ai-act-high-risk-docs

EU AI Act 高リスク AI システムの文書化

概要

EU AI Act（規則 2024/1689、2024 年 8 月 1 日施行。高リスクに関する義務は 2026 年 8 月 2 日から適用）は、人工知能システムに対するリスクベースの規制枠組みを定めています。高リスク AI システム（附属書 III に記載されたもの、または附属書 I の EU 調和法令の対象製品の安全構成要素として使用されるもの）は、EU 市場に投入する前に、広範な文書化、透明性、ガバナンスに関する要件を満たす必要があります。Cerebrum AI Labs は、高リスク AI システムごとに包括的な技術文書を作成し、リスク管理システムを導入し、データガバナンスを確保したうえで、適合性評価を受ける必要があります。

高リスク分類

Cerebrum AI Labs に関連する附属書 III のカテゴリー

カテゴリー	附属書 III の参照箇所	Cerebrum AI Labs のシステム	分類
雇用および労働者管理	附属書 III、4(a) 項	CV Screening AI — 求人応募の自動フィルタリング	高リスク
必須サービスへのアクセス	附属書 III、5(b) 項	Credit Scoring AI — 金融商品に関する信用力評価	高リスク
法執行	附属書 III、6(a) 項	該当なし	該当なし
生体認証による識別	附属書 III、1(a) 項	Facial Verification AI — オンボーディング時の本人確認	高リスク
教育および職業訓練	附属書 III、3(a) 項	該当なし	該当なし

分類判断ツリー

Is the AI system listed in Annex III?
├── Yes → High-risk (unless exception applies under Art. 6(3))
│   └── Does the system make decisions materially affecting natural persons?
│       ├── Yes → High-risk confirmed
│       └── No → May qualify for Art. 6(3) exception (narrow, profiling, preparatory)
│
├── No → Is it a safety component of a product under Annex I legislation?
│   ├── Yes → High-risk (subject to third-party conformity assessment)
│   └── No → Not high-risk under AI Act
│
└── Is it a general-purpose AI model with systemic risk? (Art. 51)
    ├── Yes → GPAI systemic risk obligations
    └── No → GPAI transparency obligations only

技術文書の要件（第 11 条）

附属書 IV — 必要な文書の内容

セクション 1：全般的な説明

文書要素	Cerebrum AI Labs の CV Screening AI に関する内容
意図された目的	資格との適合度に基づく求人応募の自動審査および順位付け
提供者名および連絡先	Cerebrum AI Labs、42 Innovation Drive, Dublin, Ireland
AI システムのバージョン	v2.4.1（2026 年 3 月にデプロイ）
ハードウェア／ソフトウェア要件	EU のインフラストラクチャでホストされるクラウド（AWS eu-west-1）、Python 3.11、PyTorch 2.2
製品との統合	Cerebrum TalentFlow ATS プラットフォームに統合

セクション 2：システム要素の詳細な説明

要素	必要な文書
開発方法論	モデルアーキテクチャ、トレーニング手法、設計上の選択とその根拠
計算リソース	トレーニングに使用した計算資源（GPU 時間）、エネルギー消費量
トレーニングデータ	データソース、収集方法、規模、ラベリング方法、前処理
検証およびテスト	テストデータセット、指標、結果、既知の制限事項
入力データの仕様	想定される入力形式、品質要件
出力の説明	出力形式、信頼度スコア、判断しきい値

セクション 3：監視、動作および制御

要素	必要な文書
人間による監督措置	第 14 条の要件：上書き機能、判断のレビュー手順
精度を確保するための技術的措置	精度指標、ドリフト検出、再トレーニングのトリガー
サイバーセキュリティ対策	データ暗号化、アクセス制御、敵対的攻撃に対する堅牢性テスト
エッジケースでの性能	既知の障害モード、境界条件、性能劣化時の挙動

セクション 4：リスク管理

要素	必要な文書
リスク管理システム	第 9 条に基づくリスク管理プロセスの文書
既知のリスクおよび予見可能なリスク	重大度と発生可能性を含むリスク登録簿
軽減措置	特定された各リスクに対する管理策
残留リスク評価	残留リスクが許容可能であることの根拠

リスク管理システム（第 9 条）

Cerebrum AI Labs の継続的なリスク管理プロセス

フェーズ	活動	頻度
特定	健康、安全、基本的権利に対するリスクを特定します	初回＋四半期ごと
分析	リスクの重大度と発生可能性を推定します	初回＋四半期ごと
評価	リスクを受容基準と照合します	初回＋四半期ごと
軽減	リスク低減策を実施します	継続的
監視	本番環境でリスク指標を追跡します	継続的
レビュー	リスク評価をレビューして更新します	四半期ごと

リスク登録簿 — 履歴書スクリーニング AI

リスク ID	リスクの説明	重大度	発生可能性	軽減策	残留リスク
R-001	スクリーニングの推奨におけるジェンダーバイアス	高	中	保護対象属性に関するバイアステスト、学習データのバイアス低減	低
R-002	非母語話者に対する差別	高	中	多言語評価、言語に依存しない特徴量	中
R-003	採用担当者が AI の推奨に過度に依存すること	中	高	必須の人間によるレビュー、信頼度のしきい値	低
R-004	新しい職種に対する資格の照合が不正確であること	中	中	キーワード照合へのフォールバック、人間によるレビューのフラグ	低
R-005	学習データの記憶を介したプライバシー侵害	高	低	学習時の差分プライバシー、記憶の監査	低

データガバナンス（Art. 10）

学習データの要件

要件	Cerebrum AI Labs における実装
関連性と代表性	EU 12 か国の 50,000 件の求人応募から学習データを取得し、性別、年齢、国籍で均衡化
バイアスの検証	学習の前後に保護対象属性（性別、年齢、民族性、障害）に関する統計的パリティ分析を実施
ギャップの特定	障害のある応募者の代表性が不足していることを特定し、合成例で補完
データ品質	データ品質の自動チェック：完全性 >95%、ラベル精度 >98%（人間が検証したサンプル）
個人データの処理	DPIA を完了（DPIA-AI-2026-001）。法的根拠：Art. 6(1)(f) の正当な利益。特別カテゴリーのデータは削除済み

適合性評価（Art. 43）

Cerebrum AI Labs の評価手順

システム	評価の種類	根拠
履歴書スクリーニング AI	内部適合性評価（Art. 43(2)）＋品質マネジメントシステム	Annex III, para. 4 — 生体認証ではなく、重要インフラでもない
信用スコアリング AI	内部適合性評価（Art. 43(2)）	Annex III, para. 5
顔認証 AI	認定機関を通じた第三者適合性評価（Art. 43(1)）	Annex III, para. 1 — 生体認証による識別

内部適合性評価の手順

1. 品質マネジメントシステムが確立されていることを確認します（Art. 17）
2. Annex IV に従って技術文書を作成します
3. Art. 9 に従ってリスク管理評価を実施します
4. Art. 10 に従ってデータガバナンスを確認します
5. Art. 13 に従って透明性と情報提供を確認します
6. Art. 14 に従って人間による監督を確認します
7. Art. 15 に従って精度、堅牢性、サイバーセキュリティを確認します
8. EU 適合宣言を作成します（Art. 47）
9. CE マーキングを表示します（Art. 48）
10. EU データベースに登録します（Art. 49）

市販後モニタリング（Art. 72）

活動	頻度	担当
パフォーマンス指標のモニタリング	継続的	ML エンジニアリング
バイアスドリフトの検出	毎週	責任ある AI チーム
インシデント報告	必要に応じて（重大なインシデントは Art. 73 に従い 15 日以内）	DPO ＋ 法務
ユーザーフィードバックの収集	継続的	プロダクトチーム
リスク登録簿の更新	四半期ごと	リスク管理
技術文書の更新	重要な変更時	ML エンジニアリング ＋ 法務

主な法的参照資料

• EU AI Act (Regulation 2024/1689) — 全文。2024 年 8 月 1 日に発効
• AI Act Art. 6 + Annex III — 高リスク分類の基準
• AI Act Art. 9 — リスク管理システムの要件
• AI Act Art. 10 — データおよびデータガバナンスの要件
• AI Act Art. 11 + Annex IV — 技術文書の要件
• AI Act Art. 13 — デプロイヤーに対する透明性および情報提供
• AI Act Art. 14 — 人間による監督の要件
• AI Act Art. 43 — 適合性評価手続き
• AI Act Art. 72 — 市販後モニタリング義務
• AI Act Art. 73 — 重大なインシデントの報告
• GDPR Art. 22 — 自動化された個人に関する意思決定（AI Act を補完）
• EDPB-EDPS Joint Opinion 5/2021 on the AI Act Proposal — AI 規制に関するデータ保護の観点