2027年に延期されなかった臨床AIの義務

EU AI法の高リスク義務の適用が2027年12月まで、規制対象医療機器に組み込まれたAIについては2028年8月まで先送りされるという政治合意により、多くの医療機関がこの規制全体を「来年以降の課題」として扱うようになっています。しかし、この解釈は誤りです。延期の対象は法の特定の章に限られており、他の多くの義務は一切延期されておらず、すでに臨床AIツールに適用されているものもあります。

実際のリスクは、医療機関がAIガバナンスの取り組みを静かに停止し、臨床意思決定支援ツールの基盤となることが多い汎用AIプロバイダーへの透明性義務などが、延期の対象外だったことに後から気づくことです。本記事では、延期が実際にカバーする範囲、対象外となる義務、そして今すでに進めるべきAIガバナンスの意味について解説します。

要約

EU AI法のデジタル・オムニバス改正により、高リスクシステム義務は、未完成の技術規格への対応として、スタンドアロンシステムは2027年12月、規制対象医療機器に組み込まれたAIは2028年8月まで延期されました。しかし、この延期は法の禁止行為、汎用AIモデルプロバイダーへの義務、透明性要件には一切影響せず、これらの多くはすでに医療機関に対して拘束力を持っています。コンプライアンス担当者にとって、2027年や2028年をすべての義務の締切とみなすのは誤りです。

主なポイント

1. 延期の対象は第III章の高リスクシステム義務および付属書Iの医療機器組込義務のみで、法全体ではありません。
2. 第50条に基づく透明性義務は延期されておらず、すでに有効です。患者へのAI利用の開示は現行の義務です。
3. 汎用AIモデルプロバイダーへの義務は延期の影響を受けていません。多くの臨床AIツールは汎用モデルの上に構築されています。
4. 禁止されたAIの利用は、高リスク義務のスケジュールに関わらず引き続き禁止されています。
5. 今構築した透明性や文書化のためのガバナンス基盤は、将来の高リスク分類にも引き継がれます。

デジタル・オムニバスが臨床AIに対して実際に延期した内容

高リスク義務を実運用するために必要な技術規格が間に合わなかったため、延期措置が導入されました。

法全体のリセットではなく、第III章と付属書Iへの限定的な延期

延期は、高リスクおよび医療機器組込システムが対象となる適合性評価や本格的なコンプライアンス体制に適用されます。それ以外のカテゴリーは、法が当初定めたスケジュール通りに進行します。

バックストップ日程は規格整備の遅れを前提に設定

新たな日程はバックストップ（最終期限）として機能し、2027年および2028年が最長の猶予となります。規制当局は、医療機関がこの延長期間中も準備を継続することを期待しています。

延期の有無に関わらず医療機関にすでに適用されている義務

いくつかの義務は延期対象外であり、当初のスケジュール通りに適用されています。

汎用AIモデルへの義務は延期以前から適用

多くの臨床意思決定支援ツールの基盤となる汎用AIモデルのプロバイダーは、デジタル・オムニバス提案以前から文書化や透明性義務の対象となっています。

透明性・開示義務はすでに発効済み

患者がAIシステムとやり取りしていることを通知する義務は、法の当初スケジュール通りに発効しており、オムニバスによる延期の対象外です。

延期を「一時停止」と捉えると後でコスト増になる理由

AIガバナンスの取り組みを止めてしまうと、将来の高リスク義務の締切を迎える際に本来なら進めておくべき基盤作りが無駄になり、対応コストが増大します。

今構築する文書化・ログ管理は無駄にならない

高リスクシステムに将来的に求められる記録保持やアクセス制御の能力は、すでに要求されている透明性義務と大きく重なっています。

現時点で実際に適用されている義務に基づくAIガバナンス構築

実務的には、義務の適用時期を「すでに有効なもの」と「バックストップ日程のもの」に分け、まずは前者に対するガバナンス構築を優先することが出発点となります。

データコントロールプレーンがすでに発効しているAIガバナンス義務をどう支援するか

Kiteworksのデータコントロールプレーンは、すべてのユーザーやAIエージェントのあらゆるチャネルでの操作にデータ認識型のゼロトラスト・コントロールを適用し、各操作を改ざん防止かつ無制限の監査ログとして記録、SIEMツールに直接連携します。これにより、医療機関が現行の透明性義務で求められる詳細で検索可能な記録を提供します。

自組織のAI導入状況にこの仕組みがどう適用できるか知りたい医療機関は、カスタムデモを予約できます。