EU AI法とは、2024年8月から施行され、2027年まで段階的に適用される、欧州連合のリスクベースの人工知能システム規制です。EUで事業を行うか、EUにサービスを提供する法務チームにとって、2つの層の義務を生み出します。(a) 法務チーム自身が使用するAIシステムのコンプライアンス（自社のAIポリシー）、および (b) より高リスクな領域でAIを導入するクライアントへのアドバイザリー業務。この法律はGDPRの傍らに（代替してではなく）位置し、GDPRはAIのトレーニングと推論を含む個人データの処理を引き続き規制します。
4つのリスク層
| 層 | 法律実務に関連する例 | 義務 |
|---|---|---|
| 許容不可 | 社会スコアリング、職場での感情認識、操作的AI | 完全に禁止 |
| 高リスク | 司法（司法判断支援）、雇用（CV審査、業績評価）、重要インフラアクセスで使用されるAI | 適合性評価、登録、継続的監視、人間による監督 |
| 限定的リスク | 人と対話する際の大部分の法務AIツール（ドラフト支援、契約レビュー、調査） | 透明性：対話する当事者へのAI使用の開示 |
| 最小リスク | スパムフィルター、AI対応ビデオゲーム | 特定の義務なし |
内部の契約レビューと草稿作成にAIを使用するほとんどのインハウス法務チームにとって、関連する層は限定的リスクです——透明性義務は適用されますが、適合性評価は適用されません。
法務チーム自身のAI使用が高リスクになるとき
法務チーム自身のAI使用は単独では高リスクに踏み込むことはほとんどありません。以下の場合には踏み込む可能性があります。
- AIが事務所スタッフまたはクライアントの従業員についての雇用上の決定（業績評価、採用決定、解雇）に使用される
- AIが司法判断を支援するために使用される（例：事務所が提供または運営する裁判所で使用されるAIツール）
- AIが個人の信用力評価または保険資格評価に使用される
ほとんどの契約レビュー・調査・草稿作成業務では、AIは限定的リスクであり、義務はほとんどが透明性です。
透明性義務
限定的リスクのAIシステムには以下が必要です。
- 対話する人物への開示。 AIが人間と対話している場合（チャットボット、AI草稿のコミュニケーション）、文脈から明らかでない限り、システムはAIの性質を開示しなければなりません。
- AI生成コンテンツへの透かし。 一部のカテゴリのAI生成コンテンツ（ディープフェイク、合成メディア）にはラベルが必要です。
- 下流ユーザーへの文書化。 汎用AIモデルのプロバイダーは、下流のデプロイヤーが自身の義務を遵守できるよう文書を公開しなければなりません。
法律実務における場合：AI草稿のクライアントコミュニケーション、AI生成のブリーフ、AI作成のサマリーは、重要な場合に受信者に開示すべきです。
段階的な適用
| 日付 | 適用内容 |
|---|---|
| 2025年2月 | 禁止された慣行の禁止、AIリテラシー義務の開始 |
| 2025年8月 | ガバナンスルール、汎用AIモデルの義務 |
| 2026年8月 | 高リスクシステム要件（ほとんどのカテゴリ） |
| 2027年8月 | 高リスクシステム要件（残りのカテゴリ） |
AIコンプライアンスについてクライアントにアドバイスする法務チームは、段階的な日程を注意深く追跡すべきです——異なる義務が異なるタイミングで発生します。
GDPRとの相互関係
EU AI法はGDPRを代替しません。AIが個人データを処理する場合、両方が適用されます。
- GDPRは個人データ処理を規制します。 合法的根拠、データの最小化、データ主体の権利、AIベンダーとのDPA要件。
- EU AI法はAIシステム自体を規制します。 透明性、リスク分類、高リスクシステムの適合性。
個人データを処理するAIベンダーには両方の規制が適用されます。AIベンダー契約をレビューする法務チームは、両方のコンプライアンス体制を確認しなければなりません。
インハウス法務チームの運用化方法
- 使用中のAIツールのインベントリを作成する。 AI法のもとでのリスク層分類を含む、法務チームと隣接する機能が使用するすべてのAIシステム。
- ベンダーデューデリジェンスにコンプライアンスを組み込む。 AIベンダーはデューデリジェンス中にAI法の補足書類を受け取ります。リスク層の確認、透明性開示、GDPRコンプライアンス、トレーニングデータのソーシング。
- 透明性のためにAIポリシーを更新する。 クライアント業務へのAIの内部使用は適切な場合にAIの関与を開示すべき、外部使用（チャットボット、AI草稿のコミュニケーション）は明示的な開示が必要です。
- AIリテラシーのトレーニングを行う。 この法律はリテラシー義務を生み出します——AIを使用するスタッフは適切なトレーニングを受けなければなりません。既存のAIポリシートレーニングサイクルに組み込みます。
- 規制の発展を追跡する。 EU AI Officeは2027年まで指針を公表し続け、リスク分類と高リスクリストは進化します。
よくある落とし穴
- 法務AIをデフォルトで高リスクと仮定する。 ほとんどの法務AIの使用は限定的リスクです。過剰分類は不必要なコンプライアンスの負担をもたらします。
- AI法とGDPRを1つの体制として扱う。 それらは異なります。一方を遵守してももう一方を完了したことにはなりません。
- 域外適用を無視する。 EUクライアントまたはEU事業を持つ米国企業は、EU設立なしにAI法の要件の対象になる場合があります。
- 静的なコンプライアンス評価。 リスク層はベンダーごとではなくデプロイメントごとです。異なる文脈で使用される同じAIツールは異なる義務を持つ可能性があります。
関連
- 法務チームのためのAIポリシー — より広い内部ポリシーフレームワーク
- 法務チームのためのGDPR — AIと交差するデータ保護層
- DPAチェックリスト — AIベンダーに関連するベンダーデータ保護条件
- Legal Opsとは？ — 内部のAI法コンプライアンスを調整する機能