高リスクAIシステム：AI法が組織に求めること

高リスクのAIシステムは、一般にAI法と呼ばれる欧州AI規則（規則（EU）2024/1689）の焦点であり、この規則は人工知能（AI）システムの開発、供給、使用に関するリスクベースの枠組みを導入しています。健康、安全、基本的人権に対するリスクが高いほど、義務も重くなります。

したがって、組織にとってコンプライアンスは技術文書の作成から始まるのではなく、適切な分類から始まります。まず、組織内で開発、購入、または使用されているAIシステムを特定します。次に、そのシステムが禁止されているか、高リスクであるか、透明性義務の対象となるか、または特定の義務の対象外であるかを評価します。

本稿では、AIシステムがどのような場合に高リスクとみなされるか、プロバイダーと導入者にどのような義務が課されるか、そして組織が今すぐどのような対策を講じることができるかを解説します。また、デジタルオムニバスに基づく高リスク義務の延期後の現状におけるタイムラインについても説明します。

AIシステムはどのような場合に高リスクとなるのか？

高リスクAIシステムの評価は、主にAI法第6条および付属書IとIIIに基づいて行われます。評価方法は2つあります。

最初のルートは、附属書Iに記載されている欧州製品法規の対象製品の一部を構成するAIシステムに関するもので、第三者による適合性評価が義務付けられています。例えば、特定の医療機器、機械、エレベーター、玩具などが挙げられます。これらのシステムについては、AI法は既存の適合性評価手続きを基盤としています。

2つ目のルートは、附属書IIIに記載されている分野、すなわち生体認証、重要インフラ、教育および職業訓練、雇用および労働力管理、不可欠な民間および公共サービスへのアクセス、法執行、移民、亡命および国境管理、司法および民主的プロセスの運営で使用されるAIシステムに関するものです。このような分野におけるすべての使用が自動的に高リスクAIシステムに分類されるわけではなく、システムの具体的な機能と第6条の条件も評価する必要があります。

第6条(3)の例外

附属書IIIの領域に該当するシステムであっても、自動的に高リスクAIシステムに分類されるわけではありません。健康、安全、または人々の基本的人権に重大なリスクをもたらさず、意思決定の結果に実質的な影響を与えない場合は、高リスクAIシステムとはみなされません。これは、システムが限定的な手続きタスクのみを実行する場合、人間が既に実行している活動を単に改善する場合、以前の人間の意思決定からの逸脱を指摘するだけでその評価を置き換える場合、または準備タスクのみを実行する場合に該当します。

この例外規定に依拠する場合は、慎重な論理的根拠を示し、文書化する必要があります。組織は、結論だけでなく、その結論の根拠となる事実と評価も記録しなければなりません。附属書IIIのシステムが高リスクAIシステムに該当しないと考えるプロバイダーは、システムを市場に出す前、または運用を開始する前に、その評価を文書化しなければならず、さらに第49条(2)の登録義務の対象となります。

規則には、ある一点において絶対的な規定がある。第6条(3)項は、附属書IIIに記載されているAIシステムが自然人のプロファイリングを行う場合、常に高リスクAIシステムに分類されると規定している。この場合、例外規定は適用されない。

貴組織はどのような役割を担っていますか？

AI法は、サプライチェーンにおけるいくつかの役割を区別している。そのうち2つは、ほとんどの組織にとって重要である。AIシステムを開発する、あるいは自社名または商標で市場に投入する当事者は、プロバイダーに該当する。AIシステムを開発せずに自社の事業活動において利用する当事者は、一般的にデプロイヤーに該当する。

役割の割り当ては固定的なものではありません。購入したシステムを大幅に変更したり、自社名または商標で再販したり、本来の目的を変更したりする組織は、依然としてプロバイダーとみなされ、より重い義務を負う可能性があります。各システムについて、自社が果たす役割を明確にし、その評価を記録してください。

主な義務

高リスクAIシステムの提供者は、第8条から第17条、第43条、第47条から第49条に規定されている義務を含む義務を負う。

• ライフサイクル全体を網羅するリスク管理システム
• データガバナンスには、トレーニングデータ、検証データ、テストデータなど、使用されるデータにおけるバイアスの検出と修正が含まれます。
• 附属書IVに準拠した技術文書およびイベントログ
• 展開者向けの明確な使用説明書
• 効果的な人的監視を可能にする設計
• 正確性、堅牢性、サイバーセキュリティに関する要件
• 品質管理システム、適合性評価、EU適合宣言、CEマーキング、およびEUデータベースへの登録

附属書III第1項(a)に記載されている遠隔生体認証に使用される高リスクAIシステムについては、第14条(5)において、人間の監視に関する追加要件が課せられています。すなわち、必要な能力、訓練、権限を有する少なくとも2名の自然人によって個別に検証および確認されない限り、認証に基づいて行動または決定を下してはならないというものです。これは「四眼原則」として知られています。

導入者は、第26条および第27条に規定される、より軽微ではあるものの重要性の劣らない義務を負う。すなわち、使用説明書に従った使用、適切な人的監督、システム運用の監視、リスクおよび重大なインシデントの報告、そしてログの少なくとも6か月間の保管である。システムを使用する従業員およびシステムの適用対象者には、事前に通知しなければならない。

特定の展開事業者は、第27条に基づく基本的人権影響評価を実施しなければならない。これは、公法によって統治される機関、公共サービスの民間提供者、および生命保険や健康保険における信用スコアリングシステムまたは保険リスク評価システムを使用する展開事業者に適用される。

タイムラインと現状

AI法は2024年8月1日に施行され、段階的に適用されます。実際には、既に適用されている義務、将来適用される義務、および正式な施行がまだ完了していない発表済みの改正を区別することが重要です。

禁止行為（第5条）：2025年2月2日から適用

AIリテラシー（第4条）：2025年2月2日から適用

汎用AIモデル：2025年8月2日から適用

透明性義務（第50条）：2026年8月2日から適用。延期なし。

高リスク国（附属書III経由）：延期後、2027年12月2日から適用

高リスク国（附属書I経由）：2028年8月2日から適用（同様の延期措置あり）

その延期は既に確立された法律である。欧州委員会は2025年11月19日、高リスクAIシステムに関する義務の延期を提案するデジタル・オムニバス法案を提出した。改正規則である規則（EU）2026/1744は、2026年7月24日に官報に掲載され、2026年7月27日に発効した。

高リスク規制のみが変更された。附属書IIIに基づいて分類されたシステムに関する第III章の義務は2027年12月2日から、附属書Iに基づいて分類されたシステムに関する義務は2028年8月2日から適用される。その他の事項はすべて当初の日付のままであり、延期によってAI法が全面的に停止されることはない。

延期は、単なる日付変更のように無条件のものではありません。高リスク義務の適用は、それらを遵守するために必要な調和基準および関連文書の入手可能性と関連しており、新たな日付は、さらに延期できる目標ではなく、その取り決めの上限として機能します。したがって、さらなる延長を前提とした計画は賢明ではありません。

2つの点に特に注意を払う必要がある。第一に、第50条の透明性義務と第4条のAIリテラシー義務は延期されていない。第50条は2026年8月2日から、第4条は2025年2月2日から適用されている。第二に、この法案は第5条に新たな禁止事項を追加しており、これは同意なしに親密な画像を生成するAIアプリケーションと、AIによって生成された児童性的虐待資料を対象としている。

組織にとってこれは、2027年12月が高リスク文書の計画を立てる期限である一方、透明性、識字能力、および一般的な義務は、準備というよりも現在のコンプライアンスの問題であることを意味する。

監督と罰則

オランダでは、AI法の施行法はまだ発効していません。草案は2026年4月20日に公開され、パブリックコメントを募集しました。この草案では、分野別監督機関が指定されていない分野については、オランダデータ保護庁（Autoriteit Persoonsgegevens）がAI専門部署を擁する監督機関としての役割を担い、オランダデジタルインフラ庁（RDI）は調整役を担う一方、各分野別監督機関はそれぞれの管轄領域を維持するとしています。この法律が可決・発効するまでは、権限の正確な配分や国内の罰則制度は確定していません。

AI法第99条は、複数の最高罰則区分を規定している。罰則額は、違反行為の性質、および該当する場合は企業の全世界における年間売上高によって異なる。最高罰則は第5条に規定する禁止行為の違反に適用され、それより低い罰則は、高リスクAIシステムの提供者および導入者に対する義務を含むその他の義務の違反に適用され、最低罰則は、当局への不正確、不完全または誤解を招く情報の提供に適用される。中小企業（SME）およびスタートアップ企業には、より有利な制度が適用される。実際の罰則額は、適用される罰則規則および事案の状況を考慮して決定される。

実践的なロードマップ

• 組織が開発、購入、または使用しているすべてのAIシステムを一覧にしてください。
• 各システムについて、あなたが果たす役割（プロバイダーかデプロイヤーか）を明確にしてください。
• 各システムのリスクカテゴリーを決定し、第6条(3)項の例外規定への依拠を含め、その評価を文書化する。
• AIガバナンス体制を構築し、責任者を任命する。
• これらのシステムを扱うスタッフのAIリテラシーを確保すること。この義務は既に適用されている。
• 第50条に基づく透明性確保措置を実施する。これらの措置は2026年8月2日から適用されている。
• 技術文書の作成、および必要に応じて基本的人権影響評価を、十分な余裕をもって開始してください。
• 役割分担、情報提供、監査権に関するサプライヤー契約を精査する。
• 高リスク文書の作成計画は、附属書IIIシステムについては2027年12月2日、附属書Iシステムについては2028年8月2日を基準としてください。

AI法が貴社に求めること

AI法は、組織がAIを開発、購入、使用する方法に根本的な影響を与えます。高リスク義務の適用延期は、規制の最も厳しい部分への対応に時間的猶予を与えますが、その他の規定はすべてそのまま残ります。第5条の禁止事項、AIリテラシー義務、汎用AIモデルに関する規則、第50条の透明性義務はすべて現在も適用されます。得られた時間は、分類と文書化に費やすのが最善です。なぜなら、これらは後から短縮できない手順だからです。規制のより包括的な概要については、この記事で重点的に取り上げている高リスクAIシステムを補完する「EU AI法完全ガイド」をご覧ください。

Law & More 組織がAIシステムを分類・整理し、プロバイダーまたは導入者としての役割を明確にし、AIサプライヤーとの契約をレビュー・作成し、AIガバナンスを構築するのに役立ちます。貴社に現在適用される義務や、優先的に取り組むべき手順について知りたい場合は、お気軽にお問い合わせください。

よくある質問

以下では、この件に関してよく寄せられる質問にお答えします。