8月26日、Efficiently Connectedが「EU AI Act Compliance: Why Vendor Claims Aren't Enough」と題した記事を公開した。ベンダーの「準拠済み」認定は、自社のコンプライアンス義務を肩代わりしない——この一点を理解していない企業が、施行から約1年が経過した現在も多数存在するという実務的な問題を詳述している。

「ベンダーが準拠済みなら自社も大丈夫」は誤り

EU AI Actは2025年8月2日に正式施行された。本稿執筆時点（2026年8月）で施行から約1年が経過したことになるが、多くの企業がいまだに想定していなかったコンプライアンスの抜け穴に直面している。

問題の核心は、EU AI Actが「プロバイダー（AIシステムを構築する側）」と「デプロイヤー（AIを自社製品・サービスで利用する側）」を明確に区別している点にある。CRMやカスタマーサポートツールにAI機能を組み込んで顧客向けに提供している企業は、この両方の立場を同時に担っていることが多い。

ベンダーが「AI Act対応済み」と認定されている場合、その認定がカバーしているのはほぼ例外なくプロバイダー側の義務だ。具体的には、モデルカード（AIモデルの仕様書）、適合性評価、技術文書といった項目が該当する。一方で、エンドユーザーへの開示義務と開示記録の保持はデプロイヤー、すなわちカスタマーエクスペリエンスを運営する企業側にある。ベンダーの認定ではこの義務を肩代わりできない。規制の抜け穴でもなく、文言の曖昧さでもなく、AI Actが明示的に設計した構造だ。

見落とされがちな露出ポイント

実務上の問題は、多くの法務・コンプライアンスチームが想定するよりも範囲が広い。

企業はここ数年、カスタマーサービスのワークフロー、コンテンツ生成ツール、HR選考プラットフォーム、感情分析ダッシュボードなどにAI機能を埋め込んできた。多くの場合、専用のAIプロダクトを調達したわけではなく、既存のSaaSサブスクリプション内の機能を有効化する形で導入されている。こうした組み込み機能は、コンプライアンスの説明書きと一緒に提供されることがほとんどない。ベンダーの製品ページに「AI搭載」と記載されていても、それはプロバイダー側の開示であり、デプロイヤーがエンドユーザーに行うべき開示とは別物だ。

記事はDruid AIのCEOであるJoe Kimの指摘を引用しており、特に見落とされやすい機能として以下を挙げている。

• 自動生成されるドラフトコンテンツ（担当者がそのまま送信することを前提に生成されるもの）
• 製品に埋め込まれた生成AI機能（オプションでなくデフォルト有効になっているもの）
• 感情・トーン認識機能（「AIプロダクト」として販売されていなくても、EU AI Act上の開示義務が発生しうる）

重要なのは、これらが「使っている自覚のないAI」である点だ。「AIの機能だと認識していなかった」という主張は、施行開始後は免責理由にならない。自社のスタックを棚卸しし、AI的な挙動をしている機能を能動的に特定する責任はデプロイヤー側にある。

開発者・IT担当者（ITDM）が今すぐ取り組むべきこと

「ITDM」とはIT Decision Maker（IT意思決定者）の略で、ここではCTO・CIO・IT部門責任者など技術投資の判断を担う層を指す。記事が指摘するITDMの最優先事項は、組織内のAIタッチポイントの全量調査だ。CRMプラットフォーム、カスタマーサポートスイート、生産性ツールにバンドルされた機能を含め、すべてを対象にする。

各ベンダーに確認すべき質問は明確だ：「AIがコンテンツを生成・影響している場面で、御社のプラットフォームはエンドユーザーに何を開示しているか？そのaudit trail（監査証跡）はどこにあるか？」ドキュメントで答えられないベンダーとの契約は、企業側のリスクになる。

開発者には別の問題がある。2023〜2024年の内製AIツール整備ラッシュで急ピッチで実装された生成AI連携の多くは、UIに明示的な開示機能を持っていない。マルチテナントやホワイトラベル環境ではAI層がユーザーから数ステップ抽象化されており、遡って準拠した開示フローを組み込む作業は軽くない。加えて、規制当局を納得させるレベルで「特定のユーザーに特定のタイミングで開示が届いた」ことを証明できるaudit logの整備も必要になる。

準拠の抜け落ちやすい組織構造

本記事が引用する調査データはECI Researchによるものだ。Efficiently ConnectedはECIグループに関連する組織である可能性があり、調査の独立性については読者自身が出典を確認した上で判断されたい（※編集部の考察）。

その調査によると、回答者の47.1%がAI学習データのガバナンスを「半手動」で管理しており、各プロジェクトが独立して対応しているという。こうした分断されたデータガバナンスの環境こそ、開示義務が抜け落ちやすい構造だ。法務・コンプライアンスが把握していないところで、現場がAI機能をオンにしている状態が常態化していれば、全量調査自体が成立しない。

また同調査では、41.8%の回答者が「コンテナインフラとデータパイプラインのオーケストレーションの複雑さ」をAIインフラのスケールアップにおける主な障壁と挙げており、ガバナンス整備を後回しにしながら本番環境にAIを積み上げてきた実態が見える。インフラ上の複雑性がガバナンスの空白を生み、その空白が規制リスクに直結するという構図だ。

今後の見通し

ドイツ、フランス、オランダの国家監督機関（早期執行において最も活発とされる）が今後12〜18ヶ月で判例を積み上げていく。欧州AI委員会（European AI Board）が各国機関の執行方針を調整する役割を担っており、最初の執行は消費者向けの目立つデプロイメントを標的にする可能性が高い。次の波は「ベンダーの準拠で十分」と判断した企業に向かうと記事は予測する。

ベンダー市場も変化する。2025〜2026年にかけて、AIプラットフォーム層と企業アプリケーション層の間に位置する新カテゴリのAIガバナンス・コンプライアンスツールが登場し、開示の自動配信や改ざん防止audit logの生成を担うと見られている。GRC（ガバナンス・リスク・コンプライアンス）ソフトウェアの既存プレイヤーがこの領域でM&Aを行い、クラウドの主要事業者がAIサービスに軽量版を同梱する動きも予想される。

詳細はEU AI Act Compliance: Why Vendor Claims Aren't Enoughを参照していただきたい。