Regulatory locale × 評価 requirement crosswalk

AI評価を世界共通の単一チェックリストに固定すると、法域・用途・system classificationによって異なる要求を取り落とします。一方、国別に評価基盤を完全分離すると、同じ技術評価を重複実施し、根拠と結果の比較可能性を失います。運用上は、provider-neutralなglobal evaluation coreと、法域・用途・役割・適用日を条件に追加されるregulatory overlayを分離し、各要求を実行可能なtest/evidenceへtraceします。

EU AI Actのhigh-risk AI systemでは、risk managementはlifecycleを通じた継続的・反復的processであり、known/reasonably foreseeable risk、foreseeable misuse、post-market data由来のriskを評価対象に含めます。Article 9は、high-risk systemのtestingをrisk-management measureの特定に用い、intended purposeに対して一貫して動作することとSection 2 requirementsへの適合を確認し、事前定義したmetricsとprobabilistic thresholdsに対して、少なくともmarket投入・service開始前にtestすることを要求しています。

Article 15はhigh-risk AI systemにappropriate levelのaccuracy、robustness、cybersecurityとlifecycleを通じたconsistent performanceを要求し、accuracy levelとrelevant accuracy metricsをinstructions of useで示すことも要求します。したがって「評価した」という記録だけでなく、適用される法的要求とmetric/evidenceの対応を追跡する必要があります。

Article 43のconformity assessmentはhigh-risk systemの種類、適用したharmonised standard/common specification、他のUnion harmonisation legislationとの関係などでprocedureが変わります。2026-07-27 consolidated textでは、Annex I Section AのUnion harmonisation legislationに覆われるhigh-risk AI systemについて、関連する既存のconformity assessment procedureへAI Act Section 2 requirementsを組み込む構造が確認できます。このため、単なるcountry列だけでは不十分で、jurisdiction × intended purpose × system classification × operator role × applicable product law × effective dateをcrosswalk keyにする必要があります。

またArticle 42は、specific geographical, behavioural, contextual or functional settingを反映したdataでtraining/testingされたhigh-risk AI systemについてArticle 10(4)の関連要件へのpresumption of conformityを規定します。評価matrixでlocaleを扱う場合、言語タグだけではなく実際のdeployment settingを分離して記録すべき根拠になります。

規制crosswalkの目的は法文を自動的に「合否判定」することではありません。法的applicabilityを人間が承認したうえで、その判断から必要なevaluation controlへ追跡可能な実行計画を生成し、test result/evidenceを戻せる状態にすることです。

典型的なfailureは、(1) EUという地域名だけで一律にhigh-risk要件を適用する、(2) intended purposeやprovider/deployer等のroleを無視する、(3) 法改正・適用日の変更後も古いcrosswalkを使う、(4) harmonised standardやproduct-specific lawとの関係を落とす、(5) 法的要求を一般的なbenchmark score一つへ潰す、(6) global coreのtestを地域別に重複実行して結果が分岐する、です。

• global coreとregulatory overlayを分離する
• global core: accuracy、robustness、security、privacy、human oversight、logging等のprovider-neutral test/evidence primitive。
• overlay: jurisdiction、law/version、article/requirement、applicability predicate、effective date、required evidence、additional threshold/review、legal owner。

• applicability keyを多次元化する 最低限 jurisdiction、intended_purpose、system_classification、operator_role、sector/product_law、deployment_context、effective_from/to を持たせます。locale/languageだけで法的適用を推定しません。

• 法文→control→test→evidenceをtraceする 各requirementに legal_source_locator、control_id、test_id、metric_or_threshold、evidence_artifact、owner、reviewed_at を結びます。Article 9のように事前定義metric/probabilistic thresholdを要求する項目では、test実行前のthreshold versionを保存します。

• legal interpretationを自動化しない crosswalk engineは承認済みapplicability decisionを入力として評価計画を構成します。新しい法域・用途・classificationの自動推論結果だけでrelease gateを変更しません。法務/規制担当によるapprovalと根拠locatorを必須にします。

• 法改正と適用日をversion管理する law_version と effective_date を固定し、consolidated textの更新、delegated/implementing act、harmonised standard/common specificationの変更をrefresh triggerにします。過去releaseの判定は当時のversionへ再現可能にします。

• 共通testの再利用と差分評価を分ける 同じtest resultが複数requirementを満たす場合はevidenceを参照共有し、地域別に同じtestを複製しません。一方、地域・context固有dataやthresholdが必要ならoverlay側で追加testとして定義します。

• conformity assessmentと内部evalを同一視しない 内部benchmarkやred-teamのPASSは、Article 43等の法定conformity assessment完了を意味しません。外部/notified-body involvement等が必要な場合は別stateとして保持します。

本項の法的根拠は主としてEU AI Actのhigh-risk AI system要件です。すべてのAI system、すべてのEU利用、またはEU外法域に同じevaluation requirementが適用されるという意味ではありません。classification、role、intended purpose、sector/product law、例外、移行措置、適用日を個別に確認する必要があります。

「regulatory locale」は実装上のrouting概念であり、法的な管轄判断そのものではありません。ユーザーのUI言語、IP geolocation、data regionだけからjurisdictionを確定しません。

EU AI Act自体がすべてのaccuracy/robustness thresholdを数値で固定しているわけではありません。Article 15はappropriate levelを要求し、benchmarks/measurement methodologiesの発展を想定しています。したがってcrosswalkが法文から万能な数値thresholdを生成できるという設計は過剰です。

さらに、consolidated text、amending regulation、harmonised standards、common specifications、sector-specific Union lawの関係は時間とsystem classによって変わります。crosswalkは法的助言の代替ではなく、承認済みinterpretationとtechnical evidenceのtraceability layerとして扱う必要があります。

• 2026-10-20時点で各high-risk categoryに実際に利用可能なharmonised standard/common specificationの網羅的対応表
• 各加盟国のnational competent authority運用差と追加的手続の影響
• GPAI modelを組み込むdownstream high-risk systemで、model-provider evidenceをsystem-level evaluationへどこまで再利用できるか
• sector-specific lawとAI Actの重複要求を機械的にdeduplicateできる安全な粒度
• EU外法域を同じschemaへ載せる際のlegal concept非対称性

「AI評価は世界共通の技術testをcoreとして再利用しつつ、法域・用途・system classification・operator role・適用日などで変わる要求をversioned regulatory overlayとして追加する。overlayは法的適用を自動決定するものではなく、承認済みapplicability判断をcontrol/test/evidenceへtraceするために使う。内部evalのPASSを法定conformity assessment完了と同一視しない。」

• Regulation (EU) 2024/1689, consolidated text as of 2026-07-27, Article 9 (risk management/testing): CELEX 02024R1689-20260727, EUR-Lex.
• Regulation (EU) 2024/1689, Article 15 (accuracy, robustness and cybersecurity), EUR-Lex.
• Regulation (EU) 2024/1689, Article 42 (presumption of conformity for data reflecting deployment setting), EUR-Lex.
• Regulation (EU) 2024/1689, Article 43 (conformity assessment), EUR-Lex.
• 2026 amending text affecting Article 43(3), EUR-Lex, PE_30_2026_REV_1; applicability and final consolidated wording must be checked against the current consolidated act at audit/publication time.