EU AI規制法（EU AI Act）完全施行ガイド｜2026年8月2日に本当に始まること・日本企業の対応義務

EU AI Act（欧州AI規制法）は、2026年8月2日にほぼ全条項が適用される節目を迎える。ただし、2026年5月7日に合意されたDigital Omnibusにより、高リスクAIへの義務の多くが2027〜2028年に延期された。「2026年8月2日＝すべてが動き出す」という理解は正確ではなく、多くの記事がこの点を更新できていない。

この記事では以下を整理する。

• 2026年8月2日に「実際に始まること」 ― 透明性義務（Article 50）とEU AI Office本格稼働
• Digital Omnibusで延期されたもの ― 高リスクAI義務は2027年12月2日まで猶予
• すでに2025年8月から適用済みのGPAI規制 ― Claude・ChatGPT・Gemini等が対象
• 日本企業がEU AI Actの対象かどうかの判断フロー
• 企業の実務対応ステップとコスト目安

（対象読者：EU向けビジネスを持つ日本企業の法務・コンプライアンス・IT担当者、ChatGPT・Claude等の生成AIを業務利用している企業の担当者）

EU AI Actとは：世界初の包括的AI規制の位置づけ

EU AI Act（正式名称：Regulation (EU) 2024/1689）は、2024年8月1日に発効した欧州連合の人工知能規制法だ。AIシステムを法的に規制する世界初の包括的な枠組みとして、各国の規制当局・企業から注目されている。

基本的な考え方は「リスクベースアプローチ」だ。すべてのAIを一律に規制するのではなく、社会への危険度に応じてリスクレベルを4段階に分類し、危険度が高いほど厳しい義務を課す。

GDPRとの関係： EU AI ActはGDPR（一般データ保護規則）と並立・補完する規制だ。個人データを処理するAIはEU AI ActとGDPRの両方への準拠が必要になる。GDPR対応で構築した組織体制（DPO設置・データ記録管理・同意取得フロー等）はEU AI Act対応でも活用できる部分が多い。

適用除外となるのは以下のケースだ。

• 軍事・国防・国家安全保障目的のAI
• 科学研究・開発段階（商用展開前）のAI
• 純粋な個人・非商業的利用
• フリー＆オープンソースライセンスで公開されたAI（ハイリスク分類を除く）

リスクベースアプローチ：4段階の分類を整理

第1層：容認できないリスク（禁止AI）― 2025年2月2日から適用済み

もっとも危険とされるAIはEU市場への投入・使用が全面禁止されている（Article 5）。すでに2025年2月2日から適用されており、現在も有効だ。

2026年12月2日追加禁止（Digital Omnibusによる新規定）：

• AI生成の児童性的虐待コンテンツ（CSAM）
• 非合意のAIディープフェイク性的画像の生成・配布

第2層：高リスクAI（Annex III・Annex I）― 独立型は2027年12月2日まで義務猶予

社会的影響が大きい8分野のAIが「高リスク」として指定されており、提供者・展開者に厳格な義務が課される。ただし、2026年5月7日に合意されたDigital Omnibusにより、Annex III（独立型高リスクAI）の義務開始が2027年12月2日に延期された。

高リスクと指定されるAnnex III 8分野：

Annex I（製品組込型高リスクAI）： 医療機器・機械・自動車の安全コンポーネントとして組み込まれたAI。Digital Omnibusにより2028年8月2日まで猶予が延びた。

高リスクAI事業者の主な義務（2027〜2028年から本格適用）：

• リスク管理システムの構築・維持
• 高品質なトレーニングデータの使用
• 技術文書の作成・更新（10年間保持）
• 自動ログ記録機能の実装
• 人間による監視（Human Oversight）体制の確保
• 適合性評価（第三者評価または自己評価）
• EU代理人の選任（EU域外の提供者の場合）

第3層：限定的リスクAI（Article 50）― 2026年8月2日から適用

チャットボットや生成AIコンテンツなど、透明性義務のみが課されるカテゴリだ。2026年8月2日から適用が始まる。

開示はフッターの小注記では不十分で、「明確かつ識別可能な方法」で行う必要がある。「AIとの対話であることが合理的に見て明らか」な場合は例外が認められることもあるが、判断は慎重に行うべきだ。

第4層：最小リスク（ほぼ規制なし）

スパムフィルター、ゲームAI、レコメンドエンジン等。原則として義務は課されない。

最新施行スケジュール：Digital Omnibus（2026年5月7日）反映版

⚠️ 重要： 2026年5月7日にEU理事会と欧州議会が「Digital Omnibus on AI」の暫定合意を発表した。高リスクAI義務の期限が大幅に延期されており、「2026年8月2日完全施行」という説明は実態とずれがある。

延期の理由： 高リスクAI義務を担保する技術標準（EN規格）の策定が想定より遅れていること、および中小企業を含む事業者の準備期間確保の必要性が主な理由だ。EU規制当局側の実務的準備不足も一因とされている（Gibson Dunn分析より）。

（注：Digital Omnibusは2026年6月時点で正式採択手続き中。暫定合意の内容で準備を進めることが各法律事務所から推奨されている。）

2026年8月2日に「本当に始まること」を3点に整理

多くの記事で「2026年8月2日から完全施行」と表現されているが、正確には以下の3点が2026年8月2日から始まる。

2026年8月2日から始まること（変更なし）：

1. Article 50 透明性義務： チャットボット・生成AIコンテンツのAI開示義務が法的に適用される
2. EU AI Officeの正式執行権限： GPAI義務の違反調査・制裁金賦課の本格化
3. Article 6(1)以外の残りの規定： ガバナンス、標準化、CEマーキング等の全体的な枠組み

2026年8月2日以降も猶予が続くもの：

• Annex III 高リスクAI義務（採用AI・信用スコア・教育評価等）→ 2027年12月2日まで猶予
• Annex I 製品組込型高リスクAI（医療機器・機械等）→ 2028年8月2日まで猶予

実務的には「EU向けサービスにチャットボット・AIアシスタントを使っているかどうか」が2026年8月2日の最重要チェックポイントだ。カスタマーサポートAI・FAQ自動応答・社内チャットボット（EU拠点向け）等を運用している企業は、2026年8月2日までにAI開示対応を完了させる必要がある。

Claude・ChatGPT・Gemini等のGPAI規制：2025年8月2日から適用済み

Anthropic（Claude）・OpenAI（ChatGPT/GPT-4o）・Google（Gemini）・Meta（Llama）等の大規模言語モデルは、EU AI ActにおいてGPAI（General-Purpose AI Model：汎用目的AIモデル）として規制対象となる。GPAI規制はすでに2025年8月2日から適用されている。

GPAIプロバイダー全員への義務（適用済み）

システミックリスクGPAI（訓練計算量 10²⁵ FLOP超）への追加義務

訓練規模が10²⁵ FLOPを超える大規模モデルは「システミックリスクあり」として追加義務を負う。

• モデル評価・red-teamingの実施
• 重大インシデントの72時間以内のEU AI Officeへの報告
• サイバーセキュリティ保護の強化

AnthropicとOpenAIの対応状況

Anthropic（Claude）とOpenAI（ChatGPT）は、2025年7月21日にEU「General-Purpose AI Code of Practice」への署名を表明した。Microsoft・Google・Amazon・Anthropic・OpenAIを含む26社以上の主要AIプロバイダーがこのCode of Practiceに署名している。署名により「適合の推定（rebuttable presumption of conformity）」が得られ、独自の適合証明が不要になる。

署名しないプロバイダーは独自の適合証明が必要になるため、Code of Practice署名は実質的なスタンダードになりつつある。

利用企業が知るべきポイント

Claude・ChatGPT等を業務利用している企業（利用企業＝展開者）は、プロバイダーの義務（技術文書作成等）を直接負うわけではない。 ただし、採用選考・ローン審査・医療診断支援等の高リスクAI分野でClaude・GPTを活用している場合は、展開者として別途義務が発生する。

生成AIを社内の業務ツールとして利用している企業は、生成AIのセキュリティリスクと対策も合わせて確認しておくとよい。

日本企業はEU AI Actの対象か：域外適用の判断フロー

EU AI ActはGDPRと同様に域外適用を採用している。EUに会社がなくても、以下のいずれかに該当する日本企業は適用対象になりうる。

対象になる4つのケース

対象にならないケース

以下のみに該当し、EU接点が一切ない場合は適用除外となる可能性が高い。

• 日本国内B2B取引のみで、EU企業・EU市民との接点が一切ない
• 科学研究・開発段階のAI（商用展開前）のみを使用
• 軍事・国防・国家安全保障目的のAIのみ
• 個人・非商業的利用のみ

自社の適用判断フロー

【STEP 1】EU向けサービス・製品を提供しているか？
　  ↓ Yes → EU AI Act適用対象（使用AIのリスク分類確認が必要）
　  ↓ No ↓
【STEP 2】EU域内のグループ会社でAIを展開しているか？
　  ↓ Yes → グループ会社が展開者として義務を負う（親会社も影響）
　  ↓ No ↓
【STEP 3】EU企業にAI成果物・AI組込製品を納品しているか？
　  ↓ Yes → 適用対象の可能性あり（法律専門家への確認を推奨）
　  ↓ No → 現時点では適用外の可能性が高い

注意： 「間接的にEU市場と接点がある」場合の判断は専門家判断が必要だ。EU向け事業を持つ企業は、国際法・コンプライアンス専門家への相談を推奨する。

提供者（Provider）vs 展開者（Deployer）：義務の違いを整理

EU AI Actでは、AIシステムに関わる事業者を「提供者（Provider）」と「展開者（Deployer）」に分けて義務を規定している。日本企業のほとんどは展開者に分類される。

企業にとって現実的な問いは「Claude・ChatGPT等の利用は展開者義務を生むか？」だ。

• 一般的な業務利用（文書作成・要約・コーディング支援・翻訳等）→ 通常は高リスクAI分類の展開に該当しない
• 採用選考・ローン審査・医療診断支援等でAIを使う場合 → 高リスクAI分野の展開者として義務発生

AIエージェントを活用した業務自動化も展開者の義務が生じる可能性があるため、AIエージェントのセキュリティ・安全活用ガイドで具体的なリスク管理方法を確認しておくことを推奨する。

罰則規定と比例原則：最大3,500万ユーロだが中小企業は別

罰則の3段階（Article 99）

GDPRとの比較

禁止AI違反の罰金はGDPRを大幅に上回る水準だ。EU AI Actがいかに強力な執行力を持つ規制かがわかる。

SME（中小企業・スタートアップ）への配慮措置（Article 99(6)）

Article 99(6)により、中小企業・スタートアップには比例原則が適用される。たとえば年間売上200万ユーロのスタートアップが禁止AI違反をした場合、制裁金上限は「3,500万ユーロ」ではなく「売上の7% ＝ 14万ユーロ」となる。

ただし、制裁金の比例原則はあくまで上限の計算方法であり、違反行為の免責ではない。 SMEでも禁止AI行為の遵守義務は大企業と同じだ。

執行機関

• EU AI Office（欧州委員会内）：GPAIの監督・執行（2026年8月2日から本格稼働）
• 各EU加盟国の市場監視当局（NCA）：高リスクAI等の国内監督・加盟国内での執行

日本企業の実務対応ステップ

STEP 1：AI利用の棚卸し（今すぐ・所要1〜2日）

社内外で使用しているすべてのAIシステムを一覧化し、用途・対象ユーザー・適用地域を整理する。特にEU向けサービスで使用しているAIを洗い出す。

STEP 2：リスク分類の確認（〜2026年7月末・所要1〜3日）

棚卸し結果を基に、各AIシステムのリスク分類（禁止/高リスク/限定リスク/最小リスク）を判断する。採用AI・ローン審査AI・医療診断支援AI等を使っている場合は高リスクAIに該当する可能性がある。

STEP 3：透明性開示の実装（〜2026年8月2日・所要0.5〜2日）

EU向けサービスにチャットボット・AIアシスタントを使用している場合、「AIと会話中」の開示メッセージを最初のやり取り時に表示する仕組みを実装する。フッターの小注記では不十分だ。

実装例：

• チャットウィンドウの冒頭に「このサービスはAI（人工知能）が担当しています」と表示
• AIアシスタントの名称に「AI」「Bot」等を明示
• 生成AIコンテンツを使用する場合は、コンテンツにAI生成ラベルを付与

STEP 4：高リスクAIのギャップ分析（2026年内・所要3〜5日）

高リスクAI分類に該当するシステムについて、EU AI Act要件とのギャップを分析する。必要に応じて外部弁護士・コンサルタントと連携する。

STEP 5：コンプライアンス体制の構築（2026〜2027年）

リスク管理システム・技術文書・ログ記録体制の整備。ISO/IEC 42001（AI管理システム）の取得も検討に値する。Microsoft等のグローバル企業が欧州取引先向けにISO 42001認証を要求し始めており、将来の取引要件になる可能性がある。

STEP 6：EU代理人の選任（EU域外の高リスクAI提供者のみ）

EU域外で高リスクAIを提供する事業者はEU域内に法定代理人（Authorised Representative）を選任し、EU当局の窓口とする義務がある。

対応が必要な企業・対応が急がれない企業

2026年8月2日までに対応が必須の企業

• EU在住ユーザー向けにチャットボット・AIアシスタントを提供している
• EU向けECサイト・SaaSでAIを使った接客・案内を行っている
• Claude・ChatGPT等のAPIを使ったEU向けプロダクトを展開している
• AI生成コンテンツ（テキスト・画像・音声）をEU向けサービスで使用している
• EU拠点の社員向けにAIアシスタントを提供している

2027年12月2日に向けて高リスク対応が必要な企業

• EU市場向けの採用選考AI・面接評価AIを利用している
• EU向けのローン審査・保険リスク評価にAIを活用している
• EU向け教育評価・入学判定にAIを使っている
• EU向け医療診断支援・医療機器組込AIを開発・販売している

現時点では対応不要の可能性が高い企業

• 日本国内B2BのみでEUとの接点が一切ない
• AI出力がEU域内に届かない業務での内部利用のみ
• 科学研究・開発段階のAIのみを使用している
• 純粋に最小リスクAI（スパムフィルター・レコメンドエンジン等）のみを利用

※「対応不要」の判断は法的リスクを伴う。境界ケースは専門家への確認を推奨する。

他国規制との比較：日本・韓国・米国の現状

日本はAI推進法（2025年9月施行）で基本原則を定めているが、罰則がなくソフトロー（指針・ガイドライン）中心の対応だ。グローバルで事業を展開する日本企業は、日本国内法の対応だけではEU AI Actの義務を満たせない。

米国のAI規制の動向については、ホワイトハウスのAI審査大統領令（2026年）も参考になる。

日本の経済産業省・総務省は2026年3月31日にAI事業者ガイドライン第1.2版を公表しており、EU AI ActとGDPRに対応したグローバル観点での更新が含まれている。

GDPRとEU AI Actの並立対応

個人データを処理するAIシステムはEU AI Actに加えてGDPRにも準拠する必要がある。

GDPR対応でDPO（データ保護責任者）を設置している組織は、EU AI Actのコンプライアンス体制構築でもその経験・組織体制を活用できる。特に、GDPRのデータ記録管理プロセスはEU AI Actの技術文書義務と親和性が高い。

生成AIを使ったサービスのセキュリティ対策については、生成AIのセキュリティリスクと対策も参照のこと。また、生成AI全体の基礎知識は生成AIとは：仕組み・種類・活用事例でわかりやすく解説している。

よくある質問（FAQ）

Q. 日本企業が何もしないとどうなるか？

A. EU市場向け事業を持ちながらEU AI Actへの対応を怠った場合、EU AI OfficeやEU各国当局からの調査・制裁金賦課の対象になりうる。GDPRでは施行後に日本企業も含むグローバル企業が実際に制裁を受けており、EU AI Actでも同様の執行が見込まれる。

Q. 2026年8月2日までに全対応が必要か？

A. 2026年8月2日は「透明性義務（Article 50）とEU AI Office執行権限の本格化」の節目だ。高リスクAIの義務は2027年12月2日（Annex III独立型）・2028年8月2日（Annex I製品組込型）まで猶予がある。EU向けチャットボット・生成AIコンテンツのAI開示対応が8月2日の最優先事項だ。

Q. 社内でClaude・ChatGPTを使うだけでもEU AI Actの義務が生じるか？

A. EU向けサービスを持たない純粋な社内利用（日本拠点の社員のみが使う場合等）であれば、通常は義務が生じないかほぼ最小限だ。ただし、EU域内の社員向けシステムや、EU顧客向けのサービスで利用する場合は対応が必要になる。

Q. AnthropicのClaudeはGPAI規制を満たしているか？

A. Anthropicは2025年7月21日にEU「GPAI Code of Practice」への署名を表明しており、プロバイダーとしての義務を果たす体制を整えている。ただし、利用企業（展開者）側の義務は別途発生する。採用AI・与信審査でClaudeを使う場合、展開者義務への対応が必要だ。

Q. Article 50の「AI開示」で具体的に何をすればよいか？

A. チャットボットやAIアシスタントとユーザーが対話を始めるとき、「このサービスはAI（人工知能）が担当しています」等の明示的な通知を表示する。具体的な文言・表示方法はEU AI Officeのガイドライン（2026年6月最終化予定）を参照することを推奨する。

Q. 高リスクAIの義務が2027年12月に延期されたなら、今は準備しなくてよいか？

A. 延期されたからといって準備を先送りするのは危険だ。技術文書の整備・リスク管理体制の構築には相当の時間がかかる。採用AI・与信審査AIを使っている企業は、2026年中にギャップ分析を着手し、2027年に向けた体制構築を進めることを推奨する。

Q. Digital Omnibusはいつ正式採択されるか？

A. 2026年5月7日の暫定合意後、正式採択は数週間以内の見込みとされていたが、2026年6月時点では手続き中の状態だ。ただし、各法律事務所は「暫定合意の内容で準備を進めることを推奨する」としており、正式採択を待たずに対応を開始すべき状況だ。

まとめ：EU AI Act対応の優先順位一覧

EU AI Act対応は「2026年8月2日に何が本当に始まるかを正確に把握し、段階的に進める」ことが最重要だ。Digital Omnibusによる高リスクAI義務の延期は企業に準備時間を与えたが、2027年末の期限は確実に近づいている。

現在業務で使っている生成AIツールの全体像は、生成AIツールおすすめ比較で整理している。富士通とAnthropicのClaudeに関する法人向け活用については富士通×Anthropic戦略的提携も参考になる。

参考情報：

• EU AI Act公式ポータル：artificialintelligenceact.eu
• 欧州委員会 AI規制フレームワーク：digital-strategy.ec.europa.eu
• Gibson Dunn - Digital Omnibus分析：gibsondunn.com
• OpenAI EU AI Act解説：openai.com
• Nemko - OpenAI/Anthropic Code of Practice署名：digital.nemko.com