EU AI法のデータベース登録：第49条が求めるものと適用時期

AI法第49条は、附属書IIIに掲げる高リスクAIシステムの提供者に対し、そのシステムを市場に投入し、または使用を開始する前に、自らとそのシステムをEUデータベースに登録するよう求めています。附属書IIIのシステムが高リスクではないと結論づけた提供者も、より簡略な内容で登録します。そうしたシステムを利用する公的機関も同様です。

データベースはまだ開設されていません。登録義務が実際に効き始める日付は2026年7月に変わり、改正規則には起草上の隙間が残ったため、第49条がいつ適用されるかについて2つの読み方が生まれています。以下は2026年10月2日時点の状況です。

登録が必要なのは誰か

附属書IIIの高リスクシステムの提供者：第49条第1項

附属書IIIは8つの分野を対象としています。生体認証、重要インフラ、教育・職業訓練、雇用・労働者管理・自営業へのアクセス、必要不可欠な民間・公共サービスおよび給付へのアクセス、法執行、移民・庇護・国境管理、司法および民主的プロセスの運営です。これらの見出しの下に列挙された具体的なユースケースのいずれかを意図したシステムは、第6条第3項によって除外されない限り、第6条第2項により高リスクとなります。

こうしたシステムを市場に投入し、または使用を開始する前に、提供者「または、該当する場合には認定代理人」が、自らとそのシステムを登録します。

第49条第1項の対象外となる区分が2つあります。附属書III第2号の重要インフラのシステムは、第49条第5項に基づき、国のレベルで登録されます。また、附属書Iの規制対象製品に組み込まれた高リスクAIは、第49条に基づく登録の対象ではまったくありません。第49条第1項が挙げているのは附属書IIIだけだからです。

高リスクではないと結論づけた提供者：第49条第2項

第6条第3項により、提供者は、附属書IIIのシステムが、意思決定の結果に実質的な影響を及ぼさないことを含めて、健康、安全または基本権に対する重大な危害のリスクをもたらさない場合には、そのシステムは高リスクではないと結論づけることができます。そのためには、4つの条件のいずれかを満たす必要があります。第一に、システムが限定的な手続的タスクを実行すること。第二に、以前に完了した人間の活動の結果を改善すること。第三に、意思決定のパターンまたはそこからの逸脱を検出するものであって、適切な人間によるレビューなしに、完了した人間の評価に取って代わり、またはこれに影響を与えることを意図していないこと。第四に、附属書IIIのユースケースに関連する評価のための準備的タスクを実行することです。

自然人のプロファイリングを行うシステムは、どの条件を満たしていても常に高リスクです。

第6条第4項に基づき、提供者はシステムを市場に投入する前にその評価を文書化し、各国の所管当局から求められればその文書を提出し、第49条第2項に基づいて登録します。

欧州委員会のデジタル・オムニバス提案は、第49条第2項を削除する内容でした。この削除は採用されなかったため、自ら適用除外とした提供者も、附属書VIIIセクションBを使って引き続き登録します。ただし、オムニバスによってセクションBは短くなりました。第7号と第9号（結論の根拠の簡潔な要約と、システムが提供されている加盟国）は削除されています。登録には依拠した第6条第3項の条件を引き続き記載しますが、その理由づけは第6条第4項の記録にだけ書かれ、当局はこれを請求できます。適用除外にしても、データベースの外にいられるわけではありません。自社の立場が公開の登録簿に載ることになり、その裏付けとなる書面の評価は、システムを出荷する前に存在していなければなりません。

高リスクシステムを導入する公的機関：第49条第3項

公的機関、EUの機関・組織・事務所・庁、またはそれらに代わって行動する者である導入者は、附属書IIIに掲げる高リスクシステム（ここでも第2号を除く）の使用開始または使用の前に登録します。自らを登録し、データベース上でシステムを選択し、その使用を登録します。

ベンダーにとって最も重要なルールを加えているのが、第26条第8項です。公的部門の導入者は、使用しようとするシステムが登録されていないことが分かった場合、そのシステムを使用してはならず、提供者または販売業者に知らせなければなりません。導入者自身の登録（附属書VIIIセクションC）では、提供者の登録のURLが求められます。提供者であるあなたの登録ができるまで、公的部門の顧客は自らの登録を完了できません。

民間部門の導入者には、第49条に基づく登録義務はありません。

附属書III第1号、第6号、第7号に該当するシステムのうち、法執行および移民・庇護・国境管理の分野のものは、データベースのセキュアな非公開セクションに登録されます（第49条第4項）。第49条に基づいて登録されるそれ以外のものはすべて、第71条第4項により一般に公開されます。

EU域外の提供者：第22条

EU域外で設立された提供者は、高リスクシステムをEU市場で提供する前に、書面による委任によって、EU域内で設立された認定代理人を選任しなければなりません。附属書IIIのシステムについては、この義務は2027年12月2日から適用されます。認定代理人の情報はセクションAまたはBの第3号に記載され、第22条第3項（e）は、登録そのものにおける任務を認定代理人に与えています。

第22条の違反には、第99条第4項（b）に基づく制裁金が科されます。上限は1500万ユーロまたは全世界の年間総売上高の3%のいずれか高いほうで、中小企業と小規模ミッドキャップ企業についてはいずれか低いほうです。

提供者のために登録を提出した者が、それによって提供者の認定代理人になるわけではありません。附属書VIIIは提出者（第2号）と認定代理人（第3号）を別々に挙げており、他者に代わって届け出ても、第22条を満たしたことにはなりません。

登録はいつから適用されるか

規則（EU）2026/1744で何が変わったか

AIに関するデジタル・オムニバスは、2026年7月8日付の規則（EU）2026/1744となり、7月24日にEU官報に掲載され、2026年7月27日に発効しました。この規則は、第6条第1項を2027年8月2日から適用するとしていた第113条第3段落（c）を置き換えました。新しい（c）では、第3章第1節、第2節、第3節（第6条第5項を除く）は、附属書IIIのシステムについては 2027年12月2日 から、附属書Iのシステムについては 2028年8月2日 から適用されます。

これらは固定された日付です。提案では、高リスク規定の適用開始を整合規格が利用可能になる時期に連動させていましたが、この仕組みは削除されました。欧州委員会による第113条の統合版テキストには採択された版が示されていますが、AI Act Service Desk（AI法サービスデスク）のFAQの一部は、いまも古い仕組みを説明しています。

第49条をめぐる起草上の隙間

第49条は第3章第5節にあり、この節は規格、適合性評価、証明書、登録を扱っています。新しい（c）が挙げているのは第1節から第3節だけです。文言どおりに読めば、第5節は2026年8月2日という一般的な適用日のままということになります。

ただ、この読み方のもとで実際に動くものはほとんどありません。第49条第1項は附属書IIIに掲げる高リスクシステムに適用されますが、それらを高リスクとする第6条は先送りされています。事業者に登録を課す義務も先送りされています。提供者については第16条（i）、認定代理人については第22条第3項（e）、公的部門の導入者については第26条第8項です。第99条第4項の制裁金はこれらの条文に結びついており、第49条単独に結びついているわけではありません。そして、登録先のデータベースが存在しません。

解説は分かれています。文言どおりに読んで2026年8月2日とする読み方が少なくとも1つあり、一方でEuractivが報じた欧州委員会のサービスデスクの回答は2027年12月を示しています。当社は 2027年12月2日 を前提に作業していますが、それでもコンプライアンスの記録にはこの隙間を書き留めておきます。

すでに市場にあるシステム：第111条第2項

改正後の第111条第2項は、第3章の適用日より前に市場に投入された高リスクシステムを、その後に設計が大きく変更された場合に限って対象とし、その判断は型式とモデルごとに行われます。開発が活発に続いているシステムでは、この猶予は設計の最初の大きな変更までしか続きません。公的機関による使用を意図した高リスクシステムの提供者と導入者は、いずれにしても 2030年8月2日 までに適合しなければなりません。

日付

登録先：第71条のデータベース

第71条は、欧州委員会が加盟国と協力してEUデータベースを設置し、維持することを定めています。このデータベースはまだ稼働していません。Euractivが報じた2026年7月9日付のAI Act Service Deskの回答は、「このデータベースはまだ開設も稼働もしていません」と述べ、開設の見込みを2027年第3四半期としていました（この回答についての記事）。これは二次情報です。欧州委員会は開設日を公表していません。

現時点では、誰もシステムを登録できません。登録を引き受けると持ちかけられたら、具体的に何を、どこに届け出るのかを尋ねてください。

登録内容：附属書VIII

• セクションAの大部分は、いずれにせよ用意しなければならない文書の繰り返しです。 使用説明書（第13条）とEU適合宣言書（第47条）は同じシステムと意図された目的を記述しており、登録内容がそれと食い違ってはなりません。
• ノーティファイドボディを記載する附属書IIIの提供者はわずかです。 第43条第2項により、第2号から第8号は附属書VIの内部管理に基づく手続に従います。第1号の生体認証システムでは、ノーティファイドボディが必要になる場合があります。
• データと動作ロジックの説明は公開されます。 競合他社を含む一般の読み手を想定して書いてください。
• ステータス欄は届出のあとも残ります。 システムの提供を終えたりリコールしたりしたときのために、登録を管理する担当者を決めておく必要があります。

提供者に代わって届け出る

附属書VIIIは、提供者以外の者が届け出る場合を想定しています。セクションAとBの第2号は、「情報の提出が提供者に代わって他の者により行われる場合」には、その者の氏名、住所、連絡先を求めています。セクションCの第2号も、導入者について同じことを求めています。第71条第5項は、登録に責任を負い、「提供者を代表する法的権限」または導入者を代表する法的権限を有する自然人の氏名と連絡先を、データベースに保持させることを定めています。

つまり規則は、提供者の権限のもとで第三者が届け出ることを予定しています。ただし、その具体的な仕組みまでは決めていません。ポータルが提出者をどう識別するのか、届け出る権限をどう証明するのか、ある組織が自らのアクセス権で別の組織のために届け出られるのかについて、欧州委員会は何も示していません。いずれもまだ確認されていません。

妥当な計画は、どちらに転んでも対応できるものです。提供者を代表する権限を持つ自然人を明記した書面の委任状と、自社のスタッフが一からやり直さずに届け出られるほど完成したドシエ（登録書類一式）の両方を用意しておくことです。

ポータル開設前にすべきこと

1. 棚卸しと分類。 AIシステムごとに、該当する附属書IIIの号（あれば）と、自社がそのシステムの提供者と導入者のどちらに当たるかを記録します。
2. 第6条第4項の記録をいま作成する。 高リスクではないと扱うすべてのシステムが対象です。第6条第3項のどの条件に依拠するかを明記し、そのシステムが意思決定の結果に実質的な影響を及ぼさない理由を説明し、プロファイリングについても明示的に取り上げてください。
3. リリース計画を2027年12月2日と照らし合わせる。 その日以降に初めて市場に投入するシステムや、設計が大きく変更される既存システムは、出荷前に登録が必要です。
4. 附属書VIIIの内容を起草する。 使用説明書と適合宣言書との整合も取ってください。適合性の作業がまだ進行中なら、この草案によって文書同士の食い違いが早い段階で見えてきます。
5. EU域外の企業は認定代理人を選ぶ。 その情報も登録に記載されます。
6. 公的部門の顧客に、登録の時期の見通しを伝える。 顧客のセクションCの登録にはあなたの登録のURLが必要で、第26条第8項は未登録のシステムの使用を禁じています。
7. 担当者を指名する。 自社を代表する法的権限を持つ人、それと異なる場合は提出者、そして届出後に登録を管理する人です。

登録の裏側には、技術文書、ログ記録、適合性の証拠があります。これは当社がエンジニアリングのプロジェクトとして進めているAI法コンプライアンスの作業です。第50条は別の話で、透明性義務のガイドで扱っています。

ドシエをいま準備する

AIシステム1件あたりの定額で、附属書IIIと第6条第3項に照らした分類の確認、該当する場合の第6条第4項の記録の起草、そして完全な附属書VIIIのドシエの作成をいま行い、データベースが開設されたら、お客様の委任に基づいて届け出ます。データベースが提供者に代わる届出を受け付けない場合は、料金のうち届出にあたる部分を返金し、お客様ご自身で届け出る手順をご案内します。第22条の認定代理人を務めることは、サービスに含まれません。詳しくは登録ドシエサービスのページをご覧いただくか、お打ち合わせをご予約ください。