EU AI法適合性評価

EU AI 法（EU AI Act）の適合性評価とは

EU AI法は、欧州連合（EU）における人工知能（AI）に対して、リスクベースの規制フレームワークを導入するものです。AIシステム、その使用目的、関与する組織の役割によって、適用されるコンプライアンス義務は異なります。リスク管理、データガバナンス、技術文書、透明性、人による監督、精度、ロバスト性、市場投入後モニタリングなどが求められる場合があります。

多くの組織にとっての課題は、どの義務が適用されるかを理解することだけではありません。適切なプロセス、文書、内部統制が整備されていることを示す必要があります。

テュフズードのEU AI法適合性評価サービスは、定義された評価範囲において、AIシステムが関連するEU AI法の要求事項に沿っているかを評価するサービスです。文書、ガバナンスプロセス、関連エビデンスを体系的にレビューすることで、組織の現在の準備状況の把握、ギャップの特定、コンプライアンス対応準備の強化を支援します。

なぜ今、EU AI法への対応準備が重要なのか

EU AI法は段階的に導入されるため、組織はすべての要件に一度に対応するのではなく、時期ごとに異なる要求事項へ計画的に対応する必要があります。主要な義務がいつ適用されるのかを理解することは、評価計画、文書の強化、ギャップ対応を進めるうえで重要です。これにより、ギャップがビジネスリスクやコンプライアンスリスクになる前に対応できます。

• 2024年8月1日：EU AI法が発効し、EUにおけるAIの法的枠組みが確立されました。
• 2025年2月2日：禁止されるAI行為に関する規則、およびAIリテラシーに関する義務の適用が開始されました。
• 2025年8月2日：ガバナンス規則、および汎用AIモデルに関する義務が適用されました。
• 2026年8月2日：透明性義務をはじめとして、本法が原則として全面適用されます。
• 2026年12月2日：AIオムニバス改定により市場投入済みの生成AIに対して移行期間が設けられていたマーキング対応の義務が開始になります。
• 2027年12月2日：AIオムニバス改定により延期されていた高リスクAIシステムに関する義務が適用されます。
• 2028年8月2日：AIオムニバス改定により延期されていた規制対象製品に組み込まれる一部の高リスクAIシステムについての義務が適用されます。

テュフズードが評価する内容

テュフズードのサービスは、規制に関する知見と体系的な技術評価を組み合わせたものです。具体的な評価範囲は、AIシステム、使用目的、組織の役割、評価目的によって異なりますが、主に以下の領域が対象となります。

適用されるEU AI法の要求事項
定義された評価範囲に合わせ、EU AI法の関連条項および補足参照資料から導き出した評価基準。

ガバナンスおよび品質関連の内部統制
評価範囲に含まれるAIシステムに関連する役割、責任、方針、手順、内部統制のレビュー。

技術文書およびエビデンス
定義された評価範囲における整合性を示すために必要な技術文書、関連記録、その他の利用可能なエビデンスのレビュー。

リスクおよびギャップ分析
不足している内部統制、文書上のギャップ、不明確な責任範囲、その他対応が必要な領域の特定。

監査およびエビデンスレビュー
定義されたプロトコルやチェックリストを用いた体系的なレビューにより、文書化された対策が利用可能なエビデンスによって裏付けられているかを評価。

評価レポートおよび適合性評価証明
評価範囲、評価手法、評価結果をまとめた文書化されたレポート。定義された基準を満たした場合には、適合性評価証明（Attestation of Conformity）を発行。

注意事項：テュフズードの適合性評価証明（Attestation of Conformity）は、定義された評価範囲に基づく任意の評価結果です。EU AI法における提供者、製造者、導入者、その他の責任主体が負う法的義務に代わるものではありません。また、EU適合宣言（EU Declaration of Conformity）に代わるものでもなく、それ自体でCEマーキングを可能にするものでもありません。規制上の責任は、引き続き該当する経済事業者にあります。EU AI法においてノーティファイドボディが関与する正式な適合性評価ルートが求められる場合、それらのルートはEU AI法および適用される手続きに従います。

適合性評価の実施プロセス

テュフズードは、定義された評価範囲において、AIシステムを関連するEU AI法の要求事項に照らして体系的に評価します。