製品の AI は EU AI 法の対象か？プロダクトマネージャーは最初に何を判断すべきか？
EU に拠点がない台湾企業でも、AI システムを EU 市場に出すか、AI システムの出力が EU で使われれば対象です（第 2 条第 1 項）。続いてシステムごとに判断します。
- 役割：提供者、導入者、輸入者、販売者。AI システムを開発し自社の名義で市場に出す者が提供者です。
- リスク区分：第 5 条の禁止、附属書 I または附属書 III の高リスク、第 50 条の透明性義務のいずれに当たるか、第 6 条第 3 項で除外できるか。
- 判断の記録：附属書 III のシステムが自然人のプロファイリングを行う場合は常に高リスクです。第 6 条第 3 項の除外には書面での評価と登録が必要で、口頭の判断では足りません。
他社の AI に自社ブランドを付けたり用途を変えたりすると、当社が提供者になるのか？
なる可能性があります。第 25 条第 1 項により、次の場合は提供者とみなされ、提供者の義務を負うことがあります。
| 状況 | 条項 |
|---|---|
| 自社の名称や商標を付す（契約で別の分担がある場合を除く） | (a) 号 |
| 高リスクシステムに実質的な変更を加える | (b) 号 |
| 想定用途を変更して高リスクにする | (c) 号 |
第 25 条第 2 項は元の提供者に協力を求めていますが、元の提供者が高リスク用途への変更を明確に禁じている場合は除かれます。調達やブランド付けの前に、役割の判断を終え、元の提供者からどのような情報と協力を得られるかを確認します。
高リスク AI 製品は発売前にどの文書と手続きをそろえるか？
第 16 条により、提供者は第 2 節の要求を満たす必要があり、リスク管理、データガバナンス、技術文書、記録、人による監視、正確性などが含まれます。発売前の手続きは次のとおりです。
- 第 43 条に基づき適合性評価を決める：附属書 III 第 2〜8 号のシステムは内部管理、第 1 号の生体認証システムで整合規格を完全には適用しない場合は認証機関（ノーティファイドボディ）が評価、附属書 I の製品は各分野の法令の手続きに従います。
- 提供者が EU 適合宣言を作成し、CE マーキングを自ら付します。当局への申請は不要です。
- 附属書 III のシステムは市場に出す前に EU データベースに登録します。
EU AI 法に独立した認証書はなく、顧客に示せるのは適合宣言、CE マーキング、技術文書です。
EU AI 法はいつから適用されるか？対応作業で製品の発売は遅れるか？
デジタル・オムニバス（規則 (EU) 2026/1744、2026 年 7 月 27 日発効）により：
- 附属書 III の高リスクシステム：2027 年 12 月 2 日から適用
- 附属書 I の製品：2028 年 8 月 2 日から適用
- 第 50 条の透明性義務：2026 年 8 月 2 日から適用
サービスページ記載の期間：高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月です。順に、AI システムの棚卸しとリスク分類（1 か月）、FRIA とギャップ分析（1〜2 か月）、ISO 42001 マネジメントシステム構築（2〜4 か月）、技術文書作成（1〜2 か月）、適合性評価と EU AI データベース登録（1〜2 か月）、その後に市販後モニタリングの仕組みを作ります。予定発売日から逆算します。
顧客が製品 AI の適合の証明を求めている。ISO 42001 の認証で足りるか？
足りません。ISO/IEC 42001 は認証機関による認証を受けられますが、EU AI 法の整合規格ではなく、認証自体から適合推定は生じません。認証は適合性評価、EU データベース登録、認定代理人、第 50 条の透明性を代替できません。2026 年 10 月時点で EU 官報に掲載された唯一の AI 法の整合規格は EN 18286:2026（AI 品質マネジメントシステム、第 17 条を支援）で、適合推定はその規格が扱う要求に限られます。
顧客や販売チャネルへの説明は審査を経るべきです。認証範囲と製品の適合を分けて説明し、「42001 イコール AI 法適合」とは言いません。顧客が導入者の場合、提供者は導入者が評価を行うために必要な情報も準備します。
製品がコネクテッド製品でもある。EU AI 法と CRA は別々に対応するのか？
完全に分ける必要はありません。製品が CRA の対象であり、かつ AI 法の高リスク AI システムでもある場合、CRA 附属書 I の必須要件を満たし、CRA の EU 適合宣言で AI 法第 15 条が求めるサイバーセキュリティ保護水準を達成したと示せば、AI 法第 15 条のサイバーセキュリティ要件に適合すると推定されます（CRA 第 12 条）。
ただし正確性と堅牢性はこの橋渡しの対象外で、AI 法に従って対応が必要です。適合性評価は原則として AI 法第 43 条によりますが、重要製品と重要（クリティカル）製品には例外があります。一つのリスク評価、技術文書、適合宣言で両法のサイバーセキュリティ部分をカバーできますが、AI のリスク区分、データガバナンス、人による監視、正確性の検証は別に準備します。
積穗科研はプロダクトマネージャーの EU AI 法対応をどう支援するか？
積穗科研はまず AI システムのリスク分類診断を行い、AI 製品が四段階のリスク構造のどこに位置するかを明らかにしたうえで、リスク区分に応じて対応経路を計画します。
- 三つの中核文書：AI システム台帳、AI リスク・影響評価、EU AI 法の義務マトリクス（役割ごとに各義務、責任者、証拠、期限を列挙）
- 技術文書と適合性評価：技術文書を作成し、適合性評価と EU データベース登録を手配
- 市販後モニタリング：市販後モニタリングと重大インシデント報告の手順を作り、既存のセキュリティインシデント手順に組み込む
- 二本立ての統合：ISO 42001 と EU AI 法で一つの文書と証拠を共有し、重複を避ける
副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。詳しく：EU AI 法対応支援、EU AI 法コンサルタントの選び方、用途変更とブランド付けの役割判断。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU CRA：自社製品は対象か、発売前に何をそろえるか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと IEC 62443-4-2：産業制御製品の認証で発売は遅れるか？
- プロダクトマネージャーと ISO/SAE 21434：車載製品は自動車メーカーの開発監査をどう通るか？
- プロダクトマネージャーと ISO 42001：AI 製品のガバナンス要求に顧客へどう応えるか？
- プロダクトマネージャーと TISAX プロトタイプ保護：ラベルがないと自動車メーカーの案件は止まるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？