Lifecycle stage — Govern
EU AI法は現在執行可能で、罰則は象徴的なものではありません。禁止されたAIシステムの展開には最大3500万ユーロまたは世界年間売上高の7%のいずれか高い方の罰金が科されます。高リスクシステムの不遵守は1500万ユーロまたは売上高の3%に達します。法文は144条、13の付属書にわたり、お話しするエンタープライズはいずれも3つのうち1つを過小評価しています——どのシステムが実際に対象範囲にあるか、付属書IVが実際にどれだけの技術文書を要求するか、または認証機関が最初の明確化リストを送ってきた時に適合性評価がどれだけ時間を要するか。これはDEPLOYメソッドのGOVERNフェーズを、この10年で最も帰結の重いAI規制に適用したものです。金融・ビジネスデジタルトランスフォーメーション担当フランス政府AIアンバサダーとして、まさにこの規制の政策側で数年間過ごしてきました——要約ではなく条文を、それを書いた人々と読んできました。それが、このエンゲージメントが御社コンプライアンスプログラムにもたらす視点です。
どのシステムが対象範囲にあるかわかりません。AI法は禁止システム、高リスクシステム、限定リスクシステム、最小リスクシステムを定義し、分類は技術ではなくユースケースで決まります。マーケティングの推薦モデルはおそらく限定リスク——同じモデルクラスが信用スコアリングに使われれば高リスク。小売で使われる生体認証分類システムは全面禁止の可能性があります。ほとんどの組織は、AI法のリスククラスにひも付けられたAIシステムの書面インベントリを持たないため、すべての執行質問は本来既に行われているべき発見作業から始まります。
適合性評価のタイムラインを誤っています。チームは監査——数週間の書類作業——としてスコープしています。実際には、高リスクシステムの第3編適合性評価は、認証機関、完全なリスク管理システム、データガバナンス文書、付属書IVに沿った技術文書、市販後モニタリング計画、人間による監督設計、レビュー中に浮上したすべてのギャップの修正を含む、数ヶ月にわたるエンゲージメントです。最初の正式提出はめったに最後ではありません。8週間で計画したチームは8ヶ月入った時点でまだ修正を交渉していることに気づきます。
付属書IVの技術文書は見た目より本当に難しい。システムの一般的説明、詳細設計、訓練方法論、データガバナンス、評価指標、既知の限界、リスク管理措置、人間による監督措置、精度仕様、変更ログが必要です。ほとんどの社内エンジニアリング文書は付属書IVとの接触で生き残りません——異なる質問に、異なる厳密さの水準で、異なる聴衆向けに答えているからです。付属書IV基準への書き直しはフォーマット作業ではありません。チームがこれまで行ったことのないエンジニアリング文書化作業です。
市販後モニタリングはほぼ常にギャップです。法は書面の市販後モニタリング計画、本番でのアクティブモニタリング、厳格な期限内の重大インシデント報告を要求します。ほとんどの組織はリアクティブなインシデント対応を持ちますが、プロアクティブなAI固有のモニタリングプログラムは持っていません。執行開始後の最初の重大インシデントが欠如を露呈し、規制対応は計画していなかった組織に対して構造的に容赦ありません。市販後モニタリングは、遵守プログラムと紙上のプログラムの違いです。
エンゲージメントスコープは御社AIフットプリントのサイズと対象範囲の高リスクシステム数に依存します。12週間は単一の高リスクシステム、24週間は共有ガバナンスインフラを持つ3〜5システムのポートフォリオをカバーします。御社の法務、コンプライアンス、エンジニアリングチームに組み込まれて作業します——御社チームが作業を行い、私は規制の読み込みと政策側からのパターン認識を持ち込みます。
組織内のすべてのAIシステム——本番、パイロット、プロトタイプ——の書面インベントリを構築し、それぞれをAI法のリスクカテゴリに対して分類します。禁止、付属書IIIに基づく高リスク、透明性義務付きの限定リスク、または最小リスク。分類は根拠と条文参照とともに文書化されます。分類なしでデプロイされたシステムは遡及的レビューを受けます。第4週末までに、以降のすべてのコンプライアンス判断が参照する単一のドキュメントが手元にあります。
各高リスクシステムについて、コンプライアンス成果物を並行して構築します: リスク管理システム、データガバナンス文書、付属書IV技術文書、人間による監督設計、精度と堅牢性の仕様。これが最も重いフェーズで、ほとんどのプログラムが工数を過小評価する箇所です。御社エンジニアリングチームと一緒に、ゼロから発明するのではなく、社内文書を付属書IV基準に書き直します。認証機関を要するシステムでは、提出パッケージと、その後続く明確化要求への応答プレイブックを準備します。
市販後モニタリングプログラム——書面計画、本番でのアクティブモニタリング、インシデント分類基準、規制が要求するタイムラインに準拠した報告ワークフロー——を立ち上げます。モニタリングは既存の可観測性スタックと統合し、重要なAI固有のシグナル——精度ドリフト、人口統計別のパフォーマンスドリフト、悪影響モニタリング、ユーザー被害シグナル——を捕捉するよう拡張されます。インシデント対応ランブックは、最初のインシデントが起きた時に推測するのではなく、規制の通知期限に合わせて書かれます。
長期に向けたガバナンスインフラを構築します——AIガバナンス委員会憲章、新規AIシステムの受付プロセス、継続的レビューサイクル、高リスクシステムと対話するスタッフの訓練プログラム、サードパーティAIコンポーネントのベンダー管理アプローチ。エンゲージメント終了後、プログラムは私なしで運用される必要があります。プレイブック、テンプレート、意思決定ログを作成し、次の高リスクシステムが第1週から発見作業を繰り返すのではなく、再現可能なプロセスを通るようにします。
付属書IIIで定義される高リスクAIシステム——信用スコアリング、雇用、教育、基本サービス、法執行、移民、司法行政、規制が具体的に名指しするその他のカテゴリ——を持つEU内でまたはEU向けに事業を行うエンタープライズ。分類だけで数週間の発見作業となる十分に大きなAIフットプリントを持つ組織。規制当局に加えて自組織の監督機関からも精査を受ける公共セクターの購入者および展開者。AI利用が完全に付属書III範囲外の組織向けではありません——限定リスクの透明性義務は完全な適合性評価よりはるかに小規模なエンゲージメントです。また、規制戦略に関する外部法律顧問の代替でもありません——コンプライアンスプログラムをエンジニアリングし、御社の顧問弁護士または外部法律事務所が法的ポジショニングを扱います。
御社の法律事務所は規制が何を要求するかを伝えます——私はそれを実装するプログラムを構築します。これらは競合ではなく補完的です。ほとんどの組織は法的助言は明確で、実装ギャップは巨大だと気づきます——法律事務所は付属書IV技術文書を書いたり、人間による監督コントロールを設計したり、市販後モニタリングパイプラインを立ち上げたりできません。それがこのエンゲージメントが届けるエンジニアリングとプログラム管理です。外部法律顧問と並走します——彼らが法的戦略を所有し、私が運用プログラムを所有します。
段階的な執行タイムラインは立法されています。禁止は2025年2月、汎用AIルールは2025年8月から執行可能で、高リスク義務は2026年8月に到達し、残りの規定は2027年に続きます。認証機関および欧州AIオフィスからの具体的ガイダンスは進化し続けており、これは適合性の証明方法の詳細に影響しますが——要求されるかどうかには影響しません。2026年の高リスク期限にスコープされたプログラムは、計画段階ではなく実装段階に今いる必要があります——認証機関が関わると適合性評価タイムライン自体が数ヶ月に及ぶからです。
判断時点で条文参照に基づいて分類根拠を文書化し、防御の準備をしておきます。書面の根拠付きの防御可能な限定リスク分類は、非公式または全く分類されていないシステムよりはるかに強固な姿勢です。分類が真に曖昧な場合、保守的に分類します——限定リスクと判明する高リスクシステムの準備コストは小さく、高リスクシステムに限定リスク分類を展開するコストはサブタイトルに記載の罰金です。そのトレードオフをスプレッドシートに隠すのではなく、インベントリドキュメントで明示します。
AIシステムの出力がEUで使用される場合、はい、規制は設立地に関係なく提供者または展開者として適用されます。これは欧州顧客を持つほとんどの米国SaaS企業を捕捉し、しばしば歓迎されない発見となります。実用的な答えは、EU露出を持つシステムにプログラムをスコープし、それらに対してコンプライアンス作業を実行することです——これは完全なAIポートフォリオより小さなフットプリントかもしれず、完全プログラム展開と比較してタイムラインとコストを大幅に削減することが多いです。
GDPRは個人データ処理をカバーし、AI法はAIシステムの安全性、透明性、リスク管理をカバーします。両者はデータガバナンスセクションで重なります——AI法データガバナンス文書は、個人データが関わる場合、GDPR DPIAを参照し拡張します。実際には、2つのプログラムは同じデータインベントリと同じガバナンス委員会を共有すべきです——両規制の下で同じエンジニアリングシステムが対象範囲だからです。GDPRとAI法を並列サイロとして運用するコンプライアンスプログラムは作業を重複させ、監査人が気づく不整合を生みます。
30分で状況を診断し、このサービスが合うかどうか正直にお伝えします。合わなければ、何が合うかも。