2024年5月17日金曜日、コロラド州知事ジャレッド・ポリスはSB205（人工知能との相互作用に関する消費者保護法）に署名し、2026年2月1日を施行日とする法律として成立させた。
他州（ユタ州やフロリダ州など）で制定された人工知能（AI）法とは異なり、この新法は「高リスク人工知能システム」を対象とした米国初の包括的な立法である。 特に、本法は高リスクAIシステムを開発する者及び導入する事業体に対し、アルゴリズムによる差別を防止するための合理的な注意義務を課すとともに、一定の要件を満たし当該高リスクAIシステムに関する特定情報を公開した場合、合理的な注意が払われたと推定される（反証可能な推定）ことを定めている。
法律は「高リスク」と見なされないAIシステムの使用を規制する役割はほとんど果たさないものの、規制を検討している他の立法府にとってモデルとなり得る。
範囲
コロラド州プライバシー法とは異なり、本法はコロラド州で事業を行う「高リスク人工知能システム」を利用するすべての開発者および運用者（すなわち企業）に適用される。影響を受ける消費者の数にかかわらず適用される。
高リスクAIシステム
法律は「高リスクAIシステム」を、「重大な」決定を行う、またはその決定に実質的な要因となるシステムと定義する。「実質的な要因」とは、重大な決定の形成を補助する要因、重大な決定の結果を変更する能力を有する要因、またはAIシステムによって生成される要因と定義される。法律において明示的に「高リスクAIシステム」とみなされるAIシステムには、以下で使用されるものが含まれる：
- 教育への就学または機会
- 雇用または雇用機会
- 金融または貸付サービス
- 必須の政府サービス
- 医療サービス
- 住宅
- 保険
- 法務サービス
本法は、以下のいずれかに該当するAIシステムを除外する：(i)限定的な手続き的タスクを実行するもの、または(ii)意思決定パターンまたは過去の意思決定パターンからの逸脱を検知するものであって、人間の評価または審査に取って代わる、もしくは影響を与えることを意図していないもの。また、サイバーセキュリティソフトウェアやスパムフィルタリングなど、重大な決定を行う上で実質的な要素とならない特定の技術も除外される。
アルゴリズム的差別
法律は、高リスクAIシステムの開発者と導入者の双方が、アルゴリズムによる差別、すなわち実際の年齢、肌の色、障害、民族性、遺伝情報、言語障壁、国籍、人種、宗教、生殖健康、性別、退役軍人ステータス、その他の分類に基づく違法な差別的取扱いまたは影響をもたらすあらゆる状況を回避するため、合理的な注意を払うことを義務付けている。 ただし、本法は、開発者またはシステムを導入する企業が、以下の目的のみのために高リスクAIシステムを使用することにより生じうる差別については除外する：
- 自社のシステムを自己テストし、差別的行為や結果の発生事例やリスクを特定・是正する。
- 応募者、顧客、または参加者のプールを拡大し、多様性を高めたり、歴史的な差別を是正したりすること。
また、この法律は、一般に開放されていない私的クラブその他の施設による行為または不作為を適用除外とする。
開発者の責任
本法は、AIシステムの開発者が開発において特定の手順に従った場合、アルゴリズムによる差別を回避するために合理的な注意を払ったという反証可能な推定を創設する。これには以下が含まれる：
- このような高リスクAIシステムの展開者に対し、システムの目的、意図された利点、意図された使用方法、運用、潜在的なリスク、および既知または予見可能なアルゴリズム的差別を含むシステムに関する情報を提供すること。開発者はまた、システムの性能評価およびアルゴリズム的差別の証拠のために、システムがどのように訓練および評価されたかについての情報を提供しなければならない。
- 高リスクAIシステムの影響評価を実施するために必要なすべての文書をデプロイ担当者に提供する。
- 開発者が開発または意図的に変更した高リスクシステムの種類を要約した情報を公開する。
- 開発者自身が、アルゴリズム的差別の合理的または予見可能なリスクを、開発段階および高リスクAIシステムが後から変更された場合にどのように管理しているかに関する情報を、導入者に提供すること。
- アルゴリズムによる差別のリスクについて通知を受けた日から90日以内に、コロラド州司法長官および導入事業者に、既知または合理的に予見可能なリスクを開示すること。
こうした手順に従わない開発者は、アルゴリズムによる差別を回避するために合理的な注意を払ったことを証明するのに困難を伴う可能性がある。
ユーザーの責任
これらのAIシステムを導入する企業は、既知または予見可能な差別リスクから消費者を保護するため、合理的な注意を払う義務も負う。法律は、導入組織が特定の手順（以下を含む）を遵守した場合、AIシステム導入者がアルゴリズムによる差別を回避するために合理的な注意を払ったという反証可能な推定を二段階に設定する：
すべてのユーザー様へ：
- 高リスクAIシステムの展開について、アルゴリズム的差別の証拠がないか少なくとも年1回見直すこと。
- 消費者に対し、高リスクAIシステムによって当該消費者に関して下された重大な決定に関する情報を提供し、また、そのような重大な決定の過程で使用される可能性のある誤った個人データを修正する機会を消費者に提供すること。展開者はまた、高リスクAIシステムによって下された不利な重大な決定について、技術的に可能な場合には人間の審査を通じて異議申し立てを行う機会を消費者に提供しなければならない。
- 高リスクAIシステムがアルゴリズム的差別を引き起こした、または引き起こす可能性が合理的に高いことを発見後90日以内に、コロラド州司法長官に開示すること。
高リスクAIシステムを展開するすべての時点で、以下の要件をすべて満たす企業に限り適用される：(a) 常勤従業員が50名を超えること(b) 展開者が自社のデータを用いて高リスクAIシステムを訓練しないこと(c) 高リスクAIシステムを、展開者が開示した意図された用途にのみ使用すること
- 高リスクAIシステムに対するリスク管理方針およびプログラムの実施。
- 各高リスクAIシステムの影響評価を実施する。
- 公開的に、導入された高リスクシステムの種類をまとめた情報と、導入者がアルゴリズムによる差別の既知または予見可能なリスクをどのように管理しているかに関する情報を提供すること。
- 高リスクAIシステムにおいて展開者が収集・使用する情報の性質、情報源、および範囲に関する情報を公に提供すること。
追加要件
さらに、消費者との対話を目的としたAIシステム を提供する開発者または運用者は、消費者が対話している相手が人間ではなくAIシステムであることを開示しなければならない。
その他の除外事項
本法は、開発者またはデプロイヤーが特定の活動に従事する場合に適用されない。これには、他の連邦法、州法または地方自治体の法令を遵守すること、特定の調査に協力し実施すること、消費者の生命または身体の安全を保護するための措置を講じること、および特定の研究活動を実施することが含まれる。
執行
法律は私的訴訟権を認めておらず、代わりにコロラド州司法長官に排他的執行権を委ねている。司法長官はまた、法令に基づき、開発業者に対する追加文書及び要件規則、通知及び開示の要件、リスク管理方針及び影響評価の要件、反証可能な推定に関連する範囲及び指針の調整、並びに執行に対する抗弁の要件を含む、さらなる規則制定を実施する裁量権を有する。
ただし、本法案または司法長官が指定する、国内または国際的に認知された他のAIリスク管理フレームワークに準拠している場合、開発者および導入者には積極的抗弁が認められる。現在これには、NIST AIリスク管理フレームワークおよびISO/IEC 42001が含まれる。
事業への影響
新法は最終的に、高リスクAIシステムを開発・導入する事業者に対し、アルゴリズムによる差別を回避するための評価方法と合理的な注意義務の履行枠組みを提供する。新法の施行は2026年2月1日まで延期されるものの、高リスクAIシステムの開発・導入事業者は、施行前に文書化義務その他の責務を履行するため、相当なリソースを投入する必要が生じる可能性がある。
開発者は新法に備え、以下の対応を開始すべきである：
- 高リスクAIシステムが構想または作成される段階で、消費者への開示または導入者による影響評価実施のために必要な全文書を、コンパイル（またはより望ましいのは作成）を開始すること。この文書において重要なのは、開発者が高リスクAIシステムをどのように訓練し、潜在的なアルゴリズム的差別をどのようにテスト・是正するかの説明である。
- そのような高リスクAIシステムの導入者から、より詳細な文書を要求されたり、文書の内容について疑問を呈されたりする場合に備え、対応し追加文書を提供する準備を整えておくこと。
- 開発者が開発した（または意図的かつ大幅に変更した）高リスクシステムの種類に関する公式声明の起草を開始し、アルゴリズムによる差別の既知または予見可能なリスクをどのように管理しているかを説明し、必要に応じて弁明できるよう準備すること。
- 高リスク人工知能システムによって引き起こされた、または合理的に引き起こされた可能性のあるアルゴリズム的差別について、法務長官に通知するための方針を策定し始める（適切な法的審査およびその他の利害関係者による審査を含む）。
一方、ユーザーは新法に備えて以下の行動項目を開始すべきです：
- 標準的なAIリスク管理フレームワーク（NIST AIリスク管理フレームワークおよび／またはISO/IEC 42001など）に基づくリスク管理方針およびプログラムの開発を開始する。
- 導入する高リスクAIシステムに対する影響評価の開発を開始し、必要に応じて開発者から追加情報を要求する準備を整える。
- 高リスクAIシステムについて、アルゴリズムによる差別を少なくとも年1回（システムまたはその使用方法に重大な変更があった場合はより頻繁に）審査するプロセスを確立すること。
- 高リスクAIシステムが消費者に関する重大な決定を行う場合、必要な項目を全て含む定型通知書の作成を検討し、消費者が当該決定に対して人間の審査を求める異議申立ての機会を提供すること。
- 消費者による、高リスクAIシステムで使用される誤った個人データの修正手続きの開発を開始する。コロラド州プライバシー法の適用対象となる企業は、消費者に対し誤った個人データを修正する権利を提供すること、および個人データが当初から誤っていたことを検証する方法について、既に精通しているはずである。
- 現在導入されている高リスクシステムの種類に関する公開声明の作成を開始し、アルゴリズムによる差別の既知または予見可能なリスクがどのように管理されているかについての情報を記載すること。コロラド州プライバシー法の適用対象となる事業者は、これらの公開声明に、導入者が収集・使用する情報の性質、出所、範囲も記載する必要があるという要件について既に熟知しているはずである。
- 高リスクAIシステムによって引き起こされた、または合理的に引き起こされた可能性のあるアルゴリズム的差別について、法務長官に通知するための方針を策定し始める（適切な法的審査およびその他の利害関係者による審査を含む）。
開発者とデプロイ担当者の双方は、コロラド州司法長官からの追加ガイダンスについても引き続き注視すべきである。コロラド州プライバシー法に基づき司法長官が発行する規制の傾向から判断すると、追加規制は広範にわたり、法律の表面上の要件を超える詳細な規定を要求する可能性がある。
関連文献
この新法が雇用主にとって何を意味し、人事管理におけるAIシステムの利用にどのような影響を与えるかについて、より深く理解するため、Foleyの労働・雇用チームは予想される影響に関する解説書を作成しました。関連記事はこちらをクリックしてご覧ください。
本法の要件に関してその他のご質問がございましたら、Foley & Lardner法律事務所の人工知能専門分野の 担当者、その他のパートナー、またはシニアカウンセルまでお問い合わせください。
