EU AI Act 2026年8月 本格適用 — 日本企業への影響

要点: EUのAI規制(EU AI Act)は2026年8月2日に主要な規律の適用期日を迎えます。域外適用の構造を持つため、EU市場向けにAIシステムや生成AIサービスを提供する事業者は、所在国を問わず対象になり得ます。日本企業でも、EU向けの製品・サービスにAIが関わる場合は影響の確認が必要です。この記事では適用スケジュール、リスク階層、高リスク義務の概観、日本のAI推進法との考え方の違い、初動の対応ステップを整理します(個別の可否判断は専門家にご相談ください)。

EU AI Actは、欧州連合が2024年に成立させた人工知能に関する包括的な規則(Regulation (EU) 2024/1689)です。発効と同時にすべてを適用するのではなく、リスクの高い用途から段階的に規律を始める設計になっており、2026年8月はその節目とされています。「自社はEUで事業をしていないから無関係」とは言い切れない構造になっている点が、日本企業にとって最初の認識ポイントです。以下、順に確認していきます。

適用スケジュール — すでに始まっている段階適用

なお、実施細部(実施規則や標準化、当局のガイダンス)は整備が進行中であり、適用時期や運用を巡る欧州機関での見直しの議論も報じられています。したがって、この表は骨格の目安であり、実際の対応判断では必ず最新の公式情報を確認することを前提に読み進めてください。

域外適用 — EU外の事業者も含まれ得る構造

EU AI Actは、EU域内に所在する提供者だけでなく、所在地がEU外であっても、AIシステムの出力がEU内で使用される場合の提供者にも適用が及び得る旨を定めています。日本の企業にとっては、次のような場面が検討対象になり得ます。

• EUの顧客向けに、AI機能付きのSaaSやアプリを直接提供している
• ECサイトやカスタマーサポートで、EUの利用者が生成AIチャットボットに接触できる
• 欧州の子会社・現地法人が、グループ共通のAIツールを利用している
• 組込機器や製造ラインにAIを実装し、EUへ輸出している

逆に、EU圏の利用者が一切想定されない純然たる国内向けサービスであれば、直接的な適用場面は限られます。まずは「自社のAI利用がEUと接点を持つか」の一覧化が出発点になります。

リスク階層 — 4つの区分と高リスク義務の概観

規則は用途ごとのリスクに応じて区分を設けています。

• 受忍できないリスク(禁止): 政府による社会的スコアリングのように、規則上禁止される実践
• 高リスク: 附属書IIIに列挙される用途など。義務の本体が課される領域
• 限定的リスク: チャットボットである旨の開示、ディープフェイクコンテンツである旨の表示といった透明性義務
• 最小リスク: 上記以外。自由な利用が想定される領域

附属書IIIの例示には、バイオメトリクスによる個人識別、重要インフラの安全管理、教育・職業訓練、雇用・労働者管理(採用選考や業績評価など)、生活に不可欠な民間サービス、法執行、出入国管理、司法手続などが含まれます。高リスクと評価された場合は、リスクマネジメント体制、データガバナンス、技術文書の整備、ログの保持、人間による監督、精度・堅牢性・サイバーセキュリティといった項目の履行が概ね想定されていますが、細部の水準は実施規則やガイダンスに依存するため、ここでは概観にとどめます。

日本企業が最初に確認すべきポイント

• EU向けの製品・サービスにAI機能が組み込まれていないか(直接提供とOEM・組込みの両方)
• AIの用途が、附属書IIIの例示(採用選考、与信審査、教育、生体認証など)に近くないか
• 汎用AIモデルや生成AIサービスを、EUの利用者に提供していないか
• EUの個人情報(GDPR)とのデータ移転を伴っていないか
• 欧州の取引先・親事業者から、契約上の遵守要求が来ていないか

規制動向の監視を日常運用に組み込む考え方は、規制コンプライアンス監視にAIを使う解説が参考になります。GDPR側の論点は、個人情報保護法制とプライバシーポリシーの解説、委託先管理の実務は個人情報取扱委託契約書テンプレートの解説と重なるため、セットで点検すると抜けが減ります。

日本のAI推進法との対比 — 方向性の違い

日本では2025年に、AI推進法(人工知能関連技術の研究開発及び活用の推進に関する法律)が成立しました。これはイノベーションの推進を基軸とする基本的な枠組みで、罰則を伴わないとされており、AI事業者ガイドラインのようなソフトローの運用が前提の姿勢です。一方、EU AI Actは義務違反に対して高額な制裁金を上限として科し得る規則型のアプローチです。

つまり「日本では罰則がないから問題ない」という理解は、国内法の話としてはともかく、EU向けビジネスには通用しないということです。両者の違いを理解した上で、EU関連の取引では相手方の要求水準も踏まえた対応を組み立てる必要があります。

実務対応ステップ — 初動の進め方

• AI利用の棚卸し: 社内のどの業務・製品にどのAIが使われているか、台帳にまとめる
• EU関連性の評価: 台帳をもとに、EUの利用者・市場と接点のある用途を抽出する
• 役割の確認: 提供者(provider)か、既製のAIを活用する展開側(deployer)かで負う義務が異なるため、自社の位置づけを整理する
• ベンダー契約の点検: 利用しているAIベンダーの支援体制、契約上の表明・補償、データの扱いを確認する
• 文書化と記録: 判断の根拠を残し、規制の動向変更に追従できるようにする
• 専門家への相談: 高リスクに該当し得る用途では、早期に弁護士等の専門家へ相談する

最新の規制内容やガイダンスを調べる作業では、AIの回答を鵜呑みにしない姿勢が重要です。AIで判例・法令リサーチを行う際の注意点の解説にある「原文照合」の習慣は、外国法の確認でこそ効きます。ツールを選定する段階では、リーガルAI選定チェックリストの観点が役立ちます。汎用チャットボットでの安易な判断の限界については、ChatGPTで法律業務をしてよいかの整理も参照してください。そもそもAIを法務に取り込む全体像は、AIリーガル・AI弁護士サービスの種類と選び方の解説から俯瞰できます。

まとめ

EU AI Actの2026年8月の本格適用は、「遠い海外の規制」ではなく、EUという巨大市場と取引する日本企業の条件が変わる節目です。とはいえ、全社一律に大きな投資を要する話ではなく、(1)棚卸し、(2)EU関連性の評価、(3)役割と契約の点検、という地味な初動から始めるのが現実的です。制度自体もまだ動いているため、確定した情報のみを扱い、不明点は専門家に確認する慎重さが、結果的には一番の近道になります。

MeshLawではじめる

規制対応では、調査メモ・契約書・チェックリストが案件ごとに散らかりがちです。MeshLawでは法令リサーチ、契約書レビュー、文書管理を一つの文脈で扱えます。app.meshlaw.aiから無料で利用を始められます。

よくある質問（FAQ）

EU AI Actとは何ですか

欧州連合が2024年に成立させた、人工知能に関する包括的な規則(Regulation (EU) 2024/1689)です。用途ごとのリスクに応じて、禁止・高リスク・限定的リスク(透明性)・最小リスクという階層で規律を設け、段階的に適用を進めています。

2026年8月に具体的に何が変わりますか

規則の主要部分の適用期日とされています。附属書IIIに列挙される高リスク用途への義務や、チャットボット・ディープフェイクの透明性義務などが中心です。細部の運用は実施規則やガイダンスの整備状況に依存するため、最新情報の確認が前提になります。

日本企業ですが、対象になりますか

EU市場向けにAIシステムを提供する場合や、AIの出力がEU内で使用される場合には、所在地を問わず適用が及び得る旨が定められています。EUの顧客・利用者との接点があるかどうかが、最初の確認ポイントです。

「提供者」と「展開者」の違いは何ですか

提供者はAIシステムを開発して市場に出す側、展開者は既製のAIを自分の業務や製品で使う側です。同じ技術でも立場によって負う義務が大きく異なるため、自社がどちらに当たるかの整理が対応の起点になります。

高リスクに該当したら何をする必要がありますか

リスクマネジメント体制やデータガバナンス、技術文書、人間による監督などの一連の義務が概ね想定されます。ただし具体的な水準はガイダンス次第の部分が大きいため、該当の疑いがある段階で専門家に相談することを推奨します。

ChatGPTのような生成AIの業務利用も対象ですか

用途次第です。汎用AIモデル自体への義務(2025年8月から適用)と、それを業務で使う側の透明性義務は別の建付けです。採用選考や顧客対応など、用途が高リスクの例示に近い場合は慎重な確認が必要です。

違反した場合の制裁はどのくらいですか

禁止された実践については、最高で3,500万ユーロまたは全世界売上高の7%という上限が定められており、その他の義務違反についても段階的な制裁金の上限が設けられています。あくまで上限値であり、違反の性質・期間・改善への協力状況などで判断されます。

日本のAI推進法と両立しますか

日本の推進法は推進を基軸とする基本法で、EUの規則型アプローチとは方向性が異なりますが、競合して排除し合う関係ではありません。EU向け取引ではEU法の遵守が、国内では推進法とガイドラインの趣旨に沿った運用が、それぞれ必要です。

中小企業でも対応が必要ですか

対象となる用途を抱えているのであれば、規模にかかわらず基本の義務は発生し得ます。一方で、規則には中小企業への配慮(比例原則的な調整や支援策)も織り込まれています。まず棚卸しで「対象か否か」を切り分けるのが最優先です。

GDPRとの関係はどうなりますか

別々の法制度ですが、同じデータ・同じサービスを扱うため実務上は重なります。AIの学習や運用で個人情報がEUから日本へ移るときは、GDPR上の移転要件と、日本側の個人情報保護法制・委託先管理の両方を意識する必要があります。

どこで最新情報を確認すべきですか

欧州委員会やAI Officeの公式ページ、各国監督当局の公表資料が一次情報です。日本語の二次情報は解釈が混在するため、重要な判断では原文または弁護士等の専門家の見解で確認してください。本記事も一般情報であり、個別の判断を代替するものではありません。