EUのAI立法は他人事でない
EU AI法は欧州法であるが、その適用範囲はEUの国境をはるかに超える。米国に拠点を置き、AIシステムを開発・導入、または販売する企業は、たとえ自らを国際企業とは考えていなくても、既にこの法律の適用範囲に含まれることがある。
リスク管理者や企業リーダーにとって、EU AI法は単なる新たなコンプライアンス義務以上の意味を持つ。この法律は、AIシステムを規制対象製品とほぼ同等に扱う新たなガバナンスフレームワークを導入し、（企業などの）組織に対し、リスク評価・使用目的の文書化、監視体制の導入、そしてAIツールが現実世界でどのように運用されているかを把握するための市販後監視システムの構築を義務付けている。また、EU AI法への違反を調査・特定するための市場監視機関も設置されている。
同時に、企業は、ますます細分化が進む米国の州レベルのプライバシー法、分野別規制、そして訴訟リスクといった複雑な状況に対応していかなければならない。その結果、広範な欧州の規制と、より限定的ではあるものの非常に厳格な米国の法執行体制との間に、ガバナンス上のギャップが拡大している。
コンプライアンスへの対応期限は直ぐそこに
EU AI法の一部は既に施行されており、特定のAI活動の禁止や新たな透明性要件の適用などが含まれる。「高リスク」AIシステムに関連するその他の義務は、当初2026年8月に施行予定であったが、2027年12月に延期された。企業はこの延期期間を活用し、今すぐ行動を起こすべきだ。
ほとんどの企業は、ガバナンスフレームワークの構築、リスク評価の実施、諸文書の整合性、契約の更新、そして法務、サイバーセキュリティ、エンジニアリング、製品開発チーム全体にわたるコンプライアンスプロセスの運用に12～24ヶ月の準備を要するだろう。顧客向け製品、採用ツール、分析システム、医療アプリケーションなどに既にAIを統合している組織の場合、準備期間はさらに長くなるかもしれない。
なぜ「高リスク」分類が重要なのか？
EUのAI法における中心的な問題は、AIシステムが「高リスク」に該当するかどうかである。同法は、大きく2つのカテゴリーを定めている。1つは、製品または重要インフラの安全関連部品に使用されるAIシステム、もう1つは、雇用・教育・医療・金融サービス・生体認証処理、特定の行動分析や感情分析など、高リスク分野として指定された領域で使用されるAIシステムである。
AIシステムがこれらのカテゴリーのいずれかに該当する場合、企業はより広範な義務を負うことになる。分類プロセスが特に重要なのは、規制当局がシステムの実際の使用方法と、企業が意図する使用方法を評価するからである。この違いは、ガバナンス戦略に大きな影響を与える。
例えば、ある企業が、社内ワークフローの自動化のみを目的としたAIツールを開発したとする。しかし、そのマーケティング資料、顧客向けドキュメント、あるいは販売活動において、医療・雇用審査・金融意思決定といったより広範な用途が示唆されている場合、規制当局はそのシステムを「高リスク」と判断する可能性がある。
実際には、意図された用途は技術設計だけでなく、はるかに多くの要素によって左右される。規制当局は、製品ドキュメント・顧客契約・マーケティングおよび広告資料・販売促進資料、そして実証されたユースケースを評価することが求められる。つまり、法務・コンプライアンス・製品開発の各チームは独立して活動することはできない。マーケティングや販売におけるガバナンスに関する意思決定は、規制リスクに直接影響を与えるのだ。
「AIガバナンスは事業リスク管理」になりつつある
EU AI法によってもたらされた最も重要な変化の一つは、AIガバナンスが製品安全ガバナンスにますます類似するようになったことである。自動車や医療機器などの製品メーカーは、数十年にわたり、体系的なリスク管理と品質管理の義務の下で事業を運営してきた。企業は、予見可能な危害を評価し、製品をテストし、性能を監視し、安全管理策を文書化し、製品ライフサイクル全体を通して監督を維持している。
EU AI法は、これらの原則の多くをAIシステムにも適用している。高リスクシステムの場合、組織は適切なガバナンス管理策を実施しているかどうかを評価する適合性評価を実施することが求められる場合がある。システムによっては、評価は内部で行われる場合もあれば、第三者によるレビューを伴う場合もある。これらの評価では、組織が以下の事項を実施しているかどうかを検証する必要があるのだ：
・リスク管理システム
・高品質なトレーニング、検証、テスト用データセット
・技術文書
・ログ記録機能
・透明性確保のための仕組み
・人的監視体制
・精度、堅牢性、サイバーセキュリティ対策
多くの組織にとって、これは業務の大幅な変革を必要とする。AIガバナンスはもはや法務部門やコンプライアンス部門だけの責任ではなくなる。製品開発チーム、サイバーセキュリティ担当者、データサイエンティスト、調達部門、そして経営幹部までもがガバナンスプロセスに関わることになるのだ。
米国における異なるアプローチ
EUとは異なり、米国には現在、包括的な連邦AI法が存在しない。その代わりに、企業は州ごとのプライバシー法、分野別規制、訴訟リスクといった、ますます複雑化する規制の網の目に直面している。
カリフォルニア州はEUモデルに最も近い。カリフォルニア州プライバシー保護庁（CPPA）の規制に基づき、カリフォルニア州の消費者に影響を与える重要な意思決定に自動意思決定技術を使用する企業は、2027年1月1日からリスク評価義務を負うことになる。CPPAへの認証および直接報告義務は、2028年から施行される予定だ。
これらの規制は、以下のような分野に関わるAIシステムに適用される：
・雇用または業務委託の機会や報酬
・住宅の提供またはその拒否
・医療サービスの提供またはその拒否
・金融サービスまたは融資サービスの提供またはその拒否
・教育機関への入学または入学機会
EUのAI法よりは範囲が狭いものの、カリフォルニア州のアプローチは、リスク評価やガバナンス文書化など、多くの企業がいずれ必要とするであろう運用要件を定めている。他の州は、より的を絞ったアプローチを取っている。医療AI・保険AI・コンパニオンチャットボット、そして子供にとっての安全性は、主要な立法分野になりつつある。一部の分野では、州の要件は、非常に具体的な情報開示・設計機能・運用慣行を規制するため、EUの枠組みよりもさらに詳細なものとなる可能性がある。
これは、多国籍企業にとって困難なガバナンス上の問題を生み出す。企業は、広範なEUのガバナンス義務への対応準備を進めると同時に、米国におけるより限定的ではあるものの、非常に詳細な州レベルの規則に製品を適合させる必要があるのだ。
急速に拡大する透明性要件
EUと米国の取り組みがますます重複する分野の一つが透明性の要件である。EU人工知能法第50条は、合成テキスト・画像・音声、そして動画を生成するシステムを含む汎用AIシステムに透明性義務を課している。ユーザーは、AIが生成したコンテンツとやり取りする際に、その旨を通知される必要がある。これらの透明性義務は、感情認識や生体認証分類システムにも適用される。
米国でも同様の要件が生まれつつある。カリフォルニア州とニューヨーク州は、AIチャットボット、ヘルスケアAI、コンパニオンボット、特に未成年者とやり取りするAIボットを規制する法律の検討または施行を既に進めている。これらの法律は、多くの場合、企業はユーザーがAIシステムとやり取りしていることを明確に開示することを義務付け、脆弱な立場にある人々に対する追加的な保護措置を課すこともある。イリノイ州とコロラド州は既に、住民に対する重要な透明性義務を定めた生体認証関連法を制定しており、これらの法律は生体認証データを処理するAIシステムにも適用される。
訴訟リスクは規制よりも先に来る
欧州と米国における重要な違いの一つは、法執行リスクの発生の仕方である。EUのAI法は、体系的な規制モデルを採用している。企業は一般的に、法律を評価し、自社のシステムを検証し、定められた基準に基づいてコンプライアンスフレームワークを導入することができる。一方、米国では、包括的な規制が整備される前に、企業が訴訟や規制措置に直面するケースが増えているのだ。
AI搭載チャットボット、ヘルスケアAI、カスタマーサービスエージェントを導入している企業は、すでに州の盗聴・録音法に基づき、適切な同意なしに会話を録音または傍受したとの申し立てを受けて訴訟を起こされている。さらに、カリフォルニア州・テキサス州・フロリダ州の州規制当局は、虚偽・誤解を招く広告や不公正な取引慣行に関する既存の州法に基づき、これらの企業に対する調査を開始している。
このリスクは、州のプライバシー法や同意法を十分に評価せずに、顧客対応環境にAIを急速に導入する組織にとって特に深刻である。そのため、米国の組織は、AIガバナンスを将来のコンプライアンス問題として構えている余裕はない。多くの場合、訴訟リスクは今日既に存在しているのだ。
ガバナンスは規制の明確化を待つことはできない
企業が犯しうる最大の過ちの一つは、ガバナンスプログラムの構築を規制が完全な明確になるまで待つことである。EUのAI法は依然として流動的であり、米国の州法も急速に進化し続けている。医療・保険・教育、消費者向けテクノロジーなど、各分野固有の要件が様々な速度で出現している。しかし、最終的な規制の明確化がないからといって、運用リスクがなくなるわけではないのだ。
AIを製品・ワークフロー・顧客とのやり取りに統合する企業は、既に以下のようなガバナンス体制を構築していないといけない。部門横断的なAIガバナンスチーム、リスク評価プロセス、プライバシーとセキュリティのレビュー、文書化基準、製品使用制限、透明性プロトコル、ベンダー監視手順、訴訟リスクレビュー、製品ライフサイクルモニタリングなどである。
こうしたガバナンスプログラムの構築を今すぐ始める組織は、規制の進化に柔軟に対応できる体制を整えることができる。一方、導入を遅らせると、既にグローバルに展開されている製品にガバナンスを後付けしようと苦心することになる。EU AI法は単なる欧州のコンプライアンス問題ではなく、（各国の）政府や規制当局が企業に対し、大規模なAIリスク管理をますます強く求めていることを示す兆候と言えるだろう。
米国企業にとって、もはやAIガバナンス義務が課されるかどうかという問題ではなく、「AIの導入速度にガバナンスの枠組みが追いつく」よう迅速に整備されているかという問題なのである。
キーワード：
人工知能、国際規制、リスク管理
＊）この記事は、” What Risk Managers Need to Know About the EU AI Act and Evolving AI Regulation,” Lily Li | August 19, 2026, RIMS Risk Management Site
https://www.rmmagazine.com/articles/article/2026/08/19/what-risk-managers-need-to-know-about-the-eu-ai-act-and-evolving-ai-regulation
をRIMS日本支部が翻訳したものであり、原文と訳文に差異がある場合には原文を優先します。
原著者リリー・リーはメタバース・ローの創設者。
訳者鈴木英夫はRIMS日本支部主席研究員。
