高リスクAIの導入事業者に対する2026年8月の期限が刻一刻と迫っているにもかかわらず、ほとんどの組織はまだ対応を始めていない。
ある銀行は、融資申請を審査するためにAIモデルを導入した。このモデルは週に数千件の審査処理を行っている。生産性が向上し、チームも満足している。
18か月後、内部監査により、誰もプログラムに組み込んだり承認したりしていない問題が指摘された。特定の郵便番号の地域からの応募者が、統計的な基準値をはるかに上回る割合で不採用となっているのだ。この傾向は、紛れもなく間接的な差別に他ならない。
このシナリオがこれほど危険である理由は、次の通りです。データ処理は規定に準拠していました。モデルのドキュメントも最新の状態でした。DPIAのチェック項目はすべて満たされていました。組織側は、すべてを正しく行っていたと信じていました。
しかし、実際にはそうはならなかった。なぜなら、彼らのDPIAでは決して捕捉するよう設計されていなかったリスクのカテゴリーが存在したからだ。EU AI法の下では、この抜け穴には「基本権影響評価（FRIA）」という名称が付けられ、法的な期限が設けられており、多額の罰金が科されることになっている。
「基本権影響評価（FRIA）」とは何か？
「基本権影響評価（FRIA）」とは、EU AI法第27条に基づき、特定のハイリスクAIシステムの導入事業者に対して義務付けられている、導入前の体系的な審査のことです。これは2026年8月2日に施行されます。
データ保護影響評価（DPIA）がデータ（どのようなデータを収集するか、どのように保存するか、処理が合法であるかどうか）に焦点を当てるのに対し、FRIAは人々に焦点を当てます。つまり、システムが人々を公平に扱っているか、体系的な不利益を生み出していないか、そしてシステムの決定によって影響を受ける人々が、その決定に異議を申し立てるための実質的な手段を持っているか、といった点に重点を置きます。
FRIAでは、DPIAでは求められていない5つの質問に回答する必要があります：
- このAIシステムは、どのような基本的人権に影響を及ぼすのでしょうか？
- それは、尊厳、平等、プライバシー、あるいは法的救済へのアクセスをどのように損なう可能性があるでしょうか？
- システムに問題がある場合、個々の人々にはどのような影響が及ぶのでしょうか？
- それらの成果について誰が責任を負うのか、またどのような監督体制が整っているのか。
- 当事者は、自分に関する決定に対してどのように異議を申し立てることができるのでしょうか？
何か問題が発生した後、顧客や規制当局、取締役会から投げかけられるのは、こうした質問です。FRIAは、実際に必要になる前に、その答えを準備しておくための仕組みです。
第27条の適用対象は誰か？
FRIAの義務は、以下の対象に適用されます：
- 高リスクのAIシステムを導入している公的機関
- 公益事業、交通、公共インフラなど、公共サービスを提供する民間組織
- 信用力評価や生命保険・医療保険の保険料算定など、規制の対象となる高リスク分野で事業を展開する企業
貴組織がこれらのいずれかのカテゴリーに該当し、EU AI法の附属書IIIで定義される高リスクAIシステムを導入している場合、第27条が適用されます。
FRIA 対 DPIA：その違いを理解する
多くのコンプライアンスチームは、既存のDPIAで必要な範囲がすべて網羅されていると想定しています。実際には一部しかカバーされておらず、まさにその想定にこそ、ギャップが生じているのです。
冒頭のシナリオに登場する銀行は、ほぼ間違いなくデータ処理に関するコンプライアンスを遵守していた。そのAIが生み出した差別的なパターンは、データの保存方法とは全く関係がなく、モデルが何を最適化しようとしていたかという一点に起因していた。DPIAではこれを検出できなかっただろう。しかし、FRIAであれば検出できただろう。
EU AI法では、重複する部分がある場合、導入事業者がFRIAと既存のDPIAを組み合わせることが認められているが、FRIAにおいては、DPIAの評価範囲に含まれていなかった権利、すなわち、差別禁止、表現の自由、司法へのアクセス、および適正な行政を受ける権利について、依然として検討しなければならない。
あるシステムは、あらゆるデータ保護要件を満たしているにもかかわらず、既存のコンプライアンス体制では検出するようには設計されていなかったような形で、人々に害を及ぼす結果をもたらす可能性があります。
コンプライアンス不履行によるコスト
欧州各地の規制当局は、同法の施行スケジュールに合わせて監査体制の整備を進めている。これらの数字は単なる仮定ではない。
第27条に違反した場合、組織は最大3,000万ユーロ、または全世界の年間売上高の6％のいずれか高い方の罰金に処されることになります。
金銭的な罰則に加え、規制当局は是正措置が完了するまでシステムの運用停止を命じることができる。そのシステムが中核的な業務プロセスの基盤となっている組織にとって、業務の混乱による影響は、罰金そのものをはるかに上回る可能性がある。
FRIAのプロセスが文書化されている組織は、規制当局との協議を迅速に進めることができます。一方、文書化されていない組織は、問い合わせがあった場合、最初の1週間を、なぜ文書が存在しないのかを説明することに費やすことになります。
コンプライアンスを超えて：なぜFRIAsがAIシステムを向上させるのか
多くのコンプライアンスチームは、FRIAを単に導入チェックリスト上の項目の一つとして扱っています。そのような捉え方では、FRIAが持つ大きな価値を十分に活かしきれていないのです。
厳格なFRIAの実施により、法務、人事、プロダクト、データサイエンス、リスク管理の各部門が同じ場に集まり、システムの機能、影響を受ける対象、許容可能なリスクの基準について合意形成を図ることになります。この議論を通じて、各チームが個別に抱えていた前提条件が明らかになります。また、技術チームがパフォーマンス評価に注力していたために見落としていたエッジケースが特定され、人間への影響を評価するよう誰も求めていなかったことが浮き彫りになります。
FRIAを導入している組織からは、一貫して同じ成果が報告されています。すなわち、このプロセスによってAIシステムそのものが改善されるということです。制約条件はリリース前に追加され、目的関数は調整されます。また、監視メカニズムは、プレッシャーを受けて後付けで導入されるのではなく、設計段階から組み込まれることになります。
「AI法」は、影響を受ける団体、独立した専門家、市民社会など、関係者の参画を、適切な場合には奨励している。FRIAsから最大の価値を引き出している組織は、これを単なる文書作成作業ではなく、設計レビューとして捉えている。
2026年8月までに必要な手続き
第27条は2026年8月2日に発効する予定であり、その日まであと5ヶ月を切っている。AI事務局は、導入担当者を支援するためFRIAのテンプレートを公開する予定であり、組織はプロバイダーがすでに実施した評価を活用したり、真に重複する部分がある場合には、既存のDPIAとFRIAを組み合わせたりすることができる。
コンプライアンスのための構造的な枠組みはすでに整っています。問題は、チームが今、十分な余裕を持って適切にプロセスを構築するか、それとも期限の数週間前に規制当局からの圧力に追われてテンプレートを急いで完成させるか、という点です。
実践的な出発点：
- 自社のAI導入事例のうち、附属書IIIに規定される高リスクカテゴリーに該当するものを特定してください
- 各制度によって影響を受ける可能性のある基本的人権を整理する
- 部門横断的な責任体制を確立する：法務、データサイエンス、人事、リスク管理、プロダクト
- 既存のDPIA関連文書が基礎として活用できるかどうかを確認してください
- 本番稼働前に、評価内容、調査結果、および是正措置を文書化してください
今から取り組みを始める組織には、他の組織にはない強み――規制による圧力がかかる以前から築いてきたガバナンスの実績――が備わることになる。これは、多くのコンプライアンス担当チームが現在認識している以上に重要なことだ。
ArcherでFRIAプロセスを構築する
Archerは、組織が自社の広範なAIガバナンスおよびリスク管理フレームワークと連携するFRIAプロセスを設計できるよう支援し、規制要件を、繰り返し実行可能で監査可能な機能へと転換します。
Archer AI Governance の詳細はこちら →
貴社のAIガバナンスについて、当社のチームにご相談ください →
よくある質問
EU AI法における「基本権影響評価（FRIA）」とは何ですか？
「基本権影響評価（FRIA）」とは、EU AI法第27条に基づき、特定の高リスクAIシステムに対して義務付けられている評価です。これは、AIシステムがプライバシー、差別禁止、司法へのアクセスといった個人の基本権にどのような影響を及ぼす可能性があるかを特定するものです。FRIAは導入前に実施されなければならず、責任あるAIの利用を確保するために、リスク、影響を受ける集団、および緩和措置の評価が含まれます。
EU AI法の第27条に基づき、FRIAの実施が義務付けられているのは誰か？
高リスクAIシステムを導入する組織、具体的には公共部門の組織および公共サービスを提供する民間企業は、FRIAを実施しなければなりません。また、クレジットスコアリングや保険リスク評価など、機微な意思決定を伴う特定のユースケースにも適用されます。これらの組織は、システムを初めて使用する前にFRIAを完了させ、システムやその使用方法に変更があった場合には、FRIAを更新しなければなりません。
FRIAとデータ保護影響評価（DPIA）はどのように異なるのでしょうか？
データ保護影響評価（DPIA）はGDPRに基づく個人データへのリスクに焦点を当てているのに対し、FRIAの適用範囲はより広範です。FRIAは、公平性、尊厳、非差別など、幅広い基本的権利に対するAIシステムの影響を評価するものです。場合によっては、DPIAがFRIAを補完することもありますが、FRIAは特に、EU AI法に基づくAI導入がもたらす社会的・倫理的な影響に焦点を当てています。
