セキュリティ & アイデンティティ

EU の AI 規制法への対応: Google Cloud のプロアクティブなアプローチ

2024年7月26日

Jeanette Manfra

Senior Director, Global Risk & Compliance

※この投稿は米国時間 2024 年 7 月 16 日に、Google Cloud blog に投稿されたものの抄訳です。

欧州連合（EU）では、AI のガバナンスが重要な節目を迎えています。AI 規制法は EU 官報に掲載済みで、8 月 1 日に発効します。AI 規制法は、AI システムの潜在的なリスクと影響度に基づいて AI システムの義務を定める法的な枠組みです。今後 36 か月かけて段階的に施行され、その内容には、特定の行為の禁止、汎用 AI 規則、高リスクのシステムに対する義務などが盛り込まれています。重要なのは、この法律でまだ定められていない AI 行動規範が、汎用 AI のサブセットに対するコンプライアンス要件を定めることになるという点です。

Google は、AI が社会にもたらす可能性を信じていますが、リスクを軽減することの重要性も認識しています。本日お伝えする内容は以下のとおりです。

AI をご利用のお客様に対する現在のサポート
この新しい法律の遵守に向けた対応
お客様が準備できること

AI をご利用のお客様に対する Google Cloud の現在のサポート

Google はデータを保護します。Google は、Google Cloud アーキテクチャへのプライバシー保護の組み込みに尽力しています。お客様のデータへのアクセスに関する明確な開示とコミットメント、GDPR 遵守に対する長年にわたる取り組みなど、データの使用について意味のある透明性を提供しています。Google は生成 AI に対しても、このコミットメントを維持しています。Google Cloud はお客様から提供されたデータを、お客様の許可なくモデルのトレーニングに使用することはありません。

企業のお客様向けの Google の標準的な生成 AI の実装では、組織の保存データはお客様のクラウド環境に留まります。

重要なのは、Google Cloud Platform 利用規約と Cloud のデータ処理に関する追加条項に明記されているように、組織がデータに対するアクセス、使用、処理方法を制御できるということです。また、Google は、データにアクセスできるユーザーとその理由をお客様が可視化できるようにしています。

さらに、お客様は基盤モデルをチューニングする際にも制御ができます。基盤モデル全体を再構築しなくても、特定のタスク用の基盤モデルをチューニングできます。チューニングジョブごとに、「アダプタの重み付け」という追加の学習済みパラメータが作成されます。アダプタの重み付けはお客様に固有で、その重み付けをチューニングしたお客様のみが使用できます。

推論中、基盤モデルはアダプタの重み付けを受け取り、リクエストを処理して、結果を返します。お客様は、顧客管理の暗号鍵（CMEK）を使用して、トレーニング中に生成された保存済みアダプタの暗号化を管理できます。また、アダプタの重み付けはいつでも削除できます。

Google は包括的なリスク管理に投資します。セキュリティ、プライバシー、安全に対する基準を守る AI を構築するには、厳格な評価が不可欠です。Cloud のリスク管理へのコミットメントは、Google の取り組みに対する Coalfire の最近の AI 対応状況の評価で示されています。

社内では、包括的な AI リスク評価に継続的に投資し、リスク対応プロセスや分類法を頻繁に改良しています。この改良は、新たな AI リスクや進化する AI リスクの継続的な調査、ユーザーからのフィードバック、レッドチームのテスト結果などの取り組みから得た情報に基づいて行われます。AI 利用の技術的な詳細や背景はプロダクトごとに異なるため、個別に評価する必要があります。こうした分析の重要な要素には、安全なデプロイを保証するために Google Cloud とお客様が果たす役割の検証も含まれます。

Google は AI の安全性と責任を牽引します。Google は、責任ある AI 開発の先頭に立つことを固く決意し、長年にわたる AI に関する原則に基づいてガバナンスプロセスを監督し続けています。Google は、危害をもたらす技術、国際法や人権に反する技術、一般的に認められた規範に反する監視を可能にする技術など、追求しない分野を明確にしています。

また、Google Cloud Platform の利用規定と生成 AI の使用禁止に関するポリシーにもこれらの価値観を浸透させ、透明性をもってお客様にお伝えしています。

Google は透明性をサポートします。Google は、AI の長期的な成功には信頼の構築が不可欠であり、それは透明性への献身的な取り組みから始まると確信しています。Google は世界に先駆け、モデルの能力と限界についての共通の理解を示すモデルカードというコンセプトを支持し、生成モデルのトレーニングやテストをどのように行っているかを、お客様や研究者が理解できるよう支援しています。

モデル固有の詳細に加え、AI の信頼性に対するアプローチに関する論文では、エンドツーエンドのプロセスの一環として Google が潜在的な危害の影響をどのように特定、評価、軽減しているかを概説しています。Google は引き続き、責任ある AI、セキュリティ、プライバシー、不正行為防止などのトピックを扱う最新の研究の共有に取り組んでいきます。

Google は、セキュリティ、著作権、ポータビリティの問題についてお客様をサポートします。Google は、お客様と運命を共有していると考え、責任ある AI にはエコシステムアプローチが必要だと認識しています。Google は、生成 AI の著作権補償による保護を企業に提供します。また、お客様がモデルを変更できなくなる心配をせずに責任あるプロバイダを自由に選択できるよう、外向き料金を請求しません。さらに、責任ある AI ツール、イネーブルメント、サポートを開発し、お客様が個々のユースケースやデプロイのために独自のリスクと安全対策を調整できるようにしています。

Google のセキュア AI フレームワーク（SAIF）は、Google Cloud のお客様が従来のセキュリティリスクとセキュリティ管理の妥当性を評価し、AI システムに対応するにはそれらをどのように適応または拡張する必要があるかを把握できるよう支援します。また、AI ガバナンスや AI セキュリティなどのトピックに関するガイダンスやベストプラクティスを共有することで、AI 戦略の確立を目指すお客様をサポートしたいと考えています。

Google Cloud の AI 規制法遵守に向けた対応

社内的には、Google の AI 規制法対応プログラムは、お客様が期待する革新的なソリューションを提供し続けながら、Google のプロダクトとサービスが規制法の要件を確実に満たすことに重点を置いています。これは全社的な取り組みであり、以下のような多数のチームが協力しています。

法務、ポリシー: AI 規制法の要件を徹底的に分析し、既存のポリシー、慣行、契約に組み込みます。
リスク、コンプライアンス: AI 規制法の遵守に関連する潜在的なリスクを評価および軽減し、堅固なプロセスを提供します。
プロダクト、エンジニアリング: AI 規制法の透明性、アカウンタビリティ、公平性の原則を念頭に置いて AI システムを継続的に設計、構築し、テスト、モニタリング、文書化に関する AI 規制法の要件に対応しながら、ユーザーエクスペリエンスを常に改善します。
顧客エンゲージメント: お客様と密接に協力して、AI 規制法に関するお客様のニーズや懸念を理解し、必要に応じてガイダンスやサポートを提供します。

AI 規制法に備えて Google Cloud のお客様ができること

AI 規制法は複雑な法律であり、その施行方法の詳細については欧州委員会と AI オフィスで今もまだ議論が続いています。AI オフィスが進歩し、施行ガイダンスが変わり続けるなか、AI 規制法の要件と、現在または将来の AI 利用にそれらがどのように適用されるかをよく理解することが重要です。

AI 規制法への対応に関心のある Google Cloud のお客様には、以下を行うことをおすすめします。

行動規範と AI オフィス フォーラムの発展をフォローする: 今後数か月間、汎用 AI（GPAI）モデルのコンプライアンスの基礎を決定するための議論が継続的に行われます。自社組織が GPAI をどのように利用し、コンプライアンス義務はどこにあるかを理解しましょう。
欧州の規制当局や業界団体と連携する: AI 規制法は欧州の競争力や生産性を高め、イノベーションの機会を増やすのに貢献しますが、それは同法が国際的なベストプラクティスに従い、実際のユースケースを念頭に置いて施行される場合に限られます。業界団体や欧州の規制当局と連携して、自社が AI をどのように利用し、将来的に AI がビジネスにもたらす価値やメリットをどのように想定しているかを共有しましょう。
AI ガバナンス プラクティスを見直す: AI 規制法は、AI の監視について多くの要件を定めています。自社のガバナンスプラクティスが同法の要件を満たしているかどうかを見直してください。AI システムとデータガバナンスプログラム全体でリスクレベルを評価すると、説明可能性と透明性に対する取り組みの支援となるため有益でしょう。