日本企業がEU AI法で確かめること：対象になる場面・自社の役割・適用の時期
この記事の結論
EU AI法は、EUの域外の会社でも、EUの市場にAIを提供する場合や、AIの出力がEUで使われる場合に対象になるため、日本企業は「EUとの接点」「自社の役割（提供者か導入者か）」「AIのリスクの区分」「適用の時期」の順に確かめると、対応の要否と優先順位を判断しやすくなります。
自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）
EU AI法（Regulation (EU) 2024/1689）は、AIをリスクの大きさに応じて規律するEUの法律です。日本の会社にも関わる場面があります。この記事では、欧州委員会の公表資料と条文（AI Act Service Deskが掲載する2026年7月27日時点の統合版）にそって整理します。
この記事でわかること
- 日本企業がEU AI法の対象になる場面
- 自社の役割と、AIのリスクの区分の確かめ方
- 適用の時期と、いまから準備しておきたいこと
EU AI法は、どんな法律ですか？
欧州委員会によると、EU AI法は2024年8月1日に発効し、2026年8月2日から大部分が適用されています（規定ごとの時期は後の節で整理します）。AIのリスクを4つの段階に分け、段階ごとにルールを定めています（リスクベースアプローチ）。
| リスクの段階 | 内容 | 例（欧州委員会の説明から） |
|---|---|---|
| 容認できないリスク | 使うことが禁止される | 職場や教育機関での感情認識、社会的なスコアリングなど |
| 高リスク | 厳しい義務を満たす必要がある | 採用での履歴書の選別、信用スコアによる融資の判断など |
| 透明性のリスク | AIであることを知らせる義務がある | 人と対話するチャットボット、ディープフェイクなど |
| 最小限のリスク・リスクなし | 新たなルールはない | AIを使ったゲーム、迷惑メールの振り分けなど |
欧州委員会は、EUで使われているAIシステムの大半は最小限のリスク・リスクなしに当たるとしています。
日本企業は、どんな場面で対象になりますか？
条文（第2条）では、対象として次のような者が挙げられています。
- EUの市場にAIシステムを提供する、または使える状態にする提供者（EUの域内にあるか域外にあるかを問わない）
- EUの域内に拠点がある、または所在する導入者（AIシステムを業務で使う者）
- 域外に拠点がある提供者・導入者で、AIシステムの出力がEUで使われる場合
- 輸入者・販売者、自社の名前や商標でAIを組み込んだ製品を出す製造者など
一方、個人の私的な利用や、市場に出す前の研究・試験・開発の活動などは対象外とされています。
日本企業では、たとえば次のような場面で関わる可能性があります。
- EUの顧客に、AIを組み込んだソフトウェアやサービスを販売する
- EUにある子会社や拠点で、AIを業務に使う
- 日本で動かすAIの出力（判定の結果や生成した文章など）を、EUの取引先や顧客に向けて使う
国内の社内業務だけで使い、出力もEUで使われない場合は、関わる場面は限られると考えられます。ただし、個別の判断は条件によって変わるため、EU法に詳しい専門家に確かめることをおすすめします。
EU AI法の対象になるか（第2条の主な規定）
- EUの市場にAIシステムを提供する提供者EUの域内か域外かを問わず対象
- EUの域内に拠点がある導入者対象
- 域外の提供者・導入者AIシステムの出力がEUで使われる場合は対象
- 個人の私的な利用、市場に出す前の研究・試験・開発対象外とされています
国内の社内業務だけで使い、出力もEUで使われない場合は、関わる場面は限られると考えられます。個別の判断は条件によって変わるため、EU法に詳しい専門家にご確認ください。
どんな順番で確かめればよいですか？
① EUとの接点を一覧にする
EU向けの製品・サービス、EUの拠点、EUの取引先とのやり取りのうち、AIが関わるものを書き出します。
② 自社の役割を確かめる
自社が提供者（AIシステムを開発し、自社の名前で市場に出す者）か、導入者（自社の業務で使う者）かを確かめます。他社のAIを自社の製品に組み込んで販売する場合など、分かりにくいときは契約の内容も確かめます。
③ リスクの段階を確かめる
4つの段階のどれに当たるかを、禁止される使い方、高リスクの分野（雇用・教育・信用の判断など）の順に確かめます。
④ やることと時期を決める
段階と役割に応じて、対応と期限を決めます。
主な義務には、どんなものがありますか？
AIリテラシー（第4条）
提供者と導入者は、職員などのAIリテラシーの向上を支える措置をとることとされています。改正後の条文では、個人に特定の水準を保証することまでは求めないと明記されています。研修の記録を残しておくと説明しやすくなります。
透明性（第50条）
提供者には、人と直接対話するAIで、AIと対話していることが分かるように設計することや、生成した音声・画像・動画・文章に機械で読める印を付けることが求められます。導入者には、ディープフェイクや、公共の関心事を知らせる目的でAIが生成し公開した文章について、そのことを開示することなどが求められます（文章は、人が確認・編集し、編集の責任を持つ者がいる場合などは除かれます）。
高リスクAIの導入者の義務（第26条）
導入者には、使用説明書に従って使うこと、必要な能力と権限を持つ人に監督を任せること、運用を監視すること、自動で生成される記録（ログ）のうち管理下にあるものを少なくとも6か月保存すること（他の法令に定めがある場合を除く）などが求められます。雇用主が職場で使う前には、労働者の代表と対象の労働者に知らせることとされています。
なお、個人データの扱いには、別にEUの一般データ保護規則（GDPR）などが適用されます。
適用の時期は、いつですか？
欧州委員会の公表資料にもとづく主な時期は、次のとおりです。
| 時期 | 適用される主な規定 |
|---|---|
| 2025年2月2日 | 禁止されるAIの使い方（8つ）、AIリテラシー |
| 2025年8月2日 | 汎用目的AIモデル（幅広い作業に使える基盤モデル）の義務、ガバナンスの規定 |
| 2026年8月2日 | 法律の大部分、透明性の規定 |
| 2026年12月 | 改正で追加された9つ目の禁止（本人の同意のない性的な画像や、児童の性的虐待の画像などを生成するAI） |
| 2027年12月2日 | 高リスクAI（附属書Ⅲ：雇用・教育・重要インフラなどの分野） |
| 2028年8月2日 | 高リスクAI（附属書Ⅰ：エレベーターや玩具などの製品に組み込まれるもの） |
高リスクAIの時期は、2026年7月27日に発効した簡素化のための改正（規則(EU)2026/1744、AI Omnibus）で延ばされたものです。この改正では、中小企業に認められていた簡素な技術文書などの要件の一部が、小規模な中堅企業にも広げられました。
EU AI法の主な適用の時期
高リスクAIの時期は、2026年7月27日に発効した改正（規則(EU)2026/1744、AI Omnibus）で延ばされたものです。改正で追加された9つ目の禁止は2026年12月からです。欧州委員会の公表資料にもとづく整理です。
違反した場合は、どうなりますか？
条文（第99条）では、制裁のルールは加盟国が定めるとしたうえで、制裁金の上限を示しています。
- 禁止されるAIの使い方に違反した場合：最大3,500万ユーロ、または前年度の全世界の年間売上高の7%のいずれか高いほう
- 導入者の義務（第26条）や透明性の義務（第50条）などに違反した場合：最大1,500万ユーロ、または3%のいずれか高いほう
- 当局に誤った・不完全な情報を提供した場合：最大750万ユーロ、または1%のいずれか高いほう
中小企業（スタートアップを含む）の場合は、金額と割合のいずれか低いほうが上限になります。改正により、小規模な中堅企業も、第99条第4項・第5項の制裁金（上の2つ目と3つ目）は低いほうが上限とされました。
内容は今後も欧州委員会の指針などで具体化されます。AI Act Service Deskで最新の情報を確かめ、具体的な判断はEU法に詳しい専門家にご確認ください。
チェックリスト
関連するひな形・ガイド・用語
ガイド
よくあるご質問
QEUに拠点がなければ、EU AI法は関係ありませんか？
A拠点がなくても対象になることがあります。条文（第2条）では、EUの市場にAIシステムを提供する提供者は、EUの域内にあるか域外にあるかを問わず対象とされています。また、域外の提供者・導入者でも、AIシステムの出力がEUで使われる場合は対象とされています。取引ごとに、EUとの接点を確かめることをおすすめします。
Q社内の業務で生成AIを使っているだけでも、対応が必要ですか？
A日本国内の社内業務だけで使い、出力もEUで使われないのであれば、関わる場面は限られると考えられます。一方、EUの拠点で使う場合や、EUの顧客向けに生成した文章や画像を公開する場合などは、AIリテラシーや透明性の規定が関わることがあります。具体的な判断は、EU法に詳しい専門家にご確認ください。
Q高リスクAIの義務は、いつから適用されますか？
A欧州委員会によると、2026年7月27日に発効した改正（規則(EU)2026/1744、AI Omnibus）により、雇用・教育など附属書Ⅲの分野の高リスクAIは2027年12月2日から、附属書Ⅰの製品に組み込まれる高リスクAIは2028年8月2日から規定が適用されます。
この記事に出てくる用語
「ガバナンスと法令」のほかの記事
この柱の解説 →出典
- European Commission「AI Act」（Shaping Europe's digital future）
- European Commission AI Act Service Desk「Article 2: Scope」
- European Commission AI Act Service Desk「Article 4: AI literacy」
- European Commission AI Act Service Desk「Article 26: Obligations of deployers of high-risk AI systems」
- European Commission AI Act Service Desk「Article 50: Transparency obligations for providers and deployers of certain AI systems」
- European Commission AI Act Service Desk「Article 99: Penalties」
最終確認日：2026-11-12