EUの規則と聞くと、日本の会社には関係のない話に見える。ところがEU AI法（EU AI Act）は、EUの外にある会社にも適用される場面を条文で定めている。EU向けにAIを組み込んだ製品を売る会社、EUの子会社でAIを使う会社、AIの出力をEUの顧客に届ける会社は、対象になるかを確かめる必要がある。
ここでは、EU AI法とは何かを、条文と欧州委員会の資料で確かめる。そのうえで、日本企業が対象になる条件、適用の時期、制裁金の上限を整理し、確認する順番を表にした。法的な結論は会社ごとの事実関係で変わるので、最後は条文とEU法の専門家で確かめてほしい。
EU AI法とは
EU AI法は、正式にはRegulation (EU) 2024/1689という、2024年6月13日付の欧州議会と理事会の規則だ。AIについての統一的なルールを定め、2024年7月12日にEUの官報に載った。2024年8月1日に発効している。指令ではなく規則なので、加盟国の国内法を待たずにそのまま効力を持つ。
中身の骨格は、AIをリスクの大きさで4段階に分ける考え方だ。欧州委員会の説明を表にすると次のようになる。
| リスク区分 | 扱い | 欧州委員会が挙げる例 |
|---|---|---|
| 許容できないリスク | 禁止 | ソーシャルスコアリング、職場と教育機関での感情認識、顔認識のデータベースを作るための無差別な顔画像の収集 |
| 高リスク | 厳しい義務を課す | 採用で履歴書を選別するソフト、融資の可否に関わる信用スコアリング、ロボット支援手術のAIの安全部品 |
| 透明性のリスク | 開示の義務 | チャットボット、ディープフェイク、公共の関心事を伝えるために公開するAI生成の文章 |
| 最小限のリスク | 特別なルールなし | AIを使ったゲーム、迷惑メールのフィルタ |
透明性のリスクの義務は分かりやすい。欧州委員会の説明では、チャットボットの利用者には機械と話していることを知らせ、生成AIの提供者はAIが作ったコンテンツを識別できるようにし、ディープフェイクと公共の関心事についての文章ははっきり分かる形で表示する。
もうひとつの柱が、汎用AIモデル（GPAI）の提供者への義務だ。大規模言語モデルを作って提供する会社が対象で、多くの日本企業にとっては、使っているモデルの提供者が守る側になる。
日本企業が対象になる条件
EU AI法の第2条は、適用の範囲を次のように定めている。
- EU域内でAIシステムを市場に出す、または使用を始める提供者。提供者がEUの中にいるか、域外の国にいるかを問わない
- EU域内に拠点がある、またはEU域内にいる導入者
- 域外の国にいる提供者と導入者のうち、AIシステムの出力がEU域内で使われるもの
ここで言う提供者は、AIシステムを開発する、または開発させて、自社の名前や商標で市場に出す者だ。導入者は、自らの権限のもとでAIシステムを使う者を指す。同じ会社でも、自社製品にAIを組み込んでEUで売れば提供者、EU子会社で採用にAIを使えば導入者になる。
日本企業に当てはめると、私の見方では次の3つの場面で検討が要る。
- AIを組み込んだ製品やサービスをEUの顧客に売っている
- EUに子会社や拠点があり、そこでAIを業務に使っている
- 日本でAIを動かしているが、その出力（審査の結果、生成した文章や画像など）をEUの人に届けている
逆に、EUに拠点も顧客もなく、AIの出力もEUで使われないなら、対象になる場面は限られる。ただし取引先のEU企業から、契約でEU AI法への対応を求められることはある。自社が直接の対象でなくても、取引の条件として影響が来る。
適用の時期
EU AI法は一度に全部が適用されるわけではない。さらに、2025年11月19日に欧州委員会が提案したAI Omnibus（規則の改正）が2026年7月27日に発効し、高リスクAIの適用時期が後ろにずれた。欧州委員会の説明をもとに、2026年10月時点の予定を並べる。
| 時期 | 適用されるもの |
|---|---|
| 2024年8月1日 | 発効 |
| 2025年2月2日 | 禁止されるAI（8項目）、AIリテラシーの規定 |
| 2025年8月2日 | 汎用AIモデルの義務、ガバナンスの規定 |
| 2026年8月2日 | 規則の大部分。透明性の規定もこの月から。欧州のAIオフィスと加盟国の当局による監督と執行 |
| 2026年12月 | 9つめの禁止（本人の同意のない性的なコンテンツや児童の性的虐待のコンテンツを作るAI）。AI Omnibusで追加 |
| 2027年12月2日 | 高リスクAIのうち、採用や信用スコアリングのような用途で決まるもの（附属書III） |
| 2028年8月2日 | 高リスクAIのうち、製品に組み込まれるもの（附属書I） |
AI Omnibusは、中小企業向けの簡素化した要件を、中小企業より少し大きいスモールミッドキャップ企業にも広げた。規制のサンドボックスを使える範囲も広げている。日程は今後も改正で動きうるので、対応の計画は欧州委員会のページで最新の日付を確かめてから立てる。
AIリテラシーの規定は見落とされやすい。第4条は、提供者と導入者に、AIを扱う従業員などのAIリテラシーを育てる措置をとるよう求めている。AI Omnibusによる改正後の条文は、個人ごとに特定の水準を保証することまでは求めていない。それでも2025年2月から適用されている規定なので、EUで業務にAIを使う会社は、研修や利用ルールの周知を記録に残しておくのがよい、と私は考える。
制裁金の上限
第99条は、違反の種類ごとに制裁金の上限を定めている。会社の場合は、定額と全世界の年間売上高に対する割合の高い方が上限になる。
| 違反の種類 | 上限 |
|---|---|
| 禁止されるAIの規定（第5条）の違反 | 3,500万ユーロか、前の会計年度の全世界の年間売上高の7%の高い方 |
| 提供者・導入者などの義務、透明性の義務（第50条）の違反 | 1,500万ユーロか3%の高い方 |
| 当局や認証機関への不正確・不完全な情報の提供 | 750万ユーロか1%の高い方 |
中小企業とスタートアップは、定額と割合の低い方が上限になる。
金額の大きさに目が行くが、私の見方では、日本企業にとっての現実の影響は制裁金より取引のほうが先に来る。EUの顧客が調達の条件として、AIの区分や文書を出すよう求めてくるからだ。その時に答えられるかどうかが、まず問われる。
日本企業が確かめる順番
次の表は、EU AI法への対応を、日本企業が手をつける順に並べた私の整理だ。法的な判断ではなく、社内で事実を集める順番として使ってほしい。
| 順番 | 確かめること | 見るところ |
|---|---|---|
| 1 | EUの顧客、拠点、出力の届け先があるか | 第2条（適用範囲） |
| 2 | EUに関わる業務で使っている、または売っているAIの一覧 | 社内の棚卸し |
| 3 | AIごとに、自社が提供者か導入者か | 第3条（定義） |
| 4 | AIごとのリスク区分。禁止に当たるものがないか、高リスクの用途か | 第5条、附属書III |
| 5 | チャットボットや生成コンテンツの表示が要るか | 第50条（透明性） |
| 6 | AIを扱う従業員への研修と記録 | 第4条（AIリテラシー） |
| 7 | 使っている汎用AIモデルの提供者が、EU AI法への対応を公表しているか | 提供者の公開資料 |
私の見方では、2の一覧づくりにいちばん時間がかかる。EUの拠点が会社の把握していないAIを使っていることがあるからだ。一覧ができれば、3から6はAIごとに表を埋めていけばよい。
日本の制度との関係も押さえておく。社内のAI利用の点検は、総務省と経済産業省のAI事業者ガイドラインのチェックリストでかなりの部分ができる。リスクを洗い出して対策を回す仕組みは、ISO 42001の要求事項と重なる。私の見方では、日本のガイドラインで点検し、EUに出す部分だけEU AI法の条文で上乗せする進め方が、二重の作業を減らす。全体の考え方はAIガバナンスとはにまとめた。
法的な結論は、対象のAIと事業の実態で変わる。この記事は確かめる順番を示すもので、対象になるかどうかの判断は、条文と欧州委員会の資料を確かめたうえで、EU法に詳しい専門家に相談してほしい。
AIを業務に組み込む実装の側から、こうした規制への対応に関わる職種はFDEとは？Forward Deployed Engineerの意味と仕事内容で説明している。社内で使われているAIを洗い出し、リスクと設定を点検する診断は、AI利用セキュリティ診断で紹介している。