法務・コンプライアンス責任者と EU AI 法・ISO 42001：役割の判定、AI 契約、責任をどう管理するか

各 AI システムで会社は提供者か導入者か？ブランド付けや用途変更で法的責任は変わるか？

第 25 条第 1 項により、次の場合は高リスク AI の提供者とみなされます。

• (a) 市場にある高リスクシステムに自社の名称や商標を付ける（契約で別に定める場合を除く）
• (b) 実質的な変更を加える
• (c) 意図された目的を変更して高リスクにする。例えば従業員のシフトや評価に関わる判断に使う

EU に拠点のない台湾企業でも、AI システムを EU 市場に出す場合や、その出力が EU で使われる場合は対象です（第 2 条第 1 項）。判定の記録は AI システム台帳に残し、法的な分類の最終的な意見は弁護士が出します。

AI ベンダーから調達するとき、または AI 機能を顧客に販売するとき、契約で何を定めるか？

• 第 25 条第 4 項：高リスク AI システムの提供者と、AI システム、ツール、サービス、部品、プロセスを供給する第三者は、提供者が義務を完全に履行できるよう、必要な情報、能力、技術的アクセスその他の支援を書面で定めます。AI オフィスは任意のモデル条項を作成し推奨できます。前文第 90 項は、モデル条項の目的をバリューチェーンでの協力の促進と説明しています。
• 第 25 条第 2 項：元の提供者は新しい提供者に協力します。ただし、高リスクへの変更を明確に禁じていた場合は除きます。
• 導入者に必要なもの：提供者の使用説明書に従って使用し、ログを少なくとも 6 か月保存し、リスクを把握したら提供者に通知します（第 26 条）。契約で使用説明書、ログ、連絡窓口を確保します。

判断の枠組み：誰が提供者かを明記する。技術文書、試験の証拠、ログの提供範囲。モデル更新の通知。インシデント報告への協力期限。責任上限と補償。許容できる条件は法律顧問が個別に判断します。

AI の誤りで損害が出たら、会社はどんな責任を負うか？制裁金はどれくらいか？

行政上の制裁金（第 99 条、いずれか高い方。中小企業はいずれか低い方）：

民事賠償：EU AI 法自体に民事賠償の規定はなく、欧州委員会の Q&A も AI 法は刑事犯罪も賠償請求権も創設しないと説明しています。欧州委員会は AI 責任指令の提案を撤回しました。AI による損害は主に新製造物責任指令 (EU) 2024/2853（ソフトウェアと AI システムを含み、2026 年 12 月 9 日以降に市場に出された製品に適用）と各加盟国の不法行為法で扱われます。

契約で責任をどう分担するか、引当金が必要かは、法律顧問と会計監査人が個別に判断します。

従業員が顧客データや社内の秘密を生成 AI に入力している。法務は何を管理するか？

• AI リテラシー：第 4 条は 2025 年 2 月 2 日から適用されています。規則 (EU) 2026/1744 による改正後、提供者と導入者は従業員の AI リテラシーを支える措置をとり、個人が特定の水準に達することの保証は求められません。欧州委員会は、証明書は不要で、社内研修の記録を残せばよく、ハルシネーションなど特定のリスクを従業員に知らせるべきだと説明しています。
• 社内の利用規程：入力してはならないデータ（例えば秘密情報や個人情報）を定め、研修を行います。一般的な生成 AI ツールのみで高リスクの用途がない場合、通常はこれで足ります。
• 営業秘密：秘密情報を外部の AI サービスに入力する前に、入力データの利用と保存について契約がどう定めているかを確認します。合理的な秘密管理措置は、規程、研修の受講記録、アクセス記録から確認できなければなりません。

AI サービスの規約がベンダーによる入力データの利用を認めているか、データの利用許諾が適法かは、最終的に法務または弁護士が判断します。

AI で重大インシデントが起きたら当局に報告すべきか？報告で法務はどんな役割を担うか？

• 提供者（第 73 条）：インシデントが発生した加盟国の市場監視当局に、認知後 15 日以内に報告します。広範な侵害などの場合は 2 日以内、死亡があった場合は 10 日以内です。まず不完全な初回報告を出すこともできます。
• 導入者（第 26 条第 5 項）：高リスクシステムの運用を監視し、リスクや重大インシデントを把握したら提供者に通知します。
• 欧州委員会は第 73 条についてガイダンス案と報告様式を公表し、意見を募集しました。

法務が事前に決めること：各システムでの会社の役割、重大インシデントに当たるかを誰が判断するか、対外説明と提供者や顧客への通知を誰が承認するか、判断の記録をどう残すか。サービスページの進め方は、市販後モニタリングと重大インシデント報告の手順を既存のセキュリティインシデント対応に組み込むことです。

台湾の人工知能基本法は何を求めるか？ISO 42001 の証明書は義務を果たした証明になるか？

• 台湾：「人工知能基本法」は 2026 年 1 月 14 日に公布・施行され、中央主管機関は国家科学及技術委員会です。条文の多くは政府を対象とし、企業への具体的な要求は主に各目的事業主管機関がリスクに応じて定める管理規範と業界ガイドラインで示され、行政院は 2028 年 1 月までの策定を求めています。数位発展部は 2026 年 7 月 7 日に AI リスク分類フレームワーク 1.0 版を公表しており、棚卸しの参考になります。
• ISO 42001 の限界：認証可能な AI マネジメントシステム規格ですが、EU AI 法の整合規格ではなく、認証は第 40 条第 1 項の適合の推定を生みません。2026 年 10 月時点で EU 官報に掲載された AI 法の整合規格は EN 18286:2026（AI 品質マネジメントシステム、第 17 条を支える）だけです。
• 示せること：ISO 42001 で残す AI システム台帳、リスクと影響の評価、人間による監督とインシデントの記録は、ガバナンスが運用されている証拠です。法的な抗弁になるかは、法律顧問が個別に判断します。

積穗科研は法務・コンプライアンス責任者の EU AI 法と ISO 42001 をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。コンサルタントは ISO 42001 主任審査員の資格を有しています。積穗科研はコンサルティング会社で、証明書は発行しません
• 役割とリスク区分：組織全体の AI システムを棚卸しし、役割とリスク区分を判定して、判定の記録を AI システム台帳に残します
• 三つの中核文書：AI システム台帳、AI のリスクと影響の評価、EU AI 法の義務マトリクス（役割ごとに各義務、担当者、証拠、期限を列挙）。各欄に条文の出典を示します
• 市販後モニタリング：市販後モニタリングと重大インシデント報告の手順を既存のセキュリティインシデント対応に組み込みます
• 分担：制度と証拠の連鎖は私たちが構築し、法律意見は提携弁護士が出します。認証は ISO/IEC 42006 に基づき認定された認証機関が行います
• 期間（サービスページ記載）：高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証との統合は 9〜12 か月
• 最初の一歩：初回のメカニズム診断は無料です

詳しく：EU AI 法、ISO 42001、EU AI 法コンサルタントの選び方、用途変更・ブランド付け時の役割判定、第三者 AI の証拠