規制のスケジュールは毎年変わり、期限もずれ、ガイダンスも更新されていきます。それにもかかわらず、コンプライアンスチームは、古いスケジュールに基づいて策定された計画に従って業務を継続することがよくあります。
欧州連合（EU）の「デジタル・オムニバス」が2026年7月27日に発効し、AI法のいくつかの規定の施行スケジュールが変更された。最も重要な変更点としては、附属書IIIの対象となる特定の高リスクAIシステムに対する要件が2027年12月2日から適用される一方、附属書Iの対象となる規制対象製品に組み込まれた高リスクAIシステムに対する要件は2028年8月2日から適用されることとなった。
当初のスケジュールに基づいて数か月かけて実施計画を策定してきたコンプライアンスチームにとって、これらの新たな日程は単なるスケジュールの更新以上の意味を持ちます。もしプログラムがまだ見直され、調整されていないのであれば、もはや存在しない期限に基づいて実行され続けていることになります。
これは、私たちが『 『The Signal』（アーチャー社が提供するGRC業界のニュースやイベントに関するシリーズ）で、私たちが繰り返し取り上げている課題の一つです。規制の変更は、新しい規則や改正案が公表された時点で終わるわけではありません。組織がその変更が、既存の義務、統制、コンプライアンス活動にどのような意味を持つのかを理解しなければならない時点で、真の作業が始まります。しかし、最近のEU AI法の改正は、規制の変更がいかに複雑になり得るかを示す一例です。
なぜ「締め切りが延期された」ことは「問題が解決した」ことと同じではないのか
コンプライアンスチームは、当初のAI法の期限に向けて、この1年間準備を進めてきました。その取り組みは着実で、義務事項の特定、担当者の割り当て、管理体制の策定、証拠の収集もすでに完了しています。すべてが体系化されており、チームは勢いに乗っています。ところが、その期限が6か月先送りされてしまいました。
何を変える必要があるのでしょうか？
まず第一に、プロジェクトのスケジュールが実際の納期と合わなくなってしまいます。当初の納期を基準に設定した内部のマイルストーンは、ゴールがずれた今となっては意味をなさなくなっている可能性があります。また、当初の納期までに実装を担当する予定だった担当者が、修正後の納期には対応できない可能性もあります。さらに、スケジュールの延長に伴い、異なる実装手法や追加のリソース、あるいは新たな責任者の配置が必要になる可能性があるため、管理体制の見直しも必要になるかもしれません。
最も重要な点は、コンプライアンス・プログラムが現在の規制に整合していない場合、検査官はその理由を問うということです。たとえ適切に設計された統制や堅実な実施戦略があったとしても、もはや存在しない期限に基づいて業務を遂行している限り、その質問に答えることはできません。規制が変更された時点と、プログラムがそれに適応した時点との間のギャップこそが、真のリスクが潜む場所なのです。多くのコンプライアンスチームは、そのことに気づかぬまま、何ヶ月もそのギャップに留まっているのです。
規制の変更を「監視」することと「管理」することの違い
誰かが変更を監視しています。規制に関するアラートが届いたり、新しい規則が公表されたり、施行日が変更されたりする場合です。これは必要な作業です。しかし、何かが変更されたことを知るだけでは、問題の始まりに過ぎません。
その変更を具体的な行動につながる意思決定に落とし込む段階になってこそ、真の難関が始まります。EU AI法の期限が変更された場合、チームは自社が対応すべき具体的な義務を特定し、変更がどの管理措置に影響を与えるかを判断し、すでに進行中の作業のスケジュールを再評価し、他の規制プログラムとの抵触がないかを確認しなければなりません。多くのコンプライアンスチームは、規制がいつ変更されたかについては説明できますが、その変更が、自らが取り組んでいる業務にとってどのような意味を持つかについては、説明に苦慮しています。
スプレッドシートやメール通知では、更新情報が通知されるだけです。どのコンプライアンス管理措置に変更が影響するか、新しい期限が他のプログラムと重複していないか、あるいはプロジェクトのスケジュールが依然として維持できるかといったことは、教えてくれません。複数の管轄区域にまたがる数十もの義務事項と、規制の更新内容を手作業で照合することは、極めて困難です。多くの組織は、規制対応に費やす時間の大部分をこの作業に費やしています。
なぜEUのAI法がこの問題を浮き彫りにするのか
「デジタル・オムニバス」改正案は、規制変更の管理が多くのチームが予想するよりも困難である理由を如実に示しています。この規制では、単一の適用開始日ではなく、要件の適用時期が複数のタイムラインに分散されています。一部の要件は2026年8月2日、他の要件は2027年12月2日、さらに別の要件は2028年8月2日となっています。 EUは、これらの要件が実際に何を意味するのかを明確にする新たなガイダンスを継続して発表しています。その都度の明確化によって導入計画が変更される可能性があり、新たな期限が設定されるたびに、すでに計画している作業と衝突する恐れがあります。
ほとんどの規制は、次のような仕組みになっています。スケジュールが変更され、適用範囲が変動し、ガイダンスは絶えず進化していきます。監督当局の声明や執行措置によって、要件が実務上どのような意味を持つのかが明確化されます。関連する基準は、明示的な規制条文の上に新たな要件を重ねていきます。コンプライアンスチームにとって、規制の変更は単に新しい文書を読むことだけではありません。その文書が、すでに管理している義務とどのように関連しているのか、既存の統制にどのような変更をもたらすのか、そしてどのような措置を講じる必要があるのかを理解することが求められます。
規制の変更を自社のコンプライアンス体制に反映させている組織は、常に最新の状態を維持できます。そうしない組織は、古くなった情報に基づいて業務を行ってしまうことになり、場合によっては数ヶ月間もそれに気づかないままになることがあります。
実用的な知見
モニタリングは不可欠な出発点です。信頼できる情報源と、変化が発生したその場でそれを把握する方法が必要です。しかし、モニタリングだけでは、「この変化に対して実際に何をすべきか」という重要な問いには答えられません。
あらゆる規制の変更を自社のコンプライアンス体制に直接結びつけることで、そのギャップは解消されます。EU AI法のスケジュールが変更された場合、チームは直ちに影響を受ける義務を特定し、それらに対応する管理措置を特定し、注力すべき社内プロジェクトを特定することができます。コンプライアンスチームに、規制の更新事項を既存のプログラムと手作業で照合するよう依頼するのではなく、変更が実際に影響する部分と影響しない部分を明確に把握できるようになります。
これこそが、規制当局からの警告を受けることと、行動に移せる情報を入手することとの違いです。
Archer Evolv™ は、 その連携状況を継続的に監視します 。このソリューションは規制情報を監視するだけでなく、さらに一歩進んで、関連する変更を特定し、それらを貴社が管理している義務や統制と直接結びつけます。期限が変更されたり要件が変更されたりした場合、チームはプログラムのどの部分に注意を払う必要があるかを即座に把握できます。これにより、プロジェクト開始時の規制状況ではなく、現在の規制状況に合わせて対応を継続することができます。
複数の管轄区域にわたる規制上の義務を管理されている場合は、Archer Evolvが 規制モニタリングと規制インテリジェンスの 間のギャップをどのように埋めるか、デモをご覧ください 。
これは、アーチャーがGRC業界のニュースやイベントについて取り上げる連載「The Signal」の一部です。規制変更の管理や、要件の変化に合わせてコンプライアンス・プログラムを適切に維持するために必要なことについては、 『The Signal：2026年9月号』をご覧ください。
よくある質問
EUデジタルオムニバス法は2026年7月27日に発効し、EU AI法における特定の要件の実施スケジュールが変更されました。附属書IIIの対象となる特定の高リスクAIシステムに関する要件は2027年12月2日から適用され、附属書Iの対象となる規制対象製品に組み込まれた高リスクAIシステムに関する要件は2028年8月2日から適用されます。 各組織は、適用される規定を確認し、改訂されたスケジュールを確実に反映するよう、コンプライアンス計画を再評価する必要があります。
規制モニタリングとは、規制に関する最新情報を受け取り、整理・分類することです。EUがAI法に関する新たなガイダンスを発表したというアラートがチームに届きます。あなたはそれを記録します。 内容を確認し、関連する箇所にフラグを立てます。
規制インテリジェンスは双方向です。新しいガイダンスが届くと、直ちに自社の具体的な義務に照らし合わせ、どの管理措置に影響するか把握し、どの責任者やリソースが対応すべきかを特定します。この関連付けにより、規制アラートは実行可能な情報へと変わります。
Archer Evolv™ はこの関連付けを継続的に維持するため、期限が変更されたりガイダンスが更新されたりした場合でも、リスクおよびコンプライアンスチームは、数週間後の四半期ごとのコンプライアンスレビューで発見するのではなく、その影響をリアルタイムで把握できます。
Archer Evolv™は、規制情報を継続的に監視し、貴社に関連する変更を特定します。期限が変更されたり、要件が明確化されたりした場合、このソリューションはその変更を、貴社のプログラムが管理する義務や統制に直接紐付けます。
貴社のチームは、メールによる通知や四半期ごとのレビューを待つことなく、変更がコンプライアンス・プログラムのどの部分に影響を与えるかをリアルタイムで確認できます。EUが新しいAI法に関するガイダンスを発表した際、手作業で影響範囲を追跡するのに何日も費やすことなく、対応が必要なシステムや統制を迅速に特定できます。
Archer Evolv™は、新しいガイダンス、貴社の具体的な義務、およびそれらの義務に対応する管理措置との関連性を可視化します。コンプライアンスチームは、どのようなアクションが必要か、どの責任者が対応すべきかを即座に把握できます。Archer Evolvのデモはこちらをご覧ください。
EU AI法の期限変更は、実施スケジュール、責任の割り当て、統制のマッピング、リソース配分、および証拠の収集に影響を及ぼす可能性があります。コンプライアンスチームは、どの義務が影響を受けるかを評価し、既存の統制やプロジェクトが依然として適切であるかどうかを判断し、改訂された要件を反映するように社内のマイルストーンを更新する必要があります。規制の変更後にコンプライアンスプログラムを調整しなかった場合、組織は時代遅れの要件に基づいて業務を行わなければならない状況に陥る恐れがあります。
