EU AI法の高リスクAI規制：2027年までに提供者が準備すべきこと

高リスクAIに関するEU AI法の厳格な義務は、すでに全面適用されているわけではありません。付属書IIIに分類される単体の高リスクAIシステムは2027年12月2日から、一定の規制対象製品の一部となる高リスクAIは2028年8月2日から、それぞれ要件の対象となる予定です。18

EU市場でこうしたAIを提供する企業にとって重要なのは、リリース後に書類を整えることではなく、安全性、追跡可能性、説明責任を製品開発の段階から証明できる運用をつくることです。

どのAIが「高リスク」に当たるのか

高リスクAIは、大きく二つの類型に分けられます。

• 特定のEU製品法の対象製品、またはその安全部品として使われ、当該製品法に基づく第三者の適合性評価が必要となるAI
• AI法の付属書IIIで定められた用途に該当するAI。ただし、同法の要件・例外規定の対象です。15

この区分は重要です。高リスクと判断されれば、一般的なAIツールよりもはるかに厳しい、ライフサイクル全体にわたる義務が発生するためです。

提供者が準備すべき主なコンプライアンス要件

高リスクAIをEU市場に投入する前に、提供者は規制当局から照会を受けてから対応するのではなく、開発から運用まで一貫した管理体制を組み込む必要があります。

リスク管理とデータガバナンス

提供者には、リスクを評価し軽減する仕組みが求められます。また、差別的な結果が生じるリスクを抑えるため、十分な品質のデータセットを使わなければなりません。高リスクAIの枠組みでは、学習・検証・テスト用データについて、目的に照らした関連性、代表性、適切な管理が重視されます。115

文書化と追跡可能性

高リスクAIでは、結果を追跡できるよう活動ログを維持し、システムの内容や想定用途を詳述した技術文書を用意する必要があります。これらは、当局がAI法への適合性を評価するための根拠となります。1

人による監督と運用上の強靱性

EUは、適切な人的監督の措置に加え、高い水準の正確性、堅牢性、サイバーセキュリティを求めています。提供者は利用者側に対し、AIの意図された使い方と限界を理解できる、明確かつ十分な情報を提供しなければなりません。1

適合性評価、登録、市販後監視

提供者は、高リスクAIを市場に出す前に、該当する適合性評価を完了する必要があります。必要な場合はシステムを登録し、提供開始後も性能を監視し、重大インシデントを報告します。つまり、コンプライアンスは一度限りの承認手続きではなく、継続的な運用機能です。115

実務向け：高リスクAIの準備チェックリスト

2027年・2028年の期限に備える組織は、少なくとも次の問いに答えられる状態を目指すべきです。

1. そのシステムは本当に高リスクか？　用途を付属書Iおよび付属書IIIの分類と照合する。
2. 誰が責任を持つのか？　製品安全、法令順守、文書化、インシデント対応の担当と権限を明確にする。
3. リスクの根拠と軽減策を示せるか？　テスト結果と判断記録を残せる、再現可能なリスク管理プロセスを維持する。
4. データ管理を説明できるか？　データセットの関連性、代表性、品質確認、既知の限界を文書化する。
5. 監査に耐えられるか？　ログ、技術文書、想定用途と制約を説明する利用者向け文書を保管する。
6. 人的監督は実効性があるか？　人がいつ介入し、出力を上書きし、あるいは利用を停止できるのかを定める。
7. 市販後監視を実行できるか？　性能監視、是正措置、インシデント報告の業務フローを準備する。

EU AI法で想定される制裁金

AI法の制裁金は、ユーロ建ての上限額と全世界年間売上高に連動する基準を組み合わせています。最も重い区分である禁止されたAI慣行では、**最大3,500万ユーロ、または全世界年間売上高の7%**に達し得ます。その他の違反についても、**最大1,500万ユーロ、または全世界年間売上高の3%**の制裁金が科され得ます。3

制裁金の規模を考えると、高リスクAI対策を法務部門だけに委ねることはできません。製品、セキュリティ、データサイエンス、調達、コンプライアンス、運用の各チームが連携し、保護措置が実際に機能していることを示す証拠を整える必要があります。

延期された今こそ準備が必要な理由

適用日の変更によって準備期間は延びましたが、求められる要件そのものが軽くなったわけではありません。2027年後半まで対応を待てば、文書管理の基盤整備、モデル開発手順の見直し、ログ実装、人的監督の検証、市販後報告のワークフロー構築を短期間で進めることになりかねません。

実務上は、EU AI法を製品ガバナンスの基準として扱うことが有効です。高リスクとなり得る用途を早い段階で見極め、開発と同時に証拠を収集し、安全性、追跡可能性、人による統制をリリース工程に組み込むことが求められます。115