2026年8月2日に適用されるもの、2027年12月に延期されたもの
世界初の包括的なAI規制法であるEU AI Act（人工知能法）は、2024年8月1日に発効し、段階的に適用範囲を拡大してきました。当初は2026年8月2日にAnnex IIIのハイリスクAI規制が適用開始となる予定でしたが、2026年7月8日に採択された「デジタルオムニバス」により、ハイリスクAIの実質的な義務は延期されました。
2026年8月2日に適用が始まるのは、透明性義務（第50条）、調和規格・適合性評価・CE表示・登録に関する規定、GPAIプロバイダへの制裁金権限（第101条）などです。ハイリスクAIそのものの義務ではない点に注意が必要です。
デジタルオムニバス（2026年7月8日採択、7月24日官報公表、7月27日発効）により、Annex III（スタンドアロン型）のハイリスクAI義務は2027年12月2日、Annex I（製品組込型）は2028年8月2日へ延期されました。一方で透明性義務・GPAI義務・罰則は延期されていません。「2026年8月にすべてが適用される」という理解は誤りです。
この記事は、EU域内に拠点を持たない日本企業であっても規制対象となる「域外適用」の仕組み、自社のAI利用がどのリスク分類に該当するか、いま実施すべき7ステップを実務目線でまとめます。
(1) EU AI Actは域外適用あり。EU子会社・EU顧客SaaS・EU向け製品にAIを使う日本企業は対象。 (2) AIの提供者（Provider）だけでなく、Microsoft 365 Copilot／Geminiを社内で使う導入者（Deployer）にも義務がある。 (3) 制裁金は禁止AI慣行違反で最大3,500万ユーロまたは全世界売上の7%。GDPRより重い。 (4) ハイリスク規制は延期されたが、AIインベントリ・リスク分類・社内ガバナンス・従業員リテラシーの4点セット整備は前倒しで進めるべき最低ラインです。
適用スケジュール
| 日付 | 適用される条文 | 影響 |
|---|---|---|
| 2024年8月1日 | AI Act発効 | カウントダウン開始 |
| 2025年2月2日 | 第II章（禁止AIプラクティス）、AIリテラシー義務（第4条） | サブリミナル操作・社会的スコアリング等の禁止。適用済み |
| 2025年8月2日 | 第V章（GPAIプロバイダ義務）、ガバナンス、罰則（第99〜100条） | 新規GPAIモデルに義務発生。適用済み |
| 2026年8月2日 | 第50条（透明性義務）、第III章第5節（調和規格・適合性評価・CE表示・登録）、第101条（GPAIへの制裁金権限） | AI生成コンテンツの明示、チャットボットのAI告知などが義務化 |
| 2026年7月8日 | デジタルオムニバス採択（7月24日官報公表、7月27日発効） | ハイリスクAI義務の適用日を延期 |
| 2027年12月2日 | Annex III（スタンドアロン型ハイリスクAI）の義務 | 採用・与信・教育評価等のハイリスク用途。当初2026年8月から延期 |
| 2028年8月2日 | Annex I（製品安全規制対象に組み込まれたAI）の義務 | 医療機器・車両等。当初2027年8月から延期 |
禁止AI慣行（2025年2月）、GPAIプロバイダ義務と罰則（2025年8月）はすでに適用済みです。透明性義務も予定どおり2026年8月2日に始まります。延期されたのはAnnex I／IIIのハイリスクAIに課される適合性評価・技術文書・リスク管理システム等の義務です。
生成AI・AIエージェントの導入は、PoCで止まらない業務組込みまでの設計が要になります。AI365では製品選定から社内展開・ガバナンス設計までご支援しています。
AI365（AI導入・DX推進） を見る →AI製品ソリューション域外適用：日本企業の対象範囲
EU AI ActはGDPR同様、「EUに拠点がないこと」を理由に逃れることはできません。次のいずれかに該当する日本企業はすべて規制対象です。
- AIシステム・GPAIモデルをEU市場に提供している（製品・SaaS・APIとして）
- AIシステムの出力（推論結果）がEU域内で使用されることを意図している（例：EU顧客向け与信スコア、EU従業員向け人事評価）
- EU子会社・支店でAIシステムを業務利用している（M365 Copilot、Gemini、ChatGPT Enterprise含む）
- EU顧客のデータをAIで処理し、結果をEUに返している（クロスボーダーSaaS）
(1) EU向けECサイトのレコメンドエンジン、(2) EU従業員の採用スクリーニングAI、(3) EU子会社で導入したCopilot Studioエージェント、(4) グローバルSaaSのAI機能をEU顧客に提供しているケース、(5) 多言語AIチャットボットでEU圏の問い合わせを受けるケース、はすべて対象になり得ます。
リスク4分類
EU AI Actは、AIシステムをリスクに応じて4つに分類します。
| 分類 | 例 | 義務 |
|---|---|---|
| 禁止AI（Unacceptable Risk） | サブリミナル操作、社会的スコアリング、職場の感情認識（一部除く）、公共空間でのリアルタイム遠隔生体認証（一部除く） | 使用禁止 |
| ハイリスクAI（High Risk） | 採用、信用評価、教育、医療機器、重要インフラ、法執行、移民、司法（Annex III） | リスク管理、データガバナンス、技術文書、ログ保存、人間の監視、適合性評価、CE マーキング、市販後監視 |
| 限定的リスク（Limited Risk） | チャットボット、ディープフェイク、AI生成コンテンツ | 透明性義務（AIである旨の表示、AI生成物のラベリング） |
| 最小リスク（Minimal Risk） | スパムフィルタ、ゲームAI | 原則として義務なし（自主的なコード・オブ・コンダクト推奨） |
ハイリスクAIに該当する業務領域（Annex III）
多くの中堅企業に関係するのが以下のカテゴリです。業務でこれらに該当するAIを使うと、提供者・導入者ともに義務が発生します。
- 採用・人事：履歴書スクリーニング、面接評価、昇進・解雇判断、業務割当、業績評価
- 教育・職業訓練：入試評価、学習評価、不正検出
- 信用・保険：個人の信用スコア、生命・健康保険料の算定
- 重要インフラ：交通、水道、ガス、電力、デジタルインフラ
- 法執行・移民・司法：（公的機関中心）
- 生体認証：感情認識、生体カテゴリ化（職場・教育機関を除く）
GPAI（汎用AI）プロバイダ義務
GPT-5／Claude 4.x／Gemini／Llamaのような汎用AIモデルを提供する事業者には、別建ての義務体系が設けられています（2025年8月2日適用済み）。
- すべてのGPAIプロバイダ：技術文書の作成・維持、利用者への情報提供、著作権法遵守、学習データの公開（要約）
- システミックリスクGPAI（10^25 FLOPs超）：モデル評価、敵対的テスト、システミックリスクの軽減、重大インシデント報告、サイバーセキュリティ確保
OpenAI／Anthropic／Google／Meta／Microsoft自身は対応中。日本企業がこれらのAPIを再販する場合、再販事業者もGPAI関連義務の一部を負う可能性があります（自社で学習させたモデルを公開する場合も該当）。
「導入者（Deployer）」の義務 — Copilot利用企業も対象
日本企業が誤解しやすいのが、AIを「使うだけ」でも義務がある点です。Microsoft 365 Copilot／Gemini Enterprise／ChatGPT Enterpriseを社内利用している場合の主な義務：
- AIリテラシー教育（2025年2月から既に適用）：従業員が利用するAIに対する十分な理解を持つよう確保
- ハイリスクAI利用時：プロバイダの利用説明書に従った運用、人間による監視、利用ログ6か月保存、データの入力品質確保、影響を受ける個人への通知
- 透明性義務：AIチャットボット利用時は「AIである旨」を相手に明示、AI生成画像・音声・動画はラベリング
- 禁止AIの未使用：感情認識AIを職場や教室で用いない（医療・安全目的の例外を除く）
- 基本権影響評価（公共機関・公共サービス提供者の一部）
制裁金体系
| 違反内容 | 制裁金上限 |
|---|---|
| 禁止AIプラクティス違反 | 最大35M EUR または全世界年間売上の7%（高い方） |
| その他の義務違反（ハイリスクAI、GPAI、透明性等） | 最大15M EUR または全世界年間売上の3% |
| 規制当局への不正確・誤導的情報提供 | 最大7.5M EUR または全世界年間売上の1.5% |
GDPR（最大4%）より重い水準で、年間売上1,000億円企業なら最大70億円の制裁金リスクがあります。中小企業向けには上限を絞った特例規定もありますが、安心材料にはなりません。
いま着手すべき7ステップ実務対応
ステップ1：AI利用棚卸し（Day 1〜10）
- 社内で使われているAIサービスをすべてリスト化（M365 Copilot、Gemini、ChatGPT、Notion AI、Adobe Firefly、各種SaaSのAI機能、自社開発AI、シャドウAI含む）
- 業務領域・利用目的・取り扱うデータ種別を記録
- EU関連業務（EU顧客／EU従業員／EU向け製品）との接点を抽出
ステップ2：リスク分類（Day 11〜20）
- 各AI利用がAnnex III／II／I（製品規制）／GPAIのどれに該当するかを判定
- 判定根拠を文書化（後の監査対応に必須）
- 禁止AIに該当するものはただちに利用停止
ステップ3：ガバナンス体制の整備（Day 21〜30）
- AI責任者（DPO的存在）の任命
- AI利用ポリシー策定（既存の生成AIガイドラインを拡張）
- ハイリスクAI承認プロセスの設計
- サプライヤ（AIプロバイダ）との契約条項見直し
ステップ4：AIリテラシー教育（Day 21〜45）
- 全社員向けの基礎研修（AIの仕組み、リスク、責任ある使い方）
- AI担当者向けのアドバンス研修（バイアス、説明可能性、ハルシネーション対策）
- 受講記録の保管（監査証跡）
ステップ5：ハイリスクAI対応（Day 31〜60）
- ハイリスクAIに該当するシステムの技術文書化
- 人間の監視メカニズム設計（最終判断は人間が下す等）
- 利用ログの6か月以上保存設計
- 影響を受ける個人への通知方法策定
ステップ6：透明性対応（Day 31〜60）
- 顧客対応チャットボットに「AIです」表示を追加
- マーケティング素材のAI生成画像・動画にラベリング
- ディープフェイク検知ツールの導入検討
ステップ7：監査・継続的モニタリング（Day 61〜）
- AIシステムの定期レビュー体制構築
- 重大インシデント報告フローの確立
- EU当局からの問い合わせ窓口設置
- 年次でのリスク再評価
主要AIベンダーの対応状況
| ベンダー | EU AI Act対応 |
|---|---|
| Microsoft（Copilot／Azure OpenAI） | Responsible AI Standard、AI影響評価テンプレート、EU Data Boundary対応済み |
| Google（Gemini／Vertex AI） | AI Principles準拠、技術文書整備、EU向けデータレジデンシー対応 |
| OpenAI（ChatGPT Enterprise） | GPAIプロバイダとしての文書整備、Trust Portal提供 |
| Anthropic（Claude） | Acceptable Use Policy、Responsible Scaling Policy |
主要ベンダー側はGPAIプロバイダ義務に対応中ですが、導入者（Deployer）側の義務は各社で対応する必要があります。ベンダー任せにはできません。
日本国内規制への波及
EU AI Actは、世界各国のAI規制の事実上のスタンダードを形成しつつあります。日本国内でも、2026年中に新たなAI関連法案の議論が本格化する見込みで、現時点ではソフトロー（経産省・総務省のAI事業者ガイドライン、広島AIプロセス）が主軸です。EU AI Act対応の枠組みを先行整備すれば、日本の将来規制への準備にもなります。
FAQ
日本企業でもEU AI Actの対象になりますか？
はい。EU子会社、EU向けSaaS、EU市場向け製品にAIを組み込んでいる場合、または出力がEU域内で使われる場合は対象。GDPRと同じ域外適用の考え方です。
Copilot／Geminiを使っているだけなら対象外ですか？
いいえ。「導入者（Deployer）」にも義務（AIリテラシー教育、人間の監視、ハイリスクAI利用記録、透明性等）があります。
制裁金はいくらですか？
最大35M EUR または全世界売上の7%。GDPRより重い水準です。
2026年8月2日に何が変わりますか？
透明性義務（第50条）、調和規格・適合性評価・CE表示・登録に関する規定、GPAIプロバイダへの制裁金権限（第101条）が適用開始となります。GPAIプロバイダ義務そのものは2025年8月から適用済みです。当初2026年8月適用予定だったAnnex IIIのハイリスクAI義務は、2026年7月採択のデジタルオムニバスにより2027年12月2日へ、Annex Iは2028年8月2日へ延期されました。
日本国内でも同様の法律ができますか？
2026年中に新法案の議論が本格化。現状はソフトロー中心。EU AI Act対応は日本の将来規制への準備にもなります。
まとめ
EU AI Actは2026年8月2日に透明性義務などが適用開始となり、ハイリスクAI義務は2027年12月2日以降へ延期されました。猶予は生まれましたが、日本企業の多くは「EU圏ではない」「うちはAI開発企業ではない」という理由で対応を後回しにしがちですが、Copilot／Geminiを社内で使う限り、導入者として義務が発生します。最低ラインは「AIインベントリ・リスク分類・社内ガバナンス・従業員リテラシー教育」の4点セット。GDPR対応を経験した企業は、その延長として整備するのが最短ルートです。「制裁金リスクの軽減」と「日本国内の将来規制への先行準備」を兼ねた投資として、稟議を通すのが賢明です。