人事責任者（CHRO）が見る EU AI 法：採用、評価、従業員管理での AI

履歴書選考、面接の採点、人事評価、業務割当の AI は、EU AI 法で高リスクですか？

附属書 III 第 4 項「雇用、労働者管理、自営業へのアクセス」は二つの類型を挙げています。

前文第 57 項はその理由を説明しています。これらのシステムは本人のキャリアの見通しと生計に大きく影響し得ること、女性や特定の年齢層などに対する歴史的な差別を固定化し得ること、監視ツールがデータ保護とプライバシーの権利を損ない得ることです。

例外：狭い手続的作業のみを行う、あるいは人が既に行った活動の結果を改善するなどで、自然人のプロファイリングを行わないものは、第 6 条第 3 項により高リスクとみなされませんが、文書化して EU データベースに登録する必要があります。附属書 III のシステムは 2027 年 12 月 2 日から適用されます（規則 (EU) 2026/1744 による改正後）。

台湾本社が AI で EU 子会社の応募者を選考する場合、EU AI 法は適用されますか？

適用され得ます。AI システムを EU 市場に投入する場合、または AI システムの出力が EU で使われる場合、EU に拠点がなくても適用範囲に入ります（第 2 条第 1 項）。

人事はまず、HR システムごとに役割を判定します。

• 配備者：業務の中で他者の AI システムを使う者。たとえば購入した採用や人事評価のプラットフォーム
• 提供者：AI システムを開発し、または開発を委託し、自社の名義で使用を開始する者
• 役割は変わり得る：第三者の AI システムに自社の名称や商標を付ける、実質的な変更を加える、用途を変えて高リスクにする場合、第 25 条第 1 項により提供者とみなされ、提供者の義務を負います

たとえば、グループがベンダーのモデルの採点ロジックを調整して EU 子会社の昇進評価に使う場合は、実質的な変更にあたるかを確認します。判断の理由は AI システム台帳に記録し、適用されるかは法律顧問が個別に判断します。

ベンダーの HR システムを使っています。人事は配備者として何をすべきですか？

第 26 条は高リスク AI の配備者に具体的な義務を定めています。人事に直接関わるのは次のとおりです。

人事の実務：購入契約でベンダーに使用説明書とログ機能の提供を求めること、システムごとに監督者を指名して訓練を手配すること、労働者代表と応募者への通知手続を稼働前チェックリストに入れることです。

AI で従業員の感情を分析したり、ビデオ面接で応募者の表情を読み取ったりできますか？

原則としてできません。第 5 条第 1 項 (f) は、職場と教育機関において、自然人の感情を推定する AI システムを市場に投入し、その目的で使用を開始し、または使用することを禁じており、例外は医療または安全上の理由に限られます。禁止規定は 2025 年 2 月 2 日から適用されており、違反には最高 3,500 万ユーロまたは全世界年間売上高の 7% の制裁金があります（第 99 条）。

人事がすべきこと：

• 面接、サービス品質、従業員調査のツールを含め、現在のツールに感情や態度の分析機能がないかを確認する
• 新しいツールを購入する際、感情認識を含むかどうかの説明を契約でベンダーに求める
• 禁止の範囲外の感情認識や生体分類にも、第 50 条の通知義務がある

応募者のビデオ面接が「職場」に含まれるか、ある機能が感情の推定にあたるかは、欧州委員会の禁止行為に関するガイドラインを参考に、法律顧問が個別に判断します。

従業員が自分で生成 AI ツールを使っています。人事の AI リテラシー研修はどこまで必要ですか？

第 4 条（規則 (EU) 2026/1744 による改正後）は、AI システムの提供者と配備者に、従業員と自らに代わって AI システムを操作・使用する人の AI リテラシーの向上を支える措置をとるよう求めています。その際、技術的知識、経験、教育訓練、使用の状況、影響を受ける人を考慮します。この義務は、個人が特定の水準に達することを保証するよう求めるものではありません。

実務では階層化できます。

• 全従業員：許可される用途と禁止事項、データ入力のルール、出力の確認。許可リストと例外申請で運用し、新しい用途を定期的に見直して、利用が隠れて行われないようにする
• 高リスクシステムの監督者：第 26 条第 2 項が必要な能力、訓練、権限を求めるため、より深い研修にする
• 管理職：自動化バイアスを理解し、AI の提案を覆すべき場面を知る

研修記録は、セキュリティ、個人情報、誠実経営の研修と同じ年間研修計画にまとめられます。

人事の AI 利用に基本権影響評価や DPIA は必要ですか？取締役会は何を見るべきですか？

• 基本権影響評価：第 27 条が求めるのは、公法上の機関、公共サービスを提供する民間主体、信用評価または生命保険・健康保険の価格設定のシステムを配備する者に限られます。一般企業の人事用途は通常含まれませんが、実際の状況で確認します。
• DPIA：AI が従業員や応募者の個人データを処理する場合に GDPR のデータ保護影響評価が必要かは、法律顧問が判断します。両者は事実を共有できますが、それぞれ完成させる必要があります。
• 一つの文書：積穗科研は、第 9 条のリスク管理、第 27 条の基本権影響評価、ISO/IEC 42001 のリスクと影響の評価に同時に対応する一つの AI リスク・影響評価を作成します。
• 取締役会への報告：AI システム台帳とリスク等級、各システムの適用日、監督と通知の手続の実施記録。制裁金の上限は、禁止規定違反で 3,500 万ユーロまたは 7%、その他の義務違反で 1,500 万ユーロまたは 3% です。
• 証明書の境界：EU AI 法に独立した証明書はなく、ISO/IEC 42001 は整合規格ではないため、認証は適合の推定を生みません。

積穗科研は人事責任者の EU AI 法への対応をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で、私たちも同じように確かめてください。

• まず等級分け：人事が使う AI システムを棚卸しし、役割とリスク等級を判定して、判断の記録を AI システム台帳に残します。第 6 条第 3 項の除外は書面の評価と登録が必要で、口頭では判断しません
• 三つの中核文書：AI システム台帳、AI リスク・影響評価、EU AI 法義務マトリクス（役割ごとに各義務、責任者、証拠、期限を列挙）
• 一つの制度：ISO 42001 マネジメントシステムを組織のガバナンスの骨格とし、第 9〜17 条と条ごとに照らして差分を埋めます
• 期間（サービスページ記載）：高リスク AI への対応は通常 6〜9 か月、ISO 42001 の認証と統合すると 9〜12 か月です
• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。法律意見は提携弁護士が出します

詳しく：EU AI 法対応支援、EU AI 法コンサルタントの選び方、採用・医療・工場 AI の受け入れ判定、役割が変わったときにすること