ai-inventory

/ai-inventory

実行するタイミング

ユーザーがEU AI法に基づいてAIシステムのインベントリを管理したい場合に使用します。このスキルが徹底する基本的な考え方は、役割とリスク区分は企業単位ではなく、システムごとに決まるということです。同じ組織が、システムAのプロバイダー、システムBの導入者、システムCの輸入者となる場合があります。それぞれの組み合わせにより、AI法に基づく異なる義務が発生します。インベントリの目的は、こうした評価を後から確認できる場所で追跡することです。義務そのものは表からではなく、会話の中で導き出します。

実行内容

1. 設定を読み込みます。
   ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md を読み込みます。
   ファイルが存在しないか、[PLACEHOLDER] マーカーが残っている場合は、まず /ai-governance-legal:cold-start-interview を実行するようユーザーに案内します。

2. インベントリを読み込みます。
   インベントリは ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/ai-systems.yaml にあります。
   ファイルが存在しない場合は、最初に add を実行したときに空の systems: リストを作成します。

3. 引数に応じて処理を振り分けます。

   • 引数なし、または list → インベントリの表を表示します（下記の一覧を参照）。
   • add → 追加のフローを実行します。
   • edit <id> → 現在のレコードを表示し、変更内容を尋ね、フィールドを1つ更新して確認し、書き込みます。
   • classify <id> → 既存のレコードを対象に分類の手順を実行し、role、tier、role_basis、tier_basis を更新します。
   • show <id> → レコード全体を表示します。

4. 一覧表示時にダッシュボードを案内します。
   「ダッシュボード全体を表示しますか？ステータス／リスク区分／EUとの関連／担当者で絞り込めます。ご希望の場合はお知らせください。」

5. 各アクションの最後に、弁護士の業務につながる案内を添えます。
   書き込みを行った後は、次のように伝えます。

   記録しました。このシステムの義務を確認する準備ができたら、いつでもお尋ねください。会話の中で確認し、AI法の条文との対応付けについて、検証が必要な箇所をお知らせします。対応付けは複雑で変化しているため、表から義務を導き出すことはしません。

一覧の形式

コンパクトな表として表示します。

ID	名前	担当者	ステータス	EUとの関連	役割	リスク区分	次回レビュー
sys-001	履歴書のスクリーニング	HR / Jamie	in_production	yes	deployer	high_risk	2026-08-01
sys-002	メール作成アシスタント	IT / Priya	in_production	no	deployer	limited	2026-12-01

表の下に、リスク区分ごとの件数と「30日以内にレビューが必要なシステムはN件です。」という行を表示します。

追加フロー（聞き取り）

1項目ずつ尋ねます（または、まとめて貼り付けてもらいます）。必須項目は name、owner、description、status、eu_nexus です。残りの項目は後回しにできます。その場合は、「分類は後から /ai-governance-legal:ai-inventory classify <id> で行えます」と明示します。

1. 名前。 システムの簡潔な名称です。
2. 担当者。 日常的な運用について責任を持つ個人またはチームです。
3. 説明。 1～2文で記述します。何を行い、どのようなデータを対象としますか？
4. ステータス。 planned | in_development | in_production | deprecated。
5. EUとの関連。 システムはEU／EEA域内に導入されていますか、EU／EEAのユーザーに提供されていますか、またはEU／EEA域内の人々に影響を与える出力の生成に使われていますか？いずれかに該当する場合は、EU AI法の分析が適用されます。
6. 分類に進みますか？ 今すぐ分類の手順を実行するか、後で行うかを尋ねます。

IDを割り当てます。形式は sys-NNN とし、NNNにはファイル内で次に使用できる整数を入れます。

分類の手順

この手順では role、role_basis、tier、tier_basis を作成します。どちらの根拠にも [verify against current AI Act text] と付記します。これはスキルが判断を曖昧にしているからではなく、条文との対応付けが複雑で、AI法の段階的な適用が続いているためです。検証の責任は弁護士が負います。

ステップ 1：役割

このシステムに対して、誰が何をしますか？

選択肢と、それぞれを見分ける基準：

• プロバイダー — システムを開発する（または開発を委託する）か、自らの名称または商標の下でEU市場に投入する、あるいは使用開始します。
• 導入者 — 個人的かつ非専門的な目的での使用ではなく、自らの権限の下でシステムを使用します。（企業内で最も一般的です。）
• 輸入者 — EU域外に設立されたプロバイダーのAIシステムをEUに持ち込みます。
• 販売業者 — プロバイダーでも輸入者でもなく、AIシステムをEU市場で入手可能にします。
• 認定代理人 — EU域外のプロバイダーを代理し、EU域内に設立されています。
• 製品製造者 — 汎用AIシステム（または別のAIシステム）を自らの名称または商標の下で製品に組み込みます。製品についてはプロバイダーとして扱われます。

二重の役割に関する注意。 ユーザーがベンダーのシステムに大幅な変更を加えた場合（独自データでのファインチューニング、意図された目的の変更、ブランド変更など）、導入者として開始した場合でも、変更後のシステムのプロバイダーとなる可能性があります。設定を超える変更について説明があった場合は、この点を指摘してください。[verify against current AI Act text — Article 25, provider obligations and substantial modification]

役割を記載してください。role_basis は1文で記載してください。

ステップ 2: ティア

システムは何を行い、そのユースケースは規制対象のカテゴリに該当しますか？

順に確認します:

A. 第 5 条の禁止行為。 [verify against current AI Act text — Article 5]

要約であり、確定した条文ではありません:

• 行動を実質的に歪める潜在意識的または欺瞞的な手法
• 脆弱性（年齢、障害、社会経済的地位）を悪用して行動を実質的に歪めること
• 公的機関によるソーシャルスコアリングで不利益な扱いにつながるもの
• 法執行のための公的にアクセス可能な空間におけるリアルタイム遠隔生体認証（限定的な例外あり）
• 人種、政治的意見、労働組合への加入、宗教的または哲学的信念、性生活、性的指向を推測する生体認証カテゴリ分類
• 職場または教育における感情認識（医療および安全上の例外あり）
• インターネットまたは CCTV からの顔画像データベースのスクレイピング
• 性格特性のみに基づく予測的取締り

該当する場合 → ティアは prohibited です。ユースケースを停止としてフラグを立て、ガバナンスチームの禁止行為ワークフローへ回付してください。

B. 附属書 III の高リスク領域。 [verify against current AI Act text — Annex III]

要約:

1. 生体認証による識別およびカテゴリ分類
2. 重要インフラ（デジタルインフラ、道路交通、水 / ガス / 暖房 / 電気の供給）
3. 教育および職業訓練（アクセス、評価、監督、禁止行為の監視）
4. 雇用、労働者管理、自営業へのアクセス — 採用、選考、昇進、解雇、タスク配分、監視、パフォーマンス
5. 不可欠な民間および公共サービス（公共給付、個人の信用スコアリング、生命 / 健康保険のリスク評価と価格設定、緊急派遣）
6. 法執行（リスク評価、ポリグラフ、ディープフェイク検出、証拠の信頼性、プロファイリング）
7. 移民、庇護、国境管理（リスク評価、渡航文書の検証、申請の審査）
8. 司法および民主的プロセスの運営（調査および解釈、選挙への影響）

該当する場合 → ティアは high_risk です。附属書 III の領域とサブセクションを記録してください。

C. GPAI。 [verify against current AI Act text — Article 51 and surrounding]

• GPAI: 大規模な広範データで学習され、汎用性を目的として設計され、幅広い異なるタスクを有能に実行できるモデル。
• GPAI + システミックリスク: 累積コンピュート > 10^25 FLOPs、または委員会により指定されたもの。

D. 限定リスク。 自然人と対話するチャットボット、ディープフェイク、第 5 条の範囲外の感情認識および生体認証カテゴリ分類システム — 透明性の義務が適用されます。

E. 最小リスク。 それ以外のすべて。

ティアを記入してください。tier_basis を 1 文で記入し、該当した条項または附属書の項目を引用し、[verify against current AI Act text] のタグを付けてください。

ステップ 3: 推奨事項

次の 3 つのステップを提案します:

1. 「このシステムの義務を一緒に確認しますか？ 会話形式で進めます — 表から導き出すことはしません。」
2. 「/ai-governance-legal:aia-generation を実行して、完全な影響評価を作成しますか？」
3. 「次回のレビュー日を設定しますか？ インベントリに追加します。」

記録形式

systems:
  - id: sys-001
    name: "Resume screening tool"
    owner: "HR / Jamie"
    description: "Filters inbound CVs against job criteria"
    status: in_production          # planned | in_development | in_production | deprecated
    eu_nexus: true                 # deployed, offered, or affects people in the EU/EEA
    role: deployer                 # provider | deployer | importer | distributor | authorized_rep | product_manufacturer
    role_basis: "We license from VendorX and deploy internally [verify against current AI Act text]"
    tier: high_risk                # prohibited | high_risk | limited | minimal | gpai | gpai_systemic
    tier_basis: "Annex III(4)(a) — employment, recruitment selection [verify against current AI Act text]"
    obligations_assessed: false
    obligations_note: "To assess: as deployer of a high-risk system — human oversight, input data quality, monitoring, record-keeping, informing workers, FRIA if public body/service — see Article 26 [verify against current AI Act text]"
    next_review: "2026-08-01"
    review_trigger: "on substantial modification or annually"
    created: "2026-05-11"
    updated: "2026-05-11"

このスキルが義務を自動導出しない理由

インベントリには、ロール、ティア、およびそれぞれの根拠が保存されます。ロール × ティア → 義務というハードコードされた表は含まれていません。

ユーザーが「システム X の義務は何ですか？」と尋ねた場合、スキルは会話の中で分析を行い、[verify] のタグを付け、必要に応じて正式な影響評価のために /ai-governance-legal:aia-generation へ回付します。

これは意図的な設計です:

• 条項のマッピングは複雑で、AI Act は 2027 年まで段階的に導入されます。
• コンプライアンス義務について自信を持って誤ると、取締役会メモに載ることになります。
• インベントリは弁護士のための登録簿です。義務の分析は弁護士が担います。

ガードレール

• 黙って分類しないでください。 分類の手順は見えるようにしてください。システムの説明から自動で分類しないでください。
• [verify] タグはそのまま残してください。 これは曖昧さを和らげるためのものではなく、重要なポイントです。出力から削除しないでください。
• 大幅な変更にはフラグを立ててください。 設定を超えてシステムを変更した場合は、ユーザーに /ai-inventory classify を再実行するよう促してください。変更によって役割が変わることがあります。
• 表から義務を断定しないでください。 求められた場合は会話の中で分析し、正式な記録が必要なものは /aia-generation に案内してください。