短く言うと： AI法（規則 (EU) 2024/1689）は、リスクに基づいてAIシステムを規制します。医療においては、3つの状況が重要です。医療機器、またはその安全コンポーネントであるAIシステムで、MDRまたはIVDRの下で第三者適合性評価が必要なものは、高リスク（附属書I）となります。この場合、リスク管理、データ、文書化、ログ記録、透明性、人的監視、精度、サイバーセキュリティに関するAI法の要件を満たす必要があり、これらは医療機器の適合性評価と合わせて評価されます。緊急時のトリアージや医療サービスへのアクセスを決定するために使用されるAIは、附属書IIIの下で、医療機器法以外でも高リスクとなります。アシスタントやチャットボットは、高リスクでなくても透明性に関する義務（人々はAIと話していることを知る必要があり、生成されたコンテンツはマークされる）を負います。この法律は2024年8月1日に発効し、義務は2027年まで段階的に導入されます。委員会は2025年後半に一部の期限を調整することを提案したため、現在の状況を確認してください。
リスクのピラミッド
EU AI法は、AIシステムを段階的に分類しています。禁止行為は2025年2月から禁止され、高リスクシステムは付属書I（認証機関が必要な医療機器におけるAI）および付属書III（緊急トリアージ、医療サービスへのアクセス）に分類されます。透明性義務のある限定リスクシステム（例：健康チャットボット）、特定の義務のない最小リスクツール、プロバイダー義務のある汎用AIモデルがあります。
| 階層 | 医療の例 | 結果 |
|---|---|---|
| 禁止（第5条） | 脆弱性を悪用する操作的な技術、顔認識のための無差別なスクレイピング、職場や学校での感情認識（医療および安全上の用途を除く） | 2025年2月2日から禁止 |
| 高リスク、附属書I | 届出機関が必要な医療機器またはIVDのAI（ほとんどのクラスIIa以上のソフトウェア）：画像AI、意思決定支援、線量計算機 | 完全な高リスク要件、MDR/IVDR適合性評価内で評価 |
| 高リスク、附属書III | 緊急通報および患者トリアージシステム；公衆衛生上の給付およびサービスへの適格性を評価するAI；生体認証による分類；医療従事者に関する雇用決定 | 完全な高リスク要件、自己評価または附属書IIIの規則に基づく届出機関、EUデータベースへの登録 |
| 限定リスク（透明性、第50条） | 医療チャットボットおよびアシスタント、医療に関するAI生成テキストまたは画像、ディープフェイクタイプのコンテンツ | AIとのやり取りを開示；生成されたコンテンツにマークを付ける；関連する場合は人的監視 |
| 最小リスク | スパムフィルター、スケジューリング最適化、管理ツール | 特定の義務なし；自主的なコード |
| 一般用途AIモデル（第V章） | 医療製品で使用される基盤モデル | 提供者の義務：技術文書、著作権ポリシー、トレーニング概要；システムリスクモデルに対する追加義務 |
医療アプリで、医療機器ではなく、かつ附属書IIIに該当しないもの（AI要約機能を備えた記録、会話型インターフェースを備えた症状日記）は、限定階層に分類されます。透明性およびスタッフに対する一般的なAIリテラシー義務（第4条）、さらにGDPRがすでに要求しているすべての事項が適用されます。同じアプリに診断や治療に関する情報を提供する機能が追加された場合、MDRの下で医療機器となり、届出機関が関与する場合は、AI法の下で高リスクとなります。詳細は医療機器としてのソフトウェアを参照してください。
高リスクに必要なもの（第III章、第2節）
EU AI法における高リスクAIシステムには、リスク管理システム、トレーニングデータおよびテストデータのデータガバナンス、技術文書およびログ記録、展開者への透明性、設計による人的監視、精度、堅牢性およびサイバーセキュリティ、品質管理システム、CEマーキングによる適合性評価、市販後監視およびインシデント報告、そして付属書IIIシステムの場合はEUデータベースへの登録が必要です。
- ライフサイクル全体にわたるリスク管理システム（第9条）、医療機器の場合はISO 14971と統合。
- データガバナンス（第10条）：トレーニング、検証、テストデータは関連性があり、代表的で、バイアスの有無が調査され、出所が文書化されていること；バイアス補正のための特別カテゴリーデータの処理は条件付きで許可される。
- 技術文書（第11条、附属書IV）および記録保持/ログ記録（第12条）によるトレーサビリティ。
- 透明性および展開者への指示（第13条）。
- 設計による人的監視（第14条）：理解、上書き、停止する能力。
- 精度、堅牢性、サイバーセキュリティ（第15条）、宣言されたメトリクス付き。
- 品質管理システム（第17条）、医療機器の場合はISO 13485システムを拡張したもの。
- 適合性評価、CEマーキング、および両方の規制をカバーするEU適合宣言；附属書IIIシステムの場合はEUデータベースへの登録。
- 市販後監視および重大インシデント報告（第72〜73条）、MDRの監視と連携。
- 展開者（病院、診療所）は独自の義務を負います：指示に従った使用、人的監視、ログ、関係者への通知、および公的機関の場合は基本的人権影響評価（第27条）。
MDRおよびIVDRとの重複
EU AI法は、MDRおよびIVDRと意図的に重複しています。付属書Iに記載されている医療機器におけるAIの場合、AI法の要件は、同じ認証機関によってデバイスの適合性評価の一部として評価され、単一の文書セットと1つの品質システムが適用されます。CEN-CENELEC JTC 21からの調和規格が発行されれば、適合性の推定が得られます。
この法律は、二重のプロセスを避けるように作成されました。附属書Iの医療機器の場合、AI要件はMDR/IVDR適合性評価の一部として、同じ届出機関によって評価されます。この届出機関はAI法についても指定される必要があります。文書は単一のセットで済み、品質システムも一つです。調和規格（AIリスク、データ品質、堅牢性用）はCEN-CENELEC JTC 21によって開発されており、適合性の推定を与えます。それらが利用可能になるまで、製造業者はISO/IEC 42001、ISO/IEC 23894、および医療機器規格を使用します。医療機器調整グループとAI委員会は共同ガイダンスを発行すると予想されており、市販後およびインシデント報告の相互作用は注目すべき分野です。
タイムライン
EU AI法は2024年8月1日に発効しました。禁止事項とAIリテラシー義務は2025年2月2日から適用され、汎用モデルの義務は2025年8月2日から、付属書IIIの高リスクシステムを含む法の大部分は2026年8月2日から、医療機器におけるAIなどの付属書Iの高リスクシステムは2027年8月2日から適用されます（提案されている調整の対象となります）。
- 2024年8月1日：発効。
- 2025年2月2日：禁止およびAIリテラシー義務が適用されます。
- 2025年8月2日：一般用途AIモデルの義務；ガバナンス（AIオフィス、当局への通知）；罰則。
- 2026年8月2日：法律の大部分が適用されます。これには、附属書IIIの高リスクシステムおよび透明性義務が含まれます。
- 2027年8月2日：附属書Iの高リスクシステム（医療機器などの規制製品のAI）および2025年8月より前に市場に投入された一般用途モデル。
2025年11月、委員会は「デジタル包括法」の中で、高リスク規則の適用を規格およびサポートツールの利用可能性に結びつけることを提案しました。これにより、2026年と2027年の日付が変更される可能性があります。この提案は執筆時点で交渉中でした。上記の日付は採択された法律として扱い、変更については官報に従ってください。
医療アプリチームが今すぐ行うべきこと
EU AI法の下で、ヘルスアプリチームが取るべき実践的なステップは、各AI機能をデバイス、付属書III、または透明性ティアとして分類すること、AIとのやり取りを開示し、生成されたコンテンツにマークを付けること、トレーニングデータとサブグループごとの評価を文書化すること、出力を下書きとして人間が管理できるようにすること、汎用モデルサプライヤーから文書を取得すること、そしてGDPRの作業を並行して実行することです。
- AI機能を分類する：医療機器か否か（医療アプリは医療機器か？）；附属書IIIに該当するか否か；それ以外の場合は透明性階層。
- AIとのやり取りを開示し、生成されたコンテンツにマークを付ける：これは無料であり、要求されるようになります。
- データと評価を文書化する：トレーニングデータとテストデータがどこから来たか、パフォーマンスがどのように測定されたか、サブグループごと；これは第10条と第15条の核心であり、優れたエンジニアリングでもあります（医療データにおけるAI：マップ）。
- 人間を管理下に置く：出力をドラフトや提案として扱い、臨床的事実を自動コミットしない；AIが生成したものと誰がそれを承認したかのログ。
- モデルサプライヤーを確認する：一般用途モデルのプロバイダーは、独自のファイルに必要な文書を提供する必要があります。
- GDPR作業を実行する（自動決定に関する第22条、DPIA）：AI法はGDPRを置き換えるものではありません（GDPR第9条）。
Anpherosにおいて
AnpherosのAI機能は、個人の記録に含まれる内容を再確認し、位置づけ、AIとして開示されます。これらは診断や治療の推奨を行わないため、製品は医療機器ではなく、法律の透明性階層に位置づけられます。モデルの使用は文書化され、出力には出所が明記され、アシスタントが生成したものは、人間が主張しない限り、記録上の臨床的事実にはなりません。
このページは、製品およびエンジニアリングチーム向けの規制を説明するものです。これは法的助言ではありません。情報源の下にリンクされているテキストが権威となります。最終レビュー：2026年10月。
関連ページ
- 医療データにおけるAI：マップ
- 医療機器としてのソフトウェア：MDRおよびIEC 62304クラス
- 医療アプリは医療機器か？EU MDRルール11
- 医療データに関するGDPR第9条
- 医療データ規制マップ
- 医療記録におけるRAG
情報源
- 規則 (EU) 2024/1689 (AI法), EUR-Lex
- 欧州委員会：AI法（政策ページおよびタイムライン）
- 欧州委員会：AIオフィス
- 規則 (EU) 2017/745 (MDR), EUR-Lex
- CEN-CENELEC JTC 21：人工知能
- ISO/IEC 42001:2023, AI管理システム
よくある質問
AIを搭載したすべての医療機器は、AI法の下で高リスクですか？
MDRまたはIVDRの下で第三者適合性評価を受けるもの、つまりほとんどのクラスIIa以上のソフトウェアのみです。自己認証されたクラスIのAI搭載医療機器は、附属書Iの高リスクではありませんが、法律の一般的および透明性に関する義務は引き続き適用されます。
AI法は米国企業に適用されますか？
はい、AIシステムがEU市場に投入された場合、またはその出力がEUで使用された場合、MDRおよびGDPRが適用されるのと同じように適用されます。EU域外のプロバイダーは、高リスクシステムのために認定代理人を任命する必要があります。
AIのために別のCEマークが必要ですか？
いいえ。附属書Iの医療機器の場合、1つの適合性評価が両方の規制をカバーし、1つのCEマークと適合宣言が両方を参照します。文書はAI法の要件をカバーする必要があります。
医療チャットボットにとって何が変わりますか？
透明性：ユーザーはAIとやり取りしていることを伝えられ、生成されたコンテンツにはマークが付けられ、スタッフはAIリテラシーを必要とします。チャットボットが個別の診断または治療アドバイスを提供する場合は、医療機器となり、状況は完全に変わります。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →