期限は延びましたが、AIサプライヤーの審査・管理は先送りできません。
欧州AI規制法の遵守期限が見直されるなか、コンプライアンス、法務、調達部門は何を準備すべきなのでしょうか。本稿では、AIサプライヤーの審査・管理という観点から、今取り組むべき実務対応を解説します。
欧州AI規制法とは何か
欧州AI規制法については、すでに耳にしたことがある方も多いでしょう。これは、AIシステムの開発・提供・利用を規制するためのEUの法律です。
欧州AI規制法では、特にリスクが高いとされるAIの利用分野に対して、より厳しい義務が課されます。たとえば、採用、信用審査、生体認証、重要インフラなどで使われるAIがその対象です。
また、すでにEUの製品安全規制の対象となっている製品にAIが組み込まれている場合には、AIにも製品安全に関するルールが適用されます。さらに、人とやり取りするAIや、AI生成コンテンツを扱うシステムには、利用者への説明や表示など、透明性に関する義務が求められます。
2026年5月7日、EUの立法当局は、欧州AI規制法の一部の遵守期限を延長する改訂について、政治的合意に達しました。
改訂後のスケジュール
今回の見直しにより、主な対応期限は以下のように変更されました。
- Annex III（高リスクAIシステム）：採用、信用審査、生体認証、重要インフラなどが対象です。当初期限の2026年8月2日から、2027年12月2日へ延長されました（16か月延長）。
- Annex I（製品・安全部品）：医療機器、機械、玩具などが対象です。当初期限の2027年8月2日から、2028年8月2日へ延長されました（12か月延長）。
- AI生成コンテンツの透明性義務：ラベリングや開示義務などが対象です。当初期限の2026年8月2日から、2026年12月2日へ延長されました（3か月延長）。
- 各国のAI規制サンドボックス：当初期限の2026年8月2日から、2027年8月2日へ延長されました（12か月延長）。
Annex IIIは、多くの企業がすでに利用している、または今後利用する可能性のあるAI用途を対象としています。具体的には、以下のような領域です。
- 生体認証の一部
- 重要インフラ
- 教育・職業訓練
- 採用、選考、人事評価、昇進、解雇などの雇用関連用途
- 信用審査
- 生命保険・健康保険におけるリスク評価や価格設定
- 公的給付の資格判断
- 国境管理、難民申請
- 法執行、司法、選挙関連の用途
つまり、欧州AI規制法は一部のAI企業だけに関係する規制ではなく、人事、金融、保険、公共サービス、インフラなど、AIを業務に組み込む幅広い企業・組織に影響する可能性があります。
Annex Iは、EUの製品安全規制の対象となる製品、またはその安全部品として使われるAIを対象としています。たとえば、医療機器、玩具、エレベーター、無線機器などが該当します。
今回の改訂では、「安全部品」の定義がやや狭められました。利用者を補助したり、製品の性能を最適化したりする範囲に留まる、健康や安全に関するリスクを生じさせないAIについては、高リスクAIとしての対応義務の対象外となります。
ただし、この線引きは実務上、判断が難しくなる可能性があります。そのため、企業は自社やサプライヤーが提供するAIコンポーネントが、どの分類に該当するのかを明確にしておく必要があります。
期限延長以外の重要な変更点
今回の見直しでは、期限の延長以外にも重要な変更があります。
まず、業界ごとの既存規制で同じ内容がすでにカバーされている場合、欧州委員会は欧州AI規制法上の重複する義務を適用除外にできるようになりました。
また、「自社のAIは高リスクAIには該当しない」と主張するベンダーについても、EUデータベースへの登録義務は残りますが、登録時に求められる情報は以前よりも簡素化されます。
さらに、中小企業向けの緩和措置は、中堅企業のうち比較的小規模な企業にも拡大されました。対象となるのは、従業員750人未満で、売上高が1億5,000万ユーロ以下、または総資産が1億2,900万ユーロ以下の企業です。
一方で、新しい期限が実務上どのように機能するかを左右する重要な要素は、まだ残されています。ひとつは、業界ごとの既存規制と欧州AI規制法の重複をどのように整理するかについて、欧州委員会が具体的な規則を策定する必要があることです。もうひとつは、EUの共同標準化機関であるCEN-CENELECが、高リスクAIのベンダーが適合性評価に利用する欧州整合規格を、現在も策定中であることです。
これらの策定が遅れれば、企業はサプライヤーから入手する文書や証跡に、より強く依存することになります。つまり、サプライヤーから必要な情報を確実に取得できる体制を、今のうちに整えておくことが重要なのです。
まず取り組むべきは、AIサプライヤーの審査・管理
欧州AI規制法への対応には、多くの実務作業が伴います。今回の期限延長により、コンプライアンス部門には、それらを計画的に進める時間が与えられたと言えます。しかし、これは「対応を後回しにしてよい」という意味ではありません。
自社で利用しているすべてのAIシステムを把握し、それぞれがどのモデルベンダー、モデルを自社用途に合わせて調整するベンダー、さらに下流ベンダーにつながっているのかを確認し、利用の根拠を納得できるような資料にする作業は、1四半期のような短期で完了させられるような作業ではなく、継続的な確認と更新が必要な取り組みとなります。
Sayariでは、この対応を以下のように進めています。
1. AIサプライヤーの一覧を作成する
対象となるAIシステムの背後には、複数のサプライヤーが関わっています。たとえば、基盤モデルのベンダー、基盤モデルの調整を行うベンダー、データラベリング事業者、そして多くの場合、基盤モデルと自社の間に入るAI組み込み型のSaaS事業者が存在します。
まずは、これらのAIサプライヤーを一元的に把握できる一覧を作成することが重要です。その一覧には、高リスクのサードパーティの管理業務で通常確認する以下のような情報を含めるべきです。
- 正式な法人名
- 所在国・管轄国
- 最終的な所有者
- 主要な再委託先
- どのAIコンポーネントに関与しているのか
現時点でこの一覧をすぐに作成できない場合は、まずそこから着手することが重要です。
2. 所有関係、管轄国、制裁リスクを確認する
AIモデルベンダーやその他AIに関連するベンダーには、創業間もない企業も多く、所有構造がわかりにくいケースがあります。そのため、AIサプライヤーにも、製造事業者、販売代理店、データベンダーに対して行っているレベルと同水準の審査を適用する必要があります。
具体的には、最終的な実質的所有者を確認し、所有関係の上位に制裁対象者や取引禁止対象者が含まれていないかをチェックします。さらに、一度確認して終わりではなく、定期的に再審査を行うことが重要です。
欧州AI規制法第26条では、高リスクAIの利用者に対して、継続的な監督義務が課されています。サプライヤー審査の記録は、その監督が実際に行われていることを示す証拠になります。
3. AI関連契約を早めに見直す
欧州AI規制法第11条では技術文書、第13条では利用者への透明性について、主にAI提供者側に文書化や情報提供の義務が課されています。しかし、AIを利用する企業の立場では、契約で明確に定めていない限り、サプライヤーから必要な情報を十分に得られない可能性があります。そのため、ベンダー側が本格的に対応を始める前に、AI関連契約を見直しておくことが重要です。
契約上、少なくとも以下のような情報提供を明確に求めることが推奨されます。
- 技術関連資料
- 適合性評価に関する資料
- リスク管理に関する証跡
- 重要な変更があった場合の速やかな通知
また、Annex Iにおける「安全部品」の定義が狭められたことで、該当性の判断にグレーゾーンが生じる可能性があります。最終文書が公表された後は、サプライヤーに対して、自社のAIコンポーネントがどの分類に該当するのかを明確にし、その根拠を資料として提出するよう求める必要があります。
4. 既存の業界規制との重複を整理する
医療機器、金融サービス、機械など、すでに個別の規制が存在する業界で事業を行っている場合、今回の変更はコンプライアンス対応における負担軽減につながる可能性があります。欧州委員会は、業界ごとの既存規制と重複する欧州AI規制法上の義務について、適用除外を認める権限を持つようになりました。
ただし、そのメリットを享受するには、自社のAIコンポーネントがどの規制の対象になっているのかを、事前に把握しておく必要があります。今のうちに、各AIサプライヤーとAIコンポーネントを、自社の既存のコンプライアンス体制と照らし合わせて整理しておくことが推奨されます。この整理が実施されていれば、実施規則が公表された際に、ゼロから分析を始めるのではなく、適用除外をスムーズに主張できるようになります。
まとめ
2026年のうちに欧州AI規制法への対応を開始すれば、主要な対応義務期限が到来する前に、AIサプライヤーの審査や契約見直しを複数回実施する余裕を持つことができます。一方、対応を先送りする企業は、2027年後半になってから、急いで準備に追われることになるでしょう。
Sayariは、AIサプライヤー管理の透明性を高め、規制当局が求める説明責任と監査対応を支援しています。
※本稿は情報提供を目的としたものであり、法的助言を意図するものではありません。
