8月12日、Jelani Harperが「Where data teams fall short on governance for the EU AI Act」と題した記事を公開した。EU AI法の施行に対してデータチームのガバナンス体制が追いついていない実態と、具体的な対策を詳しく紹介している。
2025年8月2日に発効した罰則規定——その意味
2025年8月2日、EU AI法（EU AI Act）においてデータ管理の不備に起因するAI違反に対する罰則規定が初めて適用可能な状態となった。同法はEU居住者と接点を持つすべての組織に適用され、コンプライアンスの責任はデータチームに集中している。
問題の本質はシンプルだ。ほとんどの組織は、今回求められるような文書化を前提としてデータ基盤を構築していなかった。法律が要求する水準と、現実のデータガバナンスプログラムの成熟度の間には、大きな乖離がある。
何が求められているのか
現時点で発効している主な要件は以下の通りだ。
Article 50（透明性要件）
- 実在の人物を操作したコンテンツやディープフェイクには、AI生成であることの明示が必要
- チャットボット等の会話型AIは、ユーザーにAIと対話中であることを明示しなければならない
- 生体認証カテゴリ分類や感情認識を利用している場合も、ユーザーへの告知が必要
GPAI（汎用AI）モデルプロバイダーへの要件（注：GPAIとはGeneral Purpose AIの略。GPT系のような基盤モデルを実質的にカスタマイズしたり、それに強く依存するアプリを構築する場合も対象になる）
- 付属書XIに基づく技術文書の整備
- 学習データのサマリーの提出
- EUの著作権法への準拠を文書化したポリシーの策定
なお、高リスクのAnnex IIIシステムのフル対応期限は当初2026年8月2日だったが、2025年5月のDigital Omnibus合意により2027年12月まで延期されている。Digital Omnibus合意は欧州委員会が複数のデジタル規制の適用スケジュールを一括調整した措置であり、EU AI法の段階的適用にも影響を与えた（欧州議会によるEU AI Act概要も参照）。
最大の障壁：AIガバナンスそのものが存在しない
Gartnerが2025年に実施した調査によれば、組織の約90%がAIガバナンスプログラムを持っていない。多くの組織では、AI管理が特定の担当者やプロジェクト単位で属人的に行われている状態だ。
この状況が引き起こす具体的な問題は二つある。
1. AIシステムの全体像が誰も把握していない
部門をまたいでどのAIが動いているかを一元管理できていないケースが大半だ。GPAI要件や透明性要件を満たすには、組織が運用するAIシステムの包括的なインベントリ（資産目録）と、そのデータ依存関係の文書化が前提となる。これを怠った場合のGPAIモデルの不遵守ペナルティは€1,500万または全世界売上高の3%の高い方。システミックリスクGPAIモデル（学習に10^25 FLOPs以上のコンピューティングを使用するもの）の場合、レッドチーミングやサイバーセキュリティ対策、エネルギー消費量の開示まで求められる。
2. AI生成コンテンツの明示が末端ユーザーに届かない
AIシステムに関する知識が特定の担当者にしか存在しない場合、その情報はエンドユーザーにまで届かない。EU AI法はその情報をエンドユーザーが「容易にアクセスできる状態」にすることを要求している。透明性要件の不遵守ペナルティは€750万または全世界売上高の1.5%の高い方だ。
データチームが取るべき具体的な対策
Harperは以下のステップを推奨している。
Step 1: AIアセットの完全な棚卸し
モデル本体、用途、ユーザー、学習データ、データモデル、タクソノミー、データソースを網羅的に分類する。この作業にはエンタープライズアーキテクチャのマッピングに加え、正規表現・機械学習・統計的手法によるシステム発見・タグ付けが有効だ。
Step 2: EU AI法のリスクティアに基づく分類
AIシステムを「最小リスク」「限定リスク（透明性要件あり）」「高リスク」「禁止」の4段階に分類する。たとえば限定リスクのチャットボットはArticle 50の開示規則が適用され、システミックGPAIモデルはレッドチーミングとエネルギー報告が必要になる。
Step 3: ガバナンスポリシーの整備
ポリシーは「一般ユーザーとのAI交流に関するもの」と「社内業務（レッドチーミング・セキュリティ等）に関するもの」の2系統に分けて整備する。自社がGPAIモデルをプロバイダーとして構築していなくても、法律上プロバイダーとして分類される可能性がある点は法務担当者に確認が必要だ。
Step 4: 透明性要件の自動化
動的エージェント（Dynamic Agent）とは、タスクの状況に応じてリアルタイムで判断・行動を変えるAIシステムを指す。こうしたエージェントを活用することで、AI生成コンテンツへのウォーターマーク付与やエンドユーザーへの通知ワークフローの自動実行が可能だ。手動運用では対応しきれないスケールの透明性要件を、継続的かつ一貫して満たすための現実的な手段として注目されている。
詳細はWhere data teams fall short on governance for the EU AI Actを参照していただきたい。
