義務を発生させる機能と活動を特定する
ソフトウェアベンダー、AI開発者、デジタルサービス事業者にとって、義務はテクノロジーが何をするかに依存する。まず、そのユーザー、データ、展開モデル、および自社の役割から始める。
開発する技術への規制の影響を知る
データの使用、AI 機能、展開の選択が義務にどのように影響するかを理解する。Regunow は、ソフトウェアおよびテクノロジー企業がルールを調査し、製品、プライバシー、セキュリティチームと情報に基づいた議論を行う準備をするのに役立つ。
AI、データ、デジタルサービスの枠組み
- 欧州連合: GDPR
- 米国: CCPA（カリフォルニア州）
- 中国: PIPL
- ブラジル: LGPD
- 日本: APPI
- 英国: 英国 GDPR
- インド: DPDP法
- シンガポール: PDPA
- 韓国: PIPA
- カナダ: PIPEDA
- オーストラリア: オーストラリア プライバシー法
- スイス: FADP
- 香港: PDPO
- サウジアラビア: PDPL
- アラブ首長国連邦: PDPL
- インドネシア: PDP法
- メキシコ: LFPDPPP
- 台湾: 個人データ保護法
- ベトナム: 個人データ保護法
- 欧州連合: AI法
- 米国: NIST CSF
- 欧州連合: NIS2
- 欧州連合: Cyber Resilience Act
- 欧州連合: DORA
- 米国: NIST AI RMF
- 欧州連合: デジタルサービス法
- 欧州連合: データ法
- 欧州連合: 製造物責任指令（2024年）
- 中国: サイバーセキュリティ法
- 中国: データセキュリティ法
- シンガポール: サイバーセキュリティ法
- 英国: オンライン安全法
- 欧州連合: デジタル市場法
- 欧州連合: eIDAS
- 欧州連合: ePrivacy 指令
- 米国: HIPAAプライバシーおよびセキュリティ
- 米国: グラム・リーチ・ブライリー法（GLBA）
- 英国: 接続製品のセキュリティ
- 米国: FCC機器認証
- 欧州連合: 無線機器指令
規制上の問いをテクノロジー上の意思決定の一部にする
システムアーキテクチャを規制上の問いに関連付ける
システム記述またはデータフロー文書を、抽出されたルールと照らし合わせて検討する。ホスティング、アクセス、サプライヤーへの依存関係、自動化された意思決定を、レビュー担当者が回答を必要とする質問に結び付ける。
法的義務と推奨される慣行を区別する
法律、規制当局のガイダンス、自主的な枠組みが展開にどのように関連するかを探る。推奨事項を製品要件や顧客コミットメントに変換する前に、引用された箇所を精査する。
AI、データ、ソフトウェア、接続サービスの義務を探る
システムの実際の使用状況に基づいて AI の義務を評価する
プロバイダーおよびデプロイヤーの役割、ユースケースの分類、透明性、人間による監視を検討する。提案された AI 機能や社内利用を調査する際には、適用日と経過措置を考慮に入れる。
個人データの収集、使用、移転を追跡する
収集、再利用、保持、個人の権利、国際移転について検討する。調査には、特定のデータ主体、目的、送信先、および管理者または処理者の関係を与える。
セキュリティインシデントの背後にある規制上の問いを準備する
セキュリティガバナンス、脆弱性対応、インシデント通知要件を調査する。影響を受けるサービス、報告すべき事象、責任当局、タイミング評価に必要な証拠に関する質問を起草する。
クラウド契約によって各当事者の義務がどのように変わるかを理解する
ホスティング場所、サプライヤーアクセス、復元力、およびセクター固有のアウトソーシング義務を調査します。認証があらゆる要件を満たすと決めつけずに、クラウド契約が顧客とプロバイダーにどのような影響を与えるかを探ります。
ソフトウェアのビジネスモデルを関連するルールに結び付ける
オンラインサービス、プラットフォーム、消費者保護、およびコネクテッドプロダクトに関するルールをビジネスモデルに結び付けます。サービス自体から生じる義務と、そのユーザーや顧客に起因する義務を明確にします。
機器認証と電気通信サービスの提供許可を区別する
機器認証や周波数に関する問題と、電気通信サービスのライセンスを区別します。デバイスの特性、ネットワーク機能、および事業者が行おうとしている活動を使用して、関連する市場を調査します。