AI法務

2026年10月16日

EU AI Actの概要と日本企業への影響：法規制対応の実務戦略

2026年AI Omnibus後の適用時期・域外適用・GPAI・高リスクAIを実務から整理

最初に押さえるポイント

EU AI Actは「2026年から将来適用される法律」ではなく、2026年9月時点ですでに多くの規定が適用・執行段階に入っています。AIリテラシー、禁止行為、GPAI（汎用目的AIモデル）の義務、生成AI等の透明性義務は現に対応が必要です。一方、2026年7月のAI Omnibusにより、高リスクAIの主要義務は、Annex III型が2027年12月2日、製品組込型が2028年8月2日まで延期されました。日本企業は「EU拠点があるか」だけでなく、EU市場への提供、EUでの利用、EUで使われる出力、GPAIモデルの提供などを起点に適用可能性を確認する必要があります。

1　2026年9月時点のEU AI Actはどこまで適用されているか

EU AI Act（Regulation (EU) 2024/1689）は2024年8月1日に発効し、段階的に適用されています。2026年7月にはRegulation (EU) 2026/1744（Digital Omnibus on AI。以下「AI Omnibus」）が発効し、高リスクAIの適用時期やAIリテラシー等の一部ルールが修正されました。したがって、旧来の「2026年8月にほぼ全面適用」という説明だけでは、現在の実務を正確に捉えられません。

時期 主な動き 日本企業が見るポイント
2024年8月1日 AI Act発効 将来適用を見据えた契約・製品設計が開始
2025年2月2日 定義、AIリテラシー、主要な禁止行為が適用 AIを利用・提供する組織の教育と禁止用途の確認が必要
2025年8月2日 GPAIモデルの義務、ガバナンス等が適用 GPAI提供者は技術文書、著作権方針、学習内容要約等を準備
2026年7月27日 AI Omnibus発効 高リスクAIの適用延期、AIリテラシー等を修正
2026年8月2日 多くの一般規定・Article 50透明性義務が適用、執行権限が本格化 チャットボット、生成コンテンツ、GPAI等で現時点の実装対応が必要
2026年12月2日 新たな禁止行為、一定の既存生成AIへのマーキング猶予期限 非同意の性的・親密コンテンツ等の生成禁止、既存システムの対応確認
2027年12月2日 Annex III型高リスクAIの主要義務が適用 採用、教育、信用評価等の高リスク候補を先行整備
2028年8月2日 Annex I製品組込型高リスクAIの主要義務が適用 医療機器、機械、ロボット等の製品法制と一体で適合準備

特に重要なのは、高リスクAIのルールが延期された一方で、「AI Act対応そのものが延期された」わけではない点です。2026年8月2日からはArticle 50の透明性義務や監督当局の執行権限などが現実のコンプライアンス課題になっています。

2　日本企業にも適用される―EU拠点の有無だけでは判断できない

AI Actは、EU域内に設立された事業者だけを対象とする法律ではありません。EU市場にAIシステム又はGPAIモデルを提供する第三国の提供者、EU域内のデプロイヤー（AIを自己の権限の下で利用する者）、さらに第三国に所在する提供者・デプロイヤーであっても、そのAIシステムの出力がEU域内で使用される場合には、適用対象となり得ます。

日本企業の場面 まず確認する役割・接点 実務上の確認
日本からEU顧客へAI SaaSを提供 provider／EU市場への提供 AIシステムの種類、Article 50、高リスク該当性、EU側の販売・支援体制
日本でAI処理し、結果をEU子会社・顧客が利用 第三国provider/deployer＋EUでのoutput利用 出力の用途、意思決定への利用、EUの個人への影響
EU子会社が外部AIサービスを社内利用 deployer AIリテラシー、禁止用途、透明性、高リスク候補の場合の利用者義務
他社AIを自社ブランドでEU販売 providerとなる可能性 自社名義・商標、改変、意図された目的、上流契約
GPAIモデルをEUへAPI・ダウンロード等で提供 GPAI provider 技術文書、著作権方針、学習内容要約、EU代理人等

反対に、日本国内だけでAIを利用し、そのシステム又は出力がEU市場・EUでの利用と結び付かない場合、AI Actの域外適用が当然に生じるわけではありません。「EUに取引先が一社でもあれば会社全体にAI Actが適用される」という理解も正確ではなく、AIシステムごとに市場・利用・出力の接点を確認することが必要です。

2-1　契約上の名称より実態を見る―providerに変わる場面

EU AI Actでは、契約書上「販売代理店」「導入支援会社」「利用者」と記載していても、一定の場合には高リスクAIのproviderとして扱われます。Article 25は、distributor、importer、deployerその他の第三者が、既に市場投入・使用開始された高リスクAIについて一定の行為を行うと、providerとしてArticle 16等の義務を負う構造を定めています。したがって、当事者間で責任分担を定めることは重要ですが、契約上の肩書だけで規制上の地位を変更することはできません。

典型的には、次の場面を重点的に確認します。

  • 既存の高リスクAIに自社名・自社商標を付してEU市場で提供する場合
  • 既存の高リスクAIにsubstantial modificationを加え、変更後も高リスクAIとして提供・利用する場合
  • 従来は高リスクでなかったAIのintended purposeを変更し、その結果として高リスクAIになる場合

例えば、汎用的なAI機能を採用候補者の評価へ組み込み、自社サービスとしてEUで提供する場合には、「元のAIを誰が開発したか」だけでなく、変更後の用途・ブランド・技術的変更を確認する必要があります。2026年のAI OmnibusはArticle 25も改正し、こうした役割転換が起きた場合、当初のproviderに対して、新しいproviderが規制対応できるよう必要情報・合理的な技術的アクセス等を提供する協力義務を具体化しています。上流ベンダーとの契約では、単なるAPI利用条件だけでなく、技術文書、既知の制約・failure modes、適合性評価に必要な情報の提供・更新・協力を確保できるかを確認することが重要です。

3　「4段階のリスク分類」だけで整理しない

AI Actはリスクベースの規制として説明されますが、実務では、単純に「禁止・高リスク・限定リスク・低リスク」のどれか一つに当てはめれば終わるわけではありません。GPAIモデルの規律やArticle 50の透明性義務は、高リスク分類とは別の軸で適用されます。

確認軸 典型例 2026年9月時点
禁止されるAI行為 重大な操作・搾取、一定の社会的スコアリング等 主要な禁止行為はすでに適用中
高リスクAI 雇用、教育、信用評価、重要インフラ、一定の製品安全等 主要義務は2027年12月／2028年8月へ延期
透明性義務のあるAI 人との直接対話、生成・加工コンテンツ、deepfake等 Article 50は2026年8月2日から適用
GPAIモデル 多様な用途に利用できる汎用モデル 提供者義務は2025年8月から適用、2026年8月から執行
その他のAI 上記に該当しないAIシステム 無規制とは限らず、AIリテラシーや他のEU法は別途確認

また、そもそも対象ソフトウェアがAI Act上の「AI system」に該当するかも最初に確認します。欧州委員会は2025年にAIシステム定義に関するガイドラインを公表していますが、ガイドラインは法的拘束力を持つ条文そのものではありません。自社の自動処理をすべて「AI」と一括管理するのではなく、法的分類と社内管理上のAI定義を区別することが実務的です。

4　禁止行為はすでに「将来の論点」ではない

AI Act Article 5の主要な禁止行為は2025年2月2日から適用されています。例えば、人の意思決定能力を大きく歪め重大な害を生じさせる一定の操作的・欺瞞的手法、脆弱性の悪用、一定の社会的スコアリング、一定の予測的警察活動、無差別な顔画像収集、職場・教育機関における一定の感情推定などが規制対象となります。個別の禁止要件には例外や限定があるため、キーワードだけで判断しないことが重要です。

さらに2026年のAI Omnibusは、本人の同意なく性的・親密なコンテンツを生成・加工するAIや児童性的虐待コンテンツを生成するAIに関する新たな禁止を追加しており、これらは2026年12月2日から適用されます。生成AIサービスの事業者は、利用規約上の禁止事項だけでなく、モデル・フィルタ・通報・停止の実装まで含めて対応を確認する必要があります。

禁止行為は「利用者が悪用したら停止する」だけでは足りない場合がある

自社がproviderとして禁止されるAIの機能・用途を市場へ提供する構造であれば、利用規約に「違法利用禁止」と書くだけで規制対象性が消えるわけではありません。意図された目的、設計、販売資料、利用制限、実際の利用状況を一体で確認します。

5　2026年8月から生成AIの透明性義務が現実に適用されている

Article 50は2026年8月2日から適用されています。チャットボット等、人と直接やり取りするAIについては、原則として相手方がAIとやり取りしていることを認識できるようにする必要があります。また、合成された音声・画像・動画・テキストを生成するAIシステムのproviderには、AI生成・加工物を機械可読形式でマーキングし、人工的に生成・加工されたことを検知できるようにする義務が設けられています。

deployer側にも、deepfakeや一定の公益事項に関するAI生成・加工テキストの公開時に開示義務が生じる場面があります。人によるレビューや編集責任がある場合など、条文・ガイドライン上の例外もあるため、生成AIを使ったコンテンツだから一律に同じラベルが必要という整理でもありません。

2026年6月には「Code of Practice on Transparency of AI-generated Content」が公表され、欧州委員会とAI BoardはArticle 50(2)、(4)、(5)の義務の実施を支援する適切な自主的手段と評価しています。参加は任意であり、署名自体が適法性を最終的に保証するものではありませんが、対応方法を具体化するうえで重要な資料です。

既存の生成AIシステムには一部猶予がある

2026年8月2日より前に市場投入された生成AIシステムについて、Article 50(2)のマーキング・検知義務には2026年12月2日までの限定的な猶予があります。既存サービスだからArticle 50全体が免除されるわけではないため、どの義務に猶予があるのかを分けて確認します。

6　GPAIモデル提供者の義務はすでに適用・執行段階にある

GPAI（general-purpose AI）モデルのproviderに関する義務は2025年8月2日から適用されており、2026年8月2日から欧州委員会による執行権限も本格化しています。日本企業が独自の基盤モデルをEU市場へAPI、クラウド、ダウンロード等で提供する場合は、EU法人を持たなくても対象となり得ます。

GPAI providerの主な義務 実務対応
技術文書 モデルの開発・学習・テスト等を記録し、当局に提示できる状態にする
downstream providerへの情報提供 能力・限界、統合条件等を示し、下流事業者のAI Act対応を可能にする
EU著作権法への対応方針 権利留保を識別・尊重するための方針を整備する
学習コンテンツの公開要約 AI Officeのテンプレートに従い、学習内容の十分に詳細な要約を公開する
EUのauthorized representative 第三国providerは原則としてEU域内の代理人を選任する
systemic riskモデルの追加義務 モデル評価、システミックリスク評価・軽減、重大インシデント報告、サイバーセキュリティ等

2025年のGPAI Code of Practiceは、Transparency、Copyright、Safety and Securityの章から構成され、欧州委員会とAI Boardにより適切な自主的コンプライアンス手段として評価されています。Codeへの参加は義務ではありませんが、参加しないproviderは別の適切な方法で義務遵守を示す必要があります。

なお、2025年8月2日より前にEU市場へ投入されていたGPAIモデルについては、関連義務への適合期限が2027年8月2日とされています。新規モデルと既存モデルで期限が異なるため、モデル単位のリリース履歴を残しておくことが重要です。

6-1　GPAIを組み込むdownstream providerは「上流から情報を取れるか」を確認する

自社でGPAIモデルそのものを開発していなくても、外部のGPAIモデルを組み込んでAIシステムやSaaSを提供する企業は、downstream providerとして上流providerから必要な情報を取得できるかが実務上重要です。GPAI providerには、下流事業者がAI Act上の義務を履行できるよう、モデルの能力・制約等に関する一定の情報を提供する義務があります。

そのため、上流GPAIとの契約・調達時には、少なくとも次の点を確認します。

  • モデルカード・技術文書・利用条件・既知の制約について、必要な範囲の情報提供を受けられるか
  • モデル更新・提供終了・安全上の重要変更があった場合の通知を受けられるか
  • 自社が高リスクAI等を提供する場合に必要となる追加資料・監査協力を求められるか
  • 取得できない情報や上流providerへの照会経緯を記録し、自社側のリスク評価・顧客説明へ反映しているか

2026年7月31日には、GPAIモデルを利用するdownstream providerが、上流GPAI providerによるArticles 53～55の違反を疑う場合に欧州委員会へ申立てを行う専用のcomplaints channelも公表されました。これは通常の契約交渉を代替するものではありませんが、技術文書や下流向け情報提供等が得られず、法令遵守に支障が生じる場合の公的な経路として把握しておく価値があります。さらに、欧州委員会のAI Act Single Information PlatformにはCompliance CheckerやAI Act Explorer、Service Deskへの質問フォームが用意されており、初期分類や公式情報の確認に利用できます。

7　高リスクAIは「何に使うか」で分類する

高リスクAIは大きく二つに分かれます。第一は、Annex Iに掲げるEU製品安全法制の対象となる製品又は安全部品で、第三者適合性評価が必要となるものです。第二は、Annex IIIに掲げるセンシティブな用途に使われるAIシステムです。

類型 主な例 適用開始
Annex III型 一定の生体認証、重要インフラ、教育、採用・人事、信用評価、生命・健康保険、法執行、移民・国境、司法等 2027年12月2日
Annex I製品組込型 医療機器、機械、ロボット等の製品又は安全部品で、該当する製品法制上第三者適合性評価が必要なもの 2028年8月2日

Annex IIIに記載された分野でも、AIが狭い手続的作業を行うだけなど、自然人の健康・安全・基本権に重大な害のリスクを生じさせず、意思決定結果に実質的な影響を与えない場合には、Article 6(3)によって高リスクに該当しない場合があります。ただし、自然人のprofilingを行う場合は、この例外によって高リスクから外すことはできません。

providerがAnnex IIIに該当するAIを「高リスクではない」と評価する場合、その評価を市場投入前に文書化し、EUデータベースへの登録等にも対応する必要があります。2026年5月に欧州委員会が公表した高リスク分類ガイドラインは現時点ではドラフトであり、最終版は2026年末までの採択が予定されています。したがって、現段階では条文・Annex IIIと最新ドラフトを区別して扱います。

8　高リスクAIの義務は延期されたが、準備を止めない

高リスクAIの主要義務の適用時期は延期されましたが、対象候補の企業が2027年末・2028年まで何もしなくてよいわけではありません。高リスクAIのproviderには、リスク管理、データガバナンス、技術文書、ログ、人による監督、精度・堅牢性・サイバーセキュリティ、品質管理、適合性評価、登録、上市後監視等の体系的な対応が予定されています。

準備領域 今から整備したい内容
分類記録 intended purpose、対象者、意思決定への影響、Annex I／III該当性、Article 6(3)評価
データ・テスト 学習・検証・テストデータの出所、品質、代表性、バイアス検証、評価基準
技術文書・ログ モデル・バージョン、性能、制限、変更履歴、ログ設計、証跡保存
人による監督 誰がどの場面で止められるか、どの権限・情報・訓練を与えるか
適合性評価・CE 適用される手続、標準、EU declaration of conformity、CE markingの準備
供給網 基盤モデル・データ・外部部品のproviderから必要情報を得る契約と協力体制

高リスクAIの標準化作業やガイドライン整備は現在も進行中です。適用延期は、まさにこれらの支援手段を整える時間を確保するためのものです。日本企業は、最終的な標準が確定するまで待つのではなく、既に条文上明確な要求事項について証跡・役割・データ・テスト体制を先に整え、標準確定後に差分対応できるようにする方が実務的です。

8-1　高リスクAIは導入後も監視する―post-market monitoringと重大インシデント

高リスクAIのproviderには、上市・導入時の適合性評価だけでなく、運用開始後もAIシステムが継続的に要件へ適合しているかを確認するpost-market monitoringが求められます。Article 72は、AI技術の性質とリスクに比例した監視システムを構築・文書化し、deployer等から得られる情報を含む実運用データを能動的・体系的に収集、記録、分析することを求めています。監視計画は技術文書の一部となり、AI Omnibus後は欧州委員会が2027年9月2日までにガイダンスとテンプレートを採択する予定です。

実務上は、販売後の不具合対応窓口を設けるだけでは足りません。モデル・バージョン、利用条件、性能指標、利用者からの苦情・事故、バイアスや誤作動の傾向、他システムとの相互作用等を継続的に確認し、必要に応じて是正措置、利用制限、アップデート、顧客通知へつなげる運用を設計します。

重大インシデントについてはArticle 73に報告期限があります。原則として、provider等が重大インシデントを認識してから遅くとも15日以内に報告し、広範な侵害又は一定の重大インシデントでは2日以内、死亡事案では10日以内という短い期限が設定されています。必要な場合には不完全な初期報告を先に行い、後から完全な報告を提出することも想定されています。

これらの高リスクAI義務の主要部分は2027年・2028年に適用されますが、報告期限が短いため、適用開始後に初めてフローを作るのでは遅れが生じやすくなります。対象候補の日本企業は、現在から①インシデントの定義と社内エスカレーション、②ログ・モデルバージョン等の証拠保全、③EU代理人・顧客・市場監視当局との連絡経路、④法務・開発・セキュリティの責任分担を準備しておくことが有効です。

9　deployer側にも義務がある―EU子会社がAIを「使うだけ」でも確認する

AI Actは開発会社だけの法律ではありません。高リスクAIを利用するdeployerには、providerのinstructions for useに従った利用、人による監督、一定の場合の入力データの適切性、運用監視、重大なリスクやインシデントへの対応などが求められます。職場で高リスクAIを使う場合には、影響を受ける従業員・労働者代表への事前情報提供が問題となる場面もあります。

また、公法上の機関、公共サービスを提供する一定の民間事業者、自然人の信用力評価や生命・健康保険のリスク評価・価格設定に用いる一定の高リスクAIのdeployerには、基本権影響評価（fundamental rights impact assessment）が求められます。GDPR上のDPIAが必要な場合は、両者の評価を連携させることができます。

日本本社がAIツールを一括導入し、EU子会社にも展開する場合、契約主体が日本本社であっても、EU子会社の利用形態を別途確認する必要があります。グローバル共通のAI利用規程だけでなく、EU法人側の役割・通知・監督・ログの実装を切り分けることが重要です。

10　AIリテラシー義務は2026年Omnibus後も残っている

Article 4のAIリテラシー義務は2025年2月から適用され、2026年のAI Omnibusで内容が修正されました。現在は、providerとdeployerが、AIシステムの運用・利用に関わるスタッフ等について、その技術知識、経験、教育・訓練、利用文脈、影響を受ける者等を踏まえ、AIリテラシーの発展を支援する措置を講じることが求められています。

改正後は、各個人に一定水準のAIリテラシーを「保証」することまでは要求されません。また、欧州委員会のQ&Aは、特定の証明書やAI officer、AI governance boardを一律に置くことも要求していません。実務上は、役割別の研修、利用ルール、禁止用途、事故報告ルート、受講・周知記録等を、AIのリスクに応じて整備することが有効です。

11　第三国providerはEUのauthorized representativeを確認する

EU域外の企業が高リスクAIをEU市場へ提供する場合、当該高リスクルールの適用時には、原則としてEU域内のauthorized representativeを市場投入前に選任する必要があります。また、GPAIモデルをEU市場へ提供する第三国providerには、すでにArticle 54に基づくEU域内のauthorized representative選任義務が問題となります。

authorized representativeは単なる販売代理店ではなく、委任内容に基づいて文書の確認・保管、当局への情報提供、当局との協力等を担います。日本企業が販売パートナーを持っているから当然に要件を満たすわけではありません。GPAIや将来の高リスクAIをEUへ直接提供する企業は、販売開始前に「誰が法的な代表者になるのか」を契約と運用の双方で決める必要があります。

12　GDPR・製品法・契約責任とは別に重ねて確認する

AI Actへの適合だけで、EUにおけるAI関連法務が完結するわけではありません。AIが個人データを扱えばGDPR、製品に組み込まれれば医療機器・機械等の製品安全法制、オンラインサービスの態様によってはDigital Services Act等、複数の法令が並行して問題となります。

また、AI Actは民事責任を全面的に統一する法律でもありません。旧稿や古い解説では「AI Liability Directive案」がAI Actを補完する将来法として紹介されることがありますが、この提案は2025年10月に欧州委員会によって撤回されています。2026年9月時点では、撤回済みの指令案を今後成立する前提でコンプライアンス計画へ組み込まないことが重要です。

AI Act対応とGDPR対応は代替関係ではない

GDPRでDPIAやプライバシー対応を行っていても、それだけでAI Act上の透明性、GPAI、高リスクAI、AIリテラシー等の義務を満たすわけではありません。逆にAI Act対応をしていても、個人データ処理の適法性が自動的に確保されるわけではありません。

13　違反時の制裁と執行主体

AI Actは、違反類型に応じて高額な行政制裁金を定めています。企業規模等に応じた比例原則はありますが、「EU売上」ではなく全世界年間売上高を基準とする割合が用いられる場合がある点に注意が必要です。

違反類型 上限の目安
禁止行為等の重大違反 3,500万ユーロ又は前年度全世界年間売上高7％（一定の企業では高い方）
その他の義務違反 1,500万ユーロ又は前年度全世界年間売上高3％（一定の企業では高い方）
当局等への不正確・不完全・誤解を招く情報提供 750万ユーロ又は前年度全世界年間売上高1％
GPAI providerに対するCommissionの制裁 最大1,500万ユーロ又は前年度全世界年間売上高3％

SMEについては、各違反カテゴリーで固定額と売上高割合のうち低い方が上限となるなどの調整があります。GPAIモデルについてはAI Officeを中心に欧州委員会が監督し、その他のAIシステムについては各国の市場監視当局等が中心となります。2026年8月2日から、適用済みルールについて執行が本格化しています。

14　日本企業の実務対応は「AIシステム台帳」から始める

日本企業がEU AI Actへ対応する際、最初から条文ごとのチェックリストを全社に配布するより、EUと接点のあるAIシステムを棚卸しし、システムごとに役割・分類・適用時期を記録する方が効率的です。

ステップ 確認事項
1　棚卸し EU顧客向け製品・SaaS、EU子会社利用、EU向け出力、GPAIモデルを一覧化
2　役割判定 provider、deployer、importer、distributor、product manufacturer、GPAI provider等を特定
3　現在適用ルール 禁止行為、AIリテラシー、Article 50、GPAIの該当性を先に確認
4　高リスク候補 Annex I／III、Article 6(3)例外、profiling、適用開始日を記録
5　証跡整備 intended purpose、データ、評価、モデル・バージョン、ログ、説明資料、変更履歴を保存
6　契約・供給網 上流モデル・データ提供者、EU販売者、顧客との情報提供・協力義務を整備
7　EU体制 authorized representative、EU子会社のdeployer責任、当局窓口を確認
8　更新管理 ガイドライン、標準、AI Omnibus、モデル変更に応じて定期レビュー

特に2026年9月時点では、「高リスク義務は延期されたので後回し」と「すべて2026年8月から適用済み」という両極端を避ける必要があります。各AIシステムに対して、今すでに適用される義務と、2027年・2028年に備える義務を分けて管理することが重要です。

15　公開・導入前の実務チェックリスト

  • 対象システムがAI Act上のAI systemに該当するか確認した
  • EU市場への提供、EUでの利用、EUで使われるoutputの有無を確認した
  • 自社がprovider、deployer、GPAI provider等のどの役割を負うか特定した
  • Article 5の禁止行為に該当する機能・用途がないか確認した
  • Article 50の対話AI・生成コンテンツ・deepfake等の透明性義務を確認した
  • GPAIモデルを提供する場合、技術文書・著作権方針・学習内容要約を整備した
  • GPAIモデル又は将来の高リスクAIについてEU authorized representativeの要否を確認した
  • Annex I又はAnnex IIIの高リスク候補を台帳化した
  • Annex IIIに該当してもArticle 6(3)で除外できると判断する場合、その根拠を文書化した
  • AIリテラシーについて役割・リスクに応じた研修・周知・記録を用意した
  • データ、評価、ログ、モデル・バージョン、変更履歴の証跡を残せる
  • 上流の基盤モデル・APIから必要な情報を取得できる契約・運用になっている
  • EU子会社がdeployerとして負う利用・監督・通知等を本社ルールと分けて確認した
  • GDPR、製品安全法制等との重複を確認した
  • 2027年12月・2028年8月の高リスク義務に向けた責任者とロードマップを定めた
  • ホワイトラベル化、substantial modification、intended purpose変更により自社がproviderへ変わらないか確認した
  • GPAIを組み込む場合、上流providerから必要な技術情報・更新情報・協力を得られる契約になっている
  • 高リスク候補についてpost-market monitoringと重大インシデントの社内報告・EU報告フローを準備した

16　弊所の実務上の視点

EU AI Act対応で最も避けたいのは、「生成AIだから高リスク」「EU顧客がいるから会社のAI利用すべてが対象」「高リスクではないから対応不要」といった一括判断です。実務では、AIシステム単位で、①EUとの接点、②自社の役割、③意図された目的、④禁止・透明性・GPAI・高リスクの各規律、⑤適用開始日を一枚に整理する方が、契約・開発・営業・コンプライアンスの担当者が同じ前提で動きやすくなります。

また、EU向けサービスでは、法務だけで適合を完結させることは困難です。Article 50のマーキング、ログ設計、人による監督、モデル・データ評価、重大インシデント対応などは、プロダクト・開発・セキュリティ部門の実装が必要です。法務は条文を説明するだけでなく、「誰が、いつ、何を記録し、どの機能で義務を実現するか」まで運用に落とす必要があります。

2026年のAI Omnibusによる高リスク義務の延期は、準備を止める理由ではなく、支援標準・ガイドラインが整うまでに社内台帳と証跡を整備する期間と捉えるのが有効です。特にEU市場へ継続提供する予定の製品・SaaSでは、後から仕様・契約・データ管理を全面改修するより、今の開発ロードマップへ段階的に組み込む方が対応しやすくなります。

17　よくある質問

Q. 日本法人でEUに拠点がなくてもAI Actの対象になりますか？

A. 対象となる場合があります。EU市場へAIシステム・GPAIモデルを提供する場合や、第三国のAIシステムのoutputがEUで使用される場合などは、EU域外の企業でも適用対象となり得ます。

Q. 生成AIはすべて「高リスクAI」ですか？

A. いいえ。生成AIであることと高リスク分類は別です。Article 50の透明性義務やGPAIモデルの規律が適用されることはありますが、高リスク該当性はArticle 6、Annex I・III等に基づいて別途判断します。

Q. 高リスクAIの規制は2026年8月からすでに適用されていますか？

A. 主要な高リスクAIの要求・義務はAI Omnibusにより延期され、Annex III型は2027年12月2日、Annex Iの製品組込型は2028年8月2日から適用されます。ただし、禁止行為、AIリテラシー、GPAI、Article 50等の別の義務はすでに適用されています。

Q. EU子会社が市販の生成AIを使うだけでも対応が必要ですか？

A. providerとしての義務を負うとは限りませんが、EU子会社はdeployerとなり得ます。AIリテラシー、禁止用途、利用場面によっては透明性、高リスクAIの将来義務等を確認します。

Q. チャットボットはAIだと表示しなければなりませんか？

A. Article 50では、人と直接やり取りするAIについて、原則として相手方がAIとやり取りしていると認識できるようにする義務があります。具体的な例外・表示方法は2026年のCommissionガイドラインも確認します。

Q. AI生成画像・動画には必ずラベルが必要ですか？

A. provider側の機械可読マーキングと、deployer側のdeepfake等の開示は別の義務です。標準編集機能や特定のB2B・産業文脈等についてガイドライン上の整理もあるため、生成物の種類・用途・公開方法を分けて判断します。

Q. GPAIのCode of Practiceに署名すれば法令遵守が保証されますか？

A. 署名は有力なコンプライアンス手段ですが、それだけで法令遵守が最終的に保証されるわけではありません。署名しない場合も、別の適切な方法でAI Act上の義務を満たすことができます。

Q. オープンソースのGPAIなら全部免除されますか？

A. いいえ。一定のオープンソースGPAIには技術文書等の一部免除がありますが、著作権方針や学習コンテンツ要約等は別に残り、systemic riskモデルには例外が限定されます。

Q. GDPR対応をしていればAI Act対応も十分ですか？

A. 十分ではありません。個人データ処理にはGDPRが重要ですが、AI ActはAIリテラシー、禁止行為、透明性、GPAI、高リスクAI等を別途規律します。両方が同時に適用される場面があります。

Q. AI Liability Directiveも近く適用されますか？

A. 2022年に提案されたAI Liability Directive案は2025年10月に撤回されています。2026年9月時点で、成立予定の指令として取り扱うのは適切ではありません。

Q. 罰金は最大でいくらですか？

A. 違反類型によって異なります。禁止行為等では最大3,500万ユーロ又は前年度全世界年間売上高7％、その他の義務違反では最大1,500万ユーロ又は3％などが定められています。企業規模等に応じた調整もあります。

Q. 最初に何をすればよいですか？

A. EUと接点のあるAIシステムを一覧化し、自社の役割、EUとの接点、禁止・透明性・GPAI・高リスクの該当性、適用開始日をシステムごとに記録することから始めるのが実務的です。

Q. 他社のAIを自社ブランドでEU販売するだけなら、元のベンダーだけがproviderですか？

A. 高リスクAIについてはそうとは限りません。Article 25では、自社名・自社商標を付して提供する場合、substantial modificationを行う場合、intended purposeを変更して高リスクAIにする場合などに、distributor、importer、deployer等がproviderとして扱われ得ます。契約上の呼称ではなく実際の行為を確認する必要があります。

Q. 高リスクAIで重大インシデントが起きた場合、いつ報告しますか？

A. Article 73では、原則15日以内、広範な侵害等では2日以内、死亡事案では10日以内という期限が定められています。適用開始後に即応できるよう、社内で検知・エスカレーション・ログ保全・EU側連絡先をあらかじめ決めておくことが重要です。

18　早めに法的確認をしたい場面

  • EU向けにAI SaaS、API、AI搭載製品を新たに提供する
  • 日本でAI処理を行い、その結果をEU子会社・EU顧客の業務判断に利用する
  • 自社ブランドで第三者AIをEU市場へ提供する、又は大きく改変して提供する
  • 独自のGPAIモデルをEU市場へ提供する
  • 採用、人事評価、教育、信用評価、保険、医療・重要インフラ等でAIを利用する
  • AI生成コンテンツやdeepfakeをEU向けに配信・公開する
  • EU子会社でAI利用を全社展開するが、deployer側の義務整理ができていない
  • EU authorized representativeの要否・委任範囲を判断したい
  • 2027年・2028年の高リスク義務に向け、技術文書・ログ・適合性評価の準備を始めたい
  • 第三者AIを自社ブランドでEU販売、又はfine-tuning・用途変更して提供するため、providerへの役割転換を確認したい
  • 高リスク候補AIについて、上市後監視・重大インシデント報告の運用フローを準備したい
  • 外部GPAIモデルを組み込むが、上流providerからAI Act対応に必要な技術情報を十分に取得できない

19　まとめ

EU AI Actは、2026年9月時点ですでに実務対応が必要な規制です。日本企業が最初に確認すべきなのは、「EUに法人があるか」だけではなく、AIシステム又はGPAIモデルをEU市場へ提供するか、EUで利用するか、そのoutputがEUで使用されるか、そして自社がprovider・deployer等のどの役割を負うかです。

また、高リスクAIの主要義務が2027年12月・2028年8月へ延期された一方、禁止行為、AIリテラシー、GPAI、生成AIの透明性義務等は既に適用されています。したがって、全社一律の「施行待ち」ではなく、システムごとに現在対応すべき義務と将来準備すべき義務を分ける必要があります。

EU AI Act対応は、利用規約の修正だけでも、AIポリシーの策定だけでも完結しません。法的分類、データ・技術文書、ログ、人による監督、マーキング、供給網契約、EU代理人、事故対応を同じロードマップで管理することで、規制対応と実際の製品・業務運用を一致させることが重要です。

20　主要な一次資料

関連記事

EU AI Act・AI規制対応に関するご相談

EU向けAIサービス・AI搭載製品、EU子会社でのAI利用、GPAI、高リスクAI、Article 50の透明性義務、EU authorized representative、GDPRとの重複対応などについて、事業・製品ごとの適用関係や実務対応を整理する必要がある場合はご相談ください。

お問い合わせ