増える規則、迫る期限、現実の制裁
プライバシー法、AI法、オペレーショナルレジリエンス規則が、今やMENA、欧州、アジアに同時に適用されます。各規制当局は証拠を求め、国際的な事業者はその複数を満たさなければなりません。
コンプライアンスは、変更コストが最も高くなるシステム構築後に追加されることがよくあります。AIは新たな問いも突きつけます。誰がモデルを承認したのか、どう試験したのか、有害な行為を何が止めるのか。
得られるもの
規則の可視化
各システムに適用される規則と、ギャップの所在を明確に示す体系図。
検査への備え
重要な監査を通過するよう設計したシステムと、検査官に提示できる証拠。
統制できるAI
取締役会が信頼できる、ガードレール、承認手続き、リスク監査を備えたAIガバナンス。
設計段階からのコンプライアンス
稼働後に追加するのではなく、最初から組み込むコンプライアンス。
提供内容
プライバシー法・AI法への準拠
EU AI Act、GDPR、EUデータ法、CCPA、MENAの個人データ保護法（PDPL）、APACのプライバシー規則に沿ったシステムとデータフロー。
規制レジリエンス監査
欧州のDORA、NIS2、Cyber Resilience Act（CRA）、サウジアラビアのNCA ECCとSAMA、ISO 27001とISO 42001に向けた監査準備。
AIガバナンス、ガードレール、アルゴリズムリスク監査
方針、承認手続き、技術的ガードレール、アルゴリズムリスクの監査により、各AIシステムに所有者、試験記録、限度を設けます。
進め方
同じ手法で、ZATCAフェーズ2やUAEのPINT-AE電子インボイスなどの税務義務をERPに取り込み、監査証跡を連携に組み込みます。
規則の特定
お客様の法務・コンプライアンスチームとともに、各システム、国、データ種別に適用される規制を洗い出します。
ギャップの特定
システム、データフロー、統制、記録を各要件と照合し、ギャップをリスクと期限で順位付けします。
統制の設計
暗号化やログからモデル承認まで、各ギャップを埋める技術的・業務的な統制を設計します。
実装と証拠
当社のエンジニアが統制を実装し、監査人や規制当局が求める証拠を整えます。
最新状態の維持
レビューと監視を整え、システム、モデル、規制が変わってもコンプライアンスを保ちます。
テクノロジーと標準
当社はお客様のプラットフォームを、EU AI Act、DORA、NIS2、MENA PDPL、サウジアラビアのNCA ECCとSAMAの検査を通過するよう構築します。また、お客様自身の環境内でISO 27001とISO 42001の監査に備えます。
- 手法と実務
- AIガードレール
- アルゴリズムリスク監査
- 規制レジリエンス監査
始め方
規制対応の作業は、Blueprint Studioの案件の中で始まることがよくあります。そこではセキュリティ、レジデンシー、規制のマトリクスが、構築の価格を決める前に各義務を設計に対応付けます。
今後の流れ
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
Blueprint Studio
構造化されたワークショップで、目標を構築可能なブループリントに落とし込みます。ティア1は1–2週間、ティア2は3–4週間、ティア3は4–6週間で、いずれも提案書に記載する固定料金です。
Ready-to-Build Blueprint Pack
6つの成果物からなるReady-to-Build Blueprint Pack（製品・機能仕様書、アーキテクチャとテクノロジースタックのブループリント、連携とデータ契約の仕様書、インタラクティブなUIプロトタイプ、セキュリティと規制のマトリクス、拘束力のある固定価格の構築提案）をお渡しします。Blueprint料金の支払い完了後、ブループリントの100%をお客様が所有します。ベンダー非依存の標準で記述するため、XSISでも他の提供者でもご利用いただけます。
構築費用への充当
XSISに構築をご依頼いただく場合、Blueprint料金の100%を構築費用から差し引きます。 クレジットは、ブループリント納品後60日以内、かつBlueprint料金の8倍以上の構築契約に限り有効です。
よくある質問
どの規制に対応していますか。
EU AI Act、GDPR、EUデータ法、CCPA、MENA PDPLなどのプライバシー法・AI法。DORA、NIS2、Cyber Resilience Act、NCA ECC、SAMAなどのレジリエンス規則。そしてISO 27001とISO 42001です。
法的助言は行いますか。
いいえ。規則がお客様にどう適用されるかは、お客様の法務・コンプライアンスチームが判断します。当社はその判断を、監査人が確認できるシステム、統制、証拠に変えるお手伝いをします。
XSIS自身はこれらの標準の認証を取得していますか。
保有していない認証を主張することはありません。お客様のプラットフォームを、お客様自身の環境内で、適用される監査を通過するよう構築し、監査人が求める証拠を整えます。
EU AI Actは当社のAIシステムに何を求めますか。
AIシステムをリスクで分類し、各レベルに文書化、人による監督、試験などの義務を定めます。当社はシステムの分類を支援し、各レベルに必要な記録と統制を構築します。
DORAとは何で、当社に適用されますか。
Digital Operational Resilience Actは、EUの金融機関とその重要な技術プロバイダーにレジリエンス規則を定めます。適用の有無はお客様のコンプライアンスチームが確認し、当社が統制を実装し証拠を整えます。
AIガバナンスは実際に何を伴いますか。
AIシステムごとの所有者と承認手続き、精度・バイアス・誤用に関する試験、入出力のガードレール、アルゴリズムリスクの監査です。誰が何をなぜ承認したかを記録で示します。
複数の国で事業を展開しています。1つの設計で全てを満たせますか。
多くの場合、その大半は満たせます。各国の要件を並べて対応付け、重なる部分では共通の統制を設計します。データレジデンシーなど規則が異なる場合は、それぞれに対応する設計にします。
契約ではなく、対話から始めましょう
構築、接続、保護のどれが必要かを教えてください。アーキテクトが内容を一緒に整理し、どこから始めるべきかを提案します。
今後の流れ
日程の調整
セッションの日程を調整するため、当社チームからメールをお送りします。
事前コンサルティングセッション
無料の30分オンライン事前相談です。目標、システム、制約を伺います。
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
トラックの選択
スコープが確定したプロジェクトには、拘束力のある提案書を3–5営業日以内にお渡しします。構想段階のプロジェクトはBlueprint Studioから始まります。稼働中のシステムに障害がある場合、文書化されていない場合、連携が必要な場合は、1–2週間の診断から始まります。Blueprint Studioと診断はそれぞれ固定料金で、提案書に記載します。