基本的な透明性義務が適用されます。チャットボットやAIエージェントと対話する際には、ユーザーにAIとやり取りしていることを伝える必要があります。ディープフェイクや公的な情報テキストなど特定のAI生成コンテンツは明確に識別されなければなりません。プロバイダーや展開者は、システムに適した文書化、ログ記録、人間の監督を維持すべきです。AIオフィスや各国当局は情報の提供を求め、モデルを評価し、是正措置を調整できます。実務的には、ポリシー、技術文書、テレメトリを一元管理し、ユーザー開示とシステム挙動を結びつける単一の信頼できる情報源を持つことを意味します。

汎用AIモデルを提供する場合、透明性のある文書化、トレーニングコンテンツの出所の公開要約、適切なリスク評価と軽減が義務付けられています。モデルがシステムリスクをもたらす可能性がある場合は特に注意が必要です。チームはモデルカード、評価レポート、安全性のレッドチーム調査結果、コンテンツ識別機能を運用化すべきです。著作権とトレーニングデータの取り扱いは文書化し、オプトアウトや合法的使用を尊重する明確な手順を設けます。欧州委員会のテンプレートや自主規制コードを活用し、繰り返し可能なリリース、明確な変更ログ、バージョン間の整合性テストを制度化しましょう。

高リスク義務はリスク管理、データガバナンス、ログ記録、技術文書、人間の監督、堅牢性、正確性、サイバーセキュリティ、市場後監視を含みます。システムが2027～2028年まで高リスクに分類されなくても、今からこれらの規律を採用するのが最もコスト効率の良い方法です。横断的なガバナンスフォーラムを設立し、リスク受容の閾値を定義し、データセットの文書化と品質ゲートを実装し、継続的評価パイプラインを構築しましょう。標準や管理体制は将来の調和標準を見越して拡張可能なものを選び、調達ではサプライヤーに適合する成果物とテスト証拠の提供を求めるよう調整します。

操作的なシステム、脆弱性を悪用するターゲティング、社会的スコアリング、特定の生体認証利用、顔認識データベースの無差別スクレイピングなどは禁止されています。2026年12月には、同意なしの性的・親密なコンテンツ生成やCSAM関連の出力に対する追加禁止が発効します。開発者は今すぐ悪用防止層を実装すべきです。安全性分類器、制限付き出力、ユーザー報告、追跡可能なコンテンツ出所、迅速な削除・インシデント対応ワークフローを整備しましょう。製品やマーケティング機能を監査し、禁止された利用を意図せず促進したり助長したりしないことを確認してください。

迅速に提供可能な組み合わせ可能な管理策を優先しましょう。透明性のためには、ユーザーに見えるAIインジケーターやディープフェイクラベルを実装し、可能な場合はコンテンツ出所の標準や透かしを採用します。ガバナンスのためには、バージョン管理された評価、ポリシーゲート、リリース承認を備えたモデルレジストリを維持します。データについては、系統、同意状況、ライセンスメタデータを記録し、データセットのバージョン管理とアクセス制御を徹底します。監視では推論ログ、バイアス・堅牢性指標、インシデントチケットを集中管理し、オンコール体制を整えます。監督では明確な人間介入ポイントを定義し、エスカレーション時の記録を残します。各成果物は将来の監査の証拠として扱いましょう。