用語集
更新日
AIコンプライアンスの対象範囲は？
AIコンプライアンスは、ガバナンスのうち、規制当局、監査人、顧客、裁判所といった組織外の相手に対して説明責任を負う部分です。EU AI ActのようにAIを対象に作られた法律に加え、データ保護、消費者保護、雇用、差別禁止に関する法律など、AIの利用にも適用される既存の法律も対象になります。さらに、企業が自ら準拠や認証取得を選ぶ標準や、顧客が契約に盛り込む条件も含まれます。
多くの企業に適用されるルールは？
事業を展開する地域と、AIの用途によって異なります。EUでは、EU AI Actの禁止行為とAIリテラシー義務が2025年2月2日から、第50条に基づく透明性義務が2026年8月2日から適用されており、附属書IIIに掲げられた用途に対する高リスク義務は2027年12月2日から適用されます。AIが個人データを処理する場合は、常に一般データ保護規則（GDPR）が適用されます。
米国では、州法に優先する包括的な連邦AI法は成立しておらず、各州が独自に動いています。ニューヨーク市のLocal Law 144はAI採用ツールのバイアス監査を義務付け、テキサス州のTRAIGAはすでに施行されており、コロラド州のSB 26-189は2027年1月1日から適用されます。銀行は、米国のSR 26-2や英国のPRA SS1/23といった業界別のガイダンスにも対応する必要があります。
ISO/IEC 42001やNIST AI RMFなどの標準は任意ですが、それでも法的な意味を持つ場合があります。テキサス州のTRAIGAは、NISTの生成AIプロファイルへの実質的な準拠を、責任を免れるための条件の1つとしています。州ごとのルールは、米国の州AI法に関するガイドで詳しく解説しています。
コンプライアンスとガバナンスの違いは？
AIガバナンスは、組織がどのAIをどのような条件で使うかを決める仕組みです。コンプライアンスは、その判断に用いる要素の1つであり、判断がもたらす結果の1つでもあります。法的に問題がなくても、導入すべきでないシステムはあります。また、優れたガバナンスプロセスがあれば、規制当局が求めるエビデンスが後から作り直されるのではなく、意思決定の過程で生まれるため、コンプライアンス対応も容易になります。
コンプライアンスを証明するには？
規制当局や監査人はエビデンスを求めます。AIシステムごとに、通常は次の4つが必要です。そのシステムが何であり誰がオーナーかを示す記録、どのルールが適用されるかを示す分類、各ルールが求めるコントロールとそれぞれのオーナーおよびエビデンス、そして誰かが結果をレビューしたことを示す承認の記録です。同じエビデンスで複数の規制に対応できることも多いため、フレームワーク間でコントロールを対応付けておけば、同じ作業を繰り返さずに済みます。コンプライアンス・フレームワークは、各法律や標準を、担当者を割り当てられるコントロールの一覧に落とし込むものです。
Enzaiでは、EU AI ActやISO 42001などのフレームワークを、各AIシステムに対するアセスメントとして実施します。システムの分類によって表示されるコントロールが決まり、アセスメントが完了するまでに、各コントロールにオーナー、期限、エビデンスが設定されます。既成のフレームワークがない法律についても、独自のフレームワークを作成できます。コンプライアンスを判断するのは監査人や規制当局であり、Enzaiはその記録を保持します。詳しくはAIリスクとコンプライアンスをご覧ください。
例
アイルランドとコロラド州で医療保険を販売する保険会社が、ベンダーのモデルを保険料の設定に活用しています。アイルランドでは、EU AI Actの附属書IIIに該当する高リスクAIシステムの導入者にあたるため、2027年12月2日までに、研修を受けた担当者による監視、ログの保存、基本権影響評価を実施する計画を立てています。コロラド州では、保険に関する判断が2027年1月1日からSB 26-189の対象となるため、同社の法務部門がこの法律で必要となる通知と記録を整理しています。同社は両方の義務を1つのコントロール一覧で管理し、それぞれにオーナーとエビデンスを設定しているため、レビュー担当者はこのモデルに関するすべての義務を一か所で確認できます。