G7が主導する「AIBOM」の国際標準化と欧州AI／デジタルヘルス規制の関係性：海外医療技術トレンド（135）（3/3 ページ）

[笹原英司，MONOist]

EU AI法とMDR／IVDRの調和ルールは2028年8月2日適用開始に

　本連載第123回で、EU AI法と医療機器規則（MDR、2021年5月26日適用開始）および体外診断用医療機器規則（IVDR、2022年5月26日適用開始）のハーモナイゼーションについて触れた。欧州委員会は2026年7月27日、急増するデジタル／AI関連規制の重複や複雑化を解消し、企業のコンプライアンス負担を軽減して欧州の産業競争力を強化するために、デジタルオムニバス（AIオムニバス）パッケージを正式に発効した（関連情報。表3は、デジタルオムニバスに基づくEU AI法の適用タイムラインを示している。

表3　EU AI法の適用タイムライン［クリックで拡大］ 出所：European Commission「Timeline for the Implementation of the EU AI Act」（2026年8月2日時点）を基に筆者作成

　EU AI法において、MDRやIVDRなどの既存製品安全法制の下で第三者認証／認可機関の適合性評価が義務付けられている医療機器に組み込まれたAIシステムは、「AI法第6条第1項」および「附属書I（Annex I）」に基づくハイリスクAIに分類される。このハイリスクAIに関するAI法の規定に違反した場合、1500万ユーロまたは前年度の全世界年間売上高の3％のいずれか高い方の制裁金が科せられる。

　当初は、この医療機器に関わる高リスクAI規制が2027年8月2日より全面適用予定だったが、デジタルオムニバスの発効を受けて、2028年8月2日より適用開始に変更された。

　日本では2026年8月25日、厚生労働省が国際医療機器規制当局フォーラム（IMDRF）の「医療機器サイバーセキュリティのためのソフトウェア部品表の原則と実践」（2023年4月発行、関連情報、PDF）に準拠した「医療機器におけるSBOM 導入・運用ガイドライン（第1版）」（関連情報、PDF）を発行している。このガイダンスでは、SBOM導入を推奨事項として提示している。

　他方EUの場合、本連載第69回で取り上げたように、MDRおよびIVDRの「安全性および性能に関する一般要求事項（GSPR）」の「附属書I（Annex I）」において、医療機器ソフトウェア（SaMD含む）に対するサイバーセキュリティ、ITインフラ、ライフサイクル全体でのリスク管理を義務付けている。

　SBOMについては、MDR／IVDRの基本安全一般要求事項（GSPR）「附属書I」におけるソフトウェアライフサイクル／リスク管理／セキュリティ要求（MDCG 2019-11 / 2019-16ガイドラインなど）の推奨指針として、IMDRFの「医療機器サイバーセキュリティのためのソフトウェア部品表の原則と実践」（2023年4月発行）が、即時参照、適用された。EUはIMDRFの構成メンバーであり、IMDRFのSBOM文書発行直後から、MDR／IVDRの適合性評価（CEマーク認証）において技術文書のサイバーセキュリティ要求（GSPR 14.2／17.2など）を満たすためのベストプラクティスとして認可機関（Notified Body）による審査で参照され、実質的な要求事項として運用されている。

　参考までに表4は、「AI法第6条第1項」および「附属書I（Annex I）」に基づくハイリスクAIシステムに分類されているセクター製品の一覧である。

表4　「AI法第6条第1項」および「附属書I」に基づくハイリスクAIシステムに分類されているセクター製品［クリックで拡大］ 出所：European Commission「AI Act Explorer」（2026年8月2日時点）を基に筆者作成

　附属書IのセクションAに該当する製品の場合、欧州委員会が既存の自動車型式承認規則や航空規則などのセクター法を個別改正（委任法などの導入）した後に段階的にハイリスクAI要件が統合、適用される。他方、附属書IのセクターBに該当する製品の場合、セクターごとの既存CEマーキング適合性評価プロセスの中にAI法の要求事項を統合して審査を行う製品であり、原則として2028年8月2日付で適用開始となる予定である。

サイバーレジリエンス法でSBOMが要求事項となる非医療機器／Non-SaMD

　本連載第98回、第106回で、米国の非医療機器／Non-SaMD（Software as a Medical Device）を巡る規制を取り上げた。EUの場合、医療機器に該当しないデジタル製品（ウェアラブル健康機器、モバイルヘルスアプリケーション、個人健康記録［PHR］など）は、サイバーレジリエンス法（2024年12月10日発効、関連情報）の適用対象となる。

　サイバーレジリエンス法におけるSBOMに関する規定は、主に「義務の対象（製造者）」「作成／維持に関する具体的要件」および「提出／共有の範囲」という枠組みで定められている。具体的には、サイバーレジリエンス法の附属書I 第2部（Annex I Part II）（脆弱性処理に関する要求事項）において、デジタル要素を含む製品の製造者が負うプロセス義務の筆頭として、以下の通り明記されている。

• 要求事項：デジタル要素を含む製品に含まれる脆弱性および構成要素（コンポーネント）を特定／文書化すること。これには、少なくとも製品のトップレベルの依存関係をカバーする、一般的に使用される機械読み取り可能な形式でのSBOMの作成が含まれる

　表5は、サイバーレジリエンス法におけるSBOM関連要求事項を整理したものである。

表5　サイバーレジリエンス法のSBOM関連要求事項［クリックで拡大］ 出所：European Commission「Cyber Resilience Act」（2026年7月27日）を基に筆者作成

　なお、サイバーレジリエンス法のタイムラインは以下の通りである。

• 2026年9月11日：悪用された脆弱性／重大インシデントの報告義務（先行適用）。報告義務違反に対しては、最大1500万ユーロまたは世界年間売上高の2.5％のいずれか高い方の制裁金が科せられる
• 2027年12月11日：SBOM作成義務、セキュア設計、CEマーキング適合性評価を含む全規定の完全適用。必須サイバーセキュリティ要件（附属書I）の不順守や適合性評価違反に対しては、最大1500万ユーロまたは世界年間売上高の2.5％、その他の義務違反に対しては、最大1000万ユーロまたは世界年間売上高の2.0％、情報提供命令違反に対しては、最大500万ユーロまたは世界年間売上高の1.0％のいずれか高い方の制裁金が科せられる

　参考までに表6は、サイバーレジリエンス法、AI法、医療機器規則（MDR）／対外診断用医療機器（IVDR）、欧州保健データスペース（EHDS）規則など、AI利用型非医療機器／Non-SaMDおよび医療機器／SaMDを取り巻くEU法規制の適用タイムラインを整理したものである。

表6　AI利用型非医療機器／Non-SaMDおよび医療機器／SaMDと関連するEU法規制の適用タイムライン［クリックで拡大］ 出所：European Commission「AI Act Explorer」（2026年8月2日時点）、European Commission「Cyber Resilience Act」（2026年7月27日）、European Commission「European Health Data Space Regulation (EHDS)」（2026年8月2日時点）を基に筆者作成

EHDS規則の適用に向けて進むAI駆動型PETsの研究開発

　本連載第107回で、EU AI法やEHDS規則に関連して、プライバシー保護技術（PETs）のディープテックを取り上げたが、先に挙げた表6に示す通り、MDR／IVDRに該当しないPETsに対しては、サイバーレジリエンス法が適用され、SBOMの導入と運用が義務化される。

　EUの研究開発プログラム「ホライズンヨーロッパ」では、欧州各地のがん拠点病院に分散された臨床データを移動や開示させることなく、患者のプライバシーを高度に保護したまま、連合学習（FL）や同態暗号（HE）、マルチパーティ秘密計算（SMPC）などのPETsを活用してAI分析を行う「TRUMPET」プロジェクト（関連情報）のように、AI統合型PETsの開発と実証が進んでいる。今後、EHDS規則の第1段階適用開始に向けて、どのようなPETsの要素技術を組み合わせながら、AI法の要求水準をクリアしていくのか注目される。

筆者プロフィール

笹原英司（ささはら えいじ）

宮崎県出身、千葉大学大学院医学薬学府博士課程修了（博士（医薬学））。デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク／コンプライアンス関連調査研究／コンサルティング実績を有し、クラウドセキュリティアライアンス、在日米国商工会議所、グロバルヘルスイニシャチブ（GHI）等でビッグデータのセキュリティに関する啓発活動を行っている。

Twitter：https://twitter.com/esasahara

LinkedIn：https://www.linkedin.com/in/esasahara

Facebook：https://www.facebook.com/esasahara