欧州連合における規制対応

法令等	要件	Qstampファミリーによる対応	日付
第12条	高リスクAIシステムの存続期間にわたる事象の自動記録	エージェント及びモデルの事象を発生時に封印し、バッチでアンカーする	2027年12月2日及び2028年8月2日から適用される高リスク義務
第18条、第19条及び第26条	提供者及び導入者による、文書の10年間保存並びに自動生成ログの6か月以上の保存	保存期間全体にわたって検証可能な状態を保つレシート	上記と同様
第50条	AI生成コンテンツの機械判読可能な形式でのマーキング	コンテンツに結び付けられ、アンカーされるQTraceの出所情報	2026年12月2日からのコンテンツマーキング

法令等	要件	Qstampファミリーによる対応	日付
規則（EU）No 910/2014、第41条及び第42条	電子タイムスタンプの法的効力及び適格タイムスタンプの要件	耐量子ネットワークによる時刻の証跡であり、適格サービスには該当しない	施行中
規則（EU）2024/1183、第45h条及び第45i条	電子台帳の法的効力及び適格電子台帳の要件	順序付けられ、一意であり、かつ不可変である記録を備えた電子台帳	2024年5月20日から施行

法令等	要件	Qstampファミリーによる対応	日付
NIS2、指令（EU）2022/2555、第21条	暗号技術及びサプライチェーンセキュリティに関する方針を含むリスク管理措置	NISTが標準化した耐量子暗号及び署名付きソフトウェアフィンガープリント	2024年10月17日までの国内法化期限
DORA、規則（EU）2022/2554	金融セクターにおけるデータの完全性及び暗号統制を含むICTリスク管理	ICTログ及び金融記録に関する完全性の証跡	2025年1月17日から適用
サイバーレジリエンス法、規則（EU）2024/2847	完全性の保護を含む、デジタル要素を備えた製品に対する基本要件	ソフトウェアリリースの署名及びアンカーされたフィンガープリント	2026年9月11日から報告義務、2027年12月11日から主要な義務
NIS協力グループの耐量子ロードマップ	公開鍵暗号の協調的な移行	移行すべき古典的公開鍵アルゴリズムが存在しない	高リスクシステムは2030年末まで、中リスクシステムは2035年末まで

法令等	要件	Qstampファミリーによる対応	日付
GDPR、第5条、第25条及び第32条	データの最小化、設計による個人データ保護及び取扱いの安全性	記録は保有者の元に留まり、公開されるのはソルト付きコミットメントのみである	施行中
指令2014/24/EU、第22条第3項	期限が満了するまでのデータの完全性及び応札内容の秘密性	QProcureの応札コミットメント	施行中
「デジタル時代のVAT」パッケージ	連合域内供給に対する電子インボイスの義務化及びデジタル報告	QTaxのインボイス及び請求記録	2030年7月1日からの電子インボイス

Qstamp とは何ですか？

Qstamp は、AIエージェントのための耐量子の証跡ツールキットであり、すべての記録を非公開に保ちます。その SDK は、エージェントの各アクション及び意思決定のフィンガープリントを企業自身のシステム上で計算し、ソルト付きの暗号学的コミットメントのみを Quantova ネットワーク上にアンカーします。これにより、銀行、政府、医療及び金融の各分野の組織は、記録そのものを開示することなく、自らのエージェントがいつ何を行ったかを、裁判所、監査人及び規制当局に正確に証明することができます。この証跡は、量子コンピュータによる偽造に耐えるよう設計された、NIST が標準化した耐量子アルゴリズムで署名されます。

現在のエージェントの記録は古典的な署名、すなわち secp256k1 又は P 256 上の ECDSA、Ed25519 上の EdDSA 又は RSA に依存しており、これらはいずれも Shor のアルゴリズムによって破られる。Quantova は、アカウント、トランザクション、コントラクトコード及びファイナリティに ML DSA で署名し、そのプロトコルにおいて古典的な署名を一切受け入れない。

Qstamp は、記録ごとに、利用者自身のシステム上でフィンガープリントを計算します。次に、多数のフィンガープリントを1つの32バイトのコミットメントにまとめ、そのコミットメントを Quantova Virtual Machine 上の Quanta スマートコントラクトを通じてアンカーします。

その後、各記録にはレシートが発行されます。記録とそのレシートがあれば、誰でも後から、その記録が遅くともアンカリングの時刻にはまさにその形で存在していたことを証明できます。その際、Quantova Inc や記録の保有者を信頼する必要はありません。

レシートは何を証明し、何を証明しないのですか？

有効なレシートは、次の3つの事実を証明します。

記録が、スタンプされた記録とバイト単位で完全に同一であること。
記録が、遅くともそれをアンカーしたブロックの時刻には存在していたこと。
アンカーが、記載されたアカウントにより、記載された記録種別で署名されたこと。

レシートは、内容が真実であること、適法であること又は承認されていることを証明するものではなく、人物を特定するものでもありません。また、認定を受けた適格トラストサービスプロバイダーにより発行されたものでない限り、eIDAS 2 に基づく適格電子タイムスタンプではありません。

公開記録とは、当社のプロンプトやデータが公開されることを意味するのですか。

いいえ。公開記録とは、公開されるのが証明であってデータではないことを意味します。記録が存在したこと及び改ざんされていないことは誰でも確認できますが、その内容を読むことは誰にもできません。

プロンプト、エージェントの入力及び出力、推論、ツール呼び出し、個人データ、決済情報、ファイル並びにモデルの重みが、お客様のシステムの外に出ることはありません。各記録は、SHA3 256 と新たに生成される256ビットのランダムなソルトを用いてローカルでフィンガープリントが計算されます。公開されるのは、それらのフィンガープリントから算出される32バイトのコミットメントのみであり、これとともにブロック、時刻、署名アカウント、コントラクト及び記録種別が公開されます。

フィンガープリントから記録を復元することはできません。また、ソルトにより、短いプロンプトや予測可能なプロンプトであっても、推測した内容を誰も確認することはできません。記録が開示されるのは、お客様が、例えば裁判所又は規制当局に対し、そのレシートとともに記録を提出することを選択した場合に限られます。

Qstamp はどの程度のエネルギーを使用しますか？

ごくわずかです。SDK は企業がすでに運用しているサーバー上で動作し、GPU、モデルの学習及び別個のストレージを必要としません。記録が Quantova に複製されることはないためです。記録は通常のプロセッサ上で SHA3 256 によりマイクロ秒単位でフィンガープリント化され、当社のベンチマークでは、65,536件の記録が1秒未満でフィンガープリント化され、1つのハッシュツリーに結合されました。

最大1,048,576件の記録が1件のアンカリングトランザクションを共有し、Quantova ネットワークはプルーフ・オブ・ワークではなく ML DSA 65 による委員会署名でブロックを確定させるため、アンカリングがマイニングのためのエネルギーを消費することはありません。

Qstamp SDK はどのように入手できますか？

Qstamp は、Apache License 2.0 又は MIT ライセンスの下で npm と GitHub に公開されています。Node 20 以降が必要です。

npm install @quantovainc/qstamp

ソースコードを確認する場合や、ソースからビルドする場合は、リポジトリをクローンしてください。

git clone https://github.com/Quantova/QStamp.git
cd QStamp
npm ci

GitHub のソース · npm のパッケージ

テストネットワークで最初のファイルをスタンプするにはどうすればよいですか？

自分だけが読み取れる署名鍵を作成します。

openssl rand -hex 32 > signer.key
chmod 600 signer.key

次のスクリプトを account.js として同じフォルダに保存し、node account.js で実行します。アカウントのアドレスが表示されます。

const fs = require('fs');
const { Client, core } = require('@quantovainc/qcore');

const seed = Uint8Array.from(Buffer.from(fs.readFileSync('signer.key', 'utf8').trim(), 'hex'));
const client = new Client('https://rpc-testnet.quantova.org', { expectedChainId: 'Q-test-net-1' });
const address = core.address(seed, 0);

client.account(address).then(async (account) => {
  console.log('address  ' + address);
  console.log('balance  ' + account.balance + ' quon');
  if (account.has_key) return console.log('status   registered, ready to stamp');
  if (account.balance === '0') return console.log('status   claim test TQTOV at the faucet');
  const { outcome } = await client.register(seed, 0, '100000');
  console.log('status   registration ' + outcome.verdict);
});

テストネットワークのフォーセットで、そのアドレス宛てに無料の TQTOV テスト用ユニットを請求します。
もう一度 node account.js を実行します。ユニットが届いた時点で、アカウントがネットワークに登録されます。登録は、アカウントごとに1回だけ必要です。
ファイルをスタンプし、そのレシートを検証します。

npx qstamp stamp report.pdf --seed-file ./signer.key --index 0 --kind record
npx qstamp verify report.pdf.qstamp.json --file report.pdf

テストネットワークでは、アンカリングトランザクション1件あたりの費用は、ファイルの数にかかわらず 0.005 TQTOV です。signer.key は秘密にし、バックアップを取っておいてください。signer.key を持っている人は誰でも、ご自身のアカウントとして署名できてしまいます。

Qstamp を AIエージェントと連携させるにはどうすればよいですか？

エージェントが行う各アクションを記録し、それらのアクションをバッチ単位でアンカーします。

ツール呼び出し又は意思決定を行うたびに、そのアクションを、キーの順序を固定した JSON として書き出します。エージェントの識別情報、ツール、入力と出力のダイジェスト及び時刻を含めます。
その JSON のフィンガープリントを計算し、現在のバッチに追加します。
一定の間隔で、例えば1分ごとに、記録種別 ai_agent_action を指定して、バッチを1件のトランザクションでアンカーします。1つのバッチには、最大 1048576 件のアクションを含めることができます。
各レシートは、ログ内の対応するアクションの隣に保存します。保留中のバッチは onPending オプションを使って保存してください。これにより、プロセスが停止してもレシートが失われません。

const qstamp = require('@quantovainc/qstamp');

const batch = [];

function recordAction(action) {
  const bytes = Buffer.from(JSON.stringify(action));
  batch.push({ digest: qstamp.digestBytes(bytes) });
}

async function anchorBatch(seed) {
  if (batch.length === 0) return [];
  const records = batch.splice(0);
  return qstamp.stamp({
    seed,
    index: 0,
    kind: 'ai_agent_action',
    records,
    onPending: (pending) => savePending(pending),
  });
}

シードは32バイトの Uint8Array として渡され、署名後に SDK によって消去されます。モデルファイルとデータセットも、種別 ai_model 及び ai_dataset を使って同じ方法でスタンプできます。

どの記録種別を使用できますか？

記録種別は各コミットメントとともにチェーン上に保存されるため、検証者は、どの分類の記録がアンカーされたかを確認できます。名前付きの種別を以下に示します。その他の値は、独自の方式に使用できます。

0  record
1  file
2  document
3  software_release
4  ai_model
5  ai_dataset
6  ai_agent_action
7  ai_output
8  wallet_binding
9  financial_record
10 public_record

qdock.io の QIDE を使って Quanta コントラクトテンプレートをデプロイするにはどうすればよいですか？

ほとんどの利用者は、コントラクトをデプロイする必要がありません。オープンな Qstamp コントラクトはすでに稼働しており、SDK は既定でこれを使用します。機関が独自のコントラクトをデプロイするのは、権限を持つ発行者又は複数当事者による承認が必要な場合に限られます。

qmask.io から Chrome に QMask ウォレット拡張機能をインストールし、アカウントを作成します。
テストネットワークのフォーセットで、そのアカウント用のテスト用 TQTOV を請求します。
qdock.io で QIDE を開きます。ほかに何もインストールする必要はありません。QIDE は、証明済みの Quanta コンパイラを使ってサーバー上でコンパイルし、ネットワークが必要とするコンパイラ署名を付加します。
コントラクトテンプレートのリポジトリから、QStampIssuer.qs などのテンプレートを QIDE の新しいファイルにコピーし、コンパイルします。
QMask を接続し、「Deploy」を選択して、QMask でトランザクションを承認します。QMask は、承認の前に最大手数料を表示します。テストネットワークでのデプロイの費用は、通常 1 TQTOV 未満です。
コントラクトアドレスを記録し、レシートを検証するすべての当事者に伝えます。

テンプレートは例として提供されるものです。本番環境へのデプロイの前に、必ず独立した第三者によるセキュリティ監査を受ける必要があります。独自のコントラクトによるレシートは、そのアドレスを渡し、オプション trustCustomContract を true に設定して検証します。

Qstamp は規制要件にどのように対応していますか？

EU AI法。第12条の自動ログ記録義務、第18条、第19条及び第26条のログ及び文書の保存義務、並びに第50条のコンテンツのマーキング義務のための証跡を提供します。
eIDAS 2。電子記録の完全性と時刻の証跡を提供します。適格の地位を得るには、認定を受けた適格トラストサービスプロバイダーによる発行が必要です。
SEC Rule 17a 4。3年から6年間保存されるブローカー・ディーラーの記録について、改ざん検知可能な完全性の証跡を提供します。
GDPR 及び英国GDPR。記録が所有者の手元を離れることはなく、公開されるのはソルト付きのコミットメントのみです。これにより、データ最小化を支援します。
NIST AI RMF 及び ISO IEC 42001。AIガバナンスの管理策に対するトレーサビリティの証跡を提供します。
耐量子移行義務。証跡は ML DSA 65 で署名され、SHA3 でハッシュ化されるため、古典的な署名が偽造可能になった後も検証可能であり続けます。

Qstamp が提供するのは証跡です。各組織は、自らに適用される法令のその他の要件を満たす責任を引き続き負います。

法域別の規制対応の全体像

AIエージェント企業が今 Qstamp を導入すべきなのはなぜですか？

期限はすでに定められています。EU AI法のマーキング義務は2026年12月2日から、高リスクに関する義務は2027年12月2日から適用されます。カリフォルニア州AI透明性法は2026年8月2日から提供者に適用され、コロラド州AI法は2027年1月1日から適用されます。
証跡は後から作成できません。今日スタンプした記録は、今日の時点からの完全性を証明します。アンカーせずに保管された記録は、改変されていないことを後から示すことができません。
保存期間は古典暗号の寿命より長く続きます。規制対象の記録は最長10年間検証可能である必要があり、この期間は、NIST が古典的な署名を廃止する時期（2030年に非推奨、2035年に使用禁止）を超えます。
導入の負担は小さく済みます。エージェントに必要なのは、バッチごとに1回の関数呼び出しと、レシートの保存場所だけです。

Qstamp は最も高度なAIエージェントにも使用できますか？

はい。Qstamp は、エージェントの能力にかかわらず、エージェントが行ったことを記録します。限定的な用途のアシスタントにも、最も高度な自律システムにも、同じ SDK、記録種別及びレシートが適用されます。

AIシステムは、AIそのものを改良する研究にますます寄与するようになっており、各段階における人間の関与は少なくなっています。Qstamp は、すべてのアクション、モデルの変更及び意思決定のフィンガープリントを、それが行われた時点で、最初のブロックから耐量子であるネットワーク上にオンチェーンで記録します。これにより、各段階を後から遡って確認し、エージェントに許可されていた行為と照合することができます。すべてのアンカリングトランザクションは、Quantova のエクスプローラーである QVMScan で閲覧できます。

エージェントの能力が高まり、人間によるレビューを経ずに行動する場面が増えるほど、各アクションについての独立した証跡はより重要になります。レシートがあれば、運用者、監査人又は規制当局は、エージェントやその運用者を信頼することなく、何が記録されたかを確認できます。

Quantova は私の記録を閲覧したり保存したりしますか？

いいえ。フィンガープリントは利用者自身のシステム上で計算されます。各バッチについて公開される値は、ソルト付きの32バイトのコミットメントのみであり、そこから内容を導き出すことはできません。

レシートには記録の一部は含まれませんが、記録のダイジェストとソルトは含まれます。レシートは、それが対象とする記録と同じように慎重に取り扱ってください。

費用はどのくらいかかりますか？

テストネットワークでは、アンカリングトランザクション1件あたりの費用は、バッチサイズにかかわらず 0.005 TQTOV です。1件のトランザクションで最大 1048576 件の記録を扱えます。TQTOV テスト用ユニットには金銭的価値がなく、フォーセットから無料で入手できます。

本番利用は、Quantova メインネットワークの開始後、同ネットワーク上で、その公開された手数料体系の下で行われます。

テストネットワークのレシートは証拠として使用できますか？

いいえ。テストネットワークのレシートには証拠としての効力はありません。テストネットワークは、連携機能の構築とテストに使用してください。本番利用は、Quantova メインネットワークの開始後、同ネットワーク上で行われます。

監査人や規制当局は、どのようにレシートを検証しますか？

検証者には、記録とそのレシートが必要です。

npx qstamp verify receipt.qstamp.json --file record.pdf

結果は「有効」、「無効」又は「判定不能」のいずれかです。「判定不能」は、ネットワークを参照できなかったことを意味します。判定不能の結果が有効として報告されることはありません。最初の4つの検査は、すべて検証者自身のマシン上で実行されます。独立した検証者は、数理のページで公開されている構成から、すべての検査を自ら再現することもできます。

Qstamp の証跡が耐量子で安全なのはなぜですか？

フィンガープリントとハッシュツリーには、FIPS 202 に規定される出力256ビットの SHA3 を使用しており、量子原像探索に対して128ビットの安全性を備えています。Quantova ネットワーク上のすべてのトランザクションとすべてのファイナリティ証明書は、FIPS 204 に規定される ML DSA 65 で署名されています。

サポートにはどのように連絡すればよいですか？

[email protected] までメールでお問い合わせください。セキュリティ上の脆弱性を報告する場合は、セキュリティ及び開示ポリシーに従ってください。

AI、トラストサービス、サイバーセキュリティ及びデータに関する欧州連合の義務。

AI法（規則（EU）2024/1689）。

eIDAS及びeIDAS 2。

ネットワーク、製品及び金融セクターのレジリエンス。

データ保護、調達及び税務。

本ページの読み方。