AI駆動開発 2026年5月8日

EU AI Actが開発現場を変える：2024年版、エンジニアが今すぐ知るべき規制の実務ポイント

規制の話、飛ばしていませんか

AI規制の記事を見るたびに「法務に転送しておこう」と思って読み飛ばしているエンジニアは、そろそろ立ち止まったほうがいい。

2024年8月、EU AI規制法（AI Act）が正式に発効した。これは世界で最も包括的なAI規制として位置づけられており、EU市場向けにサービスを提供する企業は、日本企業であっても対応が求められる。「うちはEUに拠点がないから関係ない」は通用しない。SaaSで欧州ユーザーに使わせている時点で、射程に入る可能性がある。

これは法律の話であると同時に、設計の話でもある。

EU AI Actの構造を5分で押さえる

AI Actの核心は「リスクベースアプローチ」だ。AIシステムを4段階に分類し、リスクに応じて義務の重さを変える設計になっている。

禁止（Unacceptable Risk）: 社会信用スコアシステム、リアルタイム遠隔生体認証（一部例外あり）、サブリミナル操作を行うAIなど
高リスク（High Risk）: 重要インフラの安全管理、教育・雇用における評価システム、法執行機関での使用、医療機器としてのAIなど
限定的リスク（Limited Risk）: チャットボットなど、透明性の義務が課されるもの
最小リスク（Minimal Risk）: 一般的なゲーム、スパムフィルターなど

問題は「高リスク」に分類された場合だ。全ての意思決定過程を記録し、監査に耐えられる状態を維持しなければならない。元記事で紹介されているコード例を見ると、その具体性がよくわかる。

# 高リスクAIの場合、以下のような記録・監査システムが必須
class AISystemLogger:
    def log_decision(self, input_data, output, confidence, timestamp):
        log_entry = {
            "system_id": self.system_id,
            "timestamp": timestamp,
            "input_hash": self._hash_sensitive_data(input_data),
            "output": output,
            "confidence_score": confidence,
            "model_version": self._get_model_version(),
            "explainability": self._generate_explanation(input_data, output)
        }

タイムスタンプ、入力データのハッシュ、信頼スコア、モデルバージョン、そして説明可能性まで記録する必要がある。SHAPやLIMEといった手法を使って「なぜその判断をしたのか」を機械的に記録できる仕組みが、設計段階から求められるということだ。

これは後付けでは対応しにくい。

日本はどうか：ソフトローという選択

日本は「ソフトロー」アプローチを採用している。2024年4月、総務省・経産省がAI事業者ガイドラインを策定したが、これは法的強制力を持たない。推奨事項として、人間中心の原則、透明性、公平性・説明責任、安全性、プライバシー保護などが挙げられている。

「強制力がないなら後回しでいい」と読む向きもあるだろうが、そこに落とし穴がある。ソフトローは「訴訟リスクが低い」という意味ではない。ガイドラインへの準拠状況は、トラブル発生時の民事・行政対応に影響する。また、EU向けサービスを展開する際に、日本での対応状況がそのままデューデリジェンスの材料になることもある。

実務上でより即効性のある論点が、著作権だ。生成AIサービスでは、入力プロンプトと出力コンテンツの両方に著作権上の問題が潜む。元記事のコード例では、プロンプト段階で著作権チェックを走らせる実装例が示されている。「生成したコンテンツの責任は誰が取るのか」という問いは、すでに法的に問われ始めている。

ここからは見方の話

規制の波がこうして整いつつある状況を俯瞰すると、ひとつの構造変化が見えてくる。

AIの開発プロセスが、ソフトウェア開発から医療機器開発に近づいていくという流れだ。高リスクAIに課される義務——全判断の記録、説明可能性の担保、定期的な監査——は、医薬品や医療機器の承認プロセスに似ている。「動けばいい」から「証明できなければいけない」への転換。これは開発サイクルにも、チームの役割設計にも、コストにも影響する。

米国のアプローチは現時点では異なる。連邦レベルの包括的AI規制法はまだ存在せず、NISTのAI Risk Management Frameworkの採用や、金融（FRB）・医療（FDA）などセクターごとの対応が中心だ。ただし、カリフォルニア州やニューヨーク州では個別の法案が動いており、連邦レベルでの整備も時間の問題という見方が強い。

次のAI規制ニュースを読むときに見るべき軸は、「どのリスク分類が対象か」「施行時期と経過措置はいつか」「適用範囲はEU域内か域外か」の3点だ。この3つがわからない段階では、自社への影響を判断しようがない。タイトルだけで「うちには関係ない」と流すのは危険だ。