (a) 第 52 条(1)に概説される透明性の義務を遵守すること。
• (b）⼀般に認識されている技術⽔準に沿って、表現の⾃由を含む基本権を害することなく、EU法に違反するコンテンツの⽣成に対する適切な保護措置を確保するような⽅法で、基盤モデルを訓練し、場合によっては設計及び開発すること。
• (c）著作権に関する国内法⼜はEU法を害することなく、著作権法で保護されているトレーニングデータの使⽤について、⼗分に詳細な概要を⽂書化し、⼀般に公開すること。
参考：第3条定義(1) 「⼈⼯知能システム」（AI システム）とは、様々なレベルの⾃律性で動作するように設計され、明⽰的または暗黙的な⽬的のために、物理環境または仮想環境に影響を与える予測、推奨、決定などの出⼒を⽣成できる、機械ベースのシステムをいう；(2) (1c) 「基盤モデル」とは、⼤規模なデータで学習され、出⼒の汎⽤性を考慮して設計され、幅広い特徴的なタスクに適応することができるAIモデルをいう；(3) (1d) 「汎⽤AIシステム」とは、意図的かつ具体的に設計されていない幅広い⽤途に使⽤し、適合させることができるAIシステムをいう；
13

AI規則案：基盤モデル・⽣成AI提供者の義務（2023年6⽉欧州議会採択修正案）• 40条（整合規格）第1項：規則 1025/2012（AM 2122）（※欧州標準化規則）に従い欧州連合官報に⾔及が掲載された整合規格⼜はその⼀部に適合するハイリスクAIシステム及び基盤モデルは、当該規格が当該要件をカバーしている限りにおいて、本タイトルの第 2 章⼜は第28 b条に定める要件に適合するものと推定される。
• 41条（共通仕様：Common specifications）第1a項：欧州委員会は、以下の条件が満たされる場合、第74条(2)にいう審査⼿続に従い、かつ、AIオフィス及びAIアドバイザリーフォーラムと協議した上で採択された実施法によって、本タイトル第2章⼜は第28b条に定める要件に関して共通仕様を採択することができる：• (a) 必須要件に関連する欧州連合官報に既に掲載されている整合規格への⾔及がないこと。ただし、当該整合規格が改訂が必要な既存の規格である場合を除く；• (b) 欧州委員会が、第2章に定める必須要件に関する整合規格の草案を作成するよう、1つ以上の欧州標準化機関に要請したこと、及び；• (c) (b)で⾔及された要請が、いずれの欧州標準化機関によっても受諾されていない、または、適切な整合規格の制定が不当に遅延している、または、提供された規格が、関連するEU法令の要件を満たしていない、または、欧州委員会の要請に準拠していない。
14

参考：デジタルサービス法の共同規制• EU域内で4,500万⼈以上が利⽤する超巨⼤プラットフォーム・検索エンジン提供者は、⾃らのサービスがもたらしうる基本権や⺠主主義、公衆衛⽣、⻘少年保護等への「システミック・リスク」を特定・分析・評価し（34条）、合理的・⽐例的・効果的な緩和措置を採る義務（35条）• 欧州委員会は、これらの評価と緩和措置の具体化のために、関係ステイクホルダーを招請して⾏動規範（codes of conduct）を策定（45条）• 既にディスインフォメーション⾏動規範が策定、複数PFにより署名済み• →次の改訂により⽣成AIによるディープフェイク対策が含まれる⾒込み• 超巨⼤プラットフォーム・検索エンジンは、34条・35条の義務及び⾏動規範の遵守等について年1回以上の独⽴監査を受ける義務（37条）• その他、評価・緩和措置検証のための外部研究者データアクセス提供義務（40条）

15

中国⽣成型⼈⼯知能サービス管理弁法(意⾒募集草案、2023年4⽉11⽇)抜粋仮訳
第2条 本弁法は、中華⼈⺠共和国の領域内における公衆へのサービス提供のための⽣成⼈⼯知能製品の研究開発および利⽤について適⽤される。
本措置でいう⽣成型⼈⼯知能とは、アルゴリズム、モデル及びルールに基づいてテキスト、画像、⾳声、映像、コード及びその他のコンテンツを⽣成する技術をいう。
第4条 ⽣成型⼈⼯知能製品またはサービスの提供は、法令の要件を遵守し、社会道徳および公序良俗を尊重し、以下の要件を満たすものとする：• (⼀）⽣成型⼈⼯知能を⽤いて⽣成されるコンテンツは、社会主義の核⼼的価値を反映し、国家権⼒の転覆、社会主義体制の転覆、分離独⽴の扇動、国⺠統合の阻害、テロリズム、過激主義の促進、⺠族憎悪、⺠族差別、暴⼒、わいせつ・ポルノ情報、虚報、経済秩序・社会秩序を乱す可能性のあるコンテンツを含んでいてはならない。
第15条 運⽤中に発⾒され、利⽤者から報告された本措置の要件を満たさない⽣成コンテンツについては、コンテンツフィルタリング等の措置を講じるほか、3ヶ⽉以内にモデル最適化トレーニング等による再⽣の防⽌措置を講ずるものとする。
第16条 提供者は、「インターネット情報サービスの深層合成の管理に関する規則」に基づき、⽣成された写真や動画などのコンテンツにマークを付けるものとする。
第19条 提供者は、利⽤者が、⽣成されたAI製品の利⽤過程において、オンライン炒作、悪意のある投稿やコメントの追従、スパムの作成、マルウェアの書き込み、不適切な商業マーケティングの実施など、法令、企業倫理、社会道徳に違反していると認められる場合、サービスを停⽌または終了させるものとする。
16

Authors and Performers Call for Safeguards Around Generative AI in the European AI Act, 19 April 2023 参考仮訳（強調報告者）
A. エグゼクティブ・サマリー
私たち、様々な業界の数千⼈の作家、実演家、クリエイティブな著作権者を代表する43のギルドとユニオンの署名者は、⽣成型AIが欧州市場に⼤規模に置かれた場合に引き起こされ得る深刻な害に対処するための有効な規制措置を求めています。汎⽤AIに関する具体的な規定を含む最新の提案を歓迎する⼀⽅で、デジタルエコシステムと社会全体を保護するのに⼗分とは⾔えないと考えています。
B章において、我々は、⽣成型AIが社会にもたらす⾼いリスクと、そのようなリスクがAI法に特定の法的セーフガードを必要とする理由をまとめた共同声明を提出します。また、C章で述べるように、これは私たちのメンバーが各業界で実際に経験したことをもとにした⾒解です。
我々の分析に基づき、我々はトリローグの全当事者（欧州議会、欧州委員会、EU理事会）に対し、AI法に以下の改正を加えることを検討するよう要請します：●⽣成AIは、製品サイクル全体にわたって規制されなければならず、特に基盤モデル（⼤規模⾔語モデルおよびその他の⼤規模基盤モデル）の提供者に焦点を当てること。
●このような基盤モデルの欧州市場への投⼊は、プロバイダーが以下の最低要件を満たしていることを実証することを条件とすべきである：○使⽤される訓練資料に関する完全な透明性；○訓練資料の真実性、正確性、客観性、多様性に関する⼗分なレジリエンス、特に、訓練資料の⼗分な割合が以下のようなものであることを⽰す⽂書。
- 欧州の情報源に由来するものであること；- ユーザーが作成したコンテンツや違法なコンテンツと⽐較して、専⾨的な情報源に由来するものであること；○個⼈データ（GDPRに基づく）および⾮個⼈データ（欧州著作権法に基づく）の両⽅について、訓練資料の収集および使⽤の法的根拠を証明すること；○AIが⽣成・発信するすべてのコンテンツ、特に個⼈の権利や著作権の侵害、誤情報、差別に対する責任を負うこと；○AIが⽣成したコンテンツをアルゴリズムやその他の⽅法で⼈間が⽣成したコンテンツよりもプロモートすることや、後者の中傷を⾏わないこと。そしてユーザーがAIコンテンツに過度に依存することを防⽌するための合理的な措置を採ること；○AI出⼒の⽣成と配布の構造的分離：基盤モデルのプロバイダーは、デジタル市場法に定義されるデジタルコンテンツ流通のためのコアプラットフォームサー
ビス、特に検索エンジンやソーシャルメディアを同時に運営してはならないこと；○最⼩限の⼤陸の計算インフラ：⽣成AIシステムの推論の最⼩限のシェアは、欧州にある計算インフラで実⾏されるべきであり、域内のデータ処理のシェアは時間の経過とともに増加するものとする。
AI法を今⽇の実情に合わせて調整することが、最初の不可⽋なステップです。第⼆段階として、私たちは著作権法における利害関係の再バランスを求めたい。
特に、DSM指令（EU 2019/790）の第3条と第4条に規定されたテキストとデータマイニングの例外は、⽣成AIシステムが補償なしでそのソースを代替することを決して認めていないことを明らかにする必要があります。
17

Authors and Performers Call for Safeguards Around Generative AI in the European AI Act, 19 April 2023 参考仮訳

IV. EUの誤ったテキスト・データマイニング例外…DSM指令第4条第3項により、著作者、実演家、著作権者は、「オンラインで公に利⽤可能なコンテンツの場合には、機械読み取り可能な⼿段など適切な⽅法で」その権利を「明⽰的に留保する」ことにより、⺠間企業がテキスト・データマイニングの例外に依拠することを排除することができる。しかし、いくつかの理由から、このようなオプションは、当初から適切なバランスを⽣み出すことができなかった。第⼀に、このような留保はどのように表現すれば有効なのか、現在でも誰も知らない。第⼆に、多くの⼈がそのような宣⾔を「読まず」、関係なくスクレイピングしている。そして第三に、権利者は「研究機関や⽂化遺産機関」に対して権利を留保することができないため、⺠間企業はそのような機関に⽬を向け、彼らからすべてのデータを取得することができる。例えば、OpenAIのGPTは、Common Crawl（「インターネット研究者、企業、個⼈に、研究と分析の⽬的でインターネットのコピーを無償で提供することを⽬的とする⾮営利組織」）のデータを使って訓練された。同様に、基盤モデルStableDiffusionを提供するStability AIは、「研究組織」であるミュンヘン⼤学と協⼒関係にある。つ
まり、実際には、ウェブサイトをスクレイピングしたい⼈は、そのような「留保」に縛られない研究機関に頼めばよいので、商業的なテキスト・データマイニングを「留保」するオプションは無意味であった。
参考： AI Data Laundering: How Academic and Nonprofit Researchers Shield Tech Companies from Accountability
18