eu ai規制とは？日本企業への影響と対応を解説

図：AIシステムとGPAIモデルの規制対象（出典：[1][5]）

EU AI Actは、AIが健康・安全・基本権にもたらすリスクに対処することと、AIの導入・投資・イノベーションを強化することを目的とする規則です[1]。指令と異なりEU全体に直接適用される統一ルールで、EU域内を対象にAIシステムやサービスを提供する域外の事業者にも及びます[1]。

規制の対象は大きく二つに分けて捉えられます。第一が「AIシステム」で、機械学習や論理ベースの手法で開発されたソフトウェアであって、人間が定めた目的のために予測・推奨・決定などのアウトプットを生成するものを指します[1]。定義はかなり広く、思わぬ用途が対象になる可能性があるとされています[1]。第二が汎用目的AI（GPAI）モデルで、土台となるモデル自体を規制する枠組みです[5]。

中心となる考え方がリスクベースアプローチです。リスクに応じて規制内容を変える仕組みで、許容できないリスクのAIは禁止され、ハイリスクのAIには要件が課されます[1]。限定リスクのAIには透明性の義務のみがかかり、最小リスクのAIは規制の対象外です[1]。違反した場合は最大3,000万ユーロか全世界売上高の6%のうち高い金額の制裁金が課され得ます[1]。

道具そのものより、その道具が暮らしのどこに置かれるかで扱いが変わる。そんな設計だと捉えると、規制の全体像が見えやすくなるのではないでしょうか。

図：AI規制法の段階的適用スケジュール（出典：[2][5]）

EUのAI規制法は、成立したその日からすべての規定が一斉に動き出すわけではありません。2024年5月に成立し、8月に施行された枠組みのもとで、適用は段階的に進められています[5]。まず押さえておきたいのは、禁止行為と制裁金の関係です。人の行動を不当に操作するなど禁止されたAI利用には、最大3500万ユーロ（約63億円）か、世界年間売上高の7%のいずれか高い方の制裁金が科されます[2]。EUの欧州委員会は、AIが生成・加工したコンテンツへの識別表示を義務付ける規定を8月2日から適用すると発表し、欧州委と加盟国当局による規制の執行も同日に始まりました[2]。この新たな適用では、対話型AIについて利用者にAIとのやりとりであることを知らせることが求められます[2]。AIで本物と見分けがつきにくい画像や動画、音声を生成・加工した「ディープフェイク」を業務上利用する場合には、AIによるものだと分かる表示が義務付けられます[2]。加えて、AIが生成・加工したコンテンツには機械で読み取り可能な識別情報の付与も求められ、大規模なリスクが指摘される先端モデルにはサイバー攻撃や人間による制御の喪失などに対する追加的な安全対策が求められています[2]。一方、高リスクAIシステムの分類・要件・事業者の義務に関する規定については、適用開始日の延期や規制の簡素化が行われたほか、新たな禁止事項も追加されたとされています[5]。自社のサービスがどの区分に入るかは、案外、棚卸しをしてみて初めて気づくものです。いつまでに何が必要かは、自社のAI利用をリスクの区分ごとに書き出し、適用開始の時期と照らし合わせて整理するのが第一歩になるでしょう。

図：EU AI法の適用範囲と高リスクAIの義務（出典：[7][8]）

EU AI法は、EU域内でAIシステムを提供・使用するすべての者を適用対象としています[7]。EUに拠点がない企業でも、EUで使われる可能性のあるAIシステムは対象になり得ます[7]。日本企業にとって対岸の火事とは言い切れない状況です[8]。

適用対象は、AIシステムの提供者だけでなく、利用者や輸入業者、販売業者といったバリューチェーン上の役割ごとに義務が異なります[8]。まず自社が開発・提供・利用する製品やサービスが対象かを特定し、リスク区分を評価する必要があります[8]。

リスクは4段階に分類されます[8]。このうち高リスクAIは、雇用・教育・法執行・重要インフラなど、意思決定の影響が重大な領域で使われるAIシステムです[7]。高リスクAIの提供者には、リスク管理体制の整備、品質マネジメントシステム（QMS）、人的監督の確保、適合性評価などの多層的な対応が求められます[7]。利用する企業側にも用途や運用上の義務が発生します[7]。高リスクAIへの義務は2026年8月から適用が開始される予定です[7][8]。

違反には高額な制裁金が定められており、高リスクAIの義務違反では最大1,500万ユーロか全世界売上高の3%のいずれか高い方が上限となります[7][8]。自社のAIがどの区分に当たるかを見極める作業は、地図を持たずに海外の街を歩くようなものかもしれません。

図：違反類型ごとの制裁金上限（出典：[2][8]）

制裁金の話は、数字の大きさだけが独り歩きしやすい領域です。まず押さえたいのは、EUのAI規制法で最大3500万ユーロ（約63億円）か、世界年間売上高の7%のいずれか高い方が科されるのは、人の行動を不当に操作するなど禁止されたAI利用を行った場合だとされている点です[2]。禁止行為への違反に対する上限であり、すべての違反にこの額が適用されるわけではありません。

違反類型ごとの上限も示されています。禁止されたAIシステムに対する違反は世界全体の売上総額の7%か3500万ユーロのいずれか高い額、その他の所定の義務違反は3%か1500万ユーロ、監督機関への不正確・不完全・誤解を招く情報提供は1%か750万ユーロが上限とされています[8]。どの類型に当たるかで桁が変わるため、金額だけを比較しても実態は見えにくいといえます。

もう一つ区別したいのが、解釈ガイドライン待ちの部分です。AI法の条文には不明確な文言も多く、欧州委員会が重要な規定の解釈に関わるガイドラインを公表することが予定されています[8]。AIシステムの定義や禁止されるAI利用行為に関するガイドラインは2025年1月までに公表される見込みとされる一方、ハイリスクAIの要求事項や透明性義務など多くのガイドラインは公表時期が未確定とされています[8]。施行時期も規制内容ごとに分かれており、禁止行為は2025年2月2日、GPAIモデルは同年8月2日、残りの多くの規定は2026年8月2日から適用が開始されるとされています[8]。

つまり、制裁金の上限という確定した数字と、適用範囲を左右する解釈という流動的な部分が混在しています。数字を断定的な根拠にせず、どの類型の、どの時点の規定かを確認する姿勢が実務では欠かせません。制度の輪郭は、地図の縮尺を確かめずに距離を読むのと同じで、前提を確かめてから数字に向き合いたいところです。

図：AI利用棚卸しからベンダー確認までの流れ（出典：[4]）

まず着手しやすいのは、自社がどの立場でAIに関わるかの整理です。EU AI Actでは、AIシステムを開発する提供者、EU市場に輸入する輸入業者、EU市場で利用可能にする販売業者、事業にAIを利用する利用者という区分が示されています[4]。自社の製品や業務がどれに当たるかを洗い出すことが出発点になります[4]。

棚卸しでは、EU域内での製品・サービスの提供状況や業務でのAI利活用状況を洗い出します[4]。あわせて、各AIシステムのリスクレベルを判定します[4]。EU AI Actはリスクベースのアプローチを採用しており、リスクレベルに応じて義務が変わるためです[4]。利用が禁止されるAIシステムに関する規定は2025年2月から適用が始まるとされています[4]。

ベンダーには、そのAIがどのリスク区分に該当するか、学習データや技術文書の整備状況、著作権に関するポリシーの有無を確認しておくとよいでしょう。GPAIには技術文書の作成や著作権遵守のためのポリシー策定などの義務が課されるとされています[4]。高リスクAIシステムでは、リスク管理プロセスや自動生成ログの維持、適切な人的監視などが求められます[4]。

社内体制としては、棚卸しの担当者を決め、AI利用の一覧を継続的に更新する運用を整えることが考えられます。規制対応は一度で終わらず、インシデント対応や定期点検を含む継続的な運用が求められるとされています[4]。まずは社内のAI利用を一枚の表に書き出してみてはいかがでしょうか。

制裁金の数字が独り歩きしやすいのは、私たちが金額という測りやすいものに安心を求めるからでしょう。しかし記事が示すのは、禁止行為か義務違反かで上限が変わり、解釈ガイドラインの公表時期も規定ごとに異なるという、まだ輪郭の定まらない制度の姿です。完成した地図を待ってから動くのでは遅すぎます。暮らしの場面に置き換えれば、引っ越しの当日に初めて間取り図を開くようなもので、まずは自社のAI利用を一枚の表に書き出すことが、遠回りに見えて最短の一手になります。ベンダーへの確認事項を並べるだけでも、見えなかった区分が浮かび上がるはずです。数字に飛びつく前に、どの類型の、いつの時点の規定かを確かめる。その地味な手順こそ、慌てないための備えだと私たちは考えます。

EU AI法はEU域内でAIシステムを提供・使用するすべての者を適用対象とし、EUに拠点がない企業でもEUで使われる可能性のあるAIシステムは対象になり得ます[7]。日本企業にとっても対岸の火事とは言えず、提供者・利用者・輸入業者など役割ごとに義務が異なるため、自社の立場の特定とリスク区分の評価が必要です[8]。

禁止されたAI利用には最大3500万ユーロ（約63億円）か世界年間売上高の7%のいずれか高い方が科されます[2]。類型ごとの上限も示され、禁止されたAIシステムへの違反は7%か3500万ユーロ、その他の所定の義務違反は3%か1500万ユーロ、監督機関への不正確な情報提供は1%か750万ユーロが上限とされています[8]。

適用は段階的に進み、禁止行為は2025年2月2日、GPAIモデルは同年8月2日、残りの多くの規定は2026年8月2日から適用が開始されるとされています[8]。高リスクAIへの義務も2026年8月から適用予定です[7][8]。ただし高リスクAIの要求事項などのガイドラインは公表時期が未確定とされています[8]。

1. 000826707.pdf（参照日：2026年10月21日）
2. EU、生成AIコンテンツに識別表示義務　禁止行為なら制裁金63億円（参照日：2026年10月21日）
3. 欧州AI規制法（EU AI Act）対応支援 - AI Regulation & Compliance（参照日：2026年10月21日）
4. EU AI法（EU AI Act）とは？　概要やスケジュール、企業に求められる対応を解説｜テュフズード（参照日：2026年10月21日）
5. EU AI法と企業に求められる対応とは（参照日：2026年10月21日）
6. EU AI法の概要と日本企業に必要な対応を解説（参照日：2026年10月21日）

記事監修： 鈴木隆文

誤りにお気づきの場合は、お問い合わせフォームからご連絡ください。