EU人工知能（AI）法における主要な要件の概要と、コンプライアンスを達成するために必要な対応について解説します。
•
•
15 最小読了時間
2024年1月22日、欧州連合AI法（以下「AIA」）の最終草案が一般にリークされました。これにより、AIエコシステム全体に多くの新たな義務が課されることになり、不遵守に対しては高額な罰則が適用されるため、各組織は対策に着手する必要があります。
本ブログでは、貴社組織のコンプライアンスを確実に確保するために、考慮すべき主な重要事項を解説します。
主な義務
第16条では、ハイリスクAIシステムのプロバイダーに課される主要な義務を定めています。組織にとってのコンプライアンス義務の核心は、品質管理システムおよびリスク管理システムの構築、詳細な技術文書の作成と維持、そして適合性評価の実施にあります。本稿では、組織が講じるべき具体的な対策を迅速に把握できるよう、これらの要件を順を追って解説します。
本ブログで解説する義務への準拠という法的要件は、主にEUの「ハイリスク」の定義に合致するAIシステムに適用されますが、これに該当しないAIシステムであっても、ビジネスに重大なリスクを及ぼさないとは限りません（また、進化の過程で後にその定義に該当する可能性もあります）。AIAは、立法枠組みの特定の要件を組織が自主的に適用することを推奨しており、弊社としては、あらゆる形態のリスクを確実に管理するために、自主的な導入が合理的であると考えています。
EU AI法における品質管理システム（QMS）とは？
コンプライアンス達成への第一歩として、AI品質管理システム（以下「QMS」）の構築が挙げられます。QMSの目的は、AIがもたらすリスクに対して組織が万全の備えを行えるようにすることです。これは包括的なものであり、組織がAIをどのように扱うべきかを定めた方針、手順、および指示書という形で構築される必要があります。
QMSには、とりわけ以下の項目が含まれていなければなりません：
規制コンプライアンス戦略（AIシステムや規制の変更に対処するための計画や手順を含めることが極めて重要です）
リスク管理システムに関する要件（詳細は後述）
詳細な技術文書（こちらも詳細は後述）
設計、設計管理、および設計検証の技術
品質管理および品質保証の手順
データ管理に関するシステムと手順
AIシステムがそのライフサイクル全体を通じてAIAに準拠し続けるための、市販後監視システムの確立、導入、および維持
最初のステップとして、上記の点を網羅するAI方針を策定することをお勧めします。これらAI方針の作成手順に関する包括的な無料ガイドをご用意しております。ガイドはこちらからご覧いただけます。
EU AI法におけるリスク管理システム（RMS）とは？
QMSの義務では、組織が自社のAIに関してリスク管理システム（以下「RMS」）を導入することが求められています。
ここで、QMSとRMSの間には、重要かつ微妙な違いが存在します。QMSは、組織全体でリスクを管理し、規制を遵守する方法を対象とするのに対し、RMSは、個々のAIシステムに関してリスクを管理し、規制を遵守する方法を対象とします。
RMSは、ハイリスクAIシステムのライフサイクル全体を通じて継続的かつ反復的に行われるプロセスであり、体系的な見直しと更新が必要です。このプロセスには、以下の手順が含まれます：
AIシステムが意図された目的通りに使用された際に、健康、安全、または基本的人権に及ぼす可能性のある、合理的に予見可能なリスクの特定および分析
合理的に予見可能な誤用の条件下でAIシステムが使用された場合に発生し得るリスクの予測および評価
市販後監視システムから収集したデータの分析に基づくリスクの評価
上記の要件に従って特定されたすべてのリスクに対処するために設計された、適切かつターゲットを絞ったリスク管理措置の導入
最終的に、RMSを通じて特定されたリスクは、各ハザードに関連する関連残留リスク、およびハイリスクAIシステム全体の残留リスクが許容可能であると判断されるレベルにする必要があります。リスクを排除できない場合は、必要に応じて適切な緩和措置および管理措置を講じる必要があります。また、テストに関する追加の要件や、18歳未満の者へのシステムの影響に関する追加の考慮事項もあります。
新たな文書化の義務とは？
QMSの要件では、ハイリスクAIシステムを市場に投入する前に、組織がその技術文書を作成することも義務付けています。同法の附属書IVには、文書がカバーすべき具体的な事項が規定されています。最終的に、これらの文書は、所管官庁や通知機関がそのAIシステムがAIAの要件に準拠しているかを明確かつ包括的に判断できる十分な情報を提供するものでなければなりません。これには、QMSおよびRMSに関するすべての文書、ならびにシステムに関する技術文書が含まれます。
これらの文書化要件の一部が、弊社のAIガバナンスソリューションを使用して自動化できることをご存知でしょうか？弊社のコントロール機能がこれをどのように自動化できるかについては、こちらで詳細をご覧いただくか、お問い合わせの上、ご確認ください。
標準規格の役割
標準規格は、AIAコンプライアンスにおいて中心的な役割を果たすことになります。Enzaiでは、すでに市場が特定の枠組みへと収束し始めているのを目の当たりにしています。米国国立標準技術研究所（NIST）は「AIリスク管理フレームワーク」をリリースしており、弊社は多くの組織と協力し、これらの要件に準拠するフレームワークの開発を支援してきました。2023年末には、国際標準化機構（ISO）と国際電気標準会議（IEC）が「ISO/IEC 42001」規格を導入し、弊社も現在、組織への導入支援を行っています。なお、これらの規格はEUによってまだ正式に採択されていないため、これらへの準拠のみではコンプライアンスが保証されるわけではない点にご留意ください。AIAでは、AIAの要件が完全に適用されていない場合、またはAIAで定められた関連要件をすべて網羅していない場合、組織はQMSにすべての技術的な法規仕様を確実に組み込まなければならないと規定しています。
特定の標準規格がEUによって承認される仕組みが用意される予定であり、組織がこれらの標準規格を満たしていることを証明できれば、AIAへの適合が推定されます。CEN-CENELEC（欧州電気標準化委員会）は、調和規格の策定に向けて、共同技術委員会21「人工知能」を設立しました。執筆時点（2024年1月）では、これらの規格の具体的な公開日（およびEUによる承認日）は未定ですが、これらがAIAコンプライアンスで果たす重要な役割を考慮すると、年後半の公開が見込まれています。
適合性評価とは？
適合性評価とは、その名が示す通り、AIシステムがAIAに適合しているかどうかを判定するための評価です。適合性を評価する手順は、いくつかの要素によって異なります。例えば、前述の通り、AIシステムが一連の調和規格への準拠を証明できる場合は、適合しているものと推定されます。特定の種類のシステムでは、内部管理の評価によって適合性評価を行うことができますが、他のシステムでは外部の通知機関による審査が必要となります。
また、認証プロセスも確立される予定であり、承認されたシステムには自社製品にCEマークを貼付することができます。さらに、大半のハイリスクAIシステムは、実用に供する前に、EUのセントラルデータベースに登録される必要があります。
EUがこれら運用の仕組みを確立するには、多少の時間を要する見込みです。しかし、これらは確実に導入される予定であるため、事前にQMSを構築しておくことで、いつでも対応できる状態を整えることができます。
ご安心ください。弊社がお手伝いいたします。
これらの新たな要件は非常に難解に思えるかもしれませんが、弊社がサポートを提供いたします。弊社のAIガバナンスおよびリスク管理ソリューションは、これらすべての義務に標準機能で対応できるよう、ゼロから設計されています。弊社のソフトウェアプラットフォームは、AIAで義務付けられているまさにその品質管理システム（QMS）として機能し、その各種機能によって、貴社のすべてのAIシステムに対するリスク管理システム（RMS）を、抜け漏れなく迅速かつ効率的に展開することが可能になります。完全にコンプライアンスを満たすには十分でない標準規格を使用している場合でも、Enzai上のQMSであれば容易に導入でき、必要な対策をすべて網羅できるようにシステムを構築しています。
弊社の支援方法について詳しくお知りになりたい場合は、こちらからお問い合わせください。
Enzaiは、組織が抽象的な方針から実用的な監視へと移行することを支援するために構築された、最先端のエンタープライズAIガバナンスプラットフォームです。弊社のAIリスク管理プラットフォームは、エージェンティックAIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI法への準拠を確実に行うために必要な専用のインフラを提供します。複雑なワークフローを自動化することで、Enzaiは企業が自信を持ってAIの導入規模を拡大しつつ、ISO 42001やNISTといったグローバル基準への準拠を維持できるよう支援します。
組織がAIを採用し、管理し、監視する能力を、企業レベルの信頼性で強化します。規模で運営する規制対象の組織向けに構築されています。