境界
複数のAI機能を持つ製品は、1つのシステムとも複数のシステムとも捉えられます。その答えによって、評価の対象が変わります。
リスク区分
ある用途が高リスクに当たるかは目的と利用状況で決まり、その線引きは必ずしも明確ではありません。
役割
AIの開発と利用では義務が異なり、ツールを新たな用途に使うと、自社の義務が変わることもあります。
共通点
並べて読むと、これらの規制が求める作業はほぼ同じです。NISTのフレームワークは、AIシステムのインベントリを求めています。EU1 AI Actは、高リスクAIシステムの導入者に対し、訓練を受けた監督者を任命し、ログを少なくとも6か月間保存することを求めています。テキサス州では、NISTの生成AIプロファイルに従うことが、責任を免れる要素として考慮されます。この作業を一度済ませれば、新しい規制ごとに加わるのは細部であり、新しいプログラムではありません。23
どの規制が自社に適用されますか？
AIがどこで使われ、何を判断し、自社が開発する側か利用する側かによって異なります。EU AI Actは、AIまたはその出力がEU域内で使われる場合、拠点の所在地にかかわらず適用され得ます。米国の多くの州法は、採用や融資など人に関する判断に使われるAIを対象としています。ISO 42001とNIST AI RMFは任意です。まずインベントリを作成し、次に各システムを分類してください。
規制が固まるまで待つべきですか？
一部の高リスク関連の対応は、EUの期限が2027年12月と2028年8月に延期されたため、待つのも妥当な場合があります。一方で、すでに適用されているものも多くあります。EUの禁止行為とAIリテラシー義務、そしてテキサス州、カリフォルニア州、ニューヨーク市の法律です。顧客も独自のタイミングでエビデンスを求めてきます。基盤となる作業はどの規制でもほぼ共通なので、今始めても無駄にはなりません。
ISO 42001認証でEU AI Actに対応できますか？
いいえ。認定を受けた認証機関が発行する認証書は、AIをどのように管理しているかを顧客やパートナーに示すものです。EU AI Actでは、適合性の推定は、EU官報に掲載された整合規格、またはEUの共通仕様から得られます。両者はリスク評価、役割、記録の面で重なるため、一つのプログラムで両方に対応できます。それでも、それぞれをその要件に照らして確認する必要があります。
Enzaiは複数のフレームワークにどう対応しますか？
各フレームワークは、インベントリ内のAIシステムに対する個別の評価として実行され、システムのリスクは一つのレジスターにまとめられます。EU AI ActやISO 42001などの既製フレームワークから始めることも、NIST AI RMFや州法向けに独自のフレームワークを構築することもできます。2つのフレームワークが同じ質問をする場合、一つの回答で両方に対応するかどうかはお客様のチームが判断します。
