- Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
- Regulation (EU) 2019/1020 — market surveillance
誰が選任するか
EU市場に高リスクAIシステムを配置するか、そこでサービスを開始するEU外に設立された提供者は、事前に書面による委任状によりEU内に認可代表を任命しなければなりません。汎用AIモデルの提供者にも、同様に第54条が適用されます。EU内に設立されたデプロイヤーは、独自の軽い義務を負います。デプロイヤーは、高リスクシステムに自らの名前を付けたり、実質的に変更したり、意図された目的を変更して高リスクとなった場合、提供者となります。
しきい値と適用除外
第5条の禁止行為は、閾値なしで全員に適用されます。代表義務は高リスクシステムに付随し、これは附属書Iの製品法に該当するものまたは附属書IIIにリストされているものです：生体認証、重要インフラ、教育、雇用および労働者管理、信用スコアリングを含む重要なサービスへのアクセス、法執行、移民および国境管理、司法の管理。汎用モデルには独自の制度があり、計算閾値を超えるシステムリスクを持つモデルには追加の義務があります。
ラベルに必要な記載
ほとんどのシステムには物理的なラベルはありません。提供者の名前、商号または商標および住所、ならびに認可代表のそれらは、システム、その包装または付随する文書、使用説明書に表示されなければなりません。附属書Iの製品としての高リスクシステムはCEマーキングを持ちます。人と相互作用するシステムは、AIであることを開示し、合成コンテンツは機械可読形式でマークされなければなりません。
マーケットプレイスの項目
まだ市場フィールドはありませんが、EUの調達アンケートではすでに第22条の代表者が誰であるか、高リスクとして分類されているか、透明性義務がどのように満たされているかを尋ねています。企業のバイヤーは、契約前にこれを求めることが増えており、2026年8月の締切に向けて進んでいます。
保管すべき文書
附属書IVに基づく技術文書は10年間保持されます。ライフサイクル全体にわたるリスク管理システム。トレーニング、検証およびテストデータセットをカバーするデータガバナンス文書。自動生成されたログ。デプロイヤーが自らの義務を遵守できるようにするための使用説明書。品質管理システム。EU適合宣言および附属書IIIシステムのEUデータベースへの登録。汎用モデルの場合、AIオフィスおよび下流の提供者向けの技術文書、著作権ポリシー、およびトレーニング内容の十分に詳細な公的要約。
規格と試験
ほとんどの附属書IIIシステムについては内部管理に基づく適合性評価、または調和基準が適用されない生体認証システムについては通知機関を通じて行われます。附属書I製品に組み込まれたシステムは、その製品の評価ルートに従います。精度、堅牢性およびサイバーセキュリティはテストされ、レベルが宣言されなければなりません。市場投入後の監視は市場に出た後も続きます。
言語要件
使用説明書は、該当する加盟国のデプロイヤーが容易に理解できる言語で記載されなければなりません。その国が決定します。透明性の開示は、個人が合理的に理解できる言語で行われなければなりません。
いつから適用されるか
禁止事項およびAIリテラシー義務は2025年2月2日から。汎用モデルの義務は2025年8月2日から、2025年8月2日以前に市場に出ているモデルは2027年8月までの猶予があります。附属書IIIに基づく高リスク義務は2026年8月2日から。附属書Iに規制された製品に組み込まれた高リスクシステムは2027年8月2日から。
文書の保管期間
技術文書、適合宣言および品質管理文書は、システムが市場に出た後10年間保持されなければなりません。ログは、他の法律で長期間の保持が要求されない限り、少なくとも6ヶ月間保持されます。認可代表は、委任状および文書のコピーを同じ10年間保持し、要求に応じて提出しなければなりません。
違反した場合
禁止行為に対しては最大3500万ユーロまたは全世界の年間総売上高の7%。ほとんどの他の義務の違反に対しては最大1500万ユーロまたは3%。不正確、不完全または誤解を招く情報の提供に対しては最大750万ユーロまたは1%。市場監視当局は、システムの撤回または回収を要求することもできます。
執行機関
各加盟国によって指定された国家市場監視当局、汎用モデルのためのAIオフィス、欧州人工知能委員会、および第三者評価が適用される場合の通知機関。
境界線
ほとんどのビジネスソフトウェアは高リスクではなく、分類は技術ではなく使用に依存します：同じモデルがある展開では低リスクであり、別の展開では附属書IIIの高リスクとなることがあります。チャットボットには透明性の義務のみがあります。しかし、求人応募者のスクリーニング、信用力のスコアリング、公共サービスへのアクセスの割り当てに使用されるAIは、モデルがどれほど単純であっても高リスクです。認可代表は、提供者が規則に反して行動していると信じる場合、委任を終了することができ、その場合は当局に通知しなければなりません — これはGDPR第27条には相当する義務がありません。
よくある質問
- 私たちはAIを使用していますが、それを構築していません — 私たちは提供者ですか？
- 通常、あなたはデプロイヤーであり、軽い義務を負います。高リスクシステムに自らの名前を付けたり、実質的に変更したり、意図された目的を変更して高リスクとなった場合、提供者になります。
- EU外でホストしているモデルにAI法は適用されますか？
- 出力がEUで使用される場合、またはシステムまたはモデルがEU市場に配置される場合、適用されます。サーバーの物理的な場所はテストではありません。
- 第27条GDPRの代表者は十分ですか？
- いいえ。彼らは異なる規則の下での別々の任命であり、異なる義務と異なる文書があります、たとえ一つの提供者が両方を保持していても。