EU AI 法：formexposed の AI 利用方法

本書は複数の言語で公開されています。言語版の間に相違がある場合、ポーランド語版が法的拘束力を有します。

バージョン1.1 · 最終更新日：2026年10月23日

規則(EU) 2026/1744により改正された規則(EU) 2024/1689（以下「AI法」）がformexposedにとって何を意味するか、本サービスがどこで人工知能を使用し、どこで明示的に使用しないか、モデルがどのデータを参照するか、そして本規則の義務が当社にどのように適用されるかについての当社の評価を説明します。このページは本サービスの現状と当社の法的評価を記載したものであり、契約文書ではありません。当社がお客様に対して負う義務は、利用規約およびデータ処理契約によって定められます。このページは、プライバシーポリシーおよび処理活動の記録とともに、当社の法的文書の一部を構成します。

1. 要約

AI法は2024年8月1日に発効しました。禁止事項とAIリテラシー義務は2025年2月2日から、汎用モデルに関する義務は2025年8月2日から、第50条の透明性義務は2026年8月2日から適用されています（第113条）。

formexposedが言語モデルを使用しているのは3か所です。当社のルールでは認識できないフォームを分類する際の補助、有料アカウント向けにスキャンの検出結果を優先順位付きの対応計画に要約する処理、そして「Fix it for me」でお客様の依頼に応じて当社の保護モジュールをお客様のフォームのコードに組み込む処理です。3つのいずれの場合も、モデルはポーランドにある当社自身のサーバー上で動作し、入力がAIプロバイダーに送られることはありません。スコア、判定、アラート、不正利用防止、プラグインのスパム対策はAIではなく、当社が記述し、手作業で再計算できるルールです。AIの出力が人について何かを決定することはありません。

2. formexposedがAIを使用している箇所

2.1 チェックサービスにおけるフォームの分類

チェックのたびに、クローラーはどのような種類のフォームを見ているのか（お問い合わせフォーム、ログイン、注文、検索、ニュースレターなど）を把握する必要があります。これによって、そもそもフォームが評価対象になるかどうかが決まります。分類は2段階で行われます。

まずルール。フィールドの種類、フィールド名、ラベル、ボタンのテキスト、フォーム周辺のテキストを、ドイツ語、英語、ポーランド語の固定の単語リストと照合します。これで大多数のフォームが処理されます。
ルールが「不明」と判断した場合に限り言語モデル。この場合、モデルはフォームの説明を受け取り、種類と0から1の間の確信度を返します。モデルが応答しない場合、何も返さない場合、または不明なものを返した場合、フォームは「不明」のままとなります。モデルが失敗した場合、チェックはこの段階を省いて続行されます。

モデルに許されていることは、意図としてだけでなくコード上でも、狭く限定されています。

モデルが分類したフォームが送信されることはありません。テスト送信は、ルールが高い確信度で認識したお問い合わせフォームに対してのみ行われ、お客様の場合は管理権の証明があるドメインに限られます。
モデルが分類したフォームはスコアと判定に算入されません。検出されたフォームの一覧には表示されますが、監視、外観比較、クライアントポータル、「Fix it for me」が紐づくドメインの主要なお問い合わせフォームとして扱われることはありません。モデルがあるものをお問い合わせフォームと判断した場合、コードはその確信度を最大0.6に引き下げます。当社のテストでは、モデルが検索フィールドや保険料計算ツールをお問い合わせフォームと誤認したためです。
レポートでは、各フォームの横に、その分類が「ルール」によるものか「AI」によるものかを、確信度のパーセンテージとともに表示します。

2.2 「Fix it for me」：保護モジュールをお客様のコードに組み込む

有料プランでは、ワークスペースのオーナーと管理者は、PHP、Node.js、Python向けのすぐに使える保護モジュールを受け取れます。モジュール自体はAIを使用しない固定のテンプレートで、お客様のホスト名と前回のチェックで得られたフィールド名だけが挿入されます。任意で、お客様のフォームのコードを貼り付けると、言語モデルがそこにモジュールを組み込みます。お客様は変更後のファイルと、非常に大きなファイルを除きパッチを受け取ります。お客様が結果を目にする前に、当社のコードがAIを使わずに次の2点を確認します。

モジュールの呼び出しが実際に組み込まれているか – 欠けている場合、画面上で「このままデプロイしないでください」と明示します。
構文が正しいか（php -l、node --checkまたはpy_compile）。お客様のコードは検査されるだけで、実行はされません。

すべての結果について、画面上で、それがAIによるものであること、AIは誤りを犯す可能性があること、構文チェックはお客様のロジックを検証しないことを表示します。当社は何もデプロイしません。当社はお客様のサーバーへのアクセス権を持たず、それを求めることもありません。変更が機能するかどうかは、次回のチェックで分かります。

2.3 当社のMCPインターフェースを介したサードパーティのAIアシスタント

Businessプランでは、Model Context Protocolを介してお客様自身のAIアシスタント（Claude、ChatGPT、Cursorなど）をアカウントに接続し、ドメイン、チェック、インシデントを照会できます。これは当社のAIではありません。当社はREST APIと同様に、アシスタントにデータを提供するだけです。どのプロバイダーがそのデータをどう扱うかは、お客様の選択とそのプロバイダーとの契約によって決まります。インターフェースを介して、アシスタントができるのは読み取りとチェックの開始だけです。

2.4 当社自身のフォームにおけるGoogle reCAPTCHA

当社自身のフォーム（無料チェック、ヘッダーツール、対象除外、ログイン、登録、パスワード、サポート、お問い合わせ）は、Google reCAPTCHA v3で保護されています。そのためにGoogleは独自の方法で0から1の間の値を算出します。当社が見るのはこの値だけで、固定のしきい値を下回る送信を拒否します。この方法はGoogleのものであり、当社のものではありません。拒否された方は再度お試しいただくか、電子メールで当社にご連絡いただけます。詳細はプライバシーポリシーをご覧ください。

2.5 有料レポートの優先順位付き対応計画

有料アカウント内のドメインに対する対象のチェックでは、同じローカルモデルが、ホスト名、総合結果とスコア、CMS、該当するフォームの種類とページアドレス、特定されたプラグイン、および選択された不合格または不明の検出結果から、短い優先順位付きの対応計画も作成します。この目的でスクリーンショットや送信されたフォームの値を受け取ることはありません。対応計画にはAIによる要約であることが表示され、個別の検出結果が引き続き正式な判断の基準となります。対応計画がウェブサイトやスキャン結果を変更することはありません。

モデルには、3から5の短い番号付きの手順を作成し、すでに十分に保護されている場合は1から2の手順にするよう指示しています。これらはモデルへの指示であり、推奨内容の正確さを保証するものではありません。出力はプレーンテキストとして短縮・整形されます。内容の事実関係が正しいかを検証する仕組みは実装されていません。

3. formexposedがAIを使用していない箇所

以下の部分は、人間が定めたルールのみに基づいています。これらはデータから推論せず、学習もしないため、前文第12項で説明されているとおり、第3条(1)の意味におけるAIシステムではありません。

スコアと判定：欠けている保護対策（CAPTCHA、トラップフィールド、トークン、タイムスタンプなど）の重み付き合計で、0から100の値をとります。固定のしきい値を超えると「無防備」、「一部保護」、「保護済み」となります。重みは当社が設定しており、チェックされたデータによって変わることはありません。
保護対策、サードパーティスクリプト、Cookieバナー、アクセシビリティの検出：ページのソースおよびページの挙動に含まれる既知の特徴との照合です。
監視とアラート：前回のチェックとの比較です。応答時間は、最初の測定値の中央値から求めたベースラインと固定のしきい値で比較します。
無料チェックの不正利用防止：IPアドレス、セッション、期間ごとの回数を固定の上限で数えます。上限を超えた方は、現在の期間、最長24時間拒否されます。異常はフラグが立てられ、人間が対処します。
フォームの外観比較：連続するチェックのスクリーンショットを、行と列の明度プロファイルを用いて固定のしきい値で比較し、フォームのずれや非表示を報告します。
協調防御：ブロックされたメッセージ内のリンクに含まれるドメインは、一定期間内に最低数以上の異なるウェブサイトで出現した場合に共有リストに追加されます。大規模なサービスは除外され、ブロックされたメッセージはすべて隔離領域に保持され、そのまま破棄されることはありません。
WordPressプラグインおよびTYPO3拡張機能のスパム対策：トラップフィールド、署名付きトークン、最短入力時間、操作の証明、計算パズル、改行および受信可能なメールドメインのチェック、レート制限、使い捨てアドレスのリスト、Unicodeクラスによる文字体系、独自の単語リストと国。チェック自体は顧客のウェブサイト上で実行されます。ウェブサイトがアカウントに接続されている間、当社が受け取るのは、件数、拡張機能の名前とバージョン、そして協調防御に参加している間（WordPressプラグインではデフォルトで有効）はブロックされたメッセージ内のリンクのドメインだけです – メッセージやアドレスは受け取りません。

4. モデルが受け取るデータと実行場所

機能	モデルへの入力	出力	保存されるもの
フォームの分類	ページのタイトルとアドレス、送信ボタンのテキスト、各フィールドの種類・名前・ラベル・プレースホルダー・必須か非表示か、表示されているフォームテキスト最大400文字。入力された値は含みません。	フォームの種類と確信度	種類、確信度、出所「AI」、モデル名をチェック結果とともに、その保存期間に従って保存。リクエスト自体は保存しません
「Fix it for me」	お客様が貼り付けたコード（最大30,000文字）と、お客様のホスト名およびフィールド名を挿入した当社の保護モジュール	変更後のファイル	コードは一切保存しません（構文チェックのため、変更後のファイルはそのチェックの間だけ一時ファイルとして当社のウェブサーバーに保持されます）。アクティビティログには、言語、長さ、成功したかどうか、呼び出しが組み込まれたかどうか、構文チェックの結果のみを記録します
有料レポートの優先順位付き対応計画	ホスト名、総合結果とスコア、CMS、該当するフォームの種類とページアドレス、特定されたプラグイン、およびキー・結果・各200文字までに短縮した注記を含む最大18件の重複しない不合格または不明の検出結果。スクリーンショットや送信されたフィールド値は含みません	選択された言語による短い優先順位付きの計画。上限は1,500文字	リクエストと応答は内部ジョブキューに一時保存。取得された計画のテキスト、言語、状態、タイムスタンプは、スキャン結果とともにその保存期間に従って保存

データの外部流出なし。モデルはポーランドにある当社自身のチェックサーバー上で動作します。クローラーは隔離された環境内から、当社のウェブサーバーは当社の内部ネットワーク経由でモデルにアクセスします。入力がAIプロバイダーやその他の第三者に送られることはありません。アプリケーションとワーカーのコードからは、モデルサービスがリクエスト内容をログに記録するかどうかは確認できません。今回のレビューではモデルホストのログ設定を検証していないため、モデルサービスのすべてのログが技術的なメタデータのみを含むとは、ここでは主張しません。
学習なし。当社はモデルを学習させたり変更したりせず、チェック結果やお客様のコードをモデルの改善に使用しません。各リクエストは独立して処理されます。
個人データ。これらの機能は、本来の目的のために訪問者のメッセージや実際に送信されたフォームの値を必要としません。これは、入力が匿名であることを意味しません。例外的に、第三者のページのフォームテキストに氏名が含まれる場合があります。たとえば、フォームの横に記載された担当者の氏名などです。「Fix it for me」では、貼り付ける前にパスワード、APIキー、個人データを削除するようお願いしています。入力欄でもパスワードとAPIキーについて注意を促します。
対応計画の保存。リクエストは当社の内部ジョブキューに一時保存されます。結果を取得した後、キューの項目は削除されます。定期的なクリーンアップでも、1時間を超えたキュー項目を削除します。生成されたテキスト、言語、状態、タイムスタンプはスキャン結果とともに保存され、その保存期間に従います。これには、各ドメインの最後に完了したチェックの保持と、ドメイン削除時の削除も含まれます。
対応計画への入力。ホスト名、ページアドレス、検出結果の注記には、個人に関する情報が偶発的に含まれることがあります。対応計画のプロンプトは、訪問者のメッセージや入力されたフィールド値を要求しません。
利用上限：AIを使った「Fix it for me」は、チェックのためにサーバーの可用性を確保するため、ワークスペースごとに1日あたりのリクエスト数が制限されています。

5. AI法における当社の役割

モデル：当社は、第三者のプロバイダーが提供する、オープンウェイトの自由に利用できる汎用言語モデルを使用しています。モデル自体に関する義務（第53条以下）は、そのプロバイダーが負います。当社はモデルを学習させることも変更することもないため、当社自身がそのようなモデルの提供者になることはありません。

システム：フォームの分類、対応計画の機能、「Fix it for me」は当社が構築し、formexposedの名称で運用しています。当社自身がこれらを開発し、自らの名称で使用を開始したため、当社の評価では、当社はこれらのAIシステムの提供者（第3条(3)）にあたります。また、フォームの分類と対応計画の機能は当社自身が運用しているため、その範囲で導入者（第3条(4)）でもあります。対応計画を受け取ったり読んだりするだけで、顧客が導入者になるわけではありません。「Fix it for me」は、お客様が職業上の活動の中で使用するものであり、当社の評価では、その際お客様は導入者にあたります。

リスク分類：これら3つの機能のいずれも、ここに記載した本来の目的では、附属書IIIの高リスク分野（生体認証、重要インフラ、教育、雇用、必須サービス、法執行、移民、司法行政など）に該当せず、附属書Iに基づく製品の安全構成要素でもありません。これらはフォームを分類し、技術的なスキャンの検出結果を助言の手順として要約し、プログラムコードを編集するものであり、人を評価するものではありません。したがって、第6条に基づく高リスクAIシステムではなく、そのようなシステムに関する要件およびその提供者・導入者の義務（第III章）は適用されません。これらには、AIリテラシー義務（第4条）と、その要件を満たす場合には第50条の透明性義務が適用されます。

禁止されるAIの実践（第5条）：formexposedは、感情認識、生体情報による分類や識別、ソーシャルスコアリング、犯罪の予測、操作的またはサブリミナルな技術を一切行いません。

6. 透明性（第50条）

チャットボットなし。formexposedでは、誰もAIと対話することはありません。第50条(1)は、自然人と直接やり取りすることを意図したAIシステムを対象としています。対応計画はバックグラウンドで生成され、レポート内でAIが生成したものであることが明示されます。フォームの分類は誰とも接触しません。「Fix it for me」はコードを受け取ってコードを返すものであり、画面上で結果がAIによるものであることを明示しています。したがって、この機能を使用する方は、いずれにせよAIを相手にしていることを認識しています。
生成されたコード。「Fix it for me」はプログラムコードを生成し、AIの出力であることを明示します。意図する変更は当社の保護モジュールの挿入ですが、それによってコードの動作や意味が変わる場合があります。そのため、第50条(2)の標準的な編集や意味を変更しない場合の例外が、すべての場合に適用されるとは考えていません。同項および例外が適用されるかどうかは、実際の出力について評価する必要があります。パッチが利用できる場合は変更行が表示されますが、パッチ自体は例外への該当や機械可読のマーキングを証明するものではありません。非常に大きなファイルではパッチが作成されないため、その場合はご自身でファイルを比較してください。
対応計画のテキストと機械可読のマーキング。対応計画は、検出結果から要約と優先順位付きの推奨事項を作成します。この目的については、意味を変更しない標準的な編集ではなく、第50条(2)における生成テキストとして扱います。同項は、その条件および技術水準に応じて、機械可読のマーキングと検出可能性を要求しています。目に見えるAIの表示だけでは、この技術要件を満たすことは確認できません。現在のコードレビューで確認できるのは、目に見える表示とプレーンテキストでの保存・表示です。生成から出力までの一連の処理で有効な機械可読のマーキングが行われていることは確認できていません。したがって、この要件を完全に検証済みであるとは主張しません。
レポートの利用目的。計画は、ウェブサイト運営者への助言としてバックグラウンドで生成されます。第50条(4)の公共の関心事項について公衆に情報を提供する目的で作成されるものではありません。ただし、ランダムなリンクを知っている方は誰でも、サインインせずにレポートを開けます。後に公共の関心事項に関する目的で公表する場合は、それ自体について評価が必要です。所持者が利用できるリンクによるアクセスは、透明性ルールからの一般的な免除ではありません。
レポート内の分類は、モデルによるものである場合は常に「AI」と表示されます。
対応計画は、有料レポート内で、自社サーバー上の当社AIによる要約と表示されます。その表示では、個別の検出結果が正式な判断の基準であることを明記しています。
当社は画像、音声、動画コンテンツやディープフェイクを生成しません。

7. 人間による監視と自動化された決定の不在

モデルの出力は補助であり、決定ではありません。フォームの分類は、それ単独では何も引き起こすことができません。送信も、判定も、アラートも行いません。「Fix it for me」はお客様のサーバー上の何も変更しません。お客様が結果を読み、判断し、ご自身でデプロイします。対応計画は助言のテキストにすぎません。その表示によってウェブサイトもスコアや判定も変わらず、どの手順を実行するかは利用者が決めます。当社の評価では、formexposedのいかなる機能も、人に関して法的効果を生じさせる決定、または同様に重大な影響を及ぼす決定を行いません（GDPR第22条）。reCAPTCHAまたは当社の固定の上限のいずれかが入力を自動的に拒否した場合、再度お試しいただくか、当社にご連絡ください。その場合は人間がその事例を確認します。当社の評価の対象はウェブサイトとフォームであり、人ではありません。

分類が誤っているとお考えの場合は、レポートのリンクを添えてご連絡ください。当社で確認し、ルールを改善します。

8. AIリテラシー（第4条）と品質

formexposedのAI機能は、事業主自らが構築し、自ら運用しています。現在、それ以外の者はこれらの機能に携わっていません。モデルを変更する前には必ず、その仕組みと限界、ならびに本規則の最新の状況を把握します。これらの機能に携わる従業員やサービス提供者が加わる場合には、初めて使用する前に、機能の仕組み、限界、リスクについて指導を受けます。指導の内容は書面で記録します。
モデルを導入または変更する前に、テスト用フォームのコレクションを用いて、応答時間、有効な応答、誤分類について検証します。これは事業主が実施する作業手順であり、コード上で強制されるプロセスではありません。2.1項の制限は、このような測定に基づいています。
お客様が「Fix it for me」を職業上使用する場合、第4条は顧客であるお客様にも適用されます。このページと画面上の注意事項は、その一助となることを目的としています。

9. 変更とお問い合わせ

AI機能が追加された場合、大幅に変更された場合、または削除された場合には、速やかにこのページを更新します。重要な変更は契約文書の変更に掲載します。当社のAI利用に関するご質問やご懸念は、contact@lukaswojcik.com、お問い合わせページまたはサポートウィンドウからお寄せください。苦情は苦情の申立てに定める手続きに従います。これは、所轄の市場監視当局に苦情を申し立てる権利（第85条）に影響を与えるものではありません。

提供者：LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland

どのようなご用件ですか？