EU AI法のAIリテラシー対応は、全社員向け講演だけでは完了しません。2026年8月の監督開始を見据え、利用場面とリスクに応じた役割別研修、実務課題、人による監督、証跡管理、再受講基準を一つの運用として設計する方法を解説します。本社と欧州法人の責任分担も示します。

EU AI法のAIリテラシー、リスク・役割別研修の設計法

EU AI法第4条のAIリテラシー義務は、2025年2月2日から既に適用されている。EU AI Officeの現行Q&Aは、監督・執行ルールが2026年8月から動き始めると説明する。いま人材開発部門が急ぐべきことは、全社員を一つのウェビナーに集めることではない。誰が、どのAIを、どの業務判断に使い、誤用したとき誰にどのような影響が及ぶのかを特定することである。

日本企業にとっても遠い話ではない。欧州法人がAIを導入する場合だけでなく、日本本社がツールを選定し、データや運用ルールを供給し、欧州拠点が利用する構造では、本社側の購買、開発、法務、人材育成も同じ統制の流れに入る。欧州拠点だけに英語のeラーニングを配布しても、役割分担と実務上の判断基準が曖昧なままでは対応にならない。

なお、欧州委員会は2025年11月のDigital Omnibusで第4条の枠組みを調整する改正案を示している。2026年7月時点では提案段階であるため、現行義務に基づく取り組みを止めず、法務部門が最終立法と各国当局の運用を継続して確認する必要がある。制度文言が動いても、高リスクAIの人による監督や、実利用者が適切に判断できる状態をつくる必要性は変わらない。

EU AI法 AIリテラシーの第4条コンプライアンスQ&A — リスク別研修の論点

EU AI Officeは、最低限の内容、リスクベースの考え方、研修形式、記録方法を別々の問いとして整理している。

2026年8月までに研修日程より先に決めること

最初に確定すべきは対象者名簿ではなく、AI利用台帳である。生成AIによる文書作成、顧客応対の要約、採用支援、従業員データ分析、品質判定、社内学習コーチなど、実際に稼働する仕組みを並べる。その上で、利用者、承認者、モデル・データ管理者、購買担当、影響を受ける人を結びつける。

この台帳には、全社契約ツールだけでなく、部門契約、無料アカウント、外部委託先の利用も含める。シャドーAIを完全に把握することは難しいが、少なくとも申告経路と是正手順は必要である。利用実態が見えなければ、研修の深さも再受講条件も決められない。

さらに、監督開始を「受講完了日」として管理しないことが重要だ。機能更新、担当変更、新規委託、事故発生のたびに、誰が内容を改訂し、誰が再研修を命じ、どの記録を残すのかを決める。AIリテラシーは一回限りの法務イベントではなく、アクセス権、業務手順、モニタリングと連動する運用である。

問い1 第4条は誰に何を求めているのか

第4条は、AIシステムの提供者と導入・利用側に対し、従業員およびその組織に代わって運用・利用を扱う人が十分なAIリテラシーを持てるよう措置を講じることを求める。考慮するのは、技術知識、経験、教育・研修の程度、利用状況、影響を受ける人や集団である。全員に同じ知識量を課す発想とは異なる。

EU AI Officeが共通の最低内容として挙げるのは、AIとは何かという一般理解、組織が提供者か導入・利用側かという役割、利用するシステムの機会とリスク、潜在的な損害である。法的・倫理的観点やガバナンスも関連する。ただし、AIの歴史やプロンプト技法を長時間教えれば十分という意味ではない。

対象を正社員に限定するのも危険である。BPO、派遣、保守ベンダーなどが組織の代わりにAIを操作する場合、契約、アクセス権、教育要求を一体で見る必要がある。一方、すべての取引先に一律のコースを課すのではなく、実際のアクセス範囲と判断責任に応じて水準を決めるべきである。

問い2 全社員共通のeラーニングで足りるのか

共通基礎は必要だが、それだけでは足りない。全員が知るべきなのは、承認済みツールと禁止用途、個人情報・営業秘密の入力制限、出力の検証、人が最終責任を負うこと、インシデント報告先である。これは組織共通の土台になる。

その上で、実務リスクに応じて分岐させる。広告文の下書きと応募者の選考支援は、どちらも生成AI利用でも影響が違う。顧客応対の要約ミスは説明責任や苦情につながり、品質検査の誤判定は安全や回収につながり得る。研修レベルはツール名ではなく、判断結果と人への影響で決める。

リスクベースとは、すべての研修を長くすることでもない。低リスクの日常利用者には短い基礎、職種別事例、利用時の確認表示が適する場合がある。採用、評価、信用、安全、医療など影響の大きい業務では、出力の限界を説明し、人が介入する条件を実演できるところまで確認する。時間数より統制との整合が重要である。

問い3 役割別AI研修はどう分けるのか

日本企業では、階層別研修の枠に押し込むより、AI利用上の役割を四つに分けた方が運用しやすい。

役割	実行できるべきこと	学習方法	合格の証拠
一般利用者	承認ツール選択、機密保護、出力確認、異常報告	短い基礎と職種別事例	シナリオ回答と利用前確認
業務責任者・管理職	利用承認、リスク判断、人の介入条件、エスカレーション	ケース討議と判断リハーサル	承認理由と対応記録
デジタル・データ・運用担当	性能限界、データ品質、変更管理、技術統制	ハンズオンと机上演習	テスト結果と変更記録
法務・リスク・監査	適用法、統制妥当性、証跡、事故対応	部門横断ワークショップ	統制レビューと改善措置

OECDが2026年に示した公的部門の整理も参考になる。一般職員には責任ある利用、データ保護、リスク・倫理、批判的思考が必要である。リーダーには戦略、規制・リスク、ガバナンス、データと人材の準備、変革管理が求められる。デジタル・データ専門職には開発・導入・保守に加え、技術・規制・倫理リスクを緩和する力が必要になる。

EU AI法 AIリテラシーの役割別研修 — OECDの一般職員・リーダー・データ専門職

同じAIでも、一般職員、リーダー、デジタル・データ専門職では必要な判断と責任が異なる。

ここで注意したいのは、一人が複数の役割を持つことである。課長は一般利用者でありながら利用承認者でもあり、データ分析担当者は運用者と業務判断者を兼ねる場合がある。したがって、LMSへの割り当ては職位コードだけでなく、システムごとのアクセス権とRACIに基づく「利用役割タグ」で行う必要がある。

問い4 修了証ではなく何を証跡にするのか

EU AI OfficeのQ&Aは、特定の証明書は不要で、研修やその他のガイダンス施策を社内記録として残せるとする。これは、受講一覧さえあればよいという意味ではない。受講履歴は画面を開いた事実を示せても、内容が利用状況とリスクに合っていたかを示せない。

残すべき証跡は五つに分けられる。

対象根拠：どのAI、どの利用役割を理由に対象としたか
内容根拠：リスク、禁止行為、人による監督、報告手順を何で扱ったか
実行根拠：受講者がどのケースを判断し、どの誤りを修正したか
運用根拠：版、実施日、担当者、免除・再受講条件をどう管理したか
改善根拠：事故、問い合わせ、監視結果を次の教材と統制にどう反映したか

テストも用語の暗記だけで終わらせない。採用担当者には、AIの推薦順位が低い応募者のケースを示し、追加確認、本人への説明、利用停止の条件を答えてもらう。顧客対応担当者には、要約の誤りを見つけて原記録へ戻る行動を確認する。OJTの中で上司が観察する項目と研修評価をそろえると、教室と現場が分断されにくい。

証跡を増やすこと自体を目的にしてはいけない。全プロンプトや会話を個人単位で収集すれば、個人情報や従業員監視の懸念が生じる。研修証跡、システム運用ログ、人事評価データを分離し、閲覧権限と保存期間を決める。学習データは統制改善に必要な最小限に絞るべきである。

問い5 日本本社と欧州法人はどう分担するのか

本社が教材を一括作成し、翻訳して配信するモデルは速いが、現地の利用場面を落としやすい。法人ごとにすべてを作るモデルは、基準と証跡が分散する。実務的なのは、グローバル共通部分と現地・職種別モジュールを組み合わせる方法である。

共通部分には、グループのAI原則、承認済みツール、データ保護、人の責任、事故報告、基本用語を置く。欧州モジュールでは、提供者・導入利用側の位置づけ、第4条、高リスク該当性、現地の監督・報告経路を扱う。職種モジュールでは、採用、顧客、製造、学習、マーケティングなどの実務ケースと人の介入条件を扱う。

責任分担も明記する。本社AIガバナンスは共通方針とシステム台帳、法務は制度変更と適用判断、人材開発は役割別設計と記録、現場責任者はケースと合格基準、IT・データ部門はアクセス権とモニタリングを担当する。欧州法人は現地の労務、個人情報、規制文脈を確認し、実利用者を特定する。人事部だけで「AIリテラシー対応完了」と宣言できる仕事ではない。

日本の本社研修では、稟議や職位に沿った一律配信に頼りやすい。しかし、AI利用の責任は必ずしも職位と一致しない。欧州事業に関わる購買、開発、セキュリティ、監査の担当者まで含め、実際の権限で対象を決める必要がある。