1. AIのリスクは「使い方」で変わります
EU AI Actを理解する上で重要なのは、「AIを使っているかどうか」ではなく、「そのAIを何に使っているか」です。
AIが文章作成補助や社内検索の効率化に使われている場合と、人の採用、昇進、信用評価、教育機会、保険料、医療判断、安全関連製品の制御に使われている場合では、社会的影響も求められる管理水準も大きく異なります。
そのため、企業はAIを単なるITツールとしてではなく、利用目的と影響範囲を含めて管理する必要があります。
2. EU AI Actにおける高リスクAI
EU AI Actは、AIシステムをリスクに応じて分類しています。 その中でも、日本企業が特に注意すべきなのが高リスクAIです。
高リスクAIに該当する場合、提供者には、リスク管理、データガバナンス、技術文書、記録保持、透明性、人による監督、正確性、堅牢性、サイバーセキュリティなど、多くの要求事項が課されます。
また、AIを利用する側にも義務があります。 利用説明書に従ってAIを使用すること、適切な力量を持つ人による監督を行うこと、入力データの妥当性を確認すること、重大なリスクやインシデントを把握した場合に必要な対応を行うことなどが求められます。
2. 採用・人事領域のAIは特に注意が必要です
日本企業にとって分かりやすい例は、採用・人事領域です。
応募者のスクリーニング、履歴書の自動評価、面接結果の分析、従業員の評価、配置、昇進判断などにAIを使用する場合、そのAIがEUで利用される、又はEUの人材に影響する場合には、高リスクAIとして検討が必要になる可能性があります。
AIによる人事判断は、候補者や従業員の将来に大きな影響を与えます。 そのため、企業には、AIの判断をそのまま受け入れるのではなく、判断プロセス、データの妥当性、バイアス、人による確認、異議申立てへの対応などを管理する姿勢が求められます。
3. 製造業にも影響があります
EU AI Actは、ソフトウェア企業やAIベンダーだけの問題ではありません。製造業にも大きく関係します。
EU AI Actは、既存のEU製品安全法令とも接続しています。 機械、玩具、リフト、ATEX機器、無線機器、圧力機器、個人用保護具、ガス機器、医療機器など、EU整合法令の対象となる製品にAIが安全部品又は安全関連機能として組み込まれる場合、AI Act上の要求事項との関係を確認する必要があります。
たとえば、画像認識AIを使った検査装置、AIによる異常検知機能を備えた産業機械、AIが制御判断に関与する安全関連システム、AIを組み込んだ医療機器などでは、AIの性能だけでなく、リスク管理、データの妥当性、誤判定時の影響、人による監督、変更管理、記録保持が問われる可能性があります。
4. EU向けビジネスではサプライチェーン対応も重要です
EU AI Actの影響は、直接EU市場にAIシステムを提供する企業だけに限られません。
EU企業のサプライチェーンに入っている日本企業は、顧客からAIに関する情報提供を求められる可能性があります。 たとえば、AIを組み込んだ部品、ソフトウェア、検査機能、データ処理機能を提供している場合、顧客側がEU AI Act対応を行うために、技術文書、リスク管理、データ管理、ログ、変更管理、透明性に関する情報を求めることが考えられます。
そのため、自社が直接EU AI Actの義務主体になるかどうかだけでなく、取引先から説明を求められる可能性にも備える必要があります。
5. 適用時期を待ってからでは遅い可能性があります
EU AI Actは段階的に適用が開始されています。
禁止AIに関する一部規定は2025年から、汎用AIに関する義務も2025年から適用が始まっています。また、AI Actの大部分は2026年8月から適用されます。 一部の高リスクAIについては2027年8月からの適用が予定されています。
しかし、AI Actへの対応を適用日直前の法務対応として考えるのは危険です。
高リスクAIへの対応には、技術文書、リスク評価、データ管理、品質管理、利用者への情報提供、監視、インシデント対応など、組織横断的な準備が必要です。 開発部門、法務部門、品質保証部門、情報セキュリティ部門、営業部門、経営層が連携しなければ、実効性のある対応は困難です。
6. AIガバナンスを仕組みとして整備する必要があります
高リスクAIへの対応で重要なのは、個別案件ごとの場当たり的な対応ではありません。
これらを組織として管理する仕組みが必要です。
7. ISO/IEC 42001でAIリスクを組織的に管理する
AIガバナンスを一時的なプロジェクトではなく、マネジメントシステムとして運用するための国際規格が、ISO/IEC 42001です。
ISO/IEC 42001は、AIに関する方針、役割と責任、リスクと機会、影響評価、運用管理、パフォーマンス評価、内部監査、マネジメントレビュー、継続的改善を組織的に扱うための枠組みを提供します。
ISO/IEC 42001認証は、EU AI Actへの完全な法令適合を自動的に証明するものではありません。しかし、AIに関する説明責任、リスク管理、継続的改善を社内に定着させる上で、非常に有効な土台になります。
Nemko Japanでは、ISO/IEC 42001認証に加え、AI Trust関連サービスとして、AIリスクアセスメント、AIシステムインパクトアセスメント、EU AI Actを見据えたギャップ確認、AIガバナンス体制の整備に関するご相談を承っています。
AIを使うこと自体は、もはや珍しいことではありません。
これから問われるのは、AIを安全に、説明可能に、継続的に管理できる組織であるかどうかです。
AIを事業成長に活かしながら、顧客や社会から信頼される仕組みを整備したい企業様は、ぜひNemko Japanにご相談ください。
ご相談は、Nemko Japan (japan@nemko.com)までご連絡ください。