AI法 (エーアイほう、別称: AI規則、)は、欧州連合（EU）による世界初の人工知能（AI）に関する包括的な規制法である。2025年、AI法の一部が緩和された。
AI法は信頼性の高いAIの導入を促進しつつ、有害リスク度に応じて (1) 許容できないリスク、(2) 高リスク、(3) 限定的なリスク、(4) 最小限のリスクの4レベルに分類して異なる規制や義務を課す。違反時にはレベルごとに異なる制裁金が科される。
またリスク分類とは別に、「汎用AIモデル（、略称: GPAI）」を対象とした特別規定もAI法では追加で設けている。AI法の立法過程では、汎用AIモデルの代表例としてChatGPTやGemini（旧名: Bard）といった生成AIが欧州議会から名指しされ、差別や偽情報といった有害コンテンツの生成や、個人情報の不適切な取扱などの懸念が呈されている。
仮に日本や米国などのEU域外で設立された団体や他国民が開発したAIでも、それがEU域内に輸入されて販売・利用されればAI法の規制対象になる (いわゆる域外適用)。ただし、軍事・防衛や科学研究に特化したAIなど、一部条件に合致するAIは同法の規制対象から除外されている。
AI法は禁止事項や義務を規制当局からトップダウンで示すだけでなく、AIに従事する事業者が行動規範 ()や実践規範 ()を自律的に定めて運用していくボトムアップのアプローチも併用している。またEU基準に適合したAIには民間非営利団体からCEマークが付与され、安全性が可視化される。EUの行政執行機関である欧州委員会内にAIオフィスが設置されており、こうした官民連携の調整・推進役を担っている。
AI法は2024年8月1日に発効し、条文ごとに段階的に適用を開始する。(1) 許容できないリスクのAIシステムは2025年2月2日に原則禁止となる。
規制対象の定義と規制内容 以下のとおり、AI法では「何」(システムの種類) および「誰」(AIに携わる者の種類) を規制対象に含めるのかを分類している。
なお、立法過程では当初法案から数千か所に修正が加えられており、AI「法案」を解説した文献は古い条文案に基づいていて正確性を欠く可能性があるため、参照時には留意が必要である。
規制対象システムの分類
システム全般 AIシステム AI法における規制対象内 Weak or Narrow AI (ANI) Strong or General AI (AGI) 汎用AIモデル (、略称: GPAI) システミックリスク () を有するGPAI システミックリスクを有さないGPAI AI法における規制対象外 AI以外の一般的なソフトウェア
AI法が想定するAIと一般的なソフトウェアの相違点であるが、自律的な動作や予測・推奨コンテンツの生成といった特徴が挙げられ、このようなAIの要件定義は国際機関の経済協力開発機構 (OECD) で用いられているものと類似している。
AIシステム全般に対し、4段階のリスク度に応じた規制・義務をAI法では規定している。AI法ではこれを「リスクベースアプローチ」と呼んでいる。汎用AIモデル (GPAI) は5つ目のリスク分類ではなく、4段階のリスク分類とは別軸で捉えられている。
汎用AIモデルとは何かについて、AI法の立法者である欧州議会でさえも「確固とした定義はない」とことわりを入れている。その上で、アルゴリズムやその背景にある理論上の観点から "Weak or Narrow AI" (ANI) と "Strong or General AI" (AGI) にAI全般を二分している。特定目的に特化したAIであるANIとは、たとえば画像認識や音声スピーチ認識といった、特定の目的に沿ってデータを処理するAIシステムである。一方、多用途で影響力の大きいAGIは、たとえば自然言語 (プログラミング言語ではなく人々が日常的に会話や文書で使用する言語) で記述された大量のデータを読み取るだけでなく、ディープラーニング (深層学習) 技術によって文脈なども理解できる大規模言語モデル (LLM) などを備えており、こうした革新的な技術を用いている点でANIとは異なる。換言するとAGIとは、人間の知的なタスク処理を代行しうるシステムを指す。
こうした高度なタスク処理が可能なAGIのうち、特にテキスト文書やイメージ画像、動画などのコンテンツを生成できる能力を持つものを、AI法では「汎用AIモデル」と呼んでいる。欧州議会では汎用AIモデルの例として、ChatGPT (Microsoft社と提携関係にある団体OpenAIが開発) やGemini (旧称: Bard、Google傘下による開発) の名前を挙げている。このような汎用AIモデルは、さまざまなシステムやサービスの基礎・基盤としての重要な役割を担う一方で、倫理的・社会的な問題を引き起こすリスクが懸念されている。たとえば、人種差別や暴力、レッテル張りするようなコンテンツの生成、個人情報や機微情報の取扱不備、偽情報や詐欺情報の生成といった問題が具体的に挙げられる。
なお、AI「システム」とAI「モデル」は別個の概念としてAI法では用語を使い分けている。AIモデルはAIシステムに統合され (組み込まれ) た形で用いられる。そのためシステム開発プロセスの概念上はモデルが川上、システムが川下 () の位置づけになっている。
以下、AIシステム別の定義や義務、規制行為を解説する。
(1) 許容できないリスク 許容できないリスク () のあるAIは重大な危害を与えうるため、AI法 第5条第1項に基づいて禁止される。同条項の (a)号から (h)号で禁止される利用方法が具体的に列記されている。うち (e)号から (h)号の4項目は生体データ関連である。 (a)号: サブリミナル技術 - AI法の前文 (29) によると、音声または画像、映像を人間が意識的に知覚できない方法で表示させる、あるいは人の自律的な意思決定を歪める欺瞞的な技術を指す。 (b)号: 脆弱性の悪用 - 特定の年齢層、障害の有無、社会経済的地位といった個人ないし集団の特徴を悪用し、重大な損害などを与えうるシステム (c)号: ソーシャルスコアリング - ソーシャルスコアリングとは、個人の日常生活の言動が監視され、社会全体にとってどの程度有益か社会信用がスコア (数値) で評価される仕組みである。AI法では、社会的行動や人格的特徴に基づいて人々を不当にランク付けするAIシステムのうち、特に分析データの元の文脈と乖離している、あるいはスコアリングによって不当・不公平な影響をおよぼすものを禁じる。 (d)号: 犯罪予測 - 犯罪捜査で用いられるプロファイリングなどによって、個々人が犯罪を犯すリスクを評価・予測するシステム (ただし犯罪に直結する客観的事実に基づいた人物評価の場合を除く) (e)号: 顔画像のスクレイピング (データ収集・抽出) - インターネットあるいは監視カメラ (CCTV) から無差別に顔画像を収集して作成されたデータベース (f)号: 感情推測 - 職場ないし教育機関で用いる場合は原則禁止 (ただし、治療目的といった医療上ないし安全上の理由を除く) (g)号: 生体分類 (属性推定システム) - 人種、政治的意見、労働組合への加入、宗教・思想上の信条、性生活・性的指向を推測するシステム (h)号: リアルタイム・リモート生体識別 (略称: RBI) - 警察などの法執行機関によるAI常時監視システムは原則禁止 (ただし行方不明者の捜索やテロ犯罪組織の容疑者の位置特定といった深刻な状況下は特例として除外する)
(a)号の欺瞞的なサブリミナル技術と (b)号の脆弱性の悪用については、情報法専門家による欺瞞的な (人を欺くような) システムデザインの観点からの論考がある。AI法成立以前にも欺瞞的なデザインは存在し、「ダークパターン」() の総称で知られていた。ダークパターンの身近な具体例を挙げると、航空チケット予約サイトで追加オプションサービスがデフォルトで選択されているようなウェブデザインである。オプションを希望しないユーザーの一部はこれに気付かずに購入してしまう。こうした表層的なユーザーインターフェース (UI) のテクニックだけでなく、専門家の知見と技術なしでは見破るのが非常に困難なシステムアーキテクチャー (システムの根本的な設計) におよぶ欺瞞的なデザインが問題視されている。
AI法以前は主に2つの側面からこうした欺瞞的デザインへの対応を試みてきた。まず消費者保護や悪徳商法取締の切り口から、2005年制定の (略称: UCPD) をはじめとするの改正である。もう一つの切り口が、2016年制定のEU一般データ保護規則 (略称: GDPR 、Regulation (EU) 2016/679) による個人データ保護や、さらにユーザーの保護範囲を広げた2022年制定のデジタルサービス法 (略称: DSA、Regulation (EU) 2022/2065) である。DSAの第25条(1)項はダークパターン対策が意識されており、ユーザーの自律的な意思決定を歪めるような欺瞞的デザインを禁じている。しかしDSAは条文の文言に曖昧さがあり、GDPRやUCPDといった他法と部分的に重複しうる。また日進月歩の欺瞞的デザインに対し、「オンライン・プラットフォーム」にしか適用されないDSAはどこまで有効なのか、疑問も呈されている。
一方AI法の第5条は、不公正取引慣行指令やDSAの第25条だけではカバーしきれないタイプの欺瞞的なデザインにも対応しうると考えられている。その一つが、アルゴリズムに深く根差した欺瞞的デザイン () である。このタイプはたとえば、過去履歴に基づいてユーザーごとにカスタマイズしたコンテンツ表示されるアルゴリズムによって、無意識のうちに偏った情報にばかりユーザーが触れてしまう「エコーチェンバー現象」が問題視されている。もう一つのタイプが、システム依存を起こす欺瞞的デザイン () である。その特徴として「ネットワーク効果」がある。ネットワーク効果とは、SNSのようなデジタル・プラットフォームがひとたび多くのユーザーを獲得すると、既存ユーザーが新規潜在ユーザーを呼び込む、あるいはオンラインショッピングのように新規出店者を呼び込む現象である。その結果、魅力的な代替サービスが新たに登場しても乗り換えづらくなってさらにユーザー数が増える連鎖現象が確認されている。
(c)号のソーシャルスコアリングもAIとの親和性が高い。これはAIが人の顔認証や言動分析に長けていることから、スコアリングに必要な監視データの解析に利用できるためである。低スコアの評価が下された個人は、利用できる教育機会や医療サービス、公共財に制限がかかるといった使い方が想定される。ただし倫理面で問題を抱えていることから、ソーシャルスコアリングの制度を導入しているのは世界的にも中国政府のみの状況である。
ところが社会全体ではなく、よりミクロなレベルで見るとたとえば配車サービスの米系企業Uberはトラブルのあった利用客をブラックリスト入りさせる仕組みを運用している。また米国ニューヨークでは、ソーシャルメディア上の言動を元に保険会社が保険加入者の保険料を個別設定する商慣行が認められている。こうしたミクロなレベルでは欧米諸国でもソーシャルスコアリングは行われているのが実態である。ソーシャルスコアリングにAIを活用するには、高い精度の監視データと解析能力が前提となるが、実際にはバイアスのかかったデータが混じったり、不当なスコアリング結果を出してしまう技術的な問題が指摘されている。これに対応すべくAI法第5条で不当なソーシャルスコアリングを行うAIが禁止された。
(2) 高リスク 高リスク () なAIシステムは以下の2カテゴリーに分類される。 第1カテゴリー【既存】: 身体などの安全性にかかわるリスク - AI法成立以前のEU諸法で安全面の観点から既に規制を受けていた製品。ここで言う「諸法」はAI法の附則 1 (Annex I) のSection AおよびBで計20本列記されており、玩具や船舶、エレベーターや医療機器などが規制製品対象に含まれる。これら諸法で「第三者による適合性評価義務の対象」と指定されている場合に限る。 第2カテゴリー【新規】: 基本的人権などにかかわるリスク - AI法成立で新たに規制を受ける領域。AI法の附則 3 (Annex III) で8領域が列記されているが、EU行政機関である欧州委員会による委任法令で別途、この8領域に追加・修正・削除が可能となっている。 生体認証 重要インフラの安全部品 (通信、交通、水道、ガス、電力など) 教育・職業訓練 (教育機関などへの入学割当、学習評価、テスト中の監視など) 労務 (人材選考採用、昇進・解雇・給与などの労務管理、職務分掌・役割分担の決定など) 公共性の高いサービスの利用判断 (公的給付金の個人審査、クレジットカードの個人信用調査、生命保険や健康保険の保険料率個別計算、警察・消防・救急車などの対応優先度決定など) 警察などの法執行 (犯罪被害者になるリスク評価、犯罪被疑者・再犯者の予測など) 移民・亡命・国境管理 (不法移民のリスク評価、ポリグラフ (心拍や呼吸測定機) による移民・亡命審査など) 司法手続および民主的手続 (司法当局による事実調査・法律解釈、選挙・住民投票に影響を与える行為など)
これらの領域にAIシステムが用いることは禁じられていない。しかしAIシステムの開発者や提供者にはリスク管理の手法文書化、リスク管理の組織体制構築、AIシステムの技術文書作成、AI学習データの品質管理、自動まかせにしない人的監視、異常検知と重大インシデントの当局報告、利用者がAIによる生成だと判別がつく透明性の担保といった義務が課される。具体的な義務は、AI法 第8条-第15条 (高リスクAIシステムが満たすべき要件)、第16条-第25条、第40条-第44条 (高リスクAIシステムの適合性評価手続)、第48条-第51条、第62条、第72条 (市販後モニタリング)、第73条 (インシデント報告義務)も参照のこと。EU域外の者が提供する場合はEU域内代理人を指定し、これらの義務遂行を委任する必要がある。
なお#立法の沿革で後述のとおり、AI法は当初法案から数千か所の修正が加えられており、特に高リスクAIシステム関連の条項は2023年12月9日合意の (、トリローグ) で加筆修正が多数加えられている。
(3) 限定的なリスク 限定的なリスク () のAIシステムの例として生成AI (ディープフェイク含む)、対話型AI (チャットボット)、感情認識システムなどが挙げられる。上述の (2) 高リスクではさまざまな義務が課されている一方、(3) 限定的なリスクでは利用者への透明化義務が課されているのみである。ここでの「透明化義務」は第50条にて規定されており、チャットボットであればユーザーがAIとやりとりしていることが分かるようにする。コンテンツ生成型のAIであれば、生成された画像や動画に電子透かしを入れる、ニュース記事内で明記するなどの方法で、AIの使用有無がコンテンツ閲覧者に判別がつくようにする。
第50条の透明化義務以外では、第95条で自主的な「行動規範」() に基づく開発・運用を求めている(#行動規範で詳述)。
(4) 最小限のリスク 最小限のリスク () しかないAIは、具体例としてスパムフィルタが挙げられる。EUの行政機関である欧州委員会によると、大半のAIは (4) 最小限リスクに分類される。このリスクレベルに該当するAIシステムは、原則として自由に利用が可能である。しかし (3) 限定的なリスクと同様、第95条の「行動規範」に基づく自主性が推奨されている(#行動規範で詳述)。
汎用AIモデル AI法の草案作成当初は「汎用AIモデル」(、略称: GPAI) のリスクが十分に認識されていなかったことから、特別規定は盛り込まれていなかったが、法案提出から1年あまりが経過した後に欧州連合理事会が追加修正案を提出し、その後も修正を重ねて特別規定を設けることとなった。さらに汎用AIモデルのなかでも、「システミックリスク」() を有するものについては追加の特別規定がある。汎用AI「モデル」はAI「システム」とは異なるため、上述の4つのリスクレベルで分類されない。ただし汎用AI「モデル」が他のAI「システム」に組み込まれ、(2) 高リスクと判定された場合は、上述のリスクレベル別の義務も併せて負うことになる。
汎用AIモデル全般
汎用AIモデル全般に課される義務は第53条・第54条で規定されており、以下のとおりである。
技術文書を作成し、最新の状態に更新 (文書に折り込むべき情報項目は附則11参照) 汎用AIモデルを組み込むAIシステムの提供者に対し、当該汎用AIモデルの能力と限界を周知する文書を提供 (文書に折り込むべき情報項目は附則12参照) EU著作権法、特にDSM著作権指令で定められたテキストおよびデータマイニング (略称: TDM) の適法要件を遵守 汎用AIモデルが学習に使用したデータについて、包括的な概要を文書化・公開 (AIオフィスが提供する記入テンプレートを用いる) EU域外が汎用AIモデルを提供する場合、域内代理人を指定
システミックリスク
システミックリスクを有する汎用AIモデルとは、学習に使用される計算能力が相当に高いことから、公衆衛生・安全・治安・基本的人権といった重要な領域に対してEU広域に影響をおよぼしうるもの () を指す。第53条第1項に基づき、以下の措置を「追加」で講じる義務を負う。
モデル評価の実施 リスク評価と軽減対策 重大インシデント発生時の当局報告と是正対応 サイバーセキュリティ対策
何をシステミックリスクを有する汎用AIモデルに指定すべきかについては、第51条で「高い影響力」の基準が示されている。
第51条第1項の基準: 指標やベンチマークといった適切な技術ツール・方法論で評価 第51条第2項の基準: 学習に使用された累積計算量が浮動小数点演算 (FLOPS) で計測して (10の25乗) を超える場合
第1項については、EUの行政機関である欧州委員会が有識者などからの助言を受け、かつAI法の附則13 (Annex XIII) で定められた基準に基づいて、対象となる汎用AIモデルを指定できる。附則13にはモデルのパラメータ数、学習コストや学習時間の推定値といった技術的な定量指標のほか、登録ユーザー数といった社会的な影響度を測る指標などが挙げられている。また、AI提供者側 (事業者側) が上述の基準に該当すると自己認識した際には、2週間以内に欧州委員会に通知する義務を負う。
適用対象外のAIシステム 第2条ではAI法の適用対象から除外される要件を定めているが、そのうちAI法全般の義務・規制から除外されるものは以下のとおりである。 軍事、防衛または国家安全保障目的に特化したAI (これ以外の目的も兼ねるAIは含まない) 科学研究開発目的に特化したAI 研究・開発段階にあって、市場未投入・未稼働の状態にあるAIシステムまたはAIモデル フリー・オープンソース・ライセンスでリリースされているAIシステムのうち、リスクレベルが (3) 限定的ないし (4) 最小限に分類されるもの。
規制適用者の分類 つづいてAIシステムやAIモデルに従事する者のうち、「誰」がAI法の規制を受けるのかを述べる。第2条で対象者が列記され、各用語は第3条で定義されている。
AI従事者全般 (、オペレーター) AI提供者 (、プロバイダー) - 法人・個人を問わずAIシステムやAIモデルの「開発」者。あるいは自らの名前・商標で市場に「投入」する、あるいは「稼働」させる者。有償・無償も不問。 AI提供者の代理人 () - AI提供者から書面で委任を受け、義務を代行する者。EU域外の者が高いリスクAIシステムないし汎用AIモデルを提供する場合、EU域内代理人の指定が必須。 AI導入者 (、ディプロイヤー) - 自らの権限の下でのAIシステムの「利用」者。法人・個人は問わないが、あくまで個人的な目的であり職務以外の目的で利用する者は除く。 AI輸入者 () - EU域外のAIシステムをEU域内の市場に投入・提供する者で、EU域内に拠点を置く法人・個人。 AI販売者 (、頒布者、ディストリビューター) - AIシステムの特性に影響を与えず、EU域内利用を可能にする者のうち、上述の提供者や輸入者以外の法人・個人。 AIシステムを組み込んだ製品製造者 () - その製品が製造者の名前・商標で上市しており、その製品の中にAIシステムが組み込まれている場合。
「提供者」と「導入者」には十分な「AIリテラシー」が求められる (第4条)。ここでのAIリテラシーとは技術的知識や経験を有しており、適切な教育・訓練を受けており、AIシステムが使用される文脈に即した操作や使用ができる能力を指す。提供者や導入者はAIリテラシーを有する人員を確保しなければならない。ただし違反時の制裁金などは定められていない。
(3) 高リスクAIシステムを取り扱う場合、「提供者」は第16条から第25条などで、「導入者」は第26条・第27条でそれぞれ異なる義務が個別詳細に規定されている。高リスクAIシステムの提供者はたとえば、技術文書の作成やデータ管理の手順整備、ログの記録と重大インシデント発生時の報告体制の整備といった義務が課される。上市前にはEU適合性評価手続を受け、CEマークを取得する必要がある(#適合性評価で詳細後述)。(3) 高リスクAIシステムの「提供者」に課される義務のうち、第23条と第24条は「輸入者」と「販売者」にも関係する。CEマーク、EU適合性宣言および使用説明書関連が第23条と第24条である。一方、高リスクAIシステムの導入者は、たとえば自動まかせにしない人的監視体制の構築や、使用説明書に沿った利用などが義務として規定されている。
汎用AI「モデル」については、AI「システム」ではないことから、主に提供者の義務が定められている。
適用対象外の者 以下の者がAIシステムを利用する場合は、AI法で定められた規制や義務が適用されない。
EU域外の公的機関や国際機関が、EUないしEU加盟国に対して法執行や司法の国際協力の目的で利用する場合 職務に関連しない、ごく個人的な目的でAIシステムを利用する個人
適合性評価
(2) 高リスクAIシステムおよび汎用目的AIモデルの一部は、AI法が定める「適合性評価手続」() を踏まなければならない。ここでの「適合性」とは欧州基準のサイバーセキュリティ対策などが適切にとられていることを表す (AI法前文 (78) 参照)。
EUの行政機関である欧州委員会は、欧州標準化委員会 (略称: CEN) や欧州電気標準化委員会 (略称: CENELEC) といった非営利の欧州標準化団体に適合性の基準 (つまりAI業界規格) を定めるよう要請する権限を有する。CENやCENELECが定めた規格に適合した場合、CEマーク (CE適合性マーク) がAIシステムに付与される。CEマークはAI以外にも幅広く用いられている認証マークの仕組みであり、玩具や医療機器の安全性担保やエコデザインなどの環境負荷軽減対策など、さまざまなEUの法令に対応している。AIシステムの特性に応じ、自己評価で適合性評価を行ってもよいケースと、適合性評価機関による第三者認証を求めるケースがある。
AI法では2つの「規範」が規定されている。
1つ目が汎用AIモデルを対象とした実践規範 () である (第56条)。AI法では実践規範の内容は規定されておらず、欧州委員会内に設置されたAIオフィスの指揮の下、汎用AIモデルの提供者とEU加盟各国の所轄機関を招待して実践規範を策定することが奨励されているのみである。また市民社会組織、産業界、学界並びに川下提供者や独立専門家などから実践規範策定の支援を仰ぐことができる。欧州委員会はAI法の発効から3か月後の2024年11月、30ページ以上にわたる実践規範の草案初版を公開した。
2つ目は限定的リスクおよび最小限リスクのAIシステムを対象とした行動規範 () である (第95条)。これはAI法 第3章第2節 (第8条から第15条) で具体的に定められた高リスクAIシステムに求められる義務を、それ未満のリスクシステムにも事業者が自主的に守るよう促す目的で策定されるものである。AIオフィスと欧州AI委員会 (、略称: EAIB) の指揮の下、行動規範の策定参加者は提供者だけでなく導入者も加わり、外部専門家や利害関係者からも助言支援を仰ぐことができる。欧州AI委員会はEU加盟各国から1名代表を出して構成される会議体であり、 (、略称: EDPS) もオブザーバー参加する。
AIを積極活用するデジタル・プラットフォームは複数のプレイヤーが複雑に連携しあって構築・運営されていることから、政府がルールを設定し、事業者がそれを遵守し、ユーザー個人はその恩恵を受け身の姿勢で待つという従来型のトップダウン的なガバナンス構造では、対応スピード面で限界に達しているとの識者見解もある。AI法の実践規範や行動規範のように事業者が自主的に策定に関与して、安全なAIの普及をボトムアップ的に促進するアプローチの必要性は、先進7か国首脳会議 (G7) でも2023年の広島サミットで議論されており、後に具体化されて「広島AIプロセス国際行動規範」の名称で文書化がなされている。
罰則 AI法の第12章 (第99条から第101条) が罰則規定になっている。違反の場合はレベルごとに異なる罰則を設けており、最大で3,500万ユーロ (2024年時点で約56億円相当)、あるいは年間世界売上高の7％相当のいずれか高い方の金額が制裁金として科される (大企業の場合)。ただしAI法が定めるのは制裁金の上限であり、実際の金額はEU加盟各国が決定する。
#段階適用で後述のとおり、AI法は条文ごとに段階的に適用開始となる。汎用AIモデルに関しては、義務の適用が開始されてもしばらくは罰則規定が未適用となる。
条文の全体構成 EU官報の原文に基づき、日本語の仮訳と英語の条名を以下に併記する。
前文 (Recital) - (1) から (180) まで。立法の目的や、各条文で用いられる用語の定義などを含む。 第1章 (Chapter 1): 一般規定 (General Provisions) - 第1条から第4条まで。第1条が規制の対象となるAI (Subject matter)、第2条が規制の対象者 (Scope)、第3条が用語の定義 (Definitions)、第4条がAIリテラシー (AI literacy)。 第2章 (Chapter 2): 禁止されるAIの利用・運用方法 (Prohibited AI Practices) - 第5条のみ。第5条には (a) から (h) まで8項があり、欺瞞的なデザインや差別的なコンテンツの生成など、具体的な禁止事項が列記されている。 第3章 (Chapter 3): 高リスクAIシステム (High-risk AI Systems) - 第6条から第49条まで。第9条でリスク管理体制の整備を、第10条でデータ・ガバナンス方針を、第11条で技術設計などの文書化を、第12条でログの記録義務をそれぞれ定めている。 第4章 (Chapter 4): 特定のAIシステムの提供者および導入者に対する透明性の義務 (Transparency Obligations for Provider and Deployers of Certain AI Systems) - 第50条のみ。 第5章 (Chapter 5): 汎用AIモデル (General-purpose AI Models) - 第51条から第56条まで。第51条がGPAIの定義、第53条から第55条がGPAIに課される義務、第56条がGPAIの実践規範 (Codes of Practice)。