AIを買って使うだけなら義務はありませんか？

高リスクAIシステムを組織として使う場合、使用説明に沿った運用、人による監督、入力データ管理、ログ保管などが問題になります。

ログはどのくらい残す必要がありますか？

Article 26では、管理下にある自動生成ログについて、目的に応じた期間、少なくとも6か月という考え方が示されています。別の法令がある場合はそちらも確認します。

Deployer Obligations (AI Act)とは、EU AI法で高リスクAIシステムを自社や組織の権限下で使う側に課される運用上の義務です。2026年7月時点の法令本文では、AIを買って使う企業にも説明書どおりに運用し、監督し、記録する責任があります。

英語表記：Article 26: Obligations of deployers of high-risk AI systems

Deployer Obligations (AI Act)では、使用説明に沿って高リスクAIシステムを使うための技術的・組織的措置を取り、必要な能力、訓練、権限、支援を持つ人にHuman Oversight (AI Act)を割り当てることが求められます。

また、利用者側が入力データを管理する場合、そのデータが目的に照らして関連性と代表性を持つかも重要な確認点です。AIベンダー任せにせず、自社の使い方が結果をゆがめていないかを見る視点が必要です。

Article 26は、運用監視、Providerへの情報提供、一定期間の自動生成ログ保管にも触れています。条文上、ログは管理下にある範囲で、目的に応じた期間、少なくとも6か月保管する考え方です。

職場で高リスクAIシステムを使う場合は、労働者代表や影響を受ける労働者への情報提供も論点です。導入稟議では、価格や精度だけでなく、監督者、ログ、社内通知まで確認するべきでしょう。

Article 3の定義では、deployerはAIを自己の権限下で使う自然人や法人などですが、個人的で職業外の活動で使う場合は除かれます。日本語で「利用者」とだけ訳すと広すぎるため、企業や組織としてAIを運用する立場と考えると実務に近いでしょう。

AIを買って使うだけなら義務はありませんか？: 高リスクAIシステムを組織として使う場合、使用説明に沿った運用、人による監督、入力データ管理、ログ保管などが問題になります。
ログはどのくらい残す必要がありますか？: Article 26では、管理下にある自動生成ログについて、目的に応じた期間、少なくとも6か月という考え方が示されています。別の法令がある場合はそちらも確認します。