【2026年】Modulosで欧州AI法対応｜対象判定を最後に決める人

「欧州に販売代理店があるので、うちのAIの使い方もEUのAI法の対象かもしれないと言われた。でも、どれが対象なのか誰も判断できない」「ガバナンスの基盤を入れればAIが判定してくれると聞いたが、その判定を信じて登録していいのか分からない」——欧州に顧客や拠点を持つ日本企業の法務や情シスから届く声です。答えを先に言えば、基盤とAIが助けてくれるのは判定の材料をそろえるところまでで、対象かどうかを最後に決めるのは社内の人です。この記事では、スイスの Modulos を例に、社内のAI利用を登録し、EUのAI法の対象かを判定する作業を、どこまで基盤とAIに任せ、誰が決め、何を証跡として残すかを手順で整理します。

Modulos は、AIの台帳・統制・証跡を一つで扱うスイスのガバナンス基盤

Modulos は、スイスのチューリッヒに拠点を置く会社が作るAIガバナンスの基盤です。公式の説明書によれば、社内のAIを台帳に登録してリスクの段階で分類し、EUのAI法、ISO 42001、NIST のAIリスク管理の枠組み、欧州の個人データ保護規則などの枠組みを選ぶと、満たすべき要件と統制の一覧が生成されます。一つの統制で複数の法令の要件を同時に満たせるように対応付けるのが特徴で、統制ごとに持ち主を割り当て、証跡を添付し、確認の流れを回します。

基盤の中には Scout というAIアシスタントがあり、統制の評価の下書きを作り、つないだ社内の文書置き場や開発の保管庫から証跡の候補を抜き出し、足りない部分を指摘します。公式の更新履歴によれば、つなげる先は Google Drive、GitHub などのほか、Microsoft の Copilot でエージェントを作る環境、Claude の開発者向けの管理画面、Snowflake などに広がっています。

同社は2025年7月に、シリーズAの手前の段階で870万スイスフランを調達したと発表し、ISO 42001 について製品として適合の認証を受けた初めてのAIガバナンス基盤だと説明しています。2026年6月には、米国の調査会社 Gartner がAIガバナンスの基盤について初めて出した評価の報告書に名前が載ったと発表しました。顧客の例として、スイスの求人サイトの運営会社や、欧州の保険の監督当局の採用を公表しています。台帳に載せる項目の一般論や、既製のリスク一覧の借り方は別の記事で扱っているため、この記事では「EUのAI法の対象か」を判定して登録する作業に絞ります。

2026年の動き：法改正への追随と、9月・10月の更新

Modulos の公開の更新履歴は、2026年に入ってからほぼ毎週更新されています。大きな流れは三つあります。一つ目は、EUのAI法の改正への追随です。7月6日に改正の内容を反映し、7月28日には官報に載った改正規則の本文と照らして中身を確かめ直したと記録しています。

二つ目は、登録の画面の作り直しです。9月2日に「案件」と呼んでいた単位を「AIシステム」に改め、左の案内の項目も「AI台帳」に変えました。9月8日には三段階の登録の画面を加え、9月22日には登録の最初に名前と持ち主を決め、次の段で「EUのAI法はこのAIシステムに適用されるか」を、はい・いいえ・分からないの三択で聞く形に改めました。分類の欄は「はい」を選んだときだけ現れ、対象かどうかの見極めはAIシステムを作った時点で一度だけ走ると説明しています。

三つ目は、規格の中身の見直しです。10月21日の更新では、公開しているすべての枠組みを原文と照らして見直し、ISO 42001 だけに使う統制を47から15に減らして、他の枠組みと共有する統制に寄せました。欧州の整合規格 EN 18286 が10月14日から官報に載ったことも反映しています。提供終了や新規受付の停止の告知はなく、2026年10月下旬まで更新が続いています。

• 調達額、認証、顧客の例は、いずれも提供元の発表によるものです
• 機能の名前や画面の項目は2026年10月28日時点の公式の更新履歴によります。英語の画面の項目は、本文では日本語に言い換えています

前提：EUのAI法の期限は2026年7月の改正で動いた

判定の作業に入る前に、時期の前提を押さえておきます。EUのAI法は2024年8月に発効し、段階的に適用が始まっています。2026年7月24日には、欧州の行政の簡素化の一環として出された改正規則（2026年第1744号）が官報に載り、7月27日に発効しました。複数の法律事務所の解説によれば、用途で高リスクとされるAI（附属書3の分野）への義務の適用は、2026年8月2日から2027年12月2日に延びたとされています。製品の安全規制と結びついた高リスクのAI（附属書1）は2028年8月2日からです。

ここで注意したいのは、延びたのは一部だということです。禁止される使い方の規定は2025年2月から適用されており、改正では禁止の項目が増えています。Modulos の更新履歴も、7月6日の改正の反映で第5条の禁止が二つ加わったと記録しています。延期を理由に判定の作業を後回しにすると、禁止や透明性に関わる部分を見落とすおそれがあります。

義務の中身や、日本企業にどこまで及ぶかの一般論は、別の記事で詳しく扱っています。この記事で押さえておけばよいのは、期限が動いても「自社のどのAIが対象か」を判定する作業は先に進められるし、進めておくべきだということです。時期については、施行の時点で官報の本文と欧州委員会の指針を必ず確かめてください。

なぜ「対象かどうか」の判定から始めるのか

ガバナンスの基盤を入れた会社が最初につまずくのは、登録したAIのすべてに同じ重さの評価をかけてしまうことです。マーケ部門が使う文章の下書きのAIも、採用の書類選考に使うAIも、同じ数の統制と証跡を求められると、現場は登録そのものを嫌がるようになります。Modulos が9月の更新で、登録の最初に「EUのAI法は適用されるか」を聞くようにしたのは、対象外のAIに、対象のAI向けの重い分類を求めないためだと読めます。

判定から始めることには、もう一つの意味があります。対象かどうかの判断は、後から変えにくいということです。一度「対象外」として登録したAIが、使い方を広げて欧州の顧客に向けて使われ始めると、対象に変わることがあります。判定は一度で終わりではなく、使い方が変わったときに見直すものとして、台帳の中に判定の理由と見直しのきっかけを残しておく必要があります。

日本企業の場合、そもそも欧州と関係があるのかを判断できる人が社内に少ないことも、判定を難しくしています。欧州に子会社がある、欧州の代理店がAIの出力を使っている、欧州の利用者がいるサイトにAIのチャットを置いている。こうした接点を事業部門が知っていて、法務が知らないことはよくあります。判定の作業は、この情報の偏りを埋める作業でもあります。

手順1：登録の単位を決め、持ち主を指名する

最初の手順は、何を一件として登録するかを決めることです。Modulos の公式の説明書では、一つのAIシステムは「一つの稼働しているシステム、または一つのガバナンスの取り組み」を表すとしています。マーケ部門なら、問い合わせ応答のチャット、広告の文面を作る仕組み、見込み客の点数付け、といった単位で分けるのが現実的です。同じ生成AIの契約でも、使い道が違えば別の一件にします。

9月22日の更新で、登録は「新しいAIシステムを作る」という入口から始まり、名前と持ち主を選ぶ形になりました。登録した本人は必ず持ち主の一人として残り、次の段では持ち主の欄が必須になっています。ここで指名する持ち主は、情シスではなく事業部門の人を基本にし、そのAIの使い方を変えられる立場の人にします。情シスが代理で登録するとしても、持ち主には事業部門の責任者を入れておかないと、使い方が変わったときに誰も判定を見直さなくなります。

登録の画面では、作っただけの段階は下書きとして保存され、本人が登録したものは自分の提出物の一覧で追えるようになっています。下書きのまま止まっている登録が増えるのはよくあることなので、月に一度、下書きの一覧を持ち主ごとに確かめる運用を決めておきます。

手順2：「適用されるか」に三択で答える

二つ目の手順が、判定の中心です。登録の二段目で、Modulos は「EUのAI法はこのAIシステムに適用されるか」を、はい・いいえ・分からないの三択で聞きます。「はい」を選んだときだけ分類の欄が現れ、高リスクに当たるかどうかなどを細かく入力していきます。同じ段で証跡のファイルを添付でき、添付したものはそのままそのAIシステムの証跡になります。

答える前に、事業部門の持ち主に確かめておくべきことは、そのAIが欧州とどう関わるかです。欧州で販売・提供しているか、AIの出力が欧州で使われるか、欧州の人を相手にしているか。台帳の一覧には、どこで動いているか、地理的な範囲、現在の状態、稼働開始日の欄が9月22日の更新で加わっているので、地理的な範囲の欄を判定の根拠と合わせて埋めるようにします。

「いいえ」を選ぶときこそ、理由を書き残すことが大事です。欧州と接点がないので対象外、という判断は、後で接点ができたときに覆ります。「いいえ」の理由と、それが崩れる条件を一行で書いておくと、見直しのきっかけが分かりやすくなります。たとえば「国内の利用者向けのみ。欧州向けのサイトに置いた時点で再判定」といった書き方です。

• 登録を急ぐあまり、全部「いいえ」で通し、理由を書いていない
• 判断がつかないものを「はい」にして、対象外のAIにまで重い分類を求めている
• 「分からない」を選んだまま、誰がいつまでに確かめるかが決まっていない
• 情シスが代理で登録し、持ち主に事業部門の責任者が入っていない

手順3：「分からない」を期限付きで片付ける

三択に「分からない」があるのは、正直な設計です。判定の材料が足りないときに無理に答えさせると、誤った登録が台帳に残ります。ただし、分からないのまま放置すると、台帳の多くが宙に浮いた状態になり、判定の意味がなくなります。「分からない」を選んだものには、確かめる人と期限を必ず付けるのが運用の要です。

分からない理由は、たいてい二種類に分かれます。一つは事実が分からない場合で、AIの出力が欧州で使われているかを事業部門が把握していない、といったものです。これは事業部門の持ち主が調べれば片付きます。もう一つは法律の解釈が分からない場合で、ある使い方が附属書3の分野に当たるかの判断がつかない、といったものです。解釈の問題は、AIアシスタントに聞いて片付けず、法務か外部の専門家に回すようにします。

Modulos の更新履歴には、登録の画面にコメントと記録の欄があると書かれています。分からないの理由と、誰に確認を頼んだか、回答がいつ来たかをこの欄に残しておけば、後から判定の経緯をたどれます。期限は、四半期の台帳の見直しに合わせて、次の見直しまでに片付けると決めておくと回しやすくなります。

手順4：区分を当て、マーケ用途のAIの扱いを決める

「はい」と判定したAIは、次に区分を当てます。9月22日の更新では、EUのAI法の設定の名前と並びが改められ、たとえば以前「限定的なリスク」と呼んでいた区分が、「附属書3に当たるが高リスクではない」という名前になりました。法律の条文の構造に合わせた呼び方に寄せたものと読めます。

マーケ部門が使うAIの多くは、高リスクの区分には入らないと考えられます。ただし、例外に注意が必要です。生成した文章や画像、音声を利用者に見せる場合は、AIで作ったことを示す透明性の義務が関わります。人の行動をゆがめる使い方は禁止の対象になりえます。「マーケだから対象外」と決めつけず、使い方ごとに区分を当てることが大事です。

マーケ部門のAIの例	判定で確かめる点	決める人
欧州向けサイトの問い合わせ応答	AIと話していると利用者に分かるか	マーケ責任者と法務
広告の画像・動画の生成	生成物であることの表示が要るか	マーケ責任者と法務
見込み客の点数付け	個人の評価に当たるか、欧州の個人を含むか	営業責任者と法務
社内向けの文章の下書き	欧州の拠点で使われるか	事業部門の持ち主
採用の書類の選別（人事）	附属書3の分野に当たるか	人事責任者と法務

表の右の列が示すとおり、区分を決めるのは基盤でもAIでもなく、事業部門の責任者と法務の組み合わせです。Modulos は選んだ区分に応じて要件と統制を生成してくれますが、区分の選び方を誤れば、生成される要件もずれます。区分の判断の理由は、登録の画面のコメントに残しておきます。

手順5：統制の評価の下書きをAIに作らせ、人が直す

区分が決まると、Modulos は該当する要件と統制の一覧を作ります。ここからが、AIアシスタントの Scout が力を発揮する場面です。公式の説明では、Scout は統制の評価の下書きを作り、つないだ社内の文書置き場から証跡の候補を抜き出し、足りないところを指摘します。9月8日の更新では、統制の評価を行うAIが、紐付いたすべての証跡を読み、証跡や方針の文書の処理が終わるまで待ってから評価するようになったと記録されています。

下書きを人が直すときに見るべき点は、根拠の確かさです。AIが「この統制は満たされている」と書いていても、根拠として挙げた文書が実際にその統制の内容を裏付けているかを、統制の持ち主が自分で開いて確かめます。古い版の規程を根拠にしていないか、別の部署の文書を取り違えていないかも見ます。

費用の面でも注意があります。8月27日の更新で、すべての組織に毎月のAIの利用の上限が初期設定され、8月24日には利用量を確かめる画面が加わりました。評価をまとめて走らせると上限に近づくことがあるため、評価の対象を区分の重いAIから順に絞り、一度に全部を走らせないのが無難です。上限を超えたときの扱いや追加の費用は、契約時に確かめてください。

手順6：証跡を残す（何を、どこに、誰の確認つきで）

最後の手順は証跡です。EUのAI法の対応で後から問われるのは、判定の結果そのものよりも、その判定をどういう根拠で、誰が、いつ下したかです。Modulos では、証跡を統制に添付し、確認の流れの中で状態を追い、監査の報告書を PDF で書き出せます。記録にはコメント付きの操作の履歴が残ると説明されています。

証跡として残すべきものは、三つの層に分けて考えると整理しやすくなります。一つ目は判定の証跡で、「適用されるか」の答えと理由、確認した人と日付です。二つ目は区分の証跡で、どの区分を選び、なぜそう判断したかの説明です。三つ目は統制の証跡で、各統制を満たしていることを示す文書です。AIが作った下書きを、人が確かめて承認したという事実も証跡の一部として残します。

Scout の答えは、8月27日の更新で証跡として保存できるようになりました。便利な機能ですが、AIの答えをそのまま判定の根拠にしないよう注意が要ります。保存するなら、AIの答えであることが分かる形で、人の確認の記録と並べて残します。

AIに判断させない線：Scout の役割をどこで止めるか

ここまでの手順で、Scout に任せてよいのは、評価の下書き、証跡の候補の抜き出し、足りないところの指摘、他のAIシステムとの比較の材料づくりです。9月22日の更新で Scout は画面の上部から開く浮いた窓になり、AIシステムごとに会話を覚え、登録の途中で新しい登録を組織の他のAIシステムと比べられるようになりました。似たAIがすでにどう判定されているかを見られるのは、判定のぶれを抑えるのに役立ちます。

一方で、任せてはいけないのは、「EUのAI法が適用されるか」の答え、区分の選択、統制が満たされているかの最終の判断です。これらは法的な責任を伴う判断で、誤ったときに会社が説明を求められるものです。AIアシスタントの答えが正しそうに見えても、決めた人の名前が記録に残っていなければ、監督当局や取引先に説明できません。

社内の規程には、Scout の出力は判定の材料であり、判定は持ち主と法務が行うと一行書いておくのが確実です。あわせて、Scout に社内の文書置き場をつなぐときは、つなぐ範囲を必要な部署の文書に絞ります。全社の文書を読ませる設定にすると、統制の評価と関係のない機密の文書まで処理の対象になりえます。

最後に決める人：法務・情シス・事業部門の持ち分

判定と登録の作業は、一つの部門では完結しません。事業部門はAIの使い方と欧州との接点を知っています。法務は条文の解釈と区分の判断ができます。情シスは基盤の設定と、AIがどこで動いているかを把握しています。この三者のどれが欠けても、判定は不正確になります。

持ち分の決め方の一例を挙げます。登録と持ち主の指名は事業部門、適用の三択の答えは事業部門の持ち主が起案して法務が確認、区分の選択は法務が決定、統制の評価は統制の持ち主が下書きを直して承認、基盤の設定と接続の範囲は情シス、という分け方です。最終の決定者を一人に決めておくことで、判断が割れたときに止まらずに済みます。多くの会社では、法務の責任者か、AIガバナンスの責任者がこの役を担います。

欧州に子会社がある場合は、子会社の担当者を台帳の持ち主や確認者に入れるかどうかも決めておきます。Modulos には閲覧だけの役割があり、7月の更新で名前が「監査人」から「閲覧者」に改められています。子会社や外部の監査人には閲覧の役割を割り当て、変更の権限は本社に残す形が、証跡の信頼性を保つうえで扱いやすい構成です。

社内に入れてよいか：データの流れ・権限・費用・やめ方

Modulos を入れるかを判断するうえで、公式の説明書から確認できないことがいくつかあります。一つはデータの置き場所で、基盤がどの地域のクラウドで動くのか、自社の環境に置く形があるのかは、公開の資料では確認できませんでした。スイスの会社であることから欧州のクラウドでの運用が想定されますが、契約の前に置き場所と再委託先を書面で確かめる必要があります。

二つ目は、Scout がつないだ文書を処理するときに、どの生成AIを使い、入力がどこに送られるかです。社内の文書置き場や開発の保管庫をつなぐ以上、その中身が基盤の外の生成AIに渡るのかは、情報管理の規程に直結します。つなぐ前に、処理に使う生成AIと学習への利用の有無を確かめるようにします。

三つ目は、やめ方です。台帳と証跡は、基盤をやめたあとも監査の期間中は保管しておく必要があります。監査の報告書の PDF の書き出しと証跡のファイルごとの取り出しは公式に用意されていますが、台帳の全件を表の形で取り出せるか、コメントや操作の履歴まで持ち出せるかは確かめておきたい点です。料金は公式サイトに載っておらず、問い合わせで見積をとる形です。登録するAIの数と、AIアシスタントの利用量のどちらで費用が増えるのかを見積で確かめてください。

規格の更新にどう付いていくか

ガバナンスの基盤を使う利点の一つは、法令や規格の変更を提供元が中身に反映してくれることです。Modulos の更新履歴を見ると、EUのAI法の改正、米国の州法、スイスの金融監督当局の指針、欧州のサイバーの規則など、2026年だけでも多くの枠組みを追加・改訂しています。

ただし、中身が更新されると、使う側にも作業が発生します。10月21日の更新では、ISO 42001 の統制の多くを他の枠組みと共有する統制に寄せたため、更新後に ISO 42001 の要件を確かめ、新しく対応付けられた統制に証跡を付け直すよう案内しています。同じ日の更新では、欧州の整合規格 EN 18286 に沿うことで適合が推定されるのは、AI法の特定の条項に限られ、条件付きだとも注記しています。

こうした更新を見落とさないために、更新履歴を毎月確かめる担当を決め、台帳の見直しの会議で影響を共有する運用にしておきます。提供元が中身を直してくれても、自社の台帳と証跡が自動で正しくなるわけではありません。規格の更新は、判定を見直すきっかけの一つとして扱うのがよいでしょう。

よくある質問

台帳に登録すれば、EUのデータベースへの登録も済むのですか

別物です。EUのAI法で定められたデータベースへの登録は、高リスクに当たるAIなどについて法律が求める手続きで、Modulos の台帳は社内の管理のためのものです。公式の説明書からは、Modulos が欧州のデータベースへの登録を代行する機能は確認できませんでした。社内の台帳は、その手続きに必要な情報をそろえる場所と考えてください。

欧州に拠点がなくても、判定の作業は必要ですか

欧州の利用者向けにAIを使ったサービスを出している場合や、AIの出力が欧州で使われる場合は、拠点がなくても対象になりうると解説されています。まずは事業部門に欧州との接点を聞き、接点がなければ「いいえ」とその理由を記録し、接点ができた時点で見直す運用にしておけば、作業は小さく済みます。

Scout の判定を、そのまま規程の根拠にしてよいですか

おすすめしません。Scout の出力は評価の下書きと証跡の候補であり、判定の材料です。規程の根拠にするなら、人が確かめて承認した記録とあわせて残し、最終の判断をした人の名前が分かる形にします。

国内の指針への対応にも使えますか

公式の説明書に挙がっている枠組みは、EUのAI法、ISO 42001、NIST の枠組み、欧州の個人データ保護規則などです。国内の法令や政府の指針がひな形として用意されているかは確認できませんでした。国内の指針への対応は、共有できる統制を手がかりに自社で対応付けるか、別の方法で管理する必要があります。

まとめ

Modulos は、AIの台帳・統制・証跡を一つで扱うスイスのガバナンス基盤で、2026年9月22日の更新で、登録の最初に「EUのAI法は適用されるか」を三択で問い、AIアシスタントの Scout が他の登録と比べながら評価の下書きを作る形になりました。判定と登録の作業は、登録の単位と持ち主を決める、三択に理由付きで答える、分からないを期限付きで片付ける、区分を当てる、評価の下書きを人が直す、証跡を残す、の六つの手順で進めます。基盤とAIが助けてくれるのは材料をそろえるところまでで、対象かどうか、どの区分かを最後に決めるのは、事業部門の責任者と法務です。決めた人と理由を証跡に残し、使い方や規格が変わったときに見直す運用を作っておくことが、期限が動いても慌てずに済む備えになります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。