CTO の ISO 42001・EU AI 法対応：AI 製品開発で何を準備するか

CTO がまず判定すべきこと：各 AI システムで自社は提供者か導入者か？

EU に拠点がない台湾企業でも、AI システムを EU 市場に上市する場合や、AI システムの出力が EU で使われる場合は対象になります（第 2 条第 1 項）。リスク区分では、第 5 条の禁止、附属書 I または附属書 III の高リスク、第 50 条の透明性に当たるか、第 6 条第 3 項で除外できるかを判定します。除外には書面による評価と登録が必要で、口頭の判断では認められません。役割と区分の判定は法的判断であり、最終的には法律顧問が個別に確認します。

高リスク AI で研究開発はどんな技術文書と試験証拠を準備するか？

高リスク AI の提供者は、リスク管理、データガバナンス、技術文書、記録、人による監督、正確性と堅牢性などの要件を満たす必要があります。試験証拠は追跡可能でなければならず、よくある穴と示すべきことは次のとおりです。

実際の試験は自社のエンジニアリングチームまたは第三者の試験機関が行い、コンサルタントは受入要件を設計し、証拠が結論を支えるのに十分かを審査します。

AI 製品の上市時期：研究開発計画に入れるべき期日と対応手順は？

法定の期日（デジタル・オムニバス、規則 (EU) 2026/1744、2026 年 7 月 27 日発効）：

• 第 5 条の禁止される AI の慣行：2025 年 2 月 2 日から適用。
• 第 50 条の透明性義務：2026 年 8 月 2 日から適用。
• 附属書 III の高リスクシステム：2027 年 12 月 2 日から適用。
• 附属書 I（A 節）の製品：2028 年 8 月 2 日から適用。

サービスページ記載の対応手順（高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月）：AI システムの棚卸しとリスク分類（1 か月）→ FRIA とギャップ分析（1〜2 か月）→ ISO 42001 マネジメントシステムの構築（2〜4 か月）→ 技術文書の作成（1〜2 か月）→ 適合性評価と EU AI データベースへの登録（1〜2 か月）→ 市販後モニタリングの仕組みの構築。附属書 III のシステムは上市前に EU データベースへの登録を完了します。

モデルを更新するたびに、研究開発は AI システムが引き続き適合していることをどう示すか？

初回リリースで受入に合格しても、翌月も使えるとは限りません。AI システムのライフサイクルには更新、監視、廃止が含まれ、統制はあらゆる変更の後も有効でなければなりません。

上市後は、市販後モニタリングと重大インシデントの報告手順を整え、既存のセキュリティインシデントのプロセスに統合できます。供給者が更新を通知しない場合は、バージョン検知と契約条項で補うしかありません。

製品にネットワーク接続と AI 機能の両方がある場合、CRA と AI 法の技術文書をまとめられるか？

一部はまとめられます。製品が CRA の対象であり、同時に AI 法上の高リスク AI システムでもある場合、CRA 第 12 条が橋渡しをしています。製品が CRA 附属書 I の必須要件を満たし、CRA の EU 適合宣言で AI 法第 15 条が求めるサイバーセキュリティ保護の水準を達成していると示せば、AI 法第 15 条のサイバーセキュリティ要件に適合すると推定されます。

ただし正確性と堅牢性はこの橋渡しに含まれず、引き続き AI 法に従って対応する必要があります。適合性評価は原則として AI 法第 43 条に従い、重要製品とクリティカル製品には例外があります。研究開発としては、一つのリスク評価、技術文書、適合宣言で両法のサイバーセキュリティ部分をカバーし、AI のリスク分類、データガバナンス、人による監督、正確性の検証は別に準備します。

顧客が ISO 42001 の認証を求めている。EU AI 法への適合の代わりになるか？

なりません。ISO/IEC 42001 は独立した認証機関が認証できる AI マネジメントシステム規格ですが、EU AI 法の整合規格ではなく、認証自体は適合推定を生じません。適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性は法定の手続きであり、証明書では代替できません。2026 年 10 月時点で EU 官報に掲載されている AI 法の整合規格は EN 18286:2026（AI 品質マネジメントシステム、第 17 条を支える）のみです。

42001 自体については（サービスページ記載）、ISO/IEC 42006 に基づいて認定された認証機関が証明書を発行し、3 年周期で毎年サーベイランス審査があります。ISO 27001 がある組織は通常 4〜6 か月、ゼロからなら約 6〜9 か月で認証に到達します。支援するコンサルタントと証明書を発行する認証機関は別の 2 社であるべきです。

積穗科研は CTO の ISO 42001・EU AI 法対応をどう支援するか？

副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。ISO 42001 と EU AI 法で一つの文書と証拠を共用し、二つの仕組みを並行させません。

• AI システムのリスク分類診断：各 AI 製品が四段階のリスク区分のどこに位置するかを明確にし、リスク区分に応じて対応の経路を計画します。
• 三つの中核文書：AI システム台帳、AI のリスクと影響の評価、EU AI 法の義務マトリクス（役割ごとに各義務、担当者、証拠、期限を列挙）。
• 技術文書と適合性評価：技術文書を作成し、適合性評価と EU データベースへの登録を手配し、市販後モニタリングと重大インシデントの報告手順を整えます。
• FRIA：FRIA の評価を支援し、導入者が評価を行うのに必要な情報を提供者が準備するのも支援します。
• 役割分担：積穗科研はコンサルタントであり、認証は行いません。

詳しく：EU AI 法対応支援、ISO 42001 導入支援、EU AI 法コンサルタントの選び方、RAG とモデルの試験証拠、CTO が研究開発プロセスに組み込む要求。無料のメカニズム診断を申し込む