AI リスクはリスクマップのどこに置き、CRO はまず何を棚卸ししますか？
守則第 18 条の「その他の新興リスク」です。第一歩は AI システム台帳です。組織内の AI システム（自社開発と調達）を棚卸しし、それぞれの EU AI 法上の役割（提供者、導入者、輸入者、販売者）とリスク区分を判断し、判断の記録を台帳に残します。
台湾企業は EU に拠点がなくても、AI システムを EU 市場に出す場合や、AI システムの出力が EU で使われる場合は適用範囲に入ります（第 2 条第 1 項）。この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
既存のリスクマトリクスは会社の損失しか見ていません。AI リスクの評価にはなぜ足りないのですか？
ISO 42001 は二つの評価を求めます。AI リスクアセスメント（組織に対するもの）と AI システム影響評価（個人、集団、社会に対するもの）で、それぞれに評価方法と日付があります。売上と評判だけを見て、AI が個人と集団に与える影響を評価しなければ、審査員がたどる線が途切れます。
たとえば価格設定や資格審査のシステムは、会社の財務損失は小さくても、特定の顧客層に長期的に不利に働く可能性があります。会社の損失だけを見るリスクマトリクスには、これが見えません。CRO は影響評価に、影響を受ける集団、起こり得る害、長期的な累積効果の欄を加えるべきです。
AI の残留リスクは誰が受容し、委員会はどんな記録を見るべきですか？
残留リスクは組織の権限ある管理者が書面で受容し、受容の条件、期限、使用停止と再評価のきっかけを明記します。コンサルタントは判断に根拠と記録があるようにする役割で、管理者の代わりに署名することはできず、受容の判断を代わりに行うべきでもありません。
検収できる一本の線：任意のリスクを一つ選び、10 分以内に評価から管理策、担当者、証跡、受容記録までたどれること。適用除外の管理策を一つ選び、理由を説明できること。
EU AI 法の制裁金と適用日は、影響度評価と KRI にどう入れますか？
制裁金の上限（第 99 条、いずれか高い額。中小企業はいずれか低い額）：
| 違反 | 上限 |
|---|---|
| 第 5 条の禁止規定 | 3,500 万ユーロまたは全世界年間総売上高の 7% |
| 提供者、導入者などの義務と第 50 条の透明性 | 1,500 万ユーロまたは 3% |
適用日：第 5 条の禁止規定は 2025 年 2 月 2 日から、第 50 条の透明性は 2026 年 8 月 2 日から。規則 (EU) 2026/1744 により、高リスクの義務は附属書 III のシステムが 2027 年 12 月 2 日から、附属書 I の製品が 2028 年 8 月 2 日から適用されます。
ISO 42001 の認証を取れば、取締役会に EU AI 法に適合していると報告できますか？
できません。ISO/IEC 42001:2023 は認証可能な AI マネジメントシステム規格で、ISO/IEC 42006 に基づき認定された認証機関が発行し、3 年周期で毎年サーベイランス審査があります。しかし EU AI 法の整合規格ではなく、適合の推定は生じません。適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性は法定手続きで、証明書では代えられません。
2026 年 10 月時点で EU 官報に掲載された AI 法の整合規格は EN 18286:2026（AI の品質マネジメントシステム、第 17 条を支援）だけです。
ISO 42001 と EU AI 法の対応には、それぞれどれくらいかかりますか？
サービスページ記載：
- ISO 42001：ISO 27001 があれば通常 4〜6 か月で認証、ゼロからなら約 6〜9 か月。4 段階：範囲と棚卸し（2〜4 週）、リスクと影響の評価（3〜5 週）、制度構築（6〜10 週）、監査と認証（4〜8 週）
- EU AI 法の高リスク AI への対応：通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月
積穗科研は CRO の AI リスク対応をどう支援しますか？
- 三つの中核文書：AI システム台帳、AI リスク・影響評価（第 9 条、第 27 条、ISO/IEC 42001 に同時に対応）、EU AI 法の義務マトリクス（各義務の担当者、証跡、期限）
- 同じ骨格：42001 をマネジメントシステムの土台とし、ISO 27001／27701 と骨格を共有します
- 役割の分離：認証は ISO/IEC 42006 に基づき認定された認証機関が行い、積穗は同行しますが審査はしません
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
ISO 42001 AI マネジメントシステム、EU AI 法対応支援、リスク・影響と受容責任。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？
- CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？
- CRO の ISO 37001 導入：贈賄シナリオと海外リスク、誠実性指標をどう管理するか？
- CRO から見た営業秘密保護：流出シナリオ、合理的な秘密管理措置、KRI をどう設けるか？
- CRO から見た ISO 27001：情報リスクと全社リスクを同じ尺度でどう測るか？
- CRO から見た GDPR：制裁金リスク、グループ内移転、漏えいシナリオをどう評価するか？
- CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？
- CRO から見た EU CRA：市場参入リスク、報告義務、監督の役割をどう整理するか？
- CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか
- CRO と AI 変革：AI リスクをリスクマップ、KRI、取締役会報告にどう組み込むか