この記事は EU AI Act 第10条（データとデータガバナンス）を実装・運用の観点から整理した解説です。条文の逐語訳や法的助言を目的とするものではありません。正確な要件については、原文（末尾の出典）をご確認ください。個別の対応判断は、法務・専門家にご相談ください。
第10条は、高リスクAIシステムの学習・検証・テストデータに品質とデータガバナンスの基準を課す条項です。誰に何がかかるかは、システムの構成と自社の役割で分かれます。当該高リスクAIシステムの開発がAIモデルの訓練を含む技術を用いているなら、2項から5項の全体がかかります。ルールベースのように訓練を伴わない開発であれば、6項により2項から5項の基準がテストデータにだけかかります。学習済みモデルを追加学習なしに組み込む構成がどちらに当たるかは評価が分かれ得るので、6項に当然に乗るとは限りません。配備者であれば、原則として第10条そのものではなく、第26条4項の入力データ義務にとどまります。最初にこの切り分けを確かめないと、2項から5項の準備を不要に広げるか、逆に配備者として負う第26条4項を見落とします。
義務を負うのは提供者
第10条2項から5項のデータガバナンスは、高リスクAIシステムを市場に出す提供者の義務です。提供者は、自社で学習を実施した者に限られません。第25条により、配備者や輸入者なども、自社の名称・商標を付す、実質的な変更を加える、意図された目的を変えるといった事情で提供者とみなされ、第16条の提供者義務を負うことがあります。
通常の配備者として自ら提供者とみなされない限り、データ面で残るのは第26条4項です。自社が管理する入力データについて、意図された用途に対する関連性と代表性を確保する範囲に限定され、2項から5項の設計・前処理・バイアス検査・欠落対応は直接移りません。
2項が求めるのは、データガバナンスの実務
2項が求めるのは、学習・検証・テストデータを、意図された目的に適したデータガバナンスとデータ管理の実務の対象にすることです。条文は、その実務が次の(a)〜(h)に関わるとしています。
- 設計上の選択。どのデータを使い、何を除外するかなどの判断（(a)）
- データの収集経緯と出所、個人データの場合は当初の収集目的（(b)）
- 注釈、ラベリング、クリーニング、更新、拡充、集約といった前処理（(c)）
- データが何を測り何を表すか、という前提の定式化（(d)）
- 必要なデータセットの可用性、量、適合性の評価（(e)）
- バイアスの検査。出力が次回以降の入力に戻る構成では、偏りが運用中に増幅するため、一回限りの初期確認では済みません（(f)）
- (f)で見つかったバイアスを検出・予防・緩和する措置（(g)）
- 規制への適合を妨げるデータの欠落や不備の特定と、その対処方法（(h)）
注意したいのは、第10条2項自体は「文書として残せ」とは書いていない点です。求めているのは、上の実務を行うことです。これらを後から説明できる形に残す義務は、技術文書の第11条（記載事項はAnnex IV）、品質管理システムの第17条、文書保持の第18条と組み合わせて立ちます。実務上は、何をどう選び、加工し、評価し、不備を扱ったかを、第11条の技術文書や第17条のQMSの記録として示せるようにしておくことになります。
品質基準は用途への適合性で測る
3項は、データセットが関連性を持ち、十分に代表的で、可能な限り誤りがなく完全であること、そして用途に照らして適切な統計的特性を持つことを求めます。これらの特性は、個々のデータセット単位でも、複数を組み合わせた単位でも満たせます。4項は、システムが使われる特定の地理的、文脈的、行動的、機能的な状況に固有の特性を、用途に必要な範囲で考慮することを求めます。
3項の完全性と無誤りは、絶対水準ではありません。条文は「可能な限り（to the best extent possible）」と「用途に照らして」で水準を画しています。完全を目指して際限なくコストをかけるのではなく、用途に対して十分な水準を定め、残る欠落を2項(h)で特定したうえで、その対処を第11条の技術文書に残すのが現実的です。
特別カテゴリの例外（5項）
5項は、特別カテゴリの個人データを、バイアスの検出・是正に厳密に必要な範囲に限って例外的に処理してよいとする条項です。背景には緊張があります。GDPRをはじめとする個人データ保護法は、人種、健康、信条といった特別カテゴリの処理を原則として制限します。一方で、保護対象の属性のバイアスを検出し是正するには、まさにその属性のデータが要ることがあります。5項は、それらの規律に加えて条件を置いたうえで、この行き詰まりに対する狭い余地を開きます。
5項は、保護属性を集める一般許可ではありません。使えるのは、少なくとも次の(a)〜(f)を満たす場合に限られます。
- 他のデータ、たとえば合成データや匿名化データでは検出・是正が有効に果たせないこと（(a)）
- 再利用を技術的に制限し、仮名化を含む最新水準の保護措置を置くこと（(b)）
- アクセスの厳格な管理と記録を含む保護措置で、処理する個人データを守ること（(c)）
- 他者への送信・移転・アクセスをさせないこと（(d)）
- バイアスの是正後、または保持期間の満了のいずれか早い時点で削除すること（(e)）
- 処理活動の記録に、なぜ特別カテゴリの処理が厳密に必要で、なぜ他のデータでは目的を達せられないかの理由を残すこと（(f)）
5項は、保護属性を常時収集する根拠には使えません。使えるのは、バイアスの検出・是正に厳密に必要で、かつ(a)〜(f)を満たす場面だけです。
なお、Digital Omnibusでは、この5項の枠組みを新設のArticle 4aへ移し、対象を高リスクAIシステム以外にも広げる方向の改正が議論されています。本稿は未発効の改正案ではなく、OJ版 Regulation (EU) 2024/1689 の第10条5項を基準に記載しています。
施行期限
期限は、現行法の第113条の日付と、未発効のDigital Omnibus案を分けて管理します。現行法では、Annex IIIに該当する高リスクAIシステム（第6条2項。用途ベースのスタンドアロン型）は2026年8月2日から、Annex Iの製品に組み込まれる型（第6条1項）は2027年8月2日から適用されます（第113条）。
Digital Omnibusは、これを後ろ倒しする改正案です。2026年5月7日に欧州議会と理事会が暫定合意し、5月13日に加盟国代表が確認、6月16日に欧州議会が最終承認しました。改正案では、Annex III／第6条2項型を2027年12月2日、Annex I／第6条1項型を2028年8月2日とします。ただし発効には理事会の正式採択がなお必要で、本稿時点では官報（OJ）掲載前です。正式採択とOJ掲載までは現行法の2026年8月2日が効力を持ち、権威ある条文はOJ版 Regulation (EU) 2024/1689 のままです。期限表では現行法の日付を正式期限に置き、Omnibus案は未発効の改正動向として注記に分けます。
罰則
第10条のような高リスク義務の違反は、提供者については第16条(a)違反として第99条4項にかかり、上限は1,500万ユーロまたは全世界年間売上高の3%のいずれか高い方です。中小企業（スタートアップを含む）は第99条6項により、いずれか低い方が上限になります。禁止行為に対する第99条3項の3,500万ユーロまたは7%の枠とは別建てです。
この記事で扱うのはここまで
このページで扱うのは、1項・6項・26条4項による適用分岐、2項(a)〜(h)のデータガバナンス実務、3項・4項の用途適合性、5項例外の条件です。バイアスをどの指標で検出するか、データの来歴をどう管理するか、ログschemaやレビュー手順をどう作るかは、技術統制ページに分けています。
まとめ
第10条で最初に確かめるのは、自社が提供者か配備者か、対象システムの開発が訓練を含む技術を用いているか、入力データを自社が管理しているかです。ここを外すと、2項から5項の準備を不要に広げるか、配備者として負う第26条4項を見落とします。訓練を伴わない開発なら6項でテストデータだけに縮みますし、5項を保護属性収集の一般根拠に誤用しないことも、この段階で確かめます。
準備負荷を左右するのは、後から復元しにくい項目です。2項(b)の収集経緯、2項(c)の前処理、2項(d)のデータ前提、2項(f)(g)のバイアス検査と緩和は、モデル完成後に当時の判断が残っていなければ、第11条の技術文書として示せるものが作れません。学習前に、データの取得元・除外基準・前処理・バイアス検査・欠落時の扱いを2項(a)〜(h)に対応させて実施し記録しておくほうが、後から揃えるより確実です。
この記事のサイト版（関連条項・技術統制への相互リンクと期限トラッカー付きの構造化リファレンス）: https://conformgrid.com/ja/regulation/eu-ai-act-art-10
出典
- EU AI Act / Regulation (EU) 2024/1689, Article 10 (Data and data governance)（10条1項＝適用範囲、2項(a)〜(h)＝データガバナンスとデータ管理の実務、3項＝品質基準、4項＝文脈的特性、5項(a)〜(f)＝特別カテゴリの例外と条件、6項＝訓練を伴わない開発はテストデータのみ）
- 関連条項：Article 6(1)・6(2)（高リスク分類）、Article 11（技術文書）、Article 17（品質管理システム）、Article 18（文書保持）、Article 25（提供者とみなされる場合）、Article 26(4)（配備者の入力データ）、Article 16(a)（提供者の義務）、Article 99(3)・99(4)・99(6)（罰則）、Article 113（適用期限）
- 特別カテゴリの処理：Regulation (EU) 2016/679 (GDPR) Article 9、Regulation (EU) 2018/1725、Directive (EU) 2016/680（第10条5項が条件を加える対象）
- 改正動向：Digital Omnibus on AI（2026年5月7日暫定合意、5月13日に加盟国代表が確認、6月16日に欧州議会が最終承認。発効には理事会の正式採択がなお必要で、本稿時点でOJ未掲載。第10条5項をArticle 4aへ移し対象を拡大する改正案を含む）