EUの新しい法律でAIがバレる？仕組みについて分かりやすく解説

Image:Unsplash（Christian Lue）
画像、動画、音声、文章を生成AIで作ったとき、「EUの新しい法律によって、AIが作ったものだと自動的に見抜かれるようになるのか」と気になる人が増えています。結論から言えば、EUのAI法、正式にはAI Actは、世の中のコンテンツを一律に判定する万能な「AI探知機」を設置する法律ではありません。AIを提供する企業や、業務で利用する企業に対し、用途やリスクに応じて、利用者への通知、生成物の識別可能性、技術文書、ログ、人間による監督などを求める法律です

つまり、「AIがバレる」という表現の実態は、AIが作ったものを見破る技術だけではありません。サービス側が「これはAIとの対話です」と知らせたり、生成コンテンツに機械が読み取れる情報を付けたり、ディープフェイクなどに見える表示を加えたりすることで、人がAIの関与を判断しやすくする仕組みです。

この記事では、EU AI法の全体像、AIが「バレる」仕組み、対象になりやすいサービス、企業や個人が注意すべき点を、できるだけ専門用語をかみ砕いて解説します。法律は改正やガイドラインによって運用が変わる可能性があるため、実際の法務判断では最新の公式情報を確認してください。

EU AI法は「危険度」でルールを変える

中心にある考え方は、AIを一括して規制するのではなく、人の安全、健康、基本的権利に与えるリスクが大きいほど厳しいルールを課すというリスクベース・アプローチです。EU委員会は、AIのリスクを大きく「許容できないリスク」「高リスク」「透明性リスク」「最小または無リスク」の4層で整理しています。

最も厳しいのが、許容できないリスクです。たとえば、人の弱みにつけ込んで行動を大きくゆがめるAI、社会的な行動などを点数化して不利益を与えるソーシャルスコアリング、職場や教育機関での感情認識など、基本的権利を深刻に脅かす用途は原則として禁止されます。公共空間でのリアルタイム遠隔生体識別も、法執行目的で一定の例外を除き禁止対象です。

高リスクに分類されるのは、採用、教育、信用、重要インフラ、法執行、移民・国境管理、司法など、AIの判断が人生や権利に大きな影響を及ぼす分野です。この場合、事前のリスク管理、データの品質管理、活動ログ、技術文書、人間による監督、精度・堅牢性・サイバーセキュリティなどが求められます。

一方、チャットボットや生成AIのコンテンツ表示に関係するのが、透明性リスクです。ここでは、すべてのAIを禁止するのではなく、「人間がAIと接していることを分かるようにする」「AI生成・操作されたコンテンツを識別できるようにする」といった情報開示が重視されます。

画像や動画はどのように「AIだと分かる」のか

1. サービスがAIとの対話を知らせる

最も分かりやすい例は、チャットボットです。人間のオペレーターだと思って相談している利用者が、実際にはAIと会話している場合、サービス提供者はその事実を知らせる必要があります。ただし、画面のデザインや文脈からAIであることが明らかな場合など、例外や具体的な適用条件があります。[1]

この方式では、文章の内容を分析してAIらしさを推測するのではなく、サービスの入口で「AIアシスタントです」「自動生成された回答です」と伝えます。したがって、判定の精度に頼らず、利用者が情報の出どころを理解できます。

2. 生成物に識別可能な情報を付ける

生成AIの提供者には、AIが作った音声、画像、動画などを、機械が読み取れる形式で識別できるようにすることが求められます。ここで重要なのは、必ずしも人の目に見える大きな「AI製」スタンプだけを意味しない点です。ファイル内のメタデータ、来歴情報、電子的なマーカーなど、サービスや形式に応じた複数の方法が考えられます。

この情報は、SNS、検索サービス、検証ツール、ニュース編集部などが、コンテンツの出どころを確認する手がかりになります。ただし、スクリーンショット、再エンコード、編集、転載などによって情報が失われる可能性はあります。識別情報があるからといって、ネット上の全コンテンツが永久に追跡可能になるわけではありません。

3. ディープフェイクなどに表示を付ける

AIで作った人物の顔や声、実在する場面を加工した動画など、現実と誤認される可能性が高いコンテンツは、より直接的な表示が必要になります。EU委員会は、ディープフェイクや、公共的な事項について人々に知らせる目的で公開されるAI生成テキストについて、明確で見える形の表示を求める説明をしています。

ここでのポイントは、単なる創作物をすべて同じ扱いにするのではなく、人が本物の記録や報道と誤解する危険があるかを重視していることです。映画、広告、風刺、創作小説などでは、表示の方法や例外が文脈によって変わる可能性があります。

4. 作成者が自分で表示する

法律上の義務がサービス提供者だけにあるとは限りません。AIを使ってコンテンツを公開する事業者や利用者にも、用途に応じた説明が必要になる場合があります。たとえば、報道に見える文章、実在人物が話しているように見える動画、行政や企業の公式発表を模した画像などは、受け手が誤解しないようにAI利用を明示することが重要です。

「AI判定サイト」とEU AI法は同じものではない

「AIがバレる」と聞くと、文章をAI判定サイトにかけて、AIらしさを数値で判定する場面を想像しがちです。しかし、AI判定器は文章の特徴や確率を推測するツールであり、AI法が求める透明性の仕組みとは別物です。

AI判定器は、短い文章、翻訳文、人間が推敲した文章、複数のモデルを経由した文章などでは誤判定が起こりえます。一方、AI法の透明性義務は、生成の時点でサービスが情報を付けること、対話相手がAIであることを知らせること、一定のコンテンツにラベルを表示することを中心にしています。したがって、「AI判定率が高ければ違法」「判定率が低ければ合法」と単純に考えることはできません。

この違いは、記事や広告を作る人にとって重要です。AI判定器の数値だけで出典や作者性を断定するのではなく、制作記録、元ファイル、編集履歴、サービスの表示、公開時の注記などを組み合わせて説明する方が、透明性の考え方に合っています。

いつから始まったのか：段階的に適用されるEU AI法

EU AI法は、ある日を境にすべての規定が一斉に始まる法律ではありません。2024年8月1日に発効し、2025年2月2日には禁止事項やAIリテラシーに関する規定、2025年8月2日には汎用AIモデル関連のルールなどが適用されました。2026年8月2日には透明性ルールを含む多数の規則について適用と執行が始まる、という段階的なタイムラインです。

高リスクAIについては、分類される仕組みによって適用日が異なります。AI Act Service Deskのタイムラインでは、Annex IIIに挙げられる高リスクAIは2027年12月2日、規制対象製品に組み込まれた高リスクAIは2028年8月2日が主な節目とされています。
企業が「AIを使っているからすぐに同じ義務が発生する」と考えるのではなく、モデルの種類、用途、提供者か導入者か、既存システムかどうかを分けて確認する必要があります。

企業にとっての「提供者」と「導入者」の違い

EU AI法では、AIモデルやシステムを作って市場に提供する側と、既存のAIを業務で使う側で責任が異なります。たとえば、画像生成サービスを開発・提供する会社は、モデルの設計や技術文書、識別可能性などに関する責任を負う可能性があります。企業がそのサービスを広告制作に使う場合は、公開時のラベル、利用目的、社内の確認手順など、導入者としての対応が問題になります。

採用システムのような高リスク用途では、導入者側も人間による監督や利用状況の監視、候補者への情報提供などを軽視できません。AIが出した点数をそのまま採用判断にするのではなく、誰が最終判断を行ったのか、異議申立てや説明が可能か、偏りがないかを確認する必要があります。

日本の利用者にも関係するのか

EU域内で提供されるサービス、EU域内にAIシステムを置く事業者、EU域内でAIの出力が使われるケースなどでは、日本企業や日本から提供するサービスも影響を受ける可能性があります。特に、欧州向けの広告、ニュース、採用、教育、顧客サポート、画像・動画生成サービスを扱う企業は、「日本の会社だから無関係」とは限りません。

ただし、EU AI法が日本国内の個人によるあらゆるAI利用を直接取り締まる、と理解するのも正確ではありません。実際の適用範囲は、提供場所、利用場所、事業者の役割、AIシステムの用途、対象となる規定によって判断されます。越境サービスを運営する場合は、EU向け機能だけ表示やログを分けるのか、全ユーザーに同じ透明性措置を適用するのかを、法務と技術の両面から検討することになります。

生成AIを使う人が今からできること

個人が画像や文章を作る場合、まず「何に使うか」を考えることが大切です。個人的なアイデアメモと、実在人物を登場させる広告、災害や政治に関する情報、医療・金融・採用に関わる資料では、誤解が生じた場合の影響が大きく異なります。

公開する際は、サービスが付けた表示を消さないこと、AIを使った範囲を記録しておくこと、実在人物や公式機関を装わないこと、必要に応じて「AIで生成・加工した」と明示することが基本です。画像を投稿する前に元データを保存し、生成サービス名、生成日、編集の有無をメモしておくと、後から説明しやすくなります。

企業の場合は、AI利用ポリシーを作るだけでなく、誰が確認し、どの記録を残し、どの場面でラベルを表示し、事故時に誰へ報告するのかを決めておく必要があります。AI法の考え方では、単に「AIを使った／使わない」を判定するより、利用目的と影響を管理することが重要だからです。

AIを「見破る法律」ではなく、AIとの関係を見える化する法律

EU AI法を一言で説明するなら、AIをすべて見破る法律ではなく、AIがどこで使われ、どの程度のリスクがあり、利用者が何を知るべきかを見える化する法律です。チャットボットなら相手がAIだと知らせ、生成画像や動画ならAIによる合成・加工を識別しやすくし、採用や信用などの高リスク分野では、データ、ログ、人間の監督、説明責任を求めます。

そのため、今後「AIがバレる」場面は、AI判定器が突然すべてを見抜くというより、サービスの表示、ファイルの来歴情報、公開者の注記、制作記録が組み合わさって、AIの関与を確認できる場面が増えると考える方が正確です。一方で、メタデータが失われたり、編集や転載が重なったりすれば、技術だけで完全な出所を証明できるとは限りません。

AIを使う側に求められるのは、隠すか明かすかを感覚だけで決めることではありません。誰が、何の目的で、どのような影響を受けるコンテンツを作ったのかを意識し、必要な表示と記録を残すことです。EUの制度は欧州向けの法律ですが、AI生成物が世界中を流通する現在、透明性を重視する考え方は日本の企業やクリエイターにとっても無視できない基準になっていくでしょう。

本記事は一般的な情報提供を目的とした解説です。個別のサービスや事業がEU AI法の対象になるか、また具体的な表示・文書化義務が何かについては、最新の法令、ガイドライン、専門家の助言を確認してください。

現在、私、筆者(hisiragi)の事情により記事更新の頻度が下がる場合があります。ご了承ください。