情報管理技術士 学習ノート
← 一覧へ
AI・データ
#EU AI Act#인공지능 규제#AI 거버넌스#위험기반#고위험 AI#GPAI#투명성
最終更新 · 2026-09-28

EU AI Actに基づくAIリスク分類とコンプライアンス設計

1. 概要

A. 定義

EU AI Actとは、AIシステムを利用目的と影響に基づくリスクで分類し、禁止行為、透明性、汎用AI、高リスクシステムに段階的な義務を課す欧州連合の規制枠組みである。

この法律の要点は、すべてのAIを一律に禁止することではない。 安全・健康・基本権への影響と自律性を考慮し、リスクが高いほど事前評価、記録、人間の監督、事後監視を強くする。 技術士はAIの一覧を作り、提供者、配備者、所有者、運用者、証拠の責任を実際の権限に結び付ける必要がある。 EU域外の企業でも、EU域内へシステムや出力を提供し、またはEU域内で結果を利用する場合は影響を検討する。 適用範囲と例外は提供形態、役割、研究目的などに依存するため、最新の法令と法律専門家の確認が必要である。

2. リスクベースの構造

実務では、禁止される慣行、透明性リスク、高リスクシステム、汎用AIモデル、最小リスクに分けて整理する。 高リスクでは品質管理、技術文書、ログ、人間の監督、正確性、強靭性、サイバーセキュリティをライフサイクルに組み込む。

flowchart TB
  A[利用目的と影響分析] --> B{リスク分類}
  B -->|禁止| C[提供・利用を停止]
  B -->|透明性| D[AI対話・合成物を表示]
  B -->|高リスク| E[品質・文書・人間監督]
  B -->|汎用AI| F[モデル文書・著作権・評価]
  B -->|最小| G[自主的・一般統制]
  E --> H[評価・登録・監視]
  F --> H

高リスクでないことは、統制が不要という意味ではない。 個人情報、セキュリティ、著作権、偏り、安全に関する法令・契約・内部規程を継続して適用する。 分類はモデル名よりも目的、対象者、決定への影響、利用環境で判断する。

3. 役割とライフサイクル

提供者、配備者、輸入者、流通者、製品製造者、権限ある代理人を、組織図だけでなく契約と権限に対応させる。 外部モデルをAPIで利用しても、業務の目的と最終結果を管理する組織の責任が消えるわけではない。

flowchart LR
  P[モデル提供者] --> Q[文書・評価・品質]
  Q --> R[輸入者・流通者]
  R --> U[配備者・運用者]
  U --> V[利用者・影響を受ける人]
  U --> W[ログ・事故・苦情]
  W --> X[是正と提供者への反馈]
  X --> Q

高リスクの管理は目的、影響を受ける集団、誤用、残余リスク、緩和策から始まる。 データガバナンスでは出所、目的、ラベル、代表性、誤り、権利、保存期間を記録する。 技術文書には構成、データ、学習、検証、性能、制限、リスク、変更履歴を含める。 ログはモデル版、政策版、利用者、人間の介入、エラーを結び付けるが、個人情報は最小化する。 人間の監督とは、訓練された担当者が結果を疑い、停止し、代替手順へ切り替えられることである。

4. 準拠アーキテクチャ

法務文書だけでなく、製品開発と運用パイプラインに統制を組み込む。 AIカタログがモデル、データ、プロンプト、ツール、利用目的を識別し、リスクサービスが役割と影響を評価する。 政策エンジンが禁止機能を止め、検証ゲートがリリース前の証拠と承認者を確認する。

flowchart TB
  A[AIカタログ] --> B[リスク・役割評価]
  B --> C[政策・禁止利用ガード]
  C --> D[データ・モデル検証]
  D --> E[承認・適合証拠]
  E --> F[段階的リリース]
  F --> G[ログ・品質・公平性監視]
  G --> H{事故または変更}
  H -->|いいえ| G
  H -->|はい| I[停止・是正・報告・再評価]
  I --> B

5. 比較・事例・深化

個人情報影響評価は権利と比例性を扱い、情報セキュリティ管理は資産、脅威、統制を扱う。 AI影響評価は目的、モデル性能、公平性、説明、人間の監督、救済を加える。 採用推薦では集団別の誤りと推薦率、過去の偏り、再審査を確認する。 顧客サービスの生成AIでは承認済み知識ベース、AI表示、モデル版と検索版の記録、危険な質問の人間転送を実装する。

2026年9月時点でも適用時期と移行規定は改正・公式ガイダンスで変わり得る。 答案では日付の暗記より、公式文書を確認する責任者、変更を要求・テスト・契約へ追跡する仕組みを示す。

6. 考慮事項と示唆

  1. 法令変更を要求、テスト、政策、契約へ追跡する担当を置く。
  2. 低リスクは自動化し、高リスクは独立検証と人間の決定を集中する。
  3. モデル、プロンプト、検索索引、政策、供給者の更新を変更として再評価する。
  4. 平均精度とともに集団別誤り、救済、プライバシー、安全を測定する。
  5. マスキング、暗号化、アクセス記録、保存期限で証拠データを最小化する。
  6. 停止、ロールバック、手動代替、異議申立てを事故前に訓練する。

参考資料

一言まとめ: EU AI Act対応はAI利用をリスクと役割で分類し、データ、モデル、人間の監督、証拠、事故対応をライフサイクルでつなぐことである。