EN 18286とは？EU AI法の品質マネジメント規格をわかりやすく解説【官報掲載済み】
AI評価クラウド
そのAI、精度やリスクを正しく計測できていますか？
ハルシネーション検知や満足度計測など、AI品質の可視化をご支援します。
上杉 洸平事業開発・SEO/AIO担当
株式会社Moji ビジネス開発・コンテンツマーケティング担当 鹿児島県出身。大学2年次から複数のスタートアップで長期インターンを経験し、営業・事業開発と0→1の立ち上げに携わる。2026年9月より、生成AI特化の開発会社・株式会社Mojiに参画。AI開発プロジェクトの事業開発と運営体制づくりを担当しながら、自社メディアのコンテンツ運用をリードしている。
EN 18286は、EU AI法第17条が求める「品質マネジメントシステム（QMS）」の作り方を定めた欧州規格です。2026年10月14日にEU官報へ掲載され、この規格に沿えば法令要件を満たしていると「推定」される、初めての公式ルートになりました。
AI法は「何を満たすべきか」は書いていますが、「どうやって満たすか」までは書いていません。その空白を埋める最初の具体的な手順書がEN 18286です。本記事では、対象企業、やるべきこと、既存規格との違いを順に整理します。
この記事の要点（30秒で把握）
- 何の規格か：高リスクAIの提供者向けの品質管理の手順を定めた欧州規格
- いつから効力があるか：2026年10月14日の官報掲載から「適合推定」が働く
- 誰向けか：EU市場で高リスクAIを提供する企業（日本企業も含む）
- 義務か：規格に沿うこと自体は任意。品質管理の仕組みを持つことは義務
- 急ぐべきか：単体型の高リスクAIへの義務適用は2027年12月2日に延期済み。ただし構築には時間がかかるため準備は今から
EN 18286とは？
EN 18286は、AI法の「品質管理」に関する条文を、監査できる具体的な手順に落とし込んだ欧州規格です。正式名称は「EN 18286:2026 Artificial intelligence – Quality management system for EU AI Act regulatory purposes」です。
欧州の標準化団体CENとCENELECの合同委員会（JTC 21）が、欧州委員会の要請を受けて作成しました。CEN-CENELECの発表では、第17条の要件を高リスクAI提供者がすぐ使える実務要件に翻訳した規格だと位置づけています。
法律・条文・規格の関係
- AI法（法律）：高リスクAIの提供者に、品質マネジメントシステムを持つよう義務づける
- 第17条（要件）：品質管理に含めるべき項目（設計管理、テスト、データ管理、リスク管理など）を列挙する
- EN 18286（手順）：その項目を、組織が実際に運用・監査できる形に具体化する
- 適合推定（効果）：官報掲載済みの規格に沿っていれば、該当要件を満たしていると推定される
設計上の特徴
EN 18286は、組織単位ではなく「AIシステムのライフサイクル」を軸に組み立てられています。さらに、ISO/IEC 42001やISO 9001、業界別の品質管理規格の上に重ねて使う前提で設計されています（欧州委員会）。
つまり、ゼロから別の仕組みを作る規格ではありません。今ある品質管理にAI法対応の層を足すための規格だと理解するとわかりやすいでしょう。
AI法が義務を定め、第17条が項目を挙げ、EN 18286がその実行手順を示します。官報に掲載されたことで、この手順に沿えば要件を満たすと推定されます。
なぜ今ニュースなのか：「発行」と「官報掲載」の違い
EN 18286が法的な意味を持ったのは、規格が発行された7月ではなく、官報に掲載された10月14日です。ここを押さえると、このニュースの重要性が見えてきます。
AI法第40条1項では、整合規格に適合したことで「適合推定」が得られるのは、その規格がEU官報に掲載された場合に限られます（Modulos）。発行されただけの段階では「参考になる手順書」にすぎませんでした。
適合推定とは
「規格どおりに品質管理をしていれば、AI法の該当要件を満たしていると推定される」という効果です。立証の負担が軽くなり、規制当局や審査機関とのやり取りで「何をもって適合とするか」の共通言語ができます。
これまでの経緯
時期 | 出来事 |
|---|---|
2027年12月2日 | 附属書IIIの単体型高リスクAIへの義務適用開始（予定） |
2026年10月14日 | 実施決定(EU) 2026/2274によりEU官報に掲載。同日発効 |
2026年7月 | CEN-CENELECがEN 18286:2026を発行（7月12日承認） |
2026年6月29日 | 「デジタル・オムニバス」で単体型高リスクAIの義務適用を2026年8月2日から2027年12月2日へ延期 |
2025年10月 | 草案（prEN 18286）が意見募集の手続きへ |
2024年8月2日 | AI法が発効 |
現在、AI法関連でEU官報に掲載されている規格はEN 18286だけです（SECANI）。そのため、品質管理の領域では、これが事実上の「標準解答」になります。
規格の発行は7月ですが、法的な効力が生じたのは10月14日の官報掲載からです。
対象になる企業・ならない企業
EN 18286の主な対象は、EU市場で「高リスクAI」を提供する企業（プロバイダー）です。企業の規模や所在地は問われないため、日本企業もEU向けに提供するなら対象になります（Modulos）。
高リスクAIとは
人の健康・安全・基本的人権に大きな影響を与えうるAIです。代表的な用途は次のとおりです。
- 重要インフラ（電力・水道・交通など）の管理に使うAI
- 採用・人事評価など雇用に関わるAI
- 教育機関での入学判定や成績評価に使うAI
- 与信審査など、生活に不可欠なサービスへのアクセスを左右するAI
- 法執行や出入国管理に使うAI
- 医療機器や機械など、EUの製品安全規制の対象製品に組み込まれるAI
提供者と利用者で立場が違う
EN 18286が直接の対象としているのは提供者で、利用者（デプロイヤー）ではありません。利用者には、取扱説明書や事故報告の窓口など、提供者が利用者に対して負う義務を通じて間接的に関わるだけです。
日本企業が対象になりやすい3つのパターン
- EU向けにAI搭載の製品・サービスを販売している（または予定している）
- EUに子会社や拠点があり、そこで高リスク用途のAIを提供している
- EU企業から、高リスク用途のAIシステムの開発を受託している
3つ目は見落とされがちです。受託開発でも、納品物の品質管理の記録を求められる可能性があります。
自社は対象？5問チェック
- EU域内でAIを含む製品・サービスを提供している、または予定がある
- そのAIは採用、与信、教育、インフラ、医療などの判断に関わる
- AIの出力が、人に対する決定に直接使われる
- 自社がそのAIを開発・販売する「提供者」の立場にある
- EU企業から、上記用途のAI開発を請け負っている
1つでも当てはまれば、EN 18286の中身を確認しておく価値があります。最終的な該当判断は、専門家に確認してください。
高リスクAIの品質管理で何をすればいいか
やるべきことは、第17条が挙げる13項目を、自社の開発・運用プロセスに組み込み、記録として残すことです。EN 18286は、その組み込み方を具体化しています。
第17条の要求項目を実務の言葉に置き換える
第17条の項目 | 実務でやること |
|---|---|
規制対応の戦略 | 適合性評価の進め方と、AIを変更したときの管理手順を決める |
設計・設計管理・設計検証 | 要件定義からモデル設計までの判断と根拠を記録する |
開発・品質管理・品質保証 | 開発手順を標準化し、レビューの基準を決める |
検査・テスト・検証 | 開発前・中・後に何を、どの頻度で評価するかを決めて実施する |
技術仕様 | 準拠する規格や仕様を明確にする |
データ管理 | 学習・評価データの収集、ラベル付け、保管のルールを決める |
リスク管理（第9条） | 健康・安全・人権へのリスクを洗い出し、継続的に見直す |
市販後の監視（第72条） | リリース後の性能や不具合を監視する仕組みを作る |
重大インシデントの報告（第73条） | 事故発生時の報告フローと担当者を決める |
当局とのやり取り | 規制当局・審査機関への対応窓口と手順を決める |
記録の保存 | 上記すべての文書と記録を保存・管理する |
資源管理 | 人員、計算資源、外部委託先の管理方法を決める |
責任体制 | 誰が何に責任を持つかを明文化する |
出典：AI法第17条1項の項目を要約（条文はLuiza Jarovsky氏の解説でも確認できます）
なお、規格本文では、仕組みを提供者の規模に応じて実装できるよう配慮されています。小さな組織でも、求められる水準を満たせば簡素な形で構わないということです。
「組織」と「AIシステム」の2層で考える
EN 18286の要求事項は、大きく2層に分かれています。
- 組織レベル：品質管理の仕組みそのもの。方針、責任体制、文書管理、資源管理など
- AIシステムレベル：個々のAIの開発と運用。設計、データ、テスト、監視、インシデント対応など
組織の仕組みは一度作れば使い回せます。一方、AIシステムレベルの作業は、AIごと・変更のたびに繰り返し発生します。
最も手間がかかるのは「評価・テスト」
実務で一番重くなるのは、評価とテストの部分です。「リリース前に精度を測った」だけでは不十分で、次の3点を継続的に回す必要があります。
- 評価基準の定義：何をもって「十分な精度」とするかを、用途ごとに数値で決める
- 継続的な評価：リリース後もデータの変化や劣化を監視し、定期的に再評価する
- 変更時の再検証：モデル更新やプロンプト変更のたびに、同じ基準で評価し直し、結果を記録する
生成AIを組み込む場合は、出力のばらつきや誤り（ハルシネーション）をどう測るかが特に重要です。誤情報を防ぐ評価・承認の流れは「生成AIの正確性課題とは？企業文書の誤情報を防ぐ評価・承認・改善フロー」、評価指標の基本は「AIの評価とは？評価指標や評価方法、その費用について」で詳しく解説しています。
AIの評価とその記録、手作業で回していませんか？
MojiのAI評価クラウドは、AIのログを収集し、利用率・満足度の計測や、ハルシネーションなどのリスク評価を行うサービスです。品質管理で求められる「継続的な評価」と「記録」の土台づくりに活用できます。
不適合が見つかったときの対応も規定されている
EN 18286は、AIが要件を満たしていないとわかった場合の対応も定めています。選択肢は、要件を満たすよう是正する、市場から撤回する、機能を停止するなどです。事前に「誰が、どの基準で判断するか」を決めておくことが重要です。
ISO/IEC 42001・ISO 9001との違い
一言でいうと、ISO/IEC 42001は「AIを経営として管理する枠組み」、EN 18286は「AI法に適合するための実務手順」です。目的が違うため、どちらか一方で足りるものではありません。
比較軸 | EN 18286 | ISO/IEC 42001 | ISO 9001 |
|---|---|---|---|
目的 | AI法の規制要件への適合 | AIマネジメント全般 | 製品・サービス全般の品質管理 |
対象範囲 | EU市場の高リスクAI提供者 | AIを扱うあらゆる組織 | あらゆる組織 |
軸 | AIシステムのライフサイクル | 組織 | 組織 |
AI法上の効力 | 官報掲載により適合推定あり | 適合推定なし | 適合推定なし |
EN 18286は、AI品質管理の規格のなかで唯一、適合推定を受けられる規格です。
既存の仕組みがある企業は「足し算」で対応できる
すでにISO/IEC 42001を運用している企業は、規格の附属書にある条項の対応表を使って差分を洗い出せます。ISO 9001についても、条項の対応表が用意されています。
医療機器（ISO 13485）など規制業種の企業は、別の仕組みを並行して作る必要はありません。既存の品質管理システムに統合する形が認められています。
42001を持っていない企業も、EN 18286を使って既存の品質管理を拡張するか、初めての仕組みとして構築できます。
よくある誤解と失敗パターン
EN 18286は「これさえやればAI法対応は完了」という規格ではありません。特に誤解されやすい4点を整理します。
誤解1：規格に沿えば第三者機関の審査は不要になる
誤りです。EN 18286が適合推定をもたらすのは、第17条1項（品質管理）と第11条1項第1文（技術文書）の範囲に限られます。これだけで、ノーティファイドボディ（第三者の審査機関）の関与が不要になるとは言えません。
誤解2：生成AIを使っているだけで対象になる
用途次第です。社内の文書作成にChatGPTを使うだけなら、通常は高リスクAIに該当しません。採用判定や与信審査など、人に関する重要な判断に組み込む場合に対象となる可能性が出てきます。
誤解3：品質管理は書類を揃えれば終わり
書類は「結果の記録」にすぎません。規格の中心は、評価・テストを継続的に回し、その結果をもとに改善するプロセスです。テンプレートを埋めただけの文書は、審査の場で実態のなさがすぐに露呈します。
誤解4：義務化は2027年12月なので、まだ先の話
準備期間は思ったより短いです。品質管理の仕組みは、設計・運用・記録の実績が積み上がって初めて機能します。評価データの蓄積や体制づくりを考えると、1年強の猶予は決して長くありません。
よくある失敗パターン
- 法務部門だけで進め、開発現場の評価・テストの実態と文書がかけ離れる
- 42001を取得済みだから大丈夫だと考え、AI法固有の要件との差分を確認しない
- モデル更新のたびに再評価する手順がなく、リリース後に記録が途切れる
今後の動き
EN 18286は、AI法を支える一連の整合規格の「1本目」にすぎません。今後、ほかの領域の規格も順次そろっていく見込みです。
欧州委員会の標準化計画には、リスク管理、データガバナンス、記録保持、透明性、人による監督、精度、堅牢性、サイバーセキュリティ、適合性評価などが含まれています。
たとえば、第9条のリスク管理を具体化する規格（prEN 18228）は、ライフサイクル全体を通じた継続的なリスク管理を求める内容として策定が進んでいます。
ただし、策定は順調とはいえません。2025〜2026年に意見募集にかけられた主要規格のうち、9月時点で発行まで至ったのはEN 18286だけでした。そのEN 18286も、最初の投票では否決されています。
EN 18286は、ほかの規格群の「土台」として位置づけられています。品質管理の仕組みの中で、どの規格を使ってどの要件を満たすかを選ぶ構成になっているためです。先に品質管理の骨組みを作っておけば、後続の規格が出たときに組み込みやすくなります。
まとめ：今すぐやるべき3つのこと
EN 18286は、2026年10月14日の官報掲載により、AI法の品質管理要件を満たす初めての公式ルートになりました。義務適用は2027年12月ですが、仕組みが実際に回るまでには時間がかかります。まずは次の3つから始めてください。
- 対象かどうかを判定する：自社のAIの用途と、提供者・利用者のどちらの立場かを整理する
- 既存の仕組みとの差分を洗い出す：ISO 9001やISO/IEC 42001の運用状況と、第17条の13項目を突き合わせる
- 評価・テストの体制を整える：評価基準の定義、継続的な評価、変更時の再検証を回せる状態にする
導入時チェックリスト
- 自社AIの用途が高リスクに該当するかを確認した
- 自社が「提供者」か「利用者」かを整理した
- 既存の品質管理（ISO 9001・42001など）の有無と範囲を把握した
- 第17条の13項目との差分を一覧にした
- 用途ごとの評価基準（精度の目標値など）を決めた
- モデル更新時の再評価と記録の手順を決めた
- 重大インシデントの報告フローと担当者を決めた
- 法務と開発の両方が参加する推進体制を作った
※本記事は2026年10月20日時点の公開情報に基づく解説です。個別の法的判断は専門家にご確認ください。
高リスク用途のAI開発・評価体制づくりをご相談ください
Mojiは、生成AIの要件定義から開発、評価・改善までを一貫して支援しています。用途に合わせた評価基準の設計や、モデル更新のたびに評価と記録を回す運用づくりからお手伝いします。
→ 無料相談はこちら ｜ AI評価クラウドを見る
関連記事
- 生成AIの正確性課題とは？企業文書の誤情報を防ぐ評価・承認・改善フロー
- AIとSIの違いとは？米大統領令で変わること・変わらないこと
- CAISSIとは？米国のSI評価機関の役割と、上院議員が求める「独立テスト」で何が変わるか
- AIの評価とは？評価指標や評価方法、その費用について
- AIのリスク管理・マネジメントとは？対応方法や費用について
出典
- First harmonised standard supporting the AI Act published in the Official Journal（欧州委員会）
- First ever European standard on AI published in the OJEU（CEN-CENELEC）
- EN 18286 in the Spotlight（CEN-CENELEC）
- EN 18286: EU AI Act Cites New Harmonized QMS Standard（Nemko Digital）
- EN 18286 Quality Management System for EU AI Act（Modulos）
- A Summary of EN 18286:2026（Lumenova）
- EN 18286:2026: a new milestone in AI Act compliance（Harveys）
- EN 18286:2026（iTeh Standards）
- prEN 18286草案（ELOT）
- The EU's First AI Standard Is Here（Luiza Jarovsky）
- ISO/IEC 27090, EN 18286 & IEEE 2863（SECANI）
- Edition 16 (September 2026)（AI Standardisation Watch）
- AI Agents Under EU Law（arXiv）