EU AI法が施行されました: AI導入企業が整備すべき事項

AIがEU内のいかなるユーザーにも提供される場合、あなたがどこに拠点を置いていようとも、EU AI法はあなたに適用されます。そしてそれはテクノロジー規制で最も厳しいペナルティを伴っています: 最大€35M、またはグローバル売上高の7%で、GDPRより高くなります。汎用AI (GPAI) 義務は2025年8月から適用され、透明性義務は2026年8月から適用されています。Annex III システムの高リスク義務は2026年5月のDigital Omnibus合意の下、2027年12月に延期されました: これは期限についての猶予であり、規制の基本的な方向性についての猶予ではありません。

本法はあなたがどこに拠点を置いていようとも、EUユーザーに提供されるあらゆるAIに適用されます。ゼロから適合性評価の準備を整えるには6～12か月要する可能性があるため、「後で対応する」というアプローチは既に次の期限に遅れています。

リスク分類がすべてを決定する

本法はシステムをリスク別に分類します: 禁止される行為 (2025年2月から禁止)、高リスクシステム (コンプライアンス要件が重い)、透明性義務を伴う限定リスクシステム、最小リスク。ほとんどのエンタープライズデプロイメントは透明性または高リスクに分類されます。高リスクの使用事例を限定リスクに誤分類することは高くつく間違いです。リスク管理から人間による監視、ログ記録に至るまで、その義務は監査の1週間前に改造できるものではないからです。

実装に必要とされること

準備とは政策文書ではありません。これはシステムに組み込まれた一連の機能であり、その大部分はAIデプロイメントを最初から信頼できるものにするために必要な要件と一致しています。

• デプロイまたは組み込むあらゆるAIシステムのインベントリとリスク分類。常に最新に保つこと。
• データガバナンス、ログ記録、追跡可能性。良質なエージェントが必要とするのと同じ監査証跡。
• 人間による監視をシステム設計に組み込む。介入・停止の能力を文書化すること。
• 透明性。ユーザーはAIと対話していることを知らされ、AI生成コンテンツは開示される。

HOWFの立場

当社はデフォルトでより厳格な基準に準拠して構築します。AI法が要求するコントロール (分類、ログ記録、人間による監視、透明性) は、AIシステムを本番運用に保つために必要なコントロールと同じものだからです。最初のコミットから設計に組み込めば、コンプライアンス確認は実行可能なレポートとなり、資金調達が必要なリビルドではなくなります。規制当局にも顧客にも防御可能なAIデプロイメントをエンタープライズが実現するのを支援しています。