2024年5月17日、コロラド州のジャレッド・ポリス知事は、コロラド州人工知能法（以下「CAIA」）に署名し、同法が成立しました。CAIAは、幅広いAIシステムを対象とする米国初の州法であるため、米国のAI規制における重要な節目となります。コネチカット州で提案された同様の法案は成立に至りませんでしたが、他の州もコロラド州に倣い、AIの利用を幅広く規制していく可能性が高いと考えられます。

CAIAはEU AI法とどのように異なりますか？

CAIAは、以下の3つの点でEU AI法と類似しています。

第一に、両法における要件の大部分は、高リスクのAIシステムに関するものです。第二に、両法への適合性は、ISO/IEC 42001（AIマネジメントシステム）などの規格に準拠することで、かなりの程度示すことができます。第三に、両法とも高リスクシステムに対する影響評価を義務付けています。

一方で、CAIAとEU AI法の間には、少なくとも2つの大きな違いもあります。

第一に、EU AI法の要件はCAIAよりも厳格です。CAIAは主にアルゴリズムによる差別に関わるものであり、いくつかの一般的な種類のAIシステムを高リスクAIシステムの定義から除外しています。また、一定の基準を満たす場合、従業員50人未満の導入組織（デプロイヤー）に対して、多くの要件を免除しています。

第二に、CAIAの規定の多くは、EU AI法の大部分の規定よりも大幅に早く施行されます。CAIAは2026年2月1日に施行されるため、企業が準拠するまでに残された期間は20か月弱です。これに対し、EU AI法の高リスクシステムに対する要件は、EU官報での公開から24か月後である2026年中頃まで施行されません。

どのようなAIシステムがCAIAの対象となりますか？

CAIAは、コロラド州で事業を行うAIシステムの開発組織（デベロッパー）または導入組織（デプロイヤー）に適用されます。開発組織とは、AIシステムを開発、または意図的かつ実質的に変更する者を指し、導入組織とは、高リスクAIシステムを導入する者を指します。

CAIAによると、AIシステムを導入した結果、「重大な決定を下す、あるいは重大な決定を下す上での実質的な要因となる」場合、そのシステムは高リスクに分類されます。重大な決定とは、教育への入学やその機会、雇用や雇用の機会、金融・貸付サービス、政府の不可欠なサービス、ヘルスケアサービス、住宅、保険、または法的サービスの提供もしくは拒否、あるいはその費用や条件において、「重大な法的影響または同様に重大な影響を消費者にもたらす」決定を指します。さらに、一部のAIシステムは高リスクのカテゴリーから除外されています。

CAIAはどのように執行されますか？

‍コロラド州司法長官が、同法の執行、および関連する規則やガイダンスを提供する独占的な権限を有します。CAIAは、個人に対する私的起訴権を認めていません。コロラド州司法長官が執行手続きを開始した場合、導入組織がNIST AIリスクマネジメントフレームワーク（以下「AI RMF」）またはISO/IEC 42001に準拠したリスク管理ポリシーおよびプログラムを策定しているときは、アルゴリズムによる差別から消費者を保護するために合理的な配慮を行ったという「反証可能な推定」が適用されます。さらに、執行手続きにおいて、企業がフィードバック、敵対的テスト、またはレッドチーミング（これらの用語はNISTによって定義されています）、あるいは内部レビュープロセスによってCAIAへの違反を発見し、是正しており、かつ、NIST AI RMFおよびISO/IEC 42001に「その他において準拠している」場合には、「積極的抗弁」が認められます。

リスク管理ポリシーおよびプログラムを策定する方法の策定についてさらに詳しくは、AIポリシーの起草方法に関する無料の包括的ガイドをこちらからご請求ください。

‍

‍

CAIAは高リスクAIシステム開発組織および導入組織に何を義務付けていますか？

CAIAは、開発組織および導入組織に対し、アルゴリズムによる差別の既知または予測可能なリスクから個人を保護するために「合理的な配慮」を行い、Webサイト上で高リスクAIの利用状況を説明することを義務付けています。

開発組織は、アルゴリズムによる差別の既知または合理的に予測可能なリスクについて、不当な遅滞なく90日以内に、コロラド州司法長官および既知の導入組織に通知する義務があります。導入組織は、システムがアルゴリズムによる差別を引き起こしたことを認識した場合、不当な遅滞なく90日以内にコロラド州司法長官に通知する義務があります。

開発組織は、関連文書とともに、「合理的に予測可能な使用方法、および既知の有害または不適切な使用方法を説明する一般的な記述」を提供する義務があります。

導入組織は、毎年、およびAIシステムに「意図的かつ実質的な変更」が加えられてから90日以内に、高リスクAIシステムの影響評価を実施する義務があります。

‍

‍

導入組織は、リスク管理ポリシーとプログラムを整備し、AIシステムを使用して重大な決定を下す前に個人に通知し、不利益な重大決定がどのように下されたかを説明し、当該決定に関連する不正確な個人情報を修正する機会を提供し、当該決定に対して不服を申し立てる機会を提供する義務があります。

すべてのAIシステムに「ラベル付け」が必要

CAIAの要件の多くは高リスクAIシステムに関するものですが、ラベル付けの要件は、個人と対話することを目的としたすべてのAIシステムに適用されます。このようなシステムでは、開発組織または導入組織は、合理的な人にとって「明らかである」場合を除き、個人に対してAIシステムと対話していることを開示しなければなりません。

Enzaiがお手伝いします

Enzaiの製品は、貴社がコロラド州の要件、NIST AI RMF、ISO/IEC 42001、EU AI法、およびその他の世界的な規制やアシュアランス体制に準拠するよう支援します。詳細については、こちらからお問い合わせください。

Enzaiは、組織が抽象的なポリシーから運用の監視へと移行できるよう支援するために特別に構築された、主要なエンタープライズ向けAIガバナンスプラットフォームです。当社のAIリスクマネジメントプラットフォームは、自律型（エージェンティック）AIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI法への準拠を確実にするために必要な専用インフラを提供します。複雑なワークフローを自動化することで、Enzaiは企業がISO 42001やNISTなどのグローバル規格への適合を維持しながら、自信を持ってAIの導入を拡張できるように支援します。