EU AI ActのFRIAガイドを読む雑感――影響評価を「書類」から「プロセス」へ戻す

はじめに

　今回の雑感を読むにあたっては、以下の記事をぜひご参照いただきたい。これらの雑感の延長線上にあるものと考えている。

　このガイドは、特に公的機関がEU AI法に基づく高リスクAIシステムに対して基本的人権影響評価（FRIA）を実施するのを支援するものである。このプロセスは5つのフェーズで構成される。すなわち、計画とスコーピング、悪影響の評価と緩和、展開決定と公開報告、モニタリングとレビュー、そして影響を受けるグループや関係者へのコンサルティングの横断段階である。重要な要素には、影響を受ける権利を特定するシナリオの策定、悪影響の深刻さと可能性の評価、そして人間の監督やアクセス可能な苦情処理メカニズムなどの強固な緩和策の確立が含まれる。

　EU AI法（EU AI Act）については、プロバイダ（提供者）側の「高リスクAI要件」ばかりが先に話題になりがちである。他方で、FRIAはデプロイヤ（deployers。運用者・利用主体）側に、基本権の観点から「使い方」を点検する手続を課す点で、法の設計思想が露呈している条文である。条文上の骨格（何を記述するか）は比較的シンプルであるが、実装（いつ・誰が・どれだけ本気で・どの情報に基づいてやるか）は途端に難しくなる。だからこそ、ECNL（European Center for Not-for-Profit Law）とDIHR（Danish Institute for Human Rights）が2025年12月に公表したFRIAガイドは、単なる「要件チェック」ではなく、組織の意思決定プロセスとしてFRIAを再設計しようとする点に特徴がある。

1　そもそもFRIAは「何を書くか」より「何のためにやるか」で決まる

　EU AI法のFRIA（条文上は「fundamental rights impact assessment」）は、少なくとも二つの意味で“書類”ではなく“節目”である。

　第一に、条文が要求する要素自体が「運用の文脈」を外せない構造になっている点である。すなわち、当該AIが使われる業務プロセスの記述、使用期間・頻度、影響を受けうる自然人・集団の類型、具体的な害のリスク、人間の監督措置、リスク顕在化時の措置（内部ガバナンスと苦情処理を含む）という形で、FRIAは「目的」「対象」「被影響者」「リスク」「統制」「救済」を最低限一巡させることを要求する。ここには、リスク評価の体裁を取りつつ、実質的には“運用の設計レビュー”をさせるという意図が透ける。

　第二に、FRIAは「最初の使用前」というタイミング要件を核にしている点である。ガイドも明確に、FRIAは配備後の正当化（justify after the fact）ではなく、配備判断を情報化する（inform deployment decisions）ためのガバナンス機構であることを強調する。実際、意思決定の後に書類だけ整えても、組織の現実は動かない。FRIAが“本気の儀式”になるか“形式の儀式”になるかは、要するに、決裁前に組み込まれているかで決まる。

2　ガイドが提示する5フェーズ――「一回性」から「ライフサイクル」へ

　本ガイドの肝は、FRIAを5つのフェーズとして設計し直す点にある。すなわち、①計画とスコーピング、②基本権への悪影響の評価と緩和、③展開決定と（一定の場合の）公表、④モニタリングとレビュー、⑤影響を受けるグループや関係者との協議（横断）である。

　この整理が示すのは、FRIAを「提出物」ではなく「ライフサイクル・ガバナンス」の中に置こうとしていることである。特に、④モニタリングとレビューを独立フェーズとして立てている点が重要である。AIシステムは、モデルの劣化、データ分布の変化、周辺業務の変容、現場の運用逸脱等により、配備時点の想定を容易に裏切る。FRIAを一回で終わらせる設計は、現実への敗北を前提にしてしまう。更新可能性（何が変わったら更新するか）を当初から条件化しておくことが、FRIAの実効性を左右する。

　また、⑤を「横断」としている点は、いわば“最初から最後まで人を巻き込め”という話である。影響を受けうる当事者や代理者、基本権の専門性を有する外部者を、評価と緩和の設計に入れるという発想は、法務・コンプライアンスの内部作業に閉じがちな日本企業の実務感覚からすると、やや異物感がある。しかし、基本権のリスクは、技術仕様書だけ読んでも分からないことが多い。むしろ、分からないことが多いからこそ、当事者知と外部知を入れるしかない、という話である。

3　「意味のあるFRIA」の基準――チェックリスト化への強い抵抗

　ガイドが面白いのは、「こうやれ」という手順だけでなく、「こうなっていなければFRIAとして危うい」という評価軸（criteria）を明示している点である。概ね、次のような観点が置かれる。

　第一に、基本権をベンチマークとして扱うことである。影響評価というと、どうしても「業務上のKPI」「炎上リスク」「プライバシー」だけに収斂しがちである。ガイドは、EU基本権憲章等を基準に、負の影響（negative impacts）を中心に評価することを要求する。

　第二に、参加と非差別である。影響を受ける権利主体（rights-holders）や正統な代理者の関与、参加障壁（距離、AIリテラシー、時間・資源等）への配慮、脆弱な立場（子ども、障害者、高齢者、移民・難民等）への差異化された観察が強調される。ここは、実務で最も「面倒だから省略されやすい」部分であり、同時に、ここを省略すると最も「信頼されない」部分でもある。

　第三に、アカウンタビリティと救済である。責任者の割当て、文書化、そして苦情処理メカニズム（complaint mechanism）の整備が、「権利の話」を現場に着地させる装置として位置づけられる。

　この手の基準設定は、いわば“チェックリストの外側にあるチェックリスト”である。形式的な要件充足を狙う衝動（tick-box化）に対する抑止として働く。逆に言えば、FRIAが紙の演習になるリスクがそれだけ高いことを、ガイド自身が認めているとも言える。

4　DPIAとの関係――「プライバシーの延長」としてFRIAを扱わない

　FRIAは、GDPR上のDPIA（Data Protection Impact Assessment）と混線しやすい。条文上も、FRIAとDPIAが重なる場合の整理（FRIAがDPIAを補完する旨）を置く。ガイドも、両者は「独立・別個だが補完的」としつつ、差異を明確にする。

　ここで重要なのは、DPIAは多くの場合「データ保護に関する影響」に焦点化されるのに対し、FRIAは「すべての基本権」への影響を対象にする点である。加えて、高リスクAIの悪影響は、データ処理“だけ”から生じるとは限らない。例えば、職場でのAI導入による職の置換・配置転換、評価・懲戒の構造変化といった問題は、データ保護の言語だけでは掬いきれない。

　日本の実務では、AIのリスク論が「個人情報」や「プライバシー」を代替変数として語られることが少なくない。しかし、EU AI法がFRIAとして切り出してきたのは、まさにその代替を許さないというメッセージでもある。DPIAをやったからFRIAも終わり、ではなく、DPIAでは届かない領域を“必ず残す”設計になっている点を、まず直視した方がよいかもしれない。

5　苦情処理メカニズム――「アクセス可能な救済」をどう作るか

　ガイドが繰り返し強調するのは、苦情処理メカニズムがFRIAの“付録”ではなく“中核”であるという点である。救済へのアクセスがなければ、影響評価は単なる予防措置にとどまり、権利侵害の現実に接続しない。

　苦情処理メカニズムに関しては、アクセス可能性（accessible）、予見可能性（predictable）、権利適合性（rights-compatible）といった基準が置かれ、既存の司法的・非司法的メカニズムを阻害しない形で設計することが求められる。ここは、形式的には「窓口を作る」だけで済むように見えて、実は難しい。なぜなら、AIの被影響者は、自分がAIの出力の影響下にあることすら気づけない場合があるからである。気づけない者は、苦情を言えない。したがって、苦情処理は、透明性・通知・説明（そして人間の監督）の設計とセットで考える必要がある。

　さらに、EU AI法上、デプロイヤには深刻インシデントの報告等の義務も課されており、基本権侵害が「事故」として顕在化した場合に、苦情処理が早期警戒の回路として機能しうる点は興味深い。苦情が単なる“クレーム処理”に堕するのか、“システム安全装置”として働くのかは、設計思想の差である。

6　（余談）保険・金融が巻き込まれる意味

　ガイドが「FRIAが要求されるデプロイヤ」の類型として、保険・銀行を挙げている点も、実務的には重い。生命・医療保険の料率設定や信用力評価にAIを用いる局面は、個人の生活基盤に直撃し、差別・排除・説明困難性のリスクが凝縮する。ここでFRIAが要求されるのは、AIの技術的正確性だけでは救えない領域（正当化可能性、公平性、救済可能性）に、運用者としての責任を負わせるためである。

　日本法の文脈に引き寄せすぎる必要はないが、少なくとも「リスクの高い領域では、提供者だけではなく運用者にも“権利評価”の義務を課す」という制度設計は、今後の比較法的検討に耐える素材である。

おわりに

　FRIAは、組織の盲点を減らすための技術であるといえる。だからこそ、FRIAを「要件を満たす書類」として扱った瞬間に、その価値はほぼ消える。ガイドが繰り返すように、FRIAは、配備判断を情報化し、関係者を巻き込み、監視と更新を回し、救済へのアクセスを担保する“プロセス”である。

　EU AI法対応という狭い文脈だけでなく、AIを「生活インフラ」に近い領域へ持ち込む組織一般にとって、このガイドは、影響評価を制度として機能させるための、かなり具体的な手触りを提供している。チェックリスト化の誘惑に抗うこと――それが、この文書の一番のメッセージである。

（参考）EU AI法関係

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。