# EU AI法: 高リスクAIシステムの適合期限は2027年8月

> EU AI法では、付属書IIIに分類される高リスクAIシステムは、2027年8月2日までに完全に適合する必要があります。これには、リスク管理、データガバナンス、および人間による監視のための強固な枠組みが求められます。

Source: https://loopbackup.com/ja/blog/eu-ai-act-high-risk-deadline-august-2027
Publisher: Loop Backup
Content language: ja

---

## 概要

*   **期限:** 2027年8月2日
*   **対象者:** EU AI法の付属書IIIで「高リスク」に分類されるAIシステムの提供者、導入者、輸入者、および流通業者。
*   **要求事項:** データガバナンスからリスク管理、上市後の監視まで、ライフサイクル全体をカバーする高リスクシステムに対する必須要件への完全な適合。
*   **主な義務:** リスク管理システムの導入、高品質なデータガバナンスの確保、広範な技術文書の作成、強固な人間による監視の実現、高いレベルの正確性とサイバーセキュリティの確保。
*   **公共部門の義務:** 公共機関である導入者は、高リスクシステムを導入する前に、基本的人権影響評価（FRIA）を実施し、公開する必要があります。

## EU AI法: 新たな規制の枠組み

欧州連合の人工知能法は、AIシステムに対する包括的な法的枠組みを確立する画期的な法律です。2024年初頭に最終化されたこの法律は、リスクベースのアプローチを採用し、AIシステムを4つの階層に分類しています。許容できないリスク（禁止）、高リスク、限定的リスク（透明性義務の対象）、および最小限のリスク（規制対象外）です。

この規制の全面適用は数年かけて段階的に行われますが、重要な期限が迫っています。2027年8月2日までに、**高リスク**カテゴリーに該当するすべてのAIシステムは、法律の厳格な要件に完全に適合しなければなりません。この期限は、施行から36か月後の規制の主要な横断的適用日と一致しています。

重要な分野でAIを開発または導入している組織にとって、これは遠い問題ではありません。**AIコンプライアンス2027**への道のりには、かなりの準備期間、戦略的計画、および詳細な技術的実装が必要です。土壇場まで待つことは選択肢になりません。

## あなたのAIシステムは「高リスク」ですか？付属書IIIのカテゴリー

AIシステムは、他のEU法（付属書IIに記載）で規制される製品の安全構成要素である場合、または**付属書III**に記載されている8つの特定のユースケースカテゴリーのいずれかに該当する場合に、高リスクと分類されます。広範な組織にとって慎重な注意が必要なのは、この後者のグループです。

### 付属書IIIの8つの高リスクカテゴリー

以下の文脈で使用されるシステムは、AI法によって高リスクと推定されます。

1.  **生体認証および分類:** リモート生体認証システムと、機密性の高い特性に基づいて人を分類するシステムの両方が含まれます。
2.  **重要インフラの管理と運用:** 例えば、水、ガス、暖房、電力供給を制御するシステム、デジタルインフラ、道路交通など。
3.  **教育と職業訓練:** 教育機関へのアクセスを決定したり、学習成果を評価したり、個人をプログラムに割り当てたりするために使用されるAI。
4.  **雇用、労働者管理、および自営業へのアクセス:** 採用（例: 履歴書選別）、昇進や解雇の決定、労働者のパフォーマンス監視などに使用されるシステム。
5.  **必須の私的および公共のサービスと給付へのアクセスと享受:** 信用申請の信用スコアリングやリスク評価に使用されるAI、および公的扶助の資格を評価するシステムが含まれます。
6.  **法執行:** 犯罪行為を行うリスクを評価したり、証拠の信頼性を評価したり、犯罪分析を行ったりするために使用されるシステム。
7.  **移民、亡命、および国境管理:** リスク評価、旅行書類の検証、亡命申請の審査などに使用されるAI。
8.  **司法行政および民主的プロセス:** 事実と法律を調査および解釈することにより、司法当局を支援することを目的としたシステム。

これらの目的のいずれかのためにAIシステムを開発または使用している場合、完全な適合に備える必要があります。

## 適合への道: 中核的な要件

2027年8月までにコンプライアンスを達成するには、高リスクシステムに対する一連の必須義務を中心とした多角的なアプローチが必要です。これらは法律の第2章で詳しく説明されています。

### AI適合性評価

システムを市場に出す前に、提供者は**AI適合性評価**を受けなければなりません。ほとんどの**付属書III**システムの場合、これは要件に対する内部評価（自己評価）となります。ただし、提供者が関連する調和規格（EUによって発行された場合）を適用していない場合、Notified Bodyを含む第三者適合性評価が必要となります。

満たすべき中核的な要件は次のとおりです。

#### 1. リスク管理システム（第9条）
提供者は、継続的なリスク管理システムを確立、実施、文書化、および維持しなければなりません。このプロセスは、AIシステムのライフサイクル全体にわたって実行されなければなりません。これには、AIが健康、安全、または基本的人権に与える可能性のある既知および予見可能なリスクを特定、分析、評価することが含まれます。また、適切なリスク管理措置の採用も求められます。

#### 2. データとデータガバナンス（第10条）
これは最もデータ集約的な要件の1つです。トレーニング、検証、およびテストデータセットは、厳格な品質基準を満たす必要があります。これには、データが関連性があり、代表的であり、可能な限りエラーやバイアスがないことを保証することが含まれます。提供者は、データ出所文書化を含む適切なデータガバナンスおよび管理慣行を持っている必要があります。これらのデータセットの完全性と回復力は最重要です。**[Loop Backup](/)**が提供するような堅牢で安全なバックアップソリューションを活用することは、この重要なコンプライアセットを損失や破損から保護するために不可欠です。

#### 3. 技術文書（第11条）
提供者は、システムが市場に出される*前*に、広範な技術文書を作成し、維持しなければなりません。この文書は、AIシステムがすべての高リスク要件に準拠していることを示すものでなければなりません。国家管轄当局がコンプライアンスを評価するのに十分な詳細さであり、システムの目的、中核コンポーネント、ロジック、データ、および事前に決定された変更に関する情報を含める必要があります。

#### 4. 記録保持（第12条）
高リスクシステムは、稼働中にイベントログを自動的に生成するように設計されなければなりません。これらのログは、安全で追跡可能であり、改ざん防止でなければなりません。目標は、上市後の監視やインシデント調査に不可欠な、システムのライフサイクル全体にわたる機能の追跡可能性のレベルを確保することです。これらのログの適切な保持と保護は、多くの場合厳格な保持スケジュールに従う必要があり、データ管理戦略の重要な考慮事項です。

#### 5. 透明性と情報の提供（第13条）
システムは、導入者（ユーザー）がシステムの出力を解釈し、適切に使用できるように設計されなければなりません。提供者は、使用のための包括的で明確な指示を提供しなければなりません。この情報には、システムのID、意図された目的、正確性のレベル、人間による監視の役割、および全体的な機能と制限が含まれなければなりません。

#### 6. 人間による監視（第14条）
これは法律の基本的な原則です。高リスクシステムは、人間による効果的な監視を可能にする方法で設計および開発されなければなりません。これには、人がシステムの機能を理解し、意図しない動作をしたり、リスクをもたらしたりした場合に、システムに介入、上書き、または停止できるようにする措置を実装することが含まれます。

#### 7. 正確性、堅牢性、およびサイバーセキュリティ（第15条）
AIシステムは、適切なレベルの正確性、堅牢性、およびサイバーセキュリティを達成しなければなりません。システム内またはシステムが動作する環境で発生する可能性のあるエラー、障害、または矛盾に対して耐性がある必要があります。また、その使用またはパフォーマンスを変更しようとする悪意のある試みに対しても耐性がある必要があります。

## リリース後: 上市後の監視とFRIA

製品が市場に出た後もコンプライアンスは終わりません。

### 上市後の監視
提供者は、上市後の監視システムを実装する義務があります（第72条）。このシステムは、高リスクAIシステムからそのライフサイクル全体にわたってパフォーマンスデータをプロアクティブに収集および分析します。目標は、コンプライアンスを継続的に検証し、新たなリスクを特定することであり、関連当局に重大なインシデントを報告する義務があります。

### 基本的人権影響評価（FRIA）
公共機関（またはその代理として行動する民間機関）である導入者にとって、この法律は特定の重要なステップ、すなわち**FRIA**（第29a条）を導入しています。高リスクAIシステムを使用する前に、これらの組織は以下を評価する影響評価を実施しなければなりません。

*   導入の特定の文脈と目的。
*   基本的人権、特に影響を受けるグループに対する潜在的な影響。
*   特定されたリスクを軽減するために講じられる措置。

FRIAの要約は公開され、公衆の透明性が確保されます。

## アクションチェックリスト: 2027年期限への準備

**EU AI法高リスク**システムに対する2027年8月2日の期限は、即座の行動を求めています。要件の複雑さと深さから、「様子見」のアプローチは不適合につながります。ここに、旅を始めるためのチェックリストを示します。

*   **AIシステムインベントリの実施:** 現在開発、導入、または調達しているすべてのAIシステムを特定し、マッピングします。それらの目的、ステータス、およびデータソースを追跡するための中央登録を作成します。
*   **高リスク分類の実行:** インベントリ上の各システムについて、付属書IIIの高リスクカテゴリーに該当するかどうかを判断するための正式な評価を実施します。分類の根拠を文書化します。
*   **要件に対するギャップ分析:** 現在の開発およびガバナンスの慣行を、中核的な要件（リスク管理、データガバナンス、透明性など）と比較し、コンプライアンスギャップを特定して優先順位を付けます。
*   **リスク管理フレームワークの確立:** 第9条で指定されているように、AIシステムに対する継続的で文書化されたリスク管理プロセスを実装します。これは一度きりのタスクではなく、永続的なプロセスです。
*   **データガバナンスと出所のレビュー:** すべてのトレーニング、検証、およびテストデータセットを精査します。データの品質を管理し、バイアスを排除し、データ資産の完全性と出所を確保するための堅牢な手順を導入します。
*   **技術文書の作成開始:** 2027年まで待たないでください。第11条で要求される広範な技術文書の作成を今すぐ開始してください。これは、複数のチームからのインプットを必要とする重要な作業です。
*   **人間による監視とFRIAの計画:** 各システムに明確で効果的な人間による監視メカニズムを設計します。公共機関である場合、または公共機関へのサプライヤーである場合は、基本的人権影響評価（FRIA）を実施するプロセスを検討し始めます。

## 結論: 今すぐ行動する時

2027年8月の期限は遠いように見えるかもしれませんが、コンプライアンスのための土台は今日築かれる必要があります。EU AI法への適合は、単なる法的ハードルではありません。それは、信頼できる、倫理的で、堅牢なAIへのコミットメントを示す戦略的な必須事項です。今すぐ始めることで、組織は規制コンプライアンスの課題を競争上の優位性に変え、回復力のあるシステムを構築し、顧客と規制当局の信頼を得ることができます。