EU AI法とは？リスク分類・罰則・最新の適用スケジュールと日本企業への影響をわかりやすく解説

EU AI法は、日本に本社がある企業にも関係する法律です。例えば、日本で作ったAIの出力をEUの拠点で採用選考に使う場合と、国内だけで会議メモを要約する場合とでは、確認すべき義務が異なります。

本記事では、リスク分類・生成AIの透明性義務・汎用AIモデルの規制を整理し、2026年の改正後の適用日と罰則を解説します。自社の広告や問い合わせ窓口を例に、どの部門が何を確認すればよいかを把握したい方は、ぜひ最後までご覧ください。

EU AI法（AI Act）とは？

EU AI法は、EUがAIの開発・提供・利用について共通のルールを定めた規則です。人の安全や基本的な権利に与えるリスクに応じて、特定の使い方を禁止したり、事業者に管理や情報開示を求めたりします。

企業にとって重要なのは、どのAIを使うかに加えて、何のために誰が使うかです。同じ製品でも、利用目的や提供形態が変われば、確認すべき条文も変わります。

世界初の包括的なAI規制法

欧州委員会はEU AI法を、世界初の包括的なAI規制法と位置づけています。正式な規則番号は「Regulation (EU) 2024/1689」で、2024年7月12日にEU官報へ掲載され、同年8月1日に発効しました。

EU法上の「規則（Regulation）」は、加盟国がそれぞれ同じ内容の法律を作り直さなくても直接適用されます。ただし、法律が発効した日と、企業に個々の義務が適用される日は別です。例えば、従来からの禁止事項は2025年2月から適用されましたが、高リスクAIの主要な義務には2027年以降の適用日が設定されています。

リスクの大きさで規制を変える「リスクベースアプローチ」

リスクベースアプローチとは、AIがもたらし得る被害の大きさや発生する可能性に応じて、必要な対策を変える考え方です。全ての製品に同じ審査や表示を求める仕組みではありません。

例えば、人事部が使うAIでも、説明会の案内文を整える機能と、応募書類を評価して候補者を順位付けする機能では意味が異なります。後者は就職の機会を左右するため、高リスクAIとして検討する代表例です。社内で分類する際は「人事用ツール」と一括りにせず、AIの出力がどの判断に使われ、誰に影響するかまで書き出しましょう。

規制の対象（AIシステムと汎用AIモデル）

EU AI法は、入力から予測・文章・判断などを導く「AIシステム」と、幅広い仕事に利用できる「汎用AIモデル」を区別します。例えば、顧客が質問を入力するチャットサービスはシステムで、その回答生成を支える基盤がモデルです。

自社名で製品を提供する企業と、自社の業務で利用する企業では義務が異なります。自ら開発した場合だけでなく、開発を委託して自社ブランドで市場に出す場合も「提供者」になり得ます。自社の管理下で業務に使う企業は「導入者」に当たり、EU域内の輸入者や流通・販売事業者には別の役割があります。

リスクにもとづく4つの区分と主な規制

欧州委員会はAIのリスクを大きく4つに整理しています。これは全体像をつかむための分類で、一つのシステムに複数の義務が重なる場合もあるため、実際の判断では用途と条文を照合します。

※区分と義務は、欧州委員会の解説およびEU AI法第5条・第6条・第50条をもとに整理しています。

生成AIの利用で企業が直面するリスクと対策は、以下の記事で詳しく解説しています。

許容できないリスク（禁止されるAI）

第5条は、本人が意識できない刺激などで意思決定を著しくゆがめ、重大な害を生じさせるか、そのおそれが合理的に見込まれる行為を禁止しています。社会的行動などを点数化し、無関係な場面で不利益を与える社会的スコアリングも対象です。職場や教育機関で生体データから感情を推測するAIは、医療・安全目的を除き禁止されます。

2026年12月2日からは、性的な画像などの生成・加工に関する禁止も加わります。対象には、本人の明示的な同意なく特定可能な人の性的な姿を写実的に生成する場合や、児童性的虐待に当たる素材を生成する場合があります。利用者側はその目的で使ったか、提供者側は意図した用途か、予見・再現可能な悪用への防止策があるかなどで判断します。

高リスクAI

高リスクAIには大きく2つの経路があります。第1は、附属書IIIに列挙された用途です。採用候補者の選別や人事評価、入学選考、個人の信用力評価、重要インフラの安全管理などが該当します。

第2は、医療機器など附属書Iの対象製品そのもの、またはその安全部品に当たるAIで、対象製品に第三者による適合性評価が必要な場合です。

提供者にはリスク・データ管理や技術文書の作成に加え、ログの記録、人による監視、正確性やサイバーセキュリティの確保などが求められます。購入して使う導入者にも役割があります。例えば、適切な能力と権限を持つ監視担当者を置き、自社の管理下にある自動記録を原則6か月以上保存する必要があります。

透明性リスク

透明性リスクとは、相手がAIだと気づかずに会話したり、合成された映像を本物の記録だと受け取ったりするおそれを指します。第50条はこうした場面について、システムを作る側と使う側に異なる義務を定めています。

チャットボットでは人がAIと対話しているとわかる設計が必要です。一方、実在する人物の発言を再現した動画では、技術的に検出できるかと、視聴者に生成・加工を伝えたかを分けて確認する必要があります。

最小リスク

一般的な迷惑メールフィルターなどは、最小リスクの例です。この用途だけを理由に、高リスクAIと同じ技術文書の作成や適合性評価が求められるわけではありません。

一方で、最小リスクは、あらゆる義務が免除されるという意味ではありません。AIリテラシーに関する措置や個人情報の取り扱いを別途確認し、用途に応じて自主的な行動規範を活用できます。

生成AIに関係する「透明性義務」

第50条の透明性義務は、原則として2026年8月2日から適用済みです。既存システムの一部に猶予があるのは機械判読表示の義務で、チャットボットの通知やディープフェイクの開示全体が延期されたわけではありません。違反には第99条第4項の制裁金が適用され得ます。企業の上限は原則1,500万ユーロまたは前年度の全世界年間売上高の3％の高い方です。

AIと対話していることの通知（チャットボットなど）

人と直接やり取りするAIシステムの提供者は、相手がAIと対話しているとわかるように設計する必要があります。例外は、利用場面を踏まえ、合理的な知識と注意力を持つ人にとってAIであることが明らかな場合です。提供者が「利用者なら気づくはず」と考えるだけでは、この判断はできません。

有人窓口と同じ画面にチャットボットを置くなら、最初のやり取りまでに「AIアシスタントが回答します」と伝える方法があります。利用規約にだけ書くよりも、会話を始める場所に表示すれば、スマートフォンからアクセスした顧客にも伝わります。

AI生成コンテンツへの機械判読できる表示（電子透かしなど）

第50条第2項は、合成した音声・画像・動画・テキストを出力するAIシステムの提供者に、生成・加工されたことを機械で読み取り、検出できるようにする義務を課しています。電子透かしなどは手段の例で、全てのコンテンツに同じ技術を使うよう指定しているわけではありません。

通常の編集を補助する範囲や、入力データまたはその意味を実質的に変えない範囲は対象外です。また、2026年8月2日より前にEU市場に出ていた対象システムの提供者には、この義務に対応する期限として2026年12月2日が設けられています。この猶予は提供者の出力への表示に限られるため、当該ツールで作った動画を公開する企業は、自社の開示義務を別に確認しましょう。

ディープフェイクと公共の情報を伝えるテキストの開示

実在する人物や出来事などに似せて、本物だと誤認させる画像・音声・動画を生成・加工した導入者には、その事実を開示する義務があります。明らかに芸術・創作・風刺などに当たる作品では、鑑賞を妨げない適切な方法で伝えることが認められます。

公益に関する事項を人々に知らせる目的でAI生成・加工テキストを公表する場合も、原則として開示が必要です。ただし、人によるレビューまたは編集上の管理があり、かつ個人か法人が公表について編集責任を負う場合は例外となります。

企業が公開する文章でも、商品説明と公衆衛生に関する注意喚起では目的が異なります。「広告かどうか」だけで決めず、何を伝えるために誰が公開するかを確認しましょう。

汎用AI（GPAI）モデルの規制

汎用AI（GPAI）モデルの規制は、ChatGPTやClaudeのようなサービスを支える基盤モデルの提供者が主な対象です。既製サービスを業務で使うだけの企業が、直ちにモデルの学習内容を公表する義務を負うわけではありません。

汎用AIモデルの提供者の義務

第53条は、汎用AIモデルの提供者に対して、開発・評価に関する技術文書を作成し、最新の状態に保つことを求めています。また、そのモデルを自社のシステムに組み込む事業者が、能力や限界を理解して法令に対応できるよう、必要な情報を渡す義務があります。

ほかにも、EUの著作権法を守る方針を定め、学習に使ったコンテンツについて十分に詳しい概要を公表する必要があります。条件を満たすオープンソースモデルは一部の文書義務が免除されますが、著作権方針と学習内容の概要公表まで一律に免除されるものではありません。

システミックリスクを伴う汎用AIモデルの追加義務

システミックリスクとは、高度なモデルが広く使われることで、安全や基本的な権利などへの深刻な影響が社会に広がり得るリスクです。モデルの能力が法定の基準に該当する場合や、同等の能力・影響があるとして欧州委員会が指定する場合に、追加の義務が問題になります。

該当する提供者は、モデルの評価とリスク軽減に加え、重大な事故の把握・報告やサイバーセキュリティ対策を行う必要があります。公開前に想定される悪用を試すだけでなく、提供後に重大な問題を把握した際の報告や是正に備えるところまでが対象です。

Code of Practice（行動規範）

General-Purpose AI Code of Practiceは、汎用AIモデル提供者がEU AI Actの義務への対応を示すための任意の行動規範です。2025年7月10日に公表され、同年8月1日に欧州委員会とAI Boardが適切な手段として承認しました。

OpenAI・Google・Microsoft・Anthropic・Amazon・Mistral AIなどが署名しています。署名した提供者は、透明性・著作権・安全性に関する義務への適合を示しやすくなります。

いつから？EU AI法の適用スケジュール

EU AI法は一斉に全ての義務を課すのではなく、段階的に適用されます。2026年の改正で高リスクAIの主要な義務は延期されましたが、従来からの禁止事項や汎用AIモデルの規制、透明性義務には、それぞれ異なる適用日があります。※1

対応計画では、自社の業務に該当する行から確認してください。

2024年8月の発効から段階的に適用

最初に企業の業務へ影響したのは、2025年2月2日に適用が始まった禁止事項とAIリテラシーに関する規定です。同年8月2日には、適合性評価を担う機関に関する第3章第4節のほか、汎用AIモデルを扱う第5章やガバナンスを扱う第7章などが続きました。第12章の罰則規定もこの段階ですが、第101条は例外です。

2026年8月2日は規則全体の原則適用日であり、全ての企業に一斉に同じ義務が生じた日ではありません。この日以降に新たにEU市場に出す生成システムと、それ以前から市場にあるシステムとでは、機械判読表示の対応期限が異なります。自社の記録には法令の日付だけでなく、製品を市場に出した日も残しましょう。

Digital Omnibusによる高リスクAIの適用延期

「Digital Omnibus on AI」は提案段階の文書ではなく、成立した改正規則（EU）2026/1744です。規則の日付は2026年7月8日で、7月24日にEU官報へ掲載され、7月27日に発効しました。

改正後は、採用選考など附属書IIIの高リスクAIに関する主要な義務を2027年12月2日から適用します。医療機器など附属書Iの対象製品に関わる高リスクAIについては、2028年8月2日が該当する主要規定の適用日です。

延期はEU AI法全体には及びません。例えば、EU向けに採用支援サービスと顧客対応チャットを提供する企業は、採用AIの準備と並行して、すでに適用されているチャットの通知義務を確認する必要があります。

EU AI法の罰則（制裁金）

EU AI法は、EU一般データ保護規則（GDPR）と同様に、企業の全世界年間売上高を基準に含む制裁金を定めています。第99条では違反の種類ごとに上限が異なり、最高額がそのまま科される仕組みではありません。

※EUの定義に該当する中小企業には、次項で説明する「低い方」の上限が適用されます。

違反の内容に応じた3段階の制裁金

最も上限が高いのは、禁止されたAIの利用をはじめとする第5条への違反です。一方、AIとの対話を知らせないなど第50条に違反した場合は、3,500万ユーロ・7％の区分ではなく、1,500万ユーロ・3％の区分に当たります。ここでいう売上高は、対象サービスのEU域内売上高だけを指すものではありません。

実際の金額は、違反の性質や重大性、継続期間などを踏まえて決まります。企業規模や当局への協力、被害を抑えるために取った措置なども判断材料です。また、表は第99条の整理であり、欧州委員会が汎用AIモデルの提供者に科す制裁金には別途第101条があります。

中小企業・スタートアップへの配慮

第99条第6項では、スタートアップを含む中小企業について、固定額と売上高に対する割合を比べた「低い方」が上限です。例えば対象となる中小企業の前年度の全世界年間売上高が1,000万ユーロなら、透明性義務違反の上限は、その3％に当たる30万ユーロです。

2026年の改正では、制裁を科す際に中小規模の中堅企業（SMC）の利益や事業の存続可能性にも配慮する規定が加わりました。さらに新設の第99条第6a項により、SMCにも第4項・第5項の制裁金について「低い方」を上限とするルールが適用されます。ただし、第5条違反に対する第3項の制裁金は、このSMCの特例の対象外です。

日本企業もEU AI法の対象になる？

EUに拠点がなくても、日本企業は対象になり得ます。EU市場にAIシステムを提供する場合や、日本でAIを動かしても出力がEU域内で使われる場合などがあるためです。契約先の住所と併せて、実際の利用場所を確認しましょう。

域外適用の考え方（提供者・導入者）

第2条は、事業者の所在地にかかわらず、EU市場にAIシステムや汎用AIモデルを出す提供者を適用対象に含めています。AIシステムをEUで使用に供する提供者、EUに拠点があるか域内に所在する導入者も対象です。日本国内に開発拠点やサーバーがあることだけで、適用は否定されません。

さらに、EU域外に所在するAIシステムの提供者・導入者でも、システムが生成した出力がEU域内で使われる場合が含まれます。例えば、日本本社が応募者の評価結果を作り、EU子会社が採否の判断に使う場合です。グループ内で完結する業務も含め、誰が出力を受け取り、どこで何に使うかまで追うと、確認すべき事業者と用途が見えてきます。

【ケース別】日本企業が対象になる場面

日本企業でも、EU域内でAIを提供・利用する場合はAI Actの対象になり得ます。たとえば、EU向け広告やコンテンツを生成AIで作る場合、ディープフェイクや一定の公益情報に該当すれば透明性義務が関係します。また、EUの顧客向けにAIチャットボットを提供する場合は、利用者にAIとの対話であることを知らせる必要があります。

EU子会社が採用選考でAIを使うケースは、高リスクAIの「導入者」に該当する可能性があり、適用開始後は人による監督や運用監視などが求められます。自社開発したAIサービスをEUで販売する場合は「提供者」として、リスク区分に応じた透明性や適合性評価などの義務を確認する必要があります。なお、実際の該当区分や義務は用途・提供形態で変わるため、個別判断は専門家への確認が必要です。

自社の立場と区分を判定するフロー

最初に確かめるのは「EUとの接点 → 自社の役割 → 用途と義務」の3点です。販売地域だけでなく出力の利用先まで追い、対象になり得る業務を絞ります。次に、自社名で提供するのか、他社製品を業務で使うのかを確認しましょう。

最後に禁止用途、高リスク用途、透明性義務の順に照合します。例えば、採用面接を行うチャットボットなら、応募者の評価に使うかと、相手にAIだと伝わるかは別々の確認事項です。判定日と根拠を記録し、機能や利用先を変えたときは見直しましょう。

日本企業がとるべき対応

最初に行いたいのは、AIを利用している部門と、その成果物を受け取る相手の把握です。情報システム部門だけに任せず、実際に広告を出す担当者や採用担当者と一緒に棚卸しすると、表示や監視の担当を決めやすくなります。

生成AIの社内ルールの作り方は、以下の記事で詳しく解説しています。

自社のAI利用を棚卸しする（AIインベントリ）

AIインベントリとは、自社で開発・提供・利用しているAIを一覧にした台帳です。製品名や用途、入力データ、業務責任者に加え、EUでの提供・利用の有無や、自社が提供者・導入者のどちらに該当するかを整理します。表計算シートを使い、まずEU事業に関係する部署から始める方法もあります。

特に見落としやすいのは、同じツールを別の用途で使う部門です。総務が案内文を整える用途と、人事が応募者を順位付けする用途は別の行に記載しましょう。該当する役割やリスク分類の判定根拠、確認日も記録しておけば、仕様変更時の再確認に役立ちます。

透明性義務に合わせて表示ルールを整える

表示ルールは「AIを使ったら一律にラベルを付ける」ではなく、誰が、誰に、いつ、何を知らせるかまで決めます。チャットなら初回の応答までに利用者が読める位置へ案内を出し、音声窓口なら冒頭の音声でAIが応答することを伝える方法があります。

広報部門では、ディープフェイクに当たる素材と、公益に関する情報を伝えるテキストを分けて確認しましょう。後者で人による確認と編集責任を根拠に例外を適用する場合は、原稿を誰が審査し、誰の責任で公開したかを記録しておくと、公開後も判断の経緯を説明できます。

AIガバナンス体制とAIリテラシー教育を整える

AIガバナンスとは、組織がAIの利用方針や責任者を決め、問題を見つけたときに是正できるようにする仕組みです。改正後の第4条は、提供者・導入者に対し、従業員などのAIリテラシーの向上を支援する措置を求めています。措置を決める際は、担当者の知識や経験、利用場面、影響を受ける人を考慮します。

一人ひとりが特定の知識水準に達することまで保証する義務ではありません。広告担当者には合成動画の開示を、人事担当者にはAIの評価をうのみにしない確認方法を教えます。判断に迷ったときの相談先と問題発生時の責任者も決めておくと、研修内容を日常業務に生かせます。

ISO/IEC 42001などの国際規格を活用する

ISO/IEC 42001は、AIを開発・提供・利用する組織が、管理体制を構築して継続的に改善するための国際規格です。担当部署を決めた後に、リスクの評価や運用の見直しをどのような手順で行うかを設計する際に役立ちます。

ただし、組織の管理体制と個々のAIシステムの適法性は別の確認事項です。規格を活用していても、自社の採用ツールが高リスク用途に該当するか、広告動画に開示が必要かは、対象の製品や業務ごとに判断しましょう。

日本のAI推進法との違い

EU AI法と日本のAI推進法は、どちらもAIの利活用とリスクへの対応を扱います。大きな違いは、EUが用途別の義務や制裁金を定める一方、日本は研究開発と活用を推進する基本的な枠組みを定めていることです。

日本と海外のAI規制について詳しく知りたい方は、以下の記事をご覧ください。

規制法と推進法の違い

日本のAI推進法の正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」です。2025年6月4日に公布・一部施行され、同年9月1日に全面施行されました。国の施策に加え、研究開発機関やAIを活用する事業者などの役割を定めています。

日本のAI推進法には、EU AI法のように禁止用途や違反類型ごとの制裁金を定める仕組みはありません。国内の実務では、総務省・経済産業省の「AI事業者ガイドライン」などを体制づくりに活用できます。ただし、推進法自体に罰則がないことは、個人情報や著作物を自由に扱えるという意味ではありません。

日本企業は両方を意識する必要がある

国内とEU向けで全く別の管理体制を作るよりも、AI台帳や事故報告の窓口を共通化し、地域ごとの確認項目を追加するほうが運用しやすくなります。例えば、広告の公開申請に「公開先の国」「実在人物の再現の有無」「編集責任者」の欄を設ける方法があります。

そのうえで、日本では国内法とガイドラインを確認し、EUとの接点がある案件では第2条や第50条まで照合します。利用地域や用途が変わった際に再審査する仕組みも用意しておきましょう。

EU AI法を踏まえたAIガバナンス整備ならWEELにご相談ください

EU AI法は段階的に適用されており、生成AIを使う日本企業も、EUでの提供や出力の利用を通じて透明性義務などの対象になり得ます。まずは自社の立場・用途・適用日を整理し、すでに適用されている義務から対応を進めましょう。

制度を理解していても、広報と開発で「AI生成を表示する」の意味が異なれば、確認漏れは起こります。どの業務を台帳に載せるか、誰が公開前に判断するかまで具体化したい場合は、WEELへの無料相談や社内セミナーを、ルールづくりと担当者教育の出発点としてご活用ください。

EU AI法のよくある質問