EU AI Actに企業はどう備える？いま確認すべき義務と進め方

実務では、まず次の3点を整理すると動きやすくなります。

1. ユースケース：AIは何をし、どんなデータを使い、判断にどの程度影響するのか。
2. 自社の役割：自社は導入・運用者（deployer）なのか、AIシステムの提供者なのか、GPAIモデルの提供者なのか。
3. リスク区分：禁止行為、GPAI、高リスクAI、または比較的低リスクの利用のどれに近いのか。

主要期限：企業が見落としたくないタイミング

以下は法的判断の代わりではありませんが、社内準備の目安になります。

実務上の判定軸：ユースケース、役割、リスク

1. ツール名ではなく、何に使うかを見る

最初に見るべきなのは、製品名やベンダー名ではなく、AIの目的です。同じAIツールでも、社内の文章作成を補助する場合と、人事評価や採用、サービス利用可否の判断に使う場合では、リスクの見え方が変わります。

特に早めに確認したいのは、影響を受ける人が明確で、判断に近い領域です。出典では、生体認証、重要インフラ、教育、雇用、公共サービスなどが、高リスクAIの論点が生じやすい領域として挙げられています。

2. 自社の立場をユースケースごとに決める

同じ会社でも、AIの使い方ごとに立場は変わります。外部のAIツールを購入して社内で使う場合は、多くの場合、導入・運用者としての確認が中心になります。一方、自社製品にAI機能を組み込んで市場に提供するなら、AIシステムの提供者としての義務が問題になります。さらに、汎用AIモデルを開発・提供する場合には、GPAIモデル提供者としての確認が必要です。

この役割分担は重要です。義務はAIシステムのリスクだけでなく、自社がそのAIを提供しているのか、運用しているのか、モデル提供者なのかによっても変わるためです。

3. リスク区分を大まかにふるい分ける

最初の社内チェックは、次の順番が実務的です。

1. 禁止類型に当たらないか：該当する場合、将来の準備課題ではなく、すでに重大な論点です。
2. GPAIとの関係があるか：自社がGPAIモデルを提供しているのか、それとも他社モデルを特定用途のアプリケーションで使っているだけなのかを分けます。
3. 高リスクAIの可能性があるか：敏感な領域で使うのか、人に関する判断へ影響するのかを確認します。
4. 製品規制との関係があるか：AIが既に規制されている製品に組み込まれている場合、特別な移行期間が関係することがあります。

いま企業が始めるべき準備

AI台帳を作る

最初の一歩は、社内のAI利用を棚卸しすることです。大規模なAIプロジェクトだけでなく、部門単位で導入したSaaSのAI機能、社内の自動化、生成AIアシスタント、自社プロダクトに入れたAI機能、利用中のモデルも含めます。

AI台帳には、少なくとも次の項目を入れると確認しやすくなります。

• ツール名またはシステム名
• 利用目的と担当部門
• 社内利用か、外部向け提供か
• 利用するデータの種類
• 影響を受ける人やグループ
• 意思決定への関与度
• ベンダー、社内オーナー、責任チーム
• 禁止類型、GPAI、高リスクAI、低リスク利用の初期見立て

この棚卸しが、ユースケースごとの役割とリスク区分を説明できる状態にする土台になります。

敏感なユースケースを先に見る

すべてのAI利用を同じ深さで確認する必要はありません。優先すべきは、人を評価する、機会やサービスへのアクセスに影響する、または生体認証、重要インフラ、教育、雇用、公共サービスなどの領域で使うシステムです。

実務上は、人事・採用ツール、応募者の事前選別、業績評価、安全に近い用途、人に関する判断を準備するシステムが早めの確認対象になりやすいでしょう。ただし、実際に高リスクAIに当たるかは、具体的なワークフローと自社の役割によって変わります。

ガバナンスと文書化を先回りする

高リスクAIについて、出典はリスクマネジメント、技術文書、適合性評価などの要件を挙げています。どの作業が自社に必要かは、役割とシステムの内容によって異なります。 附属書IIIの高リスクAIシステムでは、完全なコンプライアンス枠組みが2026年8月2日から重要になります。

いま準備しておきたいことは、次の通りです。

• 事業部門、IT、法務、コンプライアンス、データ保護の責任者を決める
• 新しいAIツールの導入・変更に承認プロセスを設ける
• ベンダーから技術文書、リスク情報、更新方針、契約上の説明を取得する
• 利用目的、データ、リスク、人による確認、変更履歴を記録する
• 判断が難しい境界事例は早めに法務確認へ回す

AIリテラシーを軽く見ない

AIリテラシーは、高リスクAIだけの話ではありません。ある出典は、AIリテラシー要件を提供者と導入・運用者に広く適用される義務と説明しており、最小リスクのAIシステムしか使っていない組織でも、AIリテラシー要件と禁止行為の回避を意識する必要があるとしています。

つまり、AIを選ぶ人、設定する人、日常業務で使う人が、システムの限界、起こりやすい誤り、人による確認が必要な場面を理解していることが重要です。

よくある3つの企業ケース

ケース1：社内だけでAIアシスタントを使う

確認すべきなのは、そのAIを何に使っているかです。社内文書の下書きや調査補助と、人事、評価、サービス提供可否、その他の敏感な判断プロセスでの利用は別に考える必要があります。低リスクに見えるツールでも、AI台帳には載せ、利用ルールとAIリテラシーを整えることが実務上は重要です。

ケース2：AI機能付きのSaaSを提供する

自社がAIシステムの提供者に当たるか、またその機能が高リスクの文脈で使われる可能性があるかを確認します。高リスクAIの場合、2026年以降、リスクマネジメント、技術文書、適合性評価に関する対応が重要になります。

ケース3：採用、スコアリング、カスタマーサポートにAIを使う

採用など雇用に関わる領域は、高リスクAIの論点が生じ得る分野として出典に挙げられているため、早めの確認対象です。 スコアリングやカスタマーサポートでは、AIが単に担当者を補助しているのか、人に関する判断を準備・左右・自動化しているのかが分かれ目です。ワークフローを具体的に見ないまま、最終分類を断定することはできません。

次にやること：実務チェックリスト

1. AI利用を棚卸しする：ツール、モデル、AI機能、社内自動化をすべて記録する。
2. ユースケースをふるい分ける：禁止類型を先に確認し、次にGPAIとの関係と高リスクAIの可能性を見る。
3. 自社の役割を決める：利用ごとに、導入・運用者、AIシステム提供者、GPAIモデル提供者のどれに近いかを整理する。
4. 敏感な領域を優先する：人事、生体認証、重要インフラ、教育、公共サービス、人に関する判断に近いプロセスを先に確認する。
5. ベンダー情報を確認する：外部AIでは、文書、リスク情報、更新、契約上の説明をどこまで提供してもらえるか確認する。
6. 社内ガバナンスを作る：責任者、承認フロー、教育、記録管理を整える。
7. 高リスクAI候補は2026年を待たない：附属書IIIに該当し得るシステムは、2026年8月2日を重要な準備期限として扱う。

まとめ

EU AI Act対応で最初に問うべきなのは、「AIを使ってよいか」ではありません。「どのユースケースか」「自社はどの立場か」「どの期限が関係するか」です。

社内利用のAIツールが少ない企業なら、対応範囲は比較的限定的かもしれません。それでも、AI台帳、利用ルール、AIリテラシーは重要であり、一部は明示的に関係します。 一方で、敏感な領域でAIを使う、AI製品を提供する、GPAIモデルを扱う企業は、2026年を待たずに分類、文書化、社内体制づくりを始めるべきです。