eu-ai-act-readiness

EU AI Actへの対応準備

法的見解ではなく、運用上のトリアージを行います。AI Actは、改正、委任法令・実施法令、ガイダンス、規格、各国の執行慣行によって変わります。評価のたびに、法律と日付を確認してください。

入力情報

次の情報を収集するか、明記してください。

• 評価日、対象となるEU／EEA諸国、組織の所在地、顧客／ユーザーの所在地、システムの出力が使用される場所。
• 各AIシステム／モデルの目的、意図された用途、ユースケースのスクリーニング、合理的に予見可能な誤用、ライフサイクルの状況、正確なシステム／モデルのバージョン、提供開始／変更日、重要な変更、影響を受ける人々。
• 各システムに関する組織の役割：プロバイダー、導入者、輸入者、販売業者、製品製造者、認定代理人、GPAIモデルプロバイダー。
• モデル／ベンダーの連携関係、ブランド表示、ファインチューニングまたは実質的な変更、統合、データソース、契約上の責任分担。
• 管轄区域、意思決定の領域、自動化の度合い、人間による監視の設計／権限、出力、透明性のインターフェース、モニタリング、インシデント、苦情／異議申し立ての経路、明示的な再評価のきっかけ。
• 既存のリスク、品質、プライバシー、セキュリティ、アクセシビリティ、調達、記録管理、AIリテラシーに関する証拠。

信頼できるインベントリがない場合は、空欄のAIシステムインベントリテンプレートを使用してください。

出力要件

次の内容を返してください。

1. 評価日、法的情報源の最終確認日、管轄区域、公式情報源、前提、制約。
2. 管轄区域、システム／モデルのバージョン、EUとの予備的な関連性、事業者の役割、ユースケースのスクリーニング、予見可能な誤用、重要な変更、自動化／監視、リスク状況の仮説、分類の根拠／確信度、再評価のきっかけを含むインベントリ。
3. 条項／トピック、適用されるマイルストーン、現時点の証拠、ギャップ、優先度、担当者、目標日、検証方法を対応付けたギャップ登録簿。
4. 禁止される行為のエスカレーション、第50条の透明性、高リスクシステム、GPAIモデル、AIリテラシーなど広く適用されるガバナンスについて、それぞれ独立したセクション。
5. 30／60／90日間の実施計画、およびEUの有資格弁護士または所管当局への確認が必要な質問。

preliminary、potential、またはcounsel review requiredを使用してください。組織を「準拠している」と分類したり、法的分類を確定したり、規制当局の承認を保証したりしてはなりません。

ワークフロー

1. 法律、管轄区域、日付を確認する

current-law-and-sources.mdを開き、リンク先のEUR-Lexの法令および欧州委員会／AI Act Service Deskのページを確認して、2026-08-09以降に変更がないか調べます。Regulation (EU) 2024/1689を、Regulation (EU) 2026/1744およびその後の改正や統合版テキストと併せて読みます。

アクセス日と適用される言語／バージョンを記録します。その問題に影響する後続の委任法令、実施法令、欧州委員会のガイドライン、整合規格、共通仕様、行動規範、裁判所の判決、または国内規則があるか確認します。最新の公式情報源を確認できない場合は、法的なタイムラインを古い情報として扱い、期限や分類について結論を出す前に作業を中止してください。

第2条および第3条に基づき、関連するEUとの結び付きと役割を特定します。EU市場への投入、EU域内での導入、EU域内で使用される出力に加え、適用除外や分野別法令も考慮します。域外適用の範囲と適用除外は法的な問題です。不確実な点は弁護士に相談してください。

2. インベントリを作成し、構造面を確認する

実質的に異なるシステム／モデル／用途ごとに1件のレコードを作成します。このスキルディレクトリに同梱されている完全性チェッカーを実行します。

python3 scripts/check_ai_inventory.py assets/ai-system-inventory-template.csv --as-of 2026-08-09 --pretty
python3 scripts/check_ai_inventory.py /path/to/populated-inventory.csv --as-of YYYY-MM-DD --pretty
python3 scripts/check_ai_inventory.py /path/to/populated-inventory.csv --as-of YYYY-MM-DD --output /path/to/check.json --pretty

このチェッカーは標準ライブラリのヒューリスティックを使用し、法的分類は行いません。また、出力には structural/completeness screening only—not semantic fact verification or legal verification というラベルが付けられます。システムID、欠落フィールド、無効な管理語彙値、日付の問題、年齢／イベントのステータス、キーワードから導出したシグナルを報告しますが、ほかのソース行の値はコピーしません。--output を指定すると、インベントリへのエイリアスや通常ファイル以外の出力先を拒否し、兄弟一時ファイルを介してレポートをアトミックに作成または置換します。article_50_status と counsel_status には、チェッカーの管理値を使用します。すべてのソース事実とシグナルは手動で確認してください。シャドーAI、パイロット、従業員向けツール、ベンダーの機能、組み込みモデル、レガシーシステム、継続的な影響がある廃止済みシステムも含めてください。

デフォルトの365日経過フラグは、管理上の確認を促すものであり、法定期限ではありません。新たな用途、システム／モデルのバージョン、ベンダー、地域、役割、重大な変更、インシデント、法改正など、記録されたトリガーが発生した場合は、より早く再評価してください。そのため、直近に評価済みであっても、ただちに再評価が必要になることがあります。

3. 緊急の除外事項と禁止されている行為を確認する

まず、その対象が本法の定義におけるAIシステムまたはGPAIモデルに該当するかを確認します。意図された用途と予見可能な運用を、改正を含む第5条に照らして確認してください。禁止されている行為に該当する可能性がある場合は、通常の評価を中断し、証拠を保全し、導入／拡大の一時停止を提案したうえで、適格な法律顧問および責任者にエスカレーションしてください。エージェントに明示的な権限がない限り、稼働中のシステムを停止したり変更したりしないでください。適用範囲を免れるために、用途を再設計したり隠蔽したりしないでください。

これとは別に、雇用、教育、生体認証、重要インフラ、必須サービス、法執行、移民／国境管理、司法、選挙、健康／安全、未成年者、社会的弱者に関わる状況を特定してください。これらはエスカレーションのシグナルであり、自動的な分類を意味するものではありません。

4. 役割と予備的なリスク対応方針を判断する

システムごとに、以下を裏付ける事実を記録してください。

• 適用範囲外または除外対象。その正確な根拠は法律顧問による確認が必要です。
• 第5条に基づく禁止行為に関する懸念。
• 附属書Iまたは附属書IIIに関連する第6条の高リスク該当可能性。例外の有無と、その文書化要件も含めます。
• 第50条の透明性義務。
• 第V章に基づくGPAIモデルの義務。システミックリスクの分析が必要となる可能性も含めます。
• 最小リスク／その他のリスクに対する任意の管理策、および適用されるほかのEU法または国内法。

ブランド変更、市場投入、実質的変更、意図された目的の変更によって、役割が重複したり変化したりする場合があります。ベンダーによる表示や契約だけに依拠しないでください。

5. 義務とマイルストーンを整理する

評価チェックリストを確認してください。予備的な適用範囲／役割分析で裏付けられる義務のみを整理し、関連する条項／附属書を記載します。最低限、以下を評価してください。

• AIリテラシーと説明責任を伴うガバナンス。
• 提供者／導入者の透明性、および影響を受ける人への通知。
• 該当する場合の、高リスクシステムのリスク管理、データガバナンス、技術文書、記録／ログ、人間による監督に関する指示、精度、堅牢性、サイバーセキュリティ、品質管理、適合性／登録、モニタリング、インシデント対応、基本権影響評価。
• 該当する場合の、導入者の運用管理策、入力データの関連性、ログの保存、従業員への情報提供、モニタリング、人間による監督、影響評価／通知の義務。
• 該当する場合の、GPAIの技術文書、下流向け情報、著作権ポリシー、トレーニングコンテンツの概要、および追加のシステミックリスク関連義務。

日付が記載されていないチェックリストや記憶に基づく期限ではなく、最新の法令を確認したうえで適用日を使用してください。

6. 方針文言ではなく、証拠をテストする

各管理策について、既存の証跡を提示してもらい、それが対象システム、バージョン、役割、目的、管轄区域、ライフサイクル段階を正確に網羅しているかをテストします。例として、承認済みのインベントリー項目、リスク記録、データセットの来歴、評価レポート、ログ、モデル／システムカード、ユーザー向け説明、人的監視のテスト、セキュリティ証跡、変更記録、契約、透明性に関する通知、インシデント訓練、研修記録、意思決定／不服申し立て手順などがあります。

証跡が最新で、テスト済みの場合に限り、implemented とします。それ以外の場合は、partial、planned、missing、not assessed、または not applicable—basis pending counsel を使用します。

7. 優先順位を付け、弁護士に要点を伝える

禁止される可能性のある用途、すでに適用されている義務、稼働中の高影響システム、誤解を招く透明性の確保、監視の欠如、重大なインシデントを優先します。責任者、依存関係、受け入れ証拠、法務上の判断ゲートを含む30／60／90日計画を作成します。

一般的なレビューを依頼するのではなく、簡潔な事実関係と明示的な質問を弁護士に提示します。具体的な想定用途、役割、影響を受ける人々、日付、変更履歴、見解が分かれている条項を使用します。

安全性と権限の境界

• このスキルは、法的助言や代理ではなく、運用上の準備を支援するものです。域外適用範囲、適用除外、役割、禁止／高リスクの分類、適合性評価の経路、届出、執行リスク、解釈をめぐる見解の相違については、資格を有するEUの弁護士に確認してください。
• 明示的な承認と法的レビューなしに、当局への連絡、登録／通知の提出、規範への署名、適合性の表明、通知の公開を行わないでください。
• 個人データおよび特別カテゴリーのデータを最小限にしてください。システムIDと集約済みの証跡を使用し、本番データセットを評価にコピーしないでください。
• チェックリストを完成させるために、保護対象の特性を推測したり、生体情報による分類を行ったり、人に対してリスクの高いシステムテストを実行したりしないでください。
• 特権に関する表示とアクセス制御を維持しますが、法的秘匿特権を約束しないでください。
• 禁止される可能性のある用途、重大なインシデント、権利への影響、誤解を招く開示、適用される期限の徒過が疑われる場合は、緊急のエスカレーション事項として扱ってください。
• GDPR、製品安全、雇用、消費者保護、平等、アクセシビリティ、サイバーセキュリティ、著作権、分野別法、加盟国の法律は個別に確認してください。AI Actへの準備によって、これらへの対応が不要になるわけではありません。

検証と承認

• 引用したすべての公式情報源を再度開き、アクセス日を記録します。
• 改正を基本規則と照合し、要約ではなく施行中の法文を優先します。
• 分類に関する各仮説について、事実、役割、条項／附属書、バージョン、弁護士への質問との対応関係を追跡します。
• 実稼働システムに照らして証跡をサンプリングし、方針上の主張をそのまま受け入れず、責任者と日付を確認します。
• システム所有者に事実を確認してもらい、セキュリティ／プライバシー担当者に管理策を確認してもらい、資格を有する弁護士に法的結論を確認してもらいます。
• 未解決の不確実性と、再評価のきっかけとなる事象を記録します。例として、新たな用途、モデル／ベンダー／バージョン、地域、役割、重大な変更、インシデント、法改正があります。経過年数のしきい値は、事象を契機とするレビューの代わりではなく、最後の安全策として扱ってください。

復旧

評価で古い法令、誤った管轄区域、誤ったシステムバージョン、または裏付けのない分類を使用していた場合は、該当する結論を撤回し、それに依拠していた後続の計画／通知／届出を特定し、以前のレポートを保全して、弁護士のレビュー後に日付を明記した訂正を発行します。記録をひそかに書き換えないでください。禁止される可能性のある用途や重大なインシデントが明らかになった場合は、権限の範囲内でさらなる展開を停止し、証拠を保全して、組織の法務およびインシデント対応プロセスを通じてエスカレーションします。

例

採用アシスタント

依頼：「EU 展開前に、履歴書の順位付けを行うアシスタントを評価してください。」

提供者／導入者の役割と EU との関連性を明らかにし、雇用における使用について第 5 条と附属書 III を確認し、現行の適用日を検証し、高リスク関連の証拠と透明性に関する証拠を整理し、人間による監督と労働者への通知に関する不足を特定し、適合性を断定するのではなく、分類と展開の条件を弁護士に提示します。

カスタマーサービスチャットボット

依頼：「第 50 条が適用された今、サポートボットにどのような変更が必要ですか？」

現行の第 50 条の条文とガイダンスを確認し、提供者／導入者の役割と、ユーザーにすでに明確な通知が行われているかを判断し、開示のタイミングとアクセシビリティを検証し、合成コンテンツ機能を個別に記録したうえで、必要な証拠と弁護士への質問事項を作成します。

AI ポートフォリオのインベントリ

依頼：「ベンダー製と社内開発の 60 システムを対象に、AI 法への対応に向けた 90 日間の計画を作成してください。」

インベントリの構造を確認し、その事実を手動で検証し、緊急性の高い義務、禁止事項、すでに適用されている義務を優先して選別し、役割／用途／リスク仮説ごとにシステムを分類し、証拠をサンプリングし、担当者を割り当て、法務確認の関門と再評価のトリガーを含むリスクベースのロードマップを作成します。