規制によってAI業界が変わる可能性：企業にできる備えとは

リスクの高い分野においてAIの導入が急速に進む一方で、AIの悪用に対する懸念が世間一般で高まっている状況を考えると、規制の導入は目前に迫っています。その証拠に、現在、欧州委員会が規制枠組みの策定を進めており、これがEU域内でビジネスを展開しようとするあらゆる企業に対して、GDPR（一般データ保護規則）と同様の広範な影響を及ぼす可能性があります。企業は、先を見越したAI製品とサービスに対する健全な審査プロセスを率先して導入し、混乱を最小限に抑える必要があります。

策定中の枠組み

2020年2月に欧州委員会が発表したAIに関するホワイトペーパーは、新しい規制枠組みの導入に向けた第一歩になるというのが、 専門家の大方の見解です。このホワイトペーパーでは、欧州において、信頼できる革新的なAIエコシステムの発展を支援する同委員会のビジョンが、正式に概説されています。このビジョンを導いているのが、中核となる2つの目標です：1）AIに対して人間を中心としたアプローチを促進すること、つまり、AIの主なサービスの対象は人間であり、AIによって人間の幸福度を高められるよう徹底すること、2）EUの市場を活用して、AI規制に対するEUのアプローチを世界に広げること。

重要なのは、新しい規制制度の適用対象が「重大なリスクが発生し得る」高リスク分野（ヘルスケア、輸送、エネルギー、一部の公共部門など）に限定される見込みであることが、ホワイトペーパーに明記されている点です。この規制は、仕事の新規採用や顔認証技術などの特定のAIアプリケーション、および労働者と消費者の権利に関わるアプリケーションにも適用されるとみられます。AIに対するこのような正式な規制枠組みがEU域内に新たに登場すれば、AIシステムを供給または調達する企業に対しても、これら企業と規制当局との関係にも、大きな影響が及ぶものとみられます。

ホワイトペーパーでは、AIの遵守ガイドラインについて、必須、任意の双方の遵守方式を取り入れた階層的なものにすることを提案しています。必須条件は、上述した「高リスク」分野で事業を行う、もしくはAIアプリケーションを使用する企業（またはその両方の企業）に適用されます。これらは具体的には、「学習データ、AIアプリケーションの頑健性と精度に関して提供される記録管理情報、顔認証に対する人的監視の具体的条件」に関連するものです。また、低リスク分野の企業や低リスクのアプリケーションを使用する企業（またはその両方の企業）には、AI搭載の自社製品やサービスの信頼性を示す任意のラベル方式を選択する自由が与えられる可能性があります。これらのガイドラインは、既にEU域内で重要性を増しており、このほど14の加盟国が、前述した遵守戦略とAI規制に対する（自己規制などの）ソフトロー・アプローチをより広範に支持するポジションペーパーに署名しました。

現時点では、異なる分類に関して曖昧な領域が残っています。例えば、事業者とアプリケーションの高リスク、低リスクの指定は欧州委員会が行うとみられますが、これらの指定が、まだ「高リスク」とみなされないながらも、リスクが比較的高いAI事業の周辺分野とアプリケーションを含む方向へと進む可能性があります。したがって、AIへの依存度が高い分野においては、自ら進んで規制遵守を選択するのが賢明です。

もっとも、EUではこれまでに公表されている規制はなく、多くがまだ制定の途中にあります。例えば、AIの監視実行に関する重要な構成要素は、まだ策定されていないか、不明確な状況にあります。具体例を挙げると、個別の遵守条件の最終リストも、これら規制の組織的な採用を監督する施行メカニズムも、さらには欧州委員会とEU加盟国の間でAIプロトコルを調整するための明確なプロセスも、未だに存在しません。しかし、確かなのは、土台が築かれつつあるということです。現に、欧州委員会のウルズラ・フォン・デア・ライエン委員長は、2020年9月16日に行われた一般教書演説の中で、「人間を中心に据えたAIの一連のルール」の必要性を強調し、「欧州委員会が来年、これを実行する法を提案する」ことを確約しました。

今、企業にできる準備とは

規制措置に対するこうしたコミットメントを後押ししているのが、これまでに採用されているさまざまなAIシステムが適切な審査を経ていないという意識です。明らかなのは、重要分野（雇用、医療、教育など）における人生を左右する決定に、AIの適用が増加することによって、現行の格差が再生、強化、拡大することがあってはならないということ。これは、確かに正当な懸念であり、先見性のある企業が健全な「審査プロセス」を通じて積極的に対処できるものであり、またそうするべきものです。AIを活用した製品とソリューションについて、この審査プロセスの構成上、中心となるべき4つの重要ステップを紹介します。

1. AI製品・サービスの系譜と、作動中の動作を文書化する
この文書には、目的・用途、学習データセット、安全性と公正性のテスト結果、性能の特徴、使用シナリオに関する情報を記載する必要があります。近年、これは業界全体の優先事項となっており、大部分の主要企業が実行可能な文書モデルを作成・採用しています（グーグルのモデルカード、IBMのファクトシート）。また、AIシステムの作動中は、その動作を積極的にモニタリングする必要があります。この点において、企業は、機械学習モデルの予測の理解と解釈を助けるために利用可能なさまざまなツールについて、成長する研究機関になる必要があります。

2. 欧州委員会のホワイトペーパーが提案している条件について、各企業の解釈をまとめる
採用された規制枠組が、各条件をどう実行に移すかについて、十分に説明してくれるとは考えにくいです。実行方法はそれぞれの使用環境によって大きく異なるというのが、その主な理由です。例えば、企業に対し、潜在的な差別を防ぐだけの代表的なデータセットを使用するように法律で義務づけるとしたら、その法律に、特定のデータセットの正確な構成がどうあるべきかについては規定されていません。したがって、これらの条件について、部門横断的なチームが企業内の解釈をまとめる必要があります。その際には、適切な質問を投げかけます。AIを搭載した新規採用アプリであれば、「学習データセットの人口構成はシステムの勧告にどう影響しているだろうか」という質問を検討するかもしれません。

3. 欧州委員会のホワイトペーパーで提案された条件を、AI製品・サービスが遵守しているか評価する
欧州委員会の条件について企業内で定義された解釈をもとに、リスク・コンプライアンス担当者、プロダクトマネージャー、データサイエンティストで構成される部門横断的な独立したチームが、欧州委員会の条件遵守について評価する内部監査を実施する必要があります。

4. 該当するステークホルダーに結果を報告する。要求に応じて、下記の者や組織がこの監査報告書を入手できるようにする必要がある。

新しい規制への遵守を円滑に進めるひとつの方法は、遵守徹底を図る担当者を個別に指名することです。特にリスク・コンプライアンス・マネージャーは、このプロセスで重要な役割を果たす可能性が高く、AIシステムを監査する適切なソフトウェア（これに関する議論はこちら）の存在を考慮すると、このプロセスの大部分は自動化が可能だと考えられます。

アクションを起こす

こうしたプロセスの実行には時間がかかるため、規制の影響を受ける可能性が高い企業は迅速にアクションを起こすことが重要です。このような監査・報告能力の構築を怠れば、予防可能な損害や、不十分な説明責任方針の定義、事業のレジリエンス（適応、回復できる力）の低下、最終的には、組織における企業義務の遂行能力の弱体化といった点で、莫大な費用を負担することにもなりかねません。

それでも、責任あるAIを導入する意欲を持つ企業が、その必要に迫られるまで希望を持ち続けるべき理由があります。ビジネスリーダーは、自社ブランドの評価を守るだけでなく、より重要なこととして、自社従業員や消費者、社会全体との信頼を築くためにも、AIに関しては技術的社会責任の形を採用するべきであることが実証されており、このことを示す証拠はますます増えています。このような先を見越した姿勢が、勝ち抜くために適応する企業と、対処するための対応をとる企業との差をつくるのです。