社長・CEO が見る EU AI 法と ISO 42001：社員の AI 利用、制裁金、ガバナンス責任

社員がみな生成 AI を使っています。社長・CEO はまず何を管理すべきですか？

まず EU AI 法が適用されるかを確認します。AI システムを EU 市場に出す場合、または AI の出力が EU で使われる場合、台湾企業も対象です（第 2 条第 1 項）。

適用される場合、第 4 条の AI リテラシー義務は 2025 年 2 月 2 日から適用されています。規則 (EU) 2026/1744 による改正後、提供者と導入者は、社員や自社のために AI を操作する人の AI リテラシーを「支える措置を講じる」必要があり、個人が特定の水準に達することの保証までは求められません。欧州委員会の Q&A によれば、認証書は不要で、社内研修の記録を残すことができ、ハルシネーションなど特有のリスクを社員に伝えるべきとされています。

適用されない場合でも、社長・CEO は二つのことを行うべきです。社内利用ルールの策定（機密情報や個人情報など入力してはならないデータの明確化）と教育研修です。

当社は AI で履歴書の選考や与信評価をしています。社長・CEO は何に責任を負いますか？

採用と信用評価は附属書 III の高リスク AI です。デジタル・オムニバス（規則 (EU) 2026/1744）により、附属書 III システムの高リスク義務は 2027 年 12 月 2 日から適用されます。

会社が導入者（他社の AI システムを業務で使う）の場合、次を行います。

• 提供者の使用説明書に従って使う
• 能力のある人員を人による監視に割り当てる
• ログを少なくとも 6 か月保存する
• 信用評価、生命保険・健康保険の価格設定システムを導入する場合は基本権影響評価を行う（第 27 条）

自社で開発し自社名で提供する場合は提供者であり、適合性評価を含むより重い義務を負います。EU と関係なく台湾社内だけで使う場合も、サービスページは、人事判断や与信評価など高リスクの場面ではガバナンスを整えるよう勧めています。

EU AI 法の制裁金はどれほどですか？AI の誤りで損害が出たら会社は賠償しますか？

行政上の制裁金（第 99 条、いずれか高い方。中小企業はいずれか低い方）：

民事上の賠償：EU AI 法自体には民事賠償の規定がなく、欧州委員会は AI 責任指令案を撤回しました。AI による損害は、主に新しい製造物責任指令 (EU) 2024/2853（ソフトウェアと AI システムを対象とし、2026 年 12 月 9 日以降に市場に出た製品に適用）と各加盟国の不法行為法で扱われます。

引当金の要否や契約上の責任分担は、法律顧問と監査法人が個別に判断します。

ISO 42001 に投資する価値はありますか？EU AI 法とはどう違いますか？

両者は性質が異なります。

投資の価値は、AI 法が求めるリスク管理、記録、人による監視のプロセスを一つのマネジメントシステムで受け止め、顧客に AI システム台帳、リスク評価、管理記録を示せることです。サービスページ記載の期間：ISO 27001 がある組織は通常 4〜6 か月で認証、ゼロからは約 6〜9 か月。高リスク AI の対応は通常 6〜9 か月、ISO 42001 認証と統合すると 9〜12 か月です。

AI ガバナンスは誰が担当しますか？取締役会に何を報告すべきですか？

責任の置き場所を作るため、まず三つの文書を整えます。

1. AI システム台帳：社内のすべての AI システム（自社開発・購入）と、それぞれの役割とリスク水準、判断の記録。
2. AI リスク・影響評価：第 9 条のリスク管理、第 27 条の基本権影響評価、ISO 42001 のリスク・影響評価を一つの文書で兼ねる。
3. EU AI 法義務マトリクス：役割ごとに各義務、担当者、証跡、期限を列挙。

第 6 条第 3 項の除外（附属書 III のシステムが高リスクでないと主張する場合）は書面で評価し登録します。口頭で判断してはいけません。

取締役会報告では、AI を既存のリスク管理方針に組み込めます。上場・店頭登録会社リスク管理実務規範第 18 条のリスク分類には、法令遵守リスクと情報リスクが含まれます。この規範は上場・店頭登録会社に適用されます。非公開発行会社はこの規範の対象外ですが、任意で参考にできます。

台湾の人工知能基本法は企業に何を求めていますか？

台湾の人工知能基本法は 2026 年 1 月 14 日に公布・施行され、中央主管機関は国家科学及技術委員会です。条文の多くは政府を対象とし、企業への具体的な要求は、主に各目的事業主管機関がリスクに応じて定める管理規範と産業ガイドラインを通じて実施されます。行政院は 2028 年 1 月までの策定を求めています。

社長・CEO が今できることは次のとおりです。

• デジタル発展部が 2026 年 7 月 7 日に公表した AI リスク分類フレームワーク 1.0 版で、自社の AI 利用を棚卸し・評価する
• 自社の業種の主管機関の管理規範を追う
• ISO 42001 で作る AI システム台帳とリスク評価で、台湾と EU の要求に同時に対応し、二つの仕組みを作らない

積穗科研は社長・CEO の EU AI 法と ISO 42001 への対応をどう支援しますか？

副社長・取締役クラスのコンサルタントが外注せず最初から最後まで自ら支援し、ISO 42001 主任審査員の資格を持っています。積穗科研はコンサルティング会社で認証は行わず、認証はお客様が選んだ認証機関が行います。

• 分類してから投資：全社の AI システムを棚卸しし、役割（提供者か導入者か）とリスク水準を判定し、リスクに応じて費用対効果の最も高い道筋を計画します。
• 三つの中核文書：AI システム台帳、AI リスク・影響評価、EU AI 法義務マトリクス。各欄に条文の出典を示します。
• ISO 42001 と AI 法で一つの証跡：ISO 42001 を組織面のガバナンスの骨格とし、AI 法の差分を条文ごとに補い、ISO 27001・27701 と骨格を共有します。
• 市販後モニタリング：市販後モニタリングと重大インシデント報告の手順を既存のセキュリティインシデント手順に組み込みます。

関連情報：EU AI 法対応支援、ISO 42001 導入支援、EU AI 法コンサルタントの選び方、ISO 42001 コンサルタントの選び方、予算とスケジュール。

無料のメカニズム診断を申し込む