EU AI法：企業が知っておくべき重要なポイント
EUのAI法が2024年8月に段階的に施行され、最も広範な遵守期限である2026年8月2日を過ぎました。もしあなたの会社で誰もこのことを把握していなかったとしても、異常や危険にさらされているわけではありません。ほとんどの規制は大多数の企業には適用されず、この問題を管理する最善の方法は、どの部分があなたの会社に影響を与えるかを特定することです。
提供者またはデプロイメント組織
この法律は、AIシステムを市場に投入し、構築する組織（提供者）と、独自の権限の下でAIを使用する組織（デプロイメント組織）の責任を分けています。人々が懸念するほとんどの義務—適合性評価、技術文書、CEマーク、品質管理システム—は提供者の負担となります。AIベンダーから購入している場合、あなたはデプロイメント組織であり、責任は軽く、主に組織的なものです。
しかし、2つの重要な制約はどちらの組織にも適用されます。不適切なリスク行為の禁止は2025年2月から施行されており、記事4条も同様に、AIを運用する従業員の間で十分なAIリテラシーを確保することを要求しています。この条項には閾値や中小企業に対する免除はありません。トレーニング記録がその証拠となります。
順番に日付を確認
禁止行為とリテラシーの義務、および透明性規則は2025年2月に施行されました。2025年8月には汎用モデル提供者の義務が課され、罰則制度が開始されました。2026年8月には、アンケックス3の利用ケースにおける高リスクルールと、記事50条の透明性規則が導入されました。2027年8月は、すでに規制されている製品に安全成分として組み込まれたAIや、古い汎用モデルを扱います。
注意すべき点は、欧州委員会が一部の高リスクの期限を調和された基準の準備状況に応じて延期することを提案していることです。しかし、計画を立てる際にはこれに頼らないようにしてください。禁止行為、リテラシー義務、透明性規則は、この議論には含まれず、現在中規模企業が違反する可能性が高いものです。
リストを作成し、ポリシーを策定しない
最初のタスクは在庫の把握であり、フレームワークの構築ではありません。あなたの会社で使用されているすべてのAIシステムをリストアップしてください。その中には、意図的に購入しなかったものも含まれます：応募者追跡システム内のCVランキング、クレジットや不正ツールでのスコアリング、財務チームが先月導入したアシスタント、ウェブサイト上のチャットボットなどです。購入したSaaSに隠れたシャドウAIが実際の分類リスクを秘めていることに注意してください。各エントリにビジネス上の担当者を割り当て、IT部門ではなくビジネス部門の責任者として管理してください。
次に、それぞれのシステムを分類します。禁止行為は稀ではありませんが、珍しいものでもありません—職場での感情推論は完全に禁止されており、いくつかのHRやウェルネスツールがこの機能を提供しています。アンケックス3の高リスクには、採用と労働者管理、個人の信用評価、教育、必須サービスのアクセスが含まれます。透明性義務はチャットボット、合成メディア、AI生成テキストに適用され、公衆に対して情報公開のために使用されます。リストの大部分は、通常の中規模企業では最小リスクのものとなります。
高リスクカテゴリに該当する場合
デプロイメント組織として、以下の義務を遵守する必要があります：
- 提供者の指示に従ってシステムを使用し、それらを保管してください。
- システムを上手く制御できる権限と訓練を持ち、必要に応じてシステムをオーバーライドできる人間に割り当ててください。
- 入力データが意図された目的に関連性と代表性を持つようにしてください。
- 自動生成ログは少なくとも6ヶ月間保管してください。
- 従業員やその代表者にシステムの実行前に通知し、必要に応じて説明を提供してください。
- システムが意思決定に影響を与える場合、影響を受けた個人に通知し、要求があれば説明してください。
これは管理タスクであり、エンジニアリングプログラムではありません。
気づかぬうちに越えてしまう線
記事25条は、デプロイメント組織を提供者（完全なコンプライアンス義務を含む）に変える可能性があります。あなたの会社が自分の名前や商標をシステムに追加したり、それを大幅に修正したり、汎用システムを高リスク用途に再利用したりする場合です。採用履歴を微調整して候補者スクリーニングに使用すれば、その線は越されてしまいます。内部構築物がある場合は、出荷前にこの点を確認し、ベンダーから適合性宣言書、使用方法の指示、および必要なログ記録の保持を求めるようにしてください。
リスクと次のステップ
禁止行為は最大3500万ユーロまたはグローバル売上の7%の罰金が課せられます。ほとんどの他の違反は最大1500万ユーロまたは3%、中小企業はどちらか低い方の金額となります。中規模企業にとって現実的なリスクは、見出しになるような罰金ではなく、規制者、監査人、顧客から質問を浴びることになる可能性です。
この問題に1四半期を費やし、在庫を作成し、分類し、透明性のギャップを埋め、トレーニングログを記録してください。分類が本当に曖昧な場合は、この分野の専門家に相談することを検討してください—クライアントから問い合わせがあるときに取り組む部分です。