直答：米国は調達を、EU は法規を、日本はガイドラインを見ており、三地域とも AI サプライヤーに検証可能なガバナンスの証拠を求めています。データをどう使うか、リスクをどう管理するか、性能をどう監視するか、責任を誰が負うか。国際規格 ISO 42001 に基づいて AI マネジメントシステムを構築すれば、三地域の要求に同時に応える共通基盤になります。
三地域が AI サプライヤーに求めること
| 市場 | 主な根拠 | 性質と状況 | サプライヤーへの要求 |
|---|---|---|---|
| 米国 | OMB M-25-22 連邦 AI 調達メモランダム | 施行済み。2025 年 9 月 30 日以降に公示された調達の契約に適用 | 非公開の政府データで公開モデルを学習させないこと、データと知的財産の保護、ベンダーロックインの回避、AI 利用の開示、定期的なリスク評価と緩和 |
| EU | AI Act（規則 (EU) 2026/1744 で改正）、サイバーセキュリティ法改正草案 CSA 2.0 | AI Act は段階的に適用され、第 50 条の透明性義務は 2026 年 8 月 2 日に適用済み。CSA 2.0 は 2026 年 1 月 20 日に提案され、立法手続き中 | 高リスク AI はリスク管理、データガバナンス、技術文書、人間による監督などの要件を満たす必要がある。CSA 2.0 草案は信頼できる ICT サプライチェーンの枠組みを構築 |
| 日本 | AI 法、人工知能基本計画、AI 事業者ガイドライン | AI 法は 2025 年 9 月 1 日に全面施行。基本計画は 2025 年 12 月 23 日に閣議決定。ガイドライン第 1.2 版は 2026 年 3 月 31 日に公表 | 「信頼できる AI」を核とし、罰則は設けない。政府調達と補助金が先行して安全性、透明性、説明責任を要求 |
これからの重要な時点
- 2026 年 12 月 2 日：EU AI Act により、2026 年 8 月 2 日より前に上市された生成 AI システムは、AI 生成コンテンツの技術的表示を完了する必要があります。
- 2027 年 12 月 2 日：EU AI Act の単独の高リスク AI システムに関する義務が適用されます。
- 2028 年 8 月 2 日：EU AI Act の製品組み込み型高リスク AI に関する義務が適用されます。
- 調査会社 Gartner は、2027 年までに AI ガバナンスが各国のソブリン AI 規制の必須要件になると予測しています（調査会社の予測であり、既成事実ではありません）。
台湾企業にとっての意味
米国政府のサプライチェーンに販売する企業は、データ利用とリスク管理を説明できる必要があります。EU に販売する AI 製品は、リスク等級に応じて技術文書と人間による監督の仕組みを準備する必要があります。日本の顧客に供給する企業は、AI 事業者ガイドラインに照らしてガバナンスの取り組みを説明するよう求められることがあります。三つの要求の証拠は大部分が重なります。リスク評価、データガバナンス、変更と性能の監視、インシデント報告、責任分担です。AI マネジメントシステムを一度構築すれば、市場ごとに別々に作る必要はありません。
積穗科研の進め方
以下は積穗科研自身の説明です。上の三地域の要求で、私たちも、他のコンサルタントも、同じように検証してください。
- 一つずつ判定：製品と利用シナリオに応じて、三地域それぞれで適用される要求と役割を判定します。
- 一つのマネジメントシステム：ISO 42001 で AI マネジメントシステムを構築し、三地域の要求を同じ制度と証拠に対応付けます。
- プロセスの定義：誰が責任を負い、何を、いつ行うか、行った・行わなかった証拠はどこにあるか。
- コンサルタントチーム：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、コンサルタントは ISO 42001 主任審査員資格を保有しています。
関連する質問
- ISO 42001 と AI Act の予算とスケジュールはどう組むか ISO 42001 と AI Act の予算とスケジュール
- AI ガバナンスのコンサルタントをどう選ぶか 台湾で ISO 42001 と AI Act のコンサルタントを選ぶには
- 製品に AI 機能がある場合、CRA はどう扱うか CRA 第 12 条により、CRA に適合する高リスク AI 製品はサイバーセキュリティの部分について AI Act 第 15 条への適合が推定されます。CRA の予算をどう見積もるか
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。