直答：EU AI Act の高リスク義務は延期されましたが、取り消されてはいません。「AI デジタルオムニバス」（EU 理事会が 2026 年 6 月 29 日に採択、7 月 24 日に EU 官報に掲載されて規則 (EU) 2026/1744 となり、7 月 27 日に発効）により、単独の高リスク AI システムは 2027 年 12 月 2 日から、規制対象製品に組み込まれる AI システムは 2028 年 8 月 2 日から適用されます。延期されたのは期限であり、やるべきことは減っていません。ISO 42001 は今すぐ構築できるマネジメントシステムです。
適用スケジュール
| 日付 | 発効する内容 |
|---|---|
| 2025 年 2 月 | 禁止される AI 行為 |
| 2025 年 8 月 | 汎用 AI モデル提供者の義務 |
| 2026 年 8 月 | 第 50 条の透明性義務（一部の表示義務は 2026 年 12 月に延期） |
| 2027 年 12 月 2 日 | 単独の高リスク AI システム（附属書 III：採用、信用スコアリング、教育など） |
| 2028 年 8 月 2 日 | 規制対象製品に組み込まれる高リスク AI（附属書 I：医療機器、機械など） |
予算に計上する項目
AI システムの棚卸しとリスク分類、ISO 42001 マネジメントシステムの構築、高リスクシステムの技術文書と人間による監督の設計、コンサルティング費用、認証費用。
AI ガバナンスは他の法令遵守を貫く
- 製品に AI が含まれる（CRA）：CRA 第 12 条により、CRA に適合する高リスク AI 製品はサイバーセキュリティの部分について AI Act 第 15 条への適合が推定されます。正確性と頑健性は引き続き AI Act に従います。CRA の予算をどう見積もるか
- 車載サプライチェーン（TISAX）：顧客の機密や試作品のデータを AI ツールで扱うことは TISAX 評価の情報セキュリティ範囲に含まれ、ISO 42001 が AI 利用のガバナンスを補います。TISAX のスケジュール
- 個人データ（ISO 27701、GDPR）：個人データで AI を学習・運用する場合も GDPR はそのまま適用され、高リスク AI はさらに AI Act 第 10 条のデータガバナンスを満たす必要があります。ISO 27701 と ISO 42001 は一つの制度に統合できます。ISO 27701 の予算
三者の分担：法令遵守の面では AI Act に基づいてリスク等級と役割（提供者、導入者）を判定します。プロセスの面では ISO 42001 に基づいて AI マネジメントシステム、影響評価、人間による監督の手順を整えます。技術の面ではデータガバナンス、モデル試験、バイアスと頑健性の検証を扱います。AI 技術チームだけに頼ると、リスク分類の根拠と監査可能な管理記録が欠けがちです。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。