高リスクのAIシステムは、一般にAI法と呼ばれる欧州AI規則（規則（EU）2024/1689）の焦点であり、この規則は人工知能（AI）システムの開発、供給、使用に関するリスクベースの枠組みを導入しています。健康、安全、基本的人権に対するリスクが高いほど、義務も重くなります。
したがって、組織にとってコンプライアンスは技術文書の作成から始まるのではなく、適切な分類から始まります。まず、組織内で開発、購入、または使用されているAIシステムを特定します。次に、そのシステムが禁止されているか、高リスクであるか、透明性義務の対象となるか、または特定の義務の対象外であるかを評価します。
本稿では、AIシステムが高リスクとみなされる条件、プロバイダーおよび導入者に適用される義務、そして組織が今すぐ講じることができる対策について解説します。また、デジタル・オムニバス・プロセスに基づく変更点を含む、現在のスケジュールについても触れています。本稿の参照日は2026年7月25日です。
AIシステムはどのような場合に高リスクとなるのか？
高リスクAIシステムの評価は、主にAI法第6条および付属書IとIIIに基づいて行われます。評価方法は2つあります。
最初のルートは、附属書Iに記載されている欧州製品法規の対象製品の一部を構成するAIシステムに関するもので、第三者による適合性評価が義務付けられています。例えば、特定の医療機器、機械、エレベーター、玩具などが挙げられます。これらのシステムについては、AI法は既存の適合性評価手続きを基盤としています。
2つ目のルートは、附属書IIIに記載されている分野、すなわち生体認証、重要インフラ、教育および職業訓練、雇用および労働力管理、不可欠な民間および公共サービスへのアクセス、法執行、移民、亡命および国境管理、司法および民主的プロセスの運営で使用されるAIシステムに関するものです。このような分野におけるすべての使用が自動的に高リスクAIシステムに分類されるわけではなく、システムの具体的な機能と第6条の条件も評価する必要があります。
第6条(3)の例外
附属書IIIの領域に該当するシステムであっても、自動的に高リスクAIシステムに分類されるわけではありません。健康、安全、または人々の基本的人権に重大なリスクをもたらさず、意思決定の結果に実質的な影響を与えない場合は、高リスクAIシステムとはみなされません。これは、システムが限定的な手続きタスクのみを実行する場合、人間が既に実行している活動を単に改善する場合、以前の人間の意思決定からの逸脱を指摘するだけでその評価を置き換える場合、または準備タスクのみを実行する場合に該当します。
この例外規定に依拠する場合は、慎重な論理的根拠を示し、文書化する必要があります。組織は、結論だけでなく、その結論の根拠となる事実と評価も記録しなければなりません。附属書IIIのシステムが高リスクAIシステムに該当しないと考えるプロバイダーは、システムを市場に出す前、または運用を開始する前に、その評価を文書化しなければならず、さらに第49条(2)の登録義務の対象となります。
規則には、ある一点において絶対的な規定がある。第6条(3)項は、附属書IIIに記載されているAIシステムが自然人のプロファイリングを行う場合、常に高リスクAIシステムに分類されると規定している。この場合、例外規定は適用されない。
貴組織はどのような役割を担っていますか？
AI法は、サプライチェーンにおけるいくつかの役割を区別している。そのうち2つは、ほとんどの組織にとって重要である。AIシステムを開発する、あるいは自社名または商標で市場に投入する当事者は、プロバイダーに該当する。AIシステムを開発せずに自社の事業活動において利用する当事者は、一般的にデプロイヤーに該当する。
役割の割り当ては固定的なものではありません。購入したシステムを大幅に変更したり、自社名または商標で再販したり、本来の目的を変更したりする組織は、依然としてプロバイダーとみなされ、より重い義務を負う可能性があります。各システムについて、自社が果たす役割を明確にし、その評価を記録してください。
主な義務
高リスクAIシステムの提供者は、第8条から第17条、第43条、第47条から第49条に規定されている義務を含む義務を負う。
- ライフサイクル全体を網羅するリスク管理システム
- データガバナンスには、トレーニングデータ、検証データ、テストデータなど、使用されるデータにおけるバイアスの検出と修正が含まれます。
- 附属書IVに準拠した技術文書およびイベントログ
- 展開者向けの明確な使用説明書
- 効果的な人的監視を可能にする設計
- 正確性、堅牢性、サイバーセキュリティに関する要件
- 品質管理システム、適合性評価、EU適合宣言、CEマーキング、およびEUデータベースへの登録
附属書III第1項(a)に記載されている遠隔生体認証に使用される高リスクAIシステムについては、第14条(5)において、人間の監視に関する追加要件が課せられています。すなわち、必要な能力、訓練、権限を有する少なくとも2名の自然人によって個別に検証および確認されない限り、認証に基づいて行動または決定を下してはならないというものです。これは「四眼原則」として知られています。
導入者は、第26条および第27条に規定される、より軽微ではあるものの重要性の劣らない義務を負う。すなわち、使用説明書に従った使用、適切な人的監督、システム運用の監視、リスクおよび重大なインシデントの報告、そしてログの少なくとも6か月間の保管である。システムを使用する従業員およびシステムの適用対象者には、事前に通知しなければならない。
特定の展開事業者は、第27条に基づく基本的人権影響評価を実施しなければならない。これは、公法によって統治される機関、公共サービスの民間提供者、および生命保険や健康保険における信用スコアリングシステムまたは保険リスク評価システムを使用する展開事業者に適用される。
タイムラインと現状
AI法は2024年8月1日に施行され、段階的に適用されます。実際には、既に適用されている義務、将来適用される義務、および正式な施行がまだ完了していない発表済みの改正を区別することが重要です。
禁止行為（第5条）：2025年2月2日から適用
AIリテラシー（第4条）：2025年2月2日から適用
汎用AIモデル：2025年8月2日から適用
透明性義務（第50条）：2026年8月2日から適用。延期なし。
高リスク国（附属書III経由）：形式的には2026年8月2日。包括法案が発効すれば、遅くとも2027年12月2日。
高リスク（附属書I経由）：形式的には2027年8月2日。包括法案が発効すれば、遅くとも2028年8月2日。
2025年11月19日、欧州委員会はデジタル・オムニバス・パッケージを発表し、高リスクAIシステムに対する義務の適用を延期することを提案した。2026年5月7日に暫定的な政治合意が成立し、欧州議会は2026年6月16日にこれを承認、欧州理事会は2026年6月29日に最終承認を行った。
しかしながら、本稿執筆時点において、欧州連合官報への掲載はまだ完了していません。改正法は、官報掲載の3日後に発効します。それまでは、当初のAI法のスケジュールが適用され、附属書IIIに基づく高リスク義務の適用日は2026年8月2日となります。それ以前の掲載が広く期待されていますが、まだ確定していません。
さらに、この延期は条件付きで行われる。高リスクAIシステムに対する義務の適用は、必要な調和基準と支援ツールが利用可能であることを示す欧州委員会の決定と、それに続く移行期間に連動している。2027年12月2日と2028年8月2日は、単なる延期ではなく、最終期限として機能する。
2つの点に特に注意を払う必要がある。第一に、第50条の透明性に関する義務と第4条のAIリテラシーに関する義務は延期されておらず、当初のスケジュール通りに実施される。第二に、この法案は第5条に新たな禁止事項を追加しており、これは同意なしに親密な画像を生成するAIアプリケーションと、AIによって生成された児童性的虐待資料を対象としている。
組織にとって、これは2027年12月を見据えた計画を立てることが賢明であることを意味するが、官報で別の指示が出るまでは、記録管理は2026年8月の規定が依然として有効であるかのように行うべきである。
監督と罰則
本稿執筆時点において、オランダではAI法の施行法はまだ制定されていない。オランダデジタルインフラ庁とオランダデータ保護庁が中心的な調整役を担い、各分野の監督機関はそれぞれの管轄区域内で責任を負うことになると見込まれている。ただし、権限の具体的な配分とその法的根拠は、最終的なオランダ施行法に基づいて決定される必要がある。
AI法第99条は、複数の最高罰則区分を規定している。罰則額は、違反行為の性質、および該当する場合は企業の全世界における年間売上高によって異なる。最高罰則は第5条に規定する禁止行為の違反に適用され、それより低い罰則は、高リスクAIシステムの提供者および導入者に対する義務を含むその他の義務の違反に適用され、最低罰則は、当局への不正確、不完全または誤解を招く情報の提供に適用される。中小企業（SME）およびスタートアップ企業には、より有利な制度が適用される。実際の罰則額は、適用される罰則規則および事案の状況を考慮して決定される。
実践的なロードマップ
- 組織が開発、購入、または使用しているすべてのAIシステムを一覧にしてください。
- 各システムについて、あなたが果たす役割（プロバイダーかデプロイヤーか）を明確にしてください。
- 各システムのリスクカテゴリーを決定し、第6条(3)項の例外規定への依拠を含め、その評価を文書化する。
- AIガバナンス体制を構築し、責任者を任命する。
- これらのシステムを扱うスタッフのAIリテラシーを確保すること。この義務は既に適用されている。
- 2026年8月2日を見据え、第50条に基づく透明性確保措置を準備する。
- 技術文書の作成、および必要に応じて基本的人権影響評価を、十分な余裕をもって開始してください。
- 役割分担、情報提供、監査権に関するサプライヤー契約を精査する。
- 官報における包括法案の掲載状況を注視し、それに応じて計画を調整してください。
結論
AI法は、組織がAIを開発、購入、使用する方法に根本的な影響を与えます。発表された高リスク義務の延期は猶予期間を与えるものですが、まだ適用法として成立しておらず、既に適用されている、または2026年8月2日に発効する義務は影響を受けません。したがって、賢明なアプローチは、新しい期日を想定しつつ、以前の期日にも対応できるよう準備しておくことです。規制のより詳細な概要については、この記事で重点的に取り上げている高リスクAIシステムを補完する「EU AI法完全ガイド」をご覧ください。
Law & More 組織がAIシステムを一覧化・分類し、プロバイダーまたは導入者としての役割を判断し、AIサプライヤーとの契約をレビュー・作成し、AIガバナンスを構築するのに役立ちます。貴社に現在適用される義務と、優先的に取り組むべきステップについて知りたいですか？お気軽にお問い合わせください。ご相談は無料です。
よくある質問
以下では、この件に関してよく寄せられる質問にお答えします。
AI法とは何ですか?
欧州AI規則（規則（EU）2024/1689）。2024年8月1日に発効し、段階的に適用される。AIシステムがもたらすリスクが高まるにつれて、義務も重くなる。
AIシステムはどのような場合に高リスクとなるのか？
2つの経路があります。1つは、附属書Iに記載されている製品関連法規の対象となる製品の一部として使用される場合、もう1つは、附属書IIIに記載されている領域内で使用される場合です。後者の場合、領域だけでは決定的な要素とはならず、第6条に規定されている具体的な機能と条件も考慮されます。
附属書IIIに記載されているシステムであっても、高リスクのカテゴリーから外れる可能性はあるのだろうか？
はい、重大なリスクがなく、意思決定に実質的な影響を与えない場合、例えば、限定的な手続き的タスクや純粋に準備的なタスクを実行する場合などが該当します。その評価は文書化されなければなりません。システムが自然人のプロファイリングを実行する場合は、この例外は適用されません。
私はプロバイダーなのか、それともデプロイヤーなのか？
システムを開発したり、自社名または自社の商標で市場に投入したりする場合はプロバイダーとなり、購入したシステムを使用する場合は一般的にデプロイヤーとなります。購入したシステムを大幅に変更したり、自社名で再販したりする場合でも、プロバイダーとなる可能性があります。
プロバイダーにはどのような義務が課せられますか？
リスク管理、データガバナンス、技術文書、ログ記録、使用説明書、人的監視、正確性およびサイバーセキュリティに関する要件、品質管理システム、適合性評価、CEマーキング、EUデータベースへの登録などが含まれます。
配備者にはどのような義務が課せられますか？
使用にあたっては、指示に従い、適切な人的監督、監視、リスクおよび重大事故の報告、そして少なくとも6か月間のログの保管を行う必要があります。関係する従業員およびシステム適用対象者には、事前に通知しなければなりません。
基本的人権影響評価はいつ実施しなければならないのか？
第27条は、とりわけ、公法によって統治される機関、公共サービスの民間提供者、および生命保険や健康保険における信用スコアリングシステムや保険リスク評価システムを使用する展開者に対して、これを要求している。
高リスクの債務は延期されたのか？
採択された改正により、附属書IIIの適用期限は遅くとも2027年12月2日まで、附属書Iの適用期限は遅くとも2028年8月2日まで延期された。本稿の参照日現在、当該改正はまだ官報に掲載されていないため、形式的には当初の2026年8月2日が依然として適用される。
今日すでに当てはまることは何か？
第5条の禁止行為およびAIリテラシー義務は2025年2月2日から、汎用AIモデルに関する規則は2025年8月2日から施行される。第50条の透明性義務は2026年8月2日に発効し、延期されていない。
オランダでは、AI法を誰が監督しているのですか？
施行法はまだ整備されていない。オランダデジタルインフラ庁とオランダデータ保護庁が、各分野の監督機関と連携し、中心的な調整役を担うことが期待されている。最終的な権限配分は、オランダの施行法によって決定される。
私の組織は今、何をすべきでしょうか？
まず、開発、購入、または使用しているすべてのAIシステムのリストを作成します。各システムについて、担当する役割、適用されるリスクカテゴリ、およびそれに伴う義務を記録します。また、AIガバナンスを確立し、AIに関する知識を普及させ、役割の割り当て、情報提供、監査権限に関するサプライヤー契約を見直します。
