多くの組織はAIモデルを自ら開発していません。AIを購入・ライセンス取得するか、既に利用しているソフトウェアの中でAI機能を有効にしています。EU AI法（EU AI Act）では、これにより組織は「導入者（デプロイヤー）」に該当します。導入者とは、純粋に個人的で職業外の利用を除き、自らの権限の下でAIシステムを利用するすべての個人または組織を指します。
EU AI法は2024年8月1日に発効し、段階的に適用されます。導入者に対する義務の一部は既に適用されており、高リスクに関する規則も適用日が確定しています。次の6つのステップにより、認識の段階から説明可能な体制へと進めることができます。
1. AIインベントリを作成する
把握していないものは分類も管理もできません。まず、利用中のすべてのAIシステムを一覧化します。既存のSaaSツールに組み込まれたAI機能や、従業員が独自に使い始めたツールも含めてください。
- システム名、ベンダー、バージョン
- 業務上の責任者と技術上の責任者
- 目的と、支援する意思決定または業務プロセス
- 利用者と、出力の影響を受ける人
- 受け取るデータ、特に個人データ
2. システムごとに自社の役割を確認する
義務の内容は役割によって異なります。第三者のシステムを利用する場合、組織は導入者となります。システムを自ら開発する場合、または自社の名称で市場に投入する場合は、はるかに重い義務を負う提供者（プロバイダー）となります。第25条により、導入者が高リスクAIシステムについて提供者の義務を負うこともあります。具体的には、システムに自社の名称や商標を付した場合、実質的な変更を加えた場合、または意図された目的を変更して高リスクに該当するようになった場合です。システムごとに役割を記録し、ユースケースが変わった際には見直してください。
3. 禁止されるAIの実践を排除する
第5条の禁止規定は2025年2月2日から適用されています。違反には、最大3,500万ユーロまたは全世界年間売上高の7%のいずれか高い額の制裁金が科されます。各ユースケースを禁止事項のリストと照合してください。特に以下が該当します。
- 重大な損害をもたらす操作的・欺瞞的な手法、または脆弱性の悪用
- 不当または不均衡な取り扱いにつながるソーシャルスコアリング
- 職場または教育機関における感情認識（医療上または安全上の理由による場合を除く）
- 政治的意見や性的指向などのセンシティブな特性を推測するための生体情報による分類
- 顔認識データベースを構築するための、対象を限定しない顔画像のスクレイピング
- プロファイリングまたは人格的特性のみに基づく犯罪の予測
4. AIリテラシーを確保する
第4条も2025年2月2日から適用されています。AIオムニバスにより文言が改正され、提供者と導入者は、自らに代わってAIシステムを運用または利用する人のAIリテラシー向上を支援する措置を講じなければなりません。ただし、個々人について特定の水準を保証する必要はありません。実務上は、役割に応じた研修、明確な利用ルール、実施内容の記録が求められます。AIの利用を承認または監督する担当者には、時折利用するだけの従業員よりも深い理解が必要です。
5. 透明性義務に備える
第50条の透明性規則は2026年8月2日から適用されます。導入者は、感情認識システムまたは生体情報による分類システムの対象とする人に、その旨を通知しなければなりません。また、ディープフェイク、ならびに公共の利益に関わる事項について公衆に情報を提供する目的で公開される、AIにより生成または改変されたテキストについても開示が必要です。ただし、テキストが人によるレビューを経ており、編集上の責任を負う者がいる場合は除きます。顧客向けのチャットボットを自社で構築する場合は、その提供者に該当する可能性があり、利用者がAIと対話していることを認識できるようにしなければなりません。
6. 高リスクに関する義務に備える
AIオムニバス（規則（EU）2026/1744）は2026年7月27日に発効し、高リスクに関する期限を変更しました。採用・人事上の判断、教育、信用力評価、必要不可欠なサービスへのアクセスなど、附属書IIIに列挙された高リスクのユースケースに関する規則は、2027年12月2日から適用されます。附属書Iの対象となる製品に組み込まれたAIについては、2028年8月2日から適用されます。
高リスクAIシステムの導入者は、使用説明書に従ってシステムを利用し、適切な能力を持つ人に人による監視を割り当て、稼働状況を監視し、ログを保管し、従業員と影響を受ける人に通知し、場合によっては基本的権利影響評価を実施する必要があります。今のうちにインベントリ上で高リスクに該当しそうなユースケースを特定し、既存のGDPR（EU一般データ保護規則）に基づくデータ保護影響評価（DPIA）と連携させて取り組んでください。
Fidempliは、コンサルティングとプロフェッショナルサービスを通じてこれらのステップを支援します。2026年12月からは、Fidempli プラットフォームがインベントリ、事前分類、エビデンスの継続的な維持を支援します。