EU AI Act：すでに発効している義務と、これから残っているもの

EU AI法は単一の出来事として扱われることが多いが、実際はそうではない。本規制は2024年8月1日に発効し、その後段階的に適用範囲を拡大し、異なる対象者に向けた義務を段階的に導入している。適用時期を把握すれば、現在自社に影響があるかどうかを迅速に判断できる。

段階的な適用スケジュール

※適用にあたっては、移行規定で既存市場のシステムと新規システムが異なる扱いになる点、および規制のスケジュールは政治的議論の対象となり、実施細則・標準化・ガイダンスが随時追加される可能性がある。最新情報は欧州委員会の実装ページを参照し、この要約に記載された内容だけに依存しないようにすることが重要である。

4つのリスク階層

許容できないリスク — 禁止 公的機関による社会スコアリング、行動を著しく歪める操作的手法、有害をもたらす可能性がある行為、無差別的に顔画像を取得して認識データベースを構築する手法、職場や学校での感情推定、法執行目的での公共空間における実時間遠隔生体認証（限定的な例外を除く）。

高リスク — 許容だが条件付き 2つのルートがある：Annex IIIに列記されるAI（バイオメトリクス、重要インフラ、教育・雇用、公共・私的サービス、法執行、移民、司法、その他）または、既にEU法で規制されている製品の安全コンポーネントとして機能するAI。 高リスクシステムはリスク管理体制、データガバナンス、技術文書、ログ記録、人間の監視、精度・サイバーセgurity対策、適合性評価、登録を必要とする。

限定リスク — 透明性 ユーザーにAIとの対話であることを伝える義務がある（ただしそれが明らかであれば除く）。合成画像・音声・映像は機-readable方式で表示し、ディープフェイクは明示する必要がある。この層は日常的な製品に多く当てはまり、消費者向けチームが過小評価ししがちである。

低リスク 上記以外のすべて。義務は課されない。

汎用モデルは別トラック

GPAIプロバイダーは別途の義務を負う：技術文書の作成、下流プロバイダーへの情報提供、EU著作権法遵守のための方針、訓練データの詳細な公開要約。 システムリスクと評価されたモデルには、モデル評価・対抗的テスト・インシデント報告・サイバーセgurity対策などの追加義務が課される。

欧州委員会の汎用AIコード・オブ・プラクティスが、この層の適合性を示す手段として位置付けられている。形式的には任意だが、このコードに署名すれば、別の証明手段を用いるよりも行政的負担が軽減される。

汎用モデルを基盤に構築する場合、ベースモデル側が必要な文書を提供しなければ、 downstream の適合性に抜けが生じる。調達段階で確認すべき課題である。

役割は組織に付与される

本法は企業そのものではなく「役割」に基づいて義務を割り当てる。単一の組織が複数の役割を持つことが多い。

• プロバイダー — システムを開発する、または開発させ、独自の名称・商標で市場に投入する者。
• 導入者 — 自らの権限で業務上システムを使用する者。
• 輸入者・販売者 — 第三者システムをEU市場に投入する、または提供する者。

特に注意すべき点：導入者が自社ブランドで高リスクシステムを提供、または大幅に変更・目的転換した場合、規制上は「プロバイダー」扱いとなり、全高リスク義務を負うことになる。モデルの微調整を行い自社機能として提供する行為も、このケースに該当する。

次四半期に取るべき行動

多くの組織にとって最初の現実的なステップは在庫把握である。使用中のAI、提供元、決定内容、そして各システムにおける自社の役割