eu-ai-act-specialist

EU AI Act コンプライアンス専門家

規則（EU）2024/1689 に関する条文引用付きの実務スキルです。3つの判断を行い、経営陣向けの AI 戦略は扱いません。

1. この AI システムはどのリスク区分に該当しますか？ — 禁止（Article 5）／高リスク（Article 6 + Annex III）／限定的リスクの透明性義務（Article 50）／最小リスク
2. 高リスクシステムの場合、適合性評価のルートと文書一式は何ですか？ — Article 43 Module A 対 Module H + Annex IV の技術文書
3. 組織内の各役割には、どのような義務がありますか？ — Article 16、22、25、26 に基づくプロバイダー／デプロイヤー／輸入業者／販売業者／認定代理人の対応表

このスキルは chief-ai-officer-advisor ではありません。CAIO は AI 機能をそもそもリリースするかを判断し、ビジネスリスクを引き受けます。このスキルは、リリースの決定を Article に準拠した成果物へとつなげる適合性対応業務を行います。

このスキルは 法的助言の代わりにはなりません。本法は拘束力のある規制です。新規性の高いケース（これは GPAI モデルか。Article 6(2) の適用除外が適用されるか。基盤モデルのファインチューニングは「実質的な変更」に当たるか）では、資格を有する外部弁護士に相談してください。このスキルは Articles と Annexes を引用し、欧州委員会／EDPB が公表した解釈を用いますが、拘束力のある法的見解は提供しません。

このスキルは GDPR ではありません。多くの AI システムには GDPR も適用されます（学習データ、出力処理）。DPIA と適法根拠に関する対応については、ra-qm-team/skills/gdpr-dsgvo-expert/ を参照してください。両法令は相互に関連します（前文 10、高リスクシステムの学習データに関する Article 10）。

キーワード

EU AI Act、EU AI Regulation、Regulation 2024/1689、AI Act、欧州の AI 規制、高リスク AI、禁止 AI、AI Act Article 5、AI Act Article 6、AI Act Article 9、AI Act Article 50、Annex III、Annex IV、適合性評価、AI の CE マーキング、AI の認証機関、Module A、Module H、AI の技術文書、上市後モニタリング、基本権影響評価、FRIA、GPAI、汎用 AI モデル、システミックリスクを有する GPAI、AI Office、ENISA AI、EDPB AI、AI Act のスケジュール、AI Act の罰則、EU AI Act のプロバイダー、EU AI Act のデプロイヤー、EU AI Act の輸入業者、EU AI Act の販売業者、EU AI Act の罰金、AI リテラシー

クイックスタート

# Decision A: Classify an AI system per the Act
python scripts/ai_system_risk_classifier.py                       # embedded 5-system sample
python scripts/ai_system_risk_classifier.py path/to/systems.json

# Decision B: Conformity assessment plan for a high-risk system
python scripts/conformity_assessment_planner.py                   # embedded high-risk sample
python scripts/conformity_assessment_planner.py path/to/system.json

# Decision C: Obligation tracker per organizational role
python scripts/ai_act_obligation_tracker.py                       # embedded sample (provider + deployer)
python scripts/ai_act_obligation_tracker.py path/to/roles.json

主要な質問（まず確認してください）

• この AI システムは Article 5（禁止行為）に該当しますか？ ソーシャルスコアリング、職場や教育機関での感情認識、操作を目的としたサブリミナル技法、公共の場におけるリアルタイムの遠隔生体識別はいずれも、明確に禁止されています。
• Annex III（高リスクのカテゴリー）に該当しますか？ 8つのカテゴリーがあります。生体認証、重要インフラ、教育、雇用、必須サービス、法執行、移民、司法です。Annex III に該当すると Article 6(2) が適用されます。ただし、Article 6(3) の適用除外に該当する場合を除きます。
• 企業はどの組織的役割を担っていますか？ プロバイダー（市場に投入する）、デプロイヤー（自らの権限の下で使用する）、輸入業者（第三国のシステムを EU 市場に投入する）、販売業者（サプライチェーンで提供する）。多くの企業は、プロバイダーとデプロイヤーの両方を同時に担います。
• 汎用 AI モデルですか？ GPAI には独自の規制体系（Articles 51–55）があり、学習に必要な計算量が 10²⁵ FLOPs を超えると、より厳しい規則が適用されます（Article 51 のシステミックリスク）。
• 高リスクの場合、Article 9 のリスク管理と Article 27 の FRIA を実施しましたか？ Article 9 はライフサイクル全体のリスク管理です。Article 27 は、公的機関のデプロイヤーと必須サービスのデプロイヤーを対象とする基本権影響評価です。
• Article 43 に基づく適合性評価のモジュールはどれですか？ Module A（内部管理。多くの Annex III システムで選択可能）と Module H（完全な QMS + 認証機関。生体認証で必須、また他の場合にも必要となることがあります）。

中核となる責務

1. AI システムのリスク分類

枠組み： 本法はリスクベースのアプローチを採用しています（前文第26項）。各 AI システムは、必ず次の4つのリスク区分のいずれかに分類されます。

区分	根拠	例	義務
禁止	第5条	ソーシャルスコアリング、職場・教育現場での感情認識、サブリミナル操作、法執行機関による公共の場でのリアルタイム生体認証（限定的な例外を除く）	市場への投入および使用は禁止されます（罰則は最大3,500万ユーロまたは売上高の7％）
高リスク	第6条＋附属書III、第6条第1項＋附属書I	履歴書のスクリーニング、信用スコアリング、生体認証による分類、規制対象製品の安全コンポーネント	第8～17条（提供者）＋第26条（導入者）、適合性評価、CE マーキング
限定的リスク（透明性）	第50条	チャットボット、ディープフェイク、第5条の対象外の状況での感情認識	自然人への透明性に関する開示
最小リスク	デフォルト	スパムフィルター、ビデオゲームの AI、在庫予測ツール	本法に基づく義務なし（第95条に基づく自主行動規範）

重要な適用除外（第6条第3項）： 附属書IIIに該当するシステムでも、（a）限定的な手続き上のタスクを実行する、（b）すでに完了した人間の活動の結果を改善する、（c）人間による評価に取って代わることなく意思決定のパターンを検出する、（d）準備タスクを実行する場合は、高リスクには該当しません。注意：自然人のプロファイリングは、適用除外にかかわらず常に附属書IIIの高リスクに該当します。

実行 ai_system_risk_classifier.py にシステムの特性を渡します。このツールは、まず第5条の禁止事項を確認し、次に附属書IIIのカテゴリー、第6条第3項の適用除外、第50条の透明性要件を確認し、最後に最小リスクをデフォルトとして判定します。

条文ごとの詳細な解説については、references/eu_ai_act_titles.md を参照してください。

2. 適合性評価＋附属書IVの技術文書

枠組み（第43条＋附属書VI／VII）： 高リスク AI システムの場合、提供者は市場に投入する前に適合性を証明する必要があります。ルートは2つあります。

• モジュールA — 内部管理（附属書VI）：提供者が要件への適合を自己評価します。提供者が整合規格を適用している、ほとんどの附属書IIIのシステムに適用されます。
• モジュールH — 完全な品質マネジメントシステム＋技術文書（附属書VII）：通知機関が関与します。生体認証システムに必要です（第43条第1項）。

附属書IVに基づき必要となる成果物 — 技術文書：

1. AI システムの概要（意図された目的、識別情報、バージョン）
2. システム要素の詳細な説明（アーキテクチャ、トレーニングデータ、検証手順）
3. 監視、動作、制御に関する情報
4. リスクマネジメントシステムの説明（第9条）
5. 市場投入後の変更の説明
6. 適用した整合規格の一覧（または代替手段）
7. EU 適合宣言（第47条）
8. 市販後モニタリングシステムの説明（第72条）

実行 conformity_assessment_planner.py を使って、モジュールを選択し、対象の高リスクシステム向けの附属書IVチェックリストを作成します。

どのシステムにどの適合性評価ルートが必要かについては、references/high_risk_systems_annex_iii.md を参照してください。

3. 役割別義務トラッカー

枠組み（第16条、第22条、第23条、第24条、第25条、第26条）： 本法は、提供者の義務（大半）と下流の主体（導入者、輸入者、販売業者、認定代理人）の義務を区別しています。1社が同時に複数の役割を担うこともあります。

役割	主な条項	主な義務
提供者（第3条(3)）	8～17、47、49、72	適合性評価、CEマーキング、リスク管理、データガバナンス、技術文書、市販後モニタリング、重大インシデント報告（第73条）
導入者（第3条(4)）	26	指示に従った使用、人間による監視、入力データの品質、記録の保存（第19条）、労働者への通知（第26条(7)）、公共部門／基幹サービスの場合はFRIA（第27条）
輸入者（第3条(6)）	23	適合性の確認、CEマーキングの貼付、技術文書の利用可能性
販売業者（第3条(7)）	24	提供する前にCEマーキングと文書を確認
認定代理人（第22条）	22	EU域外の提供者は認定代理人を任命する必要があります。代理人は提供者の義務について責任を負います

重要： 第25条に基づき、高リスクAIシステムに大幅な変更を加えた導入者、または自らの名称で市場に投入した導入者は、提供者となり、提供者の義務を引き継ぎます。

役割を記載したJSONを指定して ai_act_obligation_tracker.py を実行すると、期限順に並べた義務マトリックスが生成されます。

GPAIの第51～55条については、別のトラックとして references/gpai_obligations.md を参照してください。

ワークフロー

ワークフロー 1：AIシステムの初期レビュー（システムごと、約2時間）

目標： 分類し、義務を特定し、適合性評価作業の範囲を定めます。

# 1. Document system characteristics: purpose, users, data, autonomy, deployment context
# 2. Run classifier
python scripts/ai_system_risk_classifier.py systems.json
# 3. If high-risk: run planner
python scripts/conformity_assessment_planner.py system.json
# 4. Identify org roles played (provider / deployer / both)
python scripts/ai_act_obligation_tracker.py roles.json
# 5. Cross-check with GDPR DPIA (gdpr-dsgvo-expert) if personal data
# 6. Cross-check with ISO 42001 AIMS evidence (compliance-team-iso42001)
# 7. Output: classification memo + conformity plan + obligation list

ワークフロー 2：附属書IV技術文書の作成（高リスクシステムごと、2～4週間）

目標： 適合性評価の前に、附属書IVの文書一式を作成します。

# 1. Run conformity assessment planner to get the checklist
python scripts/conformity_assessment_planner.py system.json
# 2. Assemble: system description, architecture, training data, validation, risk management
# 3. Reference ISO 42001 evidence where it satisfies Annex IV items
# 4. Reference ISO 27001 evidence for security controls
# 5. Run Article 9 risk management lifecycle
# 6. Sign EU declaration of conformity (Article 47) AFTER assessment passes
# 7. Affix CE marking (Article 48)
# 8. Register in EU database (Article 71) — high-risk Annex III systems

ワークフロー 3：導入前の義務監査（システムごと、ローンチ前）

目標： EU市場への投入前に、適用されるすべての義務が整備されていることを確認します。

# 1. Confirm classification still correct (re-run classifier if system changed)
# 2. Confirm conformity assessment completed (if high-risk)
# 3. Confirm transparency requirements (Article 50) — for chatbots, deepfakes, emotion detection
# 4. Confirm post-market monitoring system (Article 72) is live
# 5. Confirm serious-incident reporting procedure (Article 73) is documented
# 6. For deployers: FRIA done (Article 27, if applicable); workers informed (Article 26(7))
# 7. For GPAI: Articles 51-55 obligations met if applicable

ワークフロー 4：年次コンプライアンス更新（組織ごと、毎年）

目標： 本法の段階的な適用に合わせて、分類と義務を再確認します。

1. EU市場で販売中、または販売を予定しているすべてのAIシステムを一覧にする
2. システムごとに分類器を実行する — 第5条の禁止リストは委任法令によって拡大される可能性があります
3. 義務トラッカーを実行する — 第III編の段階的な適用に伴い、期限が変わります（2025年 → 2026年 → 2027年）
4. 各高リスクシステムについて、市販後モニタリングのデータフローと重大インシデント報告体制を確認する
5. 第11条の継続的な要件に従って、附属書IVの技術文書を更新する
6. 両方を運用している場合は、ISO 42001のマネジメントレビュー（箇条9.3）と併せて実施する

出力基準

**Bottom Line:** [one sentence — classification + most-significant obligation]
**Article Citation:** [Article + paragraph number; do not paraphrase without cite]
**The Decision:** [one of: classify | conformity-route | obligation-scope]
**The Evidence:** [Article + Annex references; classification confidence]
**How to Act:** [3 concrete next steps with owner + deadline aligned to phasing]
**Your Decision:** [the call for compliance officer or legal counsel — risk-class disputes, novel cases, GPAI threshold determinations]

関連スキル

• ra-qm-team/skills/gdpr-dsgvo-expert/ — GDPRのDPIAと適法根拠（ほとんどのAIシステムはGDPRにも該当します）
• ra-qm-team/compliance-team-iso42001/ — ISO 42001 AIMS（第17条の提供者向けQMSの一部を満たす任意のマネジメントシステム）
• ra-qm-team/skills/information-security-manager-iso27001/ — サイバーセキュリティ要件に関するISO 27001（第15条）
• ra-qm-team/skills/risk-management-specialist/ — ISO 14971のリスク管理（第6条(1)に基づく安全コンポーネントAIについて参照）
• ra-qm-team/skills/mdr-745-specialist/ — MDR 2017/745（医療機器AIとの重複領域）
• compliance-os/ — 複数のフレームワークにまたがるプログラム向けメタオーケストレーター
• c-level-advisor/chief-ai-officer-advisor/ — 経営層向けAI戦略

参考資料

• eu_ai_act_titles.md — 第I～XII編を条文ごとに解説し、導入者／提供者／輸入者／販売者の義務を分類
• high_risk_systems_annex_iii.md — 附属書IIIの8つのカテゴリーを詳しく解説し、第6条第2項～第3項との関連および適用除外テストを説明
• gpai_obligations.md — GPAI に関する第51～55条の枠組み、システミックリスクのしきい値、透明性に関する規則、実践規範の状況
• cross_framework_mapping_ai_act.md — AI Act ↔ ISO 42001 ↔ NIST AI RMF ↔ GDPR の管理策レベルでの対応関係

---

バージョン： 1.0.0 ステータス： 本番環境対応