EUのAI規則（Regulation (EU) 2024/1689、通称AI Act）は、2026年8月2日にすべての規定が適用される予定でした。ところがその6日前、7月27日に施行された改正規則（Regulation (EU) 2026/1744）が条文を書き換え、高リスクAIシステムに求められる義務の適用開始を2027年12月と2028年8月に先送りしています。適用日は変わっても、適用範囲は変わっていません。EUに拠点がなくても、製品やサービスの出力がEU域内で使われれば対象になります。自社製品にAI機能を組み込んで欧州に出す、あるいは欧州拠点で人事・与信・品質検査にAIを使う企業様が、いつまでに何を揃えればよいのかを一次資料に沿って整理します。
2026年8月2日に「全面適用」となるはずだった日
AI規則は2024年7月12日にEU官報で公布され、20日後の2024年8月1日に発効しました。規則本体の第113条は、発効から2年後の2026年8月2日を「本規則の適用開始日」と定めています。ここで言う「適用」とは、規則に書かれた義務が実際に効力を持ち始める日という意味です。発効と適用は別の概念で、発効はすでに2年前に終わっており、適用のほうが段階的に積み上がっていく仕組みになっています。第113条はこの2026年8月2日を原則としつつ、章ごとに異なる適用日を例外として並べており、規則全体が一斉に動き出すわけではない点が最初のつまずきどころです。
AI規則・適用スケジュールの起点
2024年8月1日 規則発効｜2025年2月2日 禁止行為・AIリテラシー適用開始｜2025年8月2日 汎用AIモデル・統治体制・制裁金の規定が適用開始｜2026年8月2日 規則の原則適用日（透明性義務・適合性評価の枠組みなど）
7月27日、施行6日前に条文そのものが書き換わった
欧州委員会は2025年11月19日、AI規則の実施を簡素化する改正案「デジタル・オムニバス（AI関連）」を提案しました。欧州議会と理事会は2026年5月7日に政治合意に達し、その後の手続きを経て、改正規則（Regulation (EU) 2026/1744）は2026年7月24日にEU官報に掲載され、第4条の規定により掲載3日後の7月27日に発効しています。全面適用日である8月2日を目前にした発効という点に、この改正の緊急性が表れています。改正規則が書き換えたのは、AI規則第113条第3項のうち高リスクAIシステムに関する部分です。高リスクの要件・事業者の義務・通知機関の仕組みを定めた第III章第1〜3節（第6条第5項を除く）の適用が、2027年12月2日（付属書III対象）と2028年8月2日（付属書I対象）に先送りされました。禁止行為や汎用AIモデルの義務、そして2026年8月2日という規則本体の原則適用日そのものは変わっていません。
先送りは免除ではありません。改正の交渉過程では「調和標準の整備が完了した時点」を起点にする案も検討されましたが、最終的にはその条件を外し、2027年12月2日・2028年8月2日という確定日を規則に明記する形で決着しました。標準の整備状況にかかわらず、この日付が到来すれば義務が生じます。
禁止行為とAIリテラシーは、もう1年半動いている
規則第I章（総則）と第II章（禁止されるAI利用）は2025年2月2日から適用されています。第5条が禁止するのは、無差別なウェブスクレイピングによる顔画像データベースの構築、職場や教育現場での感情推定、社会的行動を理由にした人物の格付け（ソーシャルスコアリング）など、影響力の大きい用途です。この禁止はすでに1年半近く効力を持っており、欧州拠点で人物データを扱うAI機能があれば現時点でも点検の対象です。7月27日の改正では、本人の同意なく実在人物の性的な画像・映像を生成・加工するAIシステムの提供・使用と、児童の性的虐待を描写する画像・映像を生成するAIシステムの提供・使用を、新たに禁止する条項として第5条に追加しました。この新しい禁止は2026年12月2日から適用され、生成AIを画像・映像・音声の生成に使う事業者には、悪用を防ぐ技術的な仕組みを備えているかどうかの点検が求められます。
汎用AIモデルの義務は、発効から1年で始まった
汎用AIモデル（GPAI）の提供者に対する義務、AI事務局・欧州AI委員会などの統治体制、そして制裁金の規定（第XII章）は、発効から1年後の2025年8月2日に適用が始まりました。2025年8月2日より前に市場に出ていた汎用AIモデルについては、提供者は2027年8月2日までに義務への対応を進めればよいという移行期間が置かれています。日本企業の多くは自社で汎用AIモデルを開発しているわけではなく、海外の大規模言語モデルを組み込んで使う側にあたります。この場合に負うのは汎用AIモデルの提供者の義務そのものではなく、次に説明する高リスク分類に入るかどうかという別の論点です。
「禁止・高リスク・限定・最小」——義務の重さは4段階に分かれる
AI規則の義務は、用途のリスクに応じて重さが変わります。最も重いのは「許容できないリスク」で、第5条が禁止する用途がここに入り、使うこと自体が認められません。次に重いのが「高リスク」で、付属書Iに列挙された製品分野の安全機構としてAIを使う場合と、付属書IIIに列挙された8分野で使う場合が対象になります。高リスクには技術文書・適合性評価・CEマーキングという重い義務が課されます。その下に「限定リスク」があり、これは第50条が定める透明性義務にあたります。例えばチャットボットは相手が人間ではなくAIだと利用者に伝える必要があり、AIが生成した画像・音声・映像・文章には機械判読可能な形式での表示が求められます。ディープフェイクも同様に、生成・加工されたものであることの開示が必要です。それ以外の用途は「最小リスク」として、AI規則独自の追加義務は課されません。
高リスクの義務は「2027年12月」と「2028年8月」に分かれた
高リスクの義務が具体的にいつから効力を持つかは、AI規則のどの分類に入るかで変わります。付属書III(第6条第2項)に列挙された、単体で使われる高リスクAIシステム(生体認証・重要インフラ・教育・雇用・生活に必須な公的・民間サービス・法執行・移民管理・司法と民主的手続き)は、2027年12月2日から義務が生じます。医療機器・機械類・玩具・エレベーターなど、もともとEUの製品安全法制の対象になっている製品にAIが安全機構として組み込まれる付属書I(第6条第1項)のケースは、2028年8月2日からです。この2つの日付は、7月27日施行の改正規則がAI規則第113条に書き加えたものです。
| 対象 | 根拠 | 適用開始 |
|---|---|---|
| 付属書III・単体の高リスクAIシステム | 第6条第2項 | 2027年12月2日 |
| 付属書I・製品に組み込む高リスクAIシステム | 第6条第1項 | 2028年8月2日 |
| 加盟国のサンドボックス整備 | 第57条第1項 | 2027年8月2日 |
| 公的機関が使う高リスクAIシステム | 第111条第2項 | 2030年8月2日（変更なし） |
EUに拠点がなくても対象になる3つの経路
AI規則第2条は適用対象を定めており、日本企業に関わるのはこの条文です。もっとも見落とされやすいのは、EU域外に拠点があっても、そのAIシステムが生成する出力がEU域内で使われていれば対象になるという規定です。サーバーも社員もEUに置いていない、という理由だけでは対象外になりません。これに加えて、AIシステムや汎用AIモデルをEU市場に出す提供者はEUに拠点があるかどうかを問わず対象になり、製品にAIシステムを組み込んで自社の名称や商標のもとでEU市場に出す製品メーカーも対象に含まれます。高リスクAIシステムや汎用AIモデルをEU域外から提供する事業者は、第22条により、EU域内に拠点を置く「認定代理人」を書面で任命したうえでなければ市場に出せません。認定代理人は適合宣言書・技術文書の有無を確認し、市場に出してから10年間、当局からの照会に応じる窓口になります。
自社ブランドを製品に載せた瞬間、「提供者」になる
AI規則第25条は、もともと「提供者」ではなかった事業者が提供者の義務を負うことになる3つの場面を定めています。すでに市場に出ている高リスクAIシステムに自社の名称や商標を付ける場合、そのシステムに大幅な変更(substantial modification)を加える場合、そして高リスクに分類されていなかったAIシステム(汎用AIモデルを含む)の用途を変えたことで高リスクに該当するようになった場合です。いずれの場合も、最初にそのシステムを作った側は提供者の立場から外れ、変更を加えた側が新たに提供者として第16条の義務一式を負います。海外のAIモジュールをOEMで仕入れ、自社ブランドの検査機器や接客端末として欧州に出す、あるいは汎用の画像認識AIを自社製品向けに用途を絞って組み込むという流れは、日本の製造業や小売業にありふれた形態です。この条文は、そうした組み込みの仕方そのものが義務の所在を動かすことを定めています。元の提供者には、新たな提供者が適合性評価を進められるよう、技術文書や既知の不具合情報を提供する協力義務も課されています。
高リスクの8分野に、採用選考と信用スコアが入っている
付属書IIIは高リスクAIシステムの用途を8つの分野に分けて列挙しています。生体認証(遠隔での本人識別・属性推定・感情推定)、重要インフラの安全機構、教育・職業訓練(入学者選抜や学習成果の評価)、雇用・労働者管理(求人の対象選定、応募書類の分析・選別、候補者評価、昇進・解雇に関わる判断)の4分野が並びます。これに続くのが、生活に必須な公的・民間サービスへのアクセス(公的給付の適否判定、信用スコアの算出、生命保険・医療保険の価格設定、緊急通報の優先度判定)、法執行、移民・難民・国境管理、そして司法・民主的手続きの4分野です。例えば応募書類をAIで自動的にスクリーニングし、一次選考の対象を絞り込む使い方は、雇用分野にそのまま当てはまる典型例です。この一覧を見ると、AI規則が想定している「高リスク」は工場の産業ロボットのような物理的な危険ではなく、人の採用・評価・与信・給付といった、個人の権利や機会に直接影響する判断であることが分かります。人事評価ツールや与信スコアリングモデルを欧州拠点で使っている企業様は、この8分野のどこかに当てはまっていないかを最初に確認する必要があります。
多くの高リスクは、通知機関を通さず自己適合で済む
「高リスク」と聞くと、第三者機関による審査を必ず通ると考えがちですが、実際の扱いは付属書IIIの分野ごとに違います。第43条は、付属書IIIの2番から8番(重要インフラ・教育・雇用・生活に必須な公的・民間サービス・法執行・移民管理・司法)に該当する高リスクAIシステムについて、通知機関の関与を必要としない「内部管理による適合性評価」(付属書VIの手続き)だけを求めています。提供者が自らチェックリストに沿って評価し、EU適合宣言書に署名すれば市場に出せるということです。通知機関の関与が必要になるのは、付属書IIIの1番(生体認証)に該当し、かつ調和標準を適用していない場合、または付属書Iの対象製品(医療機器・機械類など)としてもともと第三者評価が義務づけられている場合に限られます。多くの企業にとって高リスクへの対応は、外部審査を通す作業ではなく、社内の文書と手続きを整える作業だという理解のほうが実態に近いです。
技術文書・ログ・CEマーク——何を揃えて何を貼るか
高リスクAIシステムの提供者が第16条で負う義務は多岐にわたりますが、実務の負担が最も大きいのは技術文書(第11条・付属書IV)です。市場に出す前に作成し、その後も最新の状態に保つ必要があり、システムの目的・開発過程・データガバナンス・リスク管理体制(第9条)・人間による監視の仕組み(第14条)・試験と検証の記録・市場に出した後の監視計画などを、当局や通知機関が読んで判断できる形でまとめておかなければなりません。中小企業には簡易な記載形式が用意されています。これに加えて、システムが自動生成するログ(第12条)を意図された用途に応じた期間保持し、EU適合宣言書(第47条、10年間保管)を作成したうえで、CEマーキング(第48条)を製品やその包装、あるいは付属文書に見やすく消えない形で貼る必要があります。デジタルで提供されるシステムには、インターフェース上で確認できる電子的なCEマーキングも認められています。これらを揃えたうえで、EUデータベースへの登録(第49条)を済ませて初めて市場に出せます。
高リスクに当たるかもしれないと分かった時点で確認すること①付属書IIIの8分野・付属書Iの対象製品のどちらかに当てはまるか ②該当するなら通知機関の関与が必要な区分(付属書III1番・付属書I対象製品)かどうか ③技術文書(第11条・付属書IV)を今のシステム開発体制の中で作れる状態にあるか ④自社が「提供者」なのか、それとも欧州拠点の「導入者」としての義務(第26条)を負う立場なのか
「クラウドで使うだけ」も対象になるか
Q. 海外の汎用AIをそのままクラウド経由で使うだけなら、自社は「提供者」になりますか
自社で用途を変えず、提供元が想定した使い方の範囲で使うだけであれば、第3条の定義上「導入者(deployer)」にあたり、提供者そのものにはなりません。ただしその用途が付属書IIIの8分野に当たる場合は、導入者としての義務(人間による監視の割り当て、ログの保持、欧州拠点で従業員に使う場合は労働者側への事前説明など)を負います。
Q. 研究開発中のテストであれば、規則の対象外になりますか
市場に出す前の研究・試験・開発活動そのものは第2条により対象外です。ただし実環境での試験(real world testing)はこの除外の対象にはならず、別途定められた条件のもとで行う必要があります。
Q. 従業員が個人的にチャットAIを使う場合はどうですか
第2条は「業務ではなく個人的な非専門的活動」としての利用を除外していますが、これは私生活での利用を指します。従業員が業務の一環として使う場合は、雇用主である会社が導入者としての義務を負う立場になります。
違反金は3段階、上限は世界売上高の7%
第99条は違反金を3段階に分けています。最も重いのは第5条の禁止行為への違反で、上限は3,500万ユーロまたは前年度の全世界年間総売上高の7%のうち高い方です。次に重いのが、提供者(第16条)・認定代理人(第22条)・輸入業者(第23条)・流通業者(第24条)・導入者(第26条)・通知機関・透明性義務(第50条)といった、禁止行為以外の規定への違反で、上限は1,500万ユーロまたは世界年間総売上高の3%のうち高い方です。技術文書や適合性評価を欠いたまま高リスクAIシステムを市場に出す行為も、この第16条違反の枠に入ります。最も軽いのは、通知機関や当局への回答が不正確・不完全・誤解を招く内容だった場合で、上限は750万ユーロまたは世界年間総売上高の1%のうち高い方です。中小企業・スタートアップについては、これらの上限のうち低い方が適用されます。7月27日の改正では、AI事務局が汎用AIモデルの提供者や大規模プラットフォームを直接監督する権限も新設され、1日あたり平均日次売上高または世界年間総売上高の5%までの制裁金を継続的に科せる仕組みが加わりました。
| 違反の内容 | 上限（金額） | 上限（売上高比） |
|---|---|---|
| 第5条・禁止行為への違反 | 3,500万ユーロ | 7% |
| 提供者・導入者・通知機関等の義務違反（第16・22〜24・26・31・33・34・50条） | 1,500万ユーロ | 3% |
| 当局への不正確・誤解を招く情報提供 | 750万ユーロ | 1% |
対応の起点は、どの3つを確認するか
EUのAI規則は、AIそのものを開発している企業だけの話ではありません。海外製のAIチップやソフトウェアモジュールを自社製品に組み込んで欧州に出す、欧州拠点で人事や与信の判断にAIツールを使う、その両方に当てはまる可能性があります。最初に確認すべきは、規則が定める分類のどこに自社が位置するかという1点に尽きます。分類が分かれば、いつまでに何を揃えるかは条文にそのまま書かれています。7月27日の改正で日程は動きましたが、確認の順番自体は変わっていません。
まず確認する3点①自社の製品・サービスの出力がEU域内で使われる、またはEU市場に出るか(第2条) ②その用途が付属書III・付属書Iの高リスクに当たるか、それとも透明性義務だけで済む限定リスクか ③OEMやブランド供給で自社名を製品に付ける場合、その時点で自社が「提供者」に切り替わることを契約・運用体制に反映しているか
確認を終えたあとの動き方は大きく2つに分かれます。2027年12月・2028年8月という確定日までまだ時間があることを理由に、通知機関向けの調和標準が固まるのを待ってから動く待機型。もう一つは、技術文書や人間による監視の仕組みを今の開発体制の中で先に整えておき、標準が固まった時点で内容を合わせるだけにしておく先行型です。改正規則は標準の整備状況にかかわらず期日で義務を発生させる設計に変えたため、待つ側にいるほど期日直前の負荷が大きくなります。欧州拠点で採用選考や与信判断にAIを使っている企業様ほど、この差が大きく出ます。
よくある質問
Q. 日本本社は何もしていないが、EUに拠点を置く子会社がAIを使っている場合はどうなりますか
義務を負うのは、AI規則上「導入者」または「提供者」にあたる事業者そのものです。EU拠点の子会社が高リスクAIシステムを使っているなら、その子会社が導入者としての義務を負います。日本本社が直接の名宛人にならなくても、グループ全体のリスクとして管理する必要があります。
Q. 2027年12月・2028年8月まで時間があるので、対応を後回しにしても大丈夫ですか
この2つの日付は、調和標準の整備状況にかかわらず義務を発生させる確定日です。技術文書の作成や人間による監視体制の整備には準備期間が要るため、期日の直前に着手すると、市場に出せない期間が生じるリスクがあります。
Q. 自社が対応すべきかどうか、最初に何を確認すればいいですか
まず自社の製品・サービスの出力がEU域内で使われるか、EU市場に出るかを第2条に沿って確認します。当たる場合は、付属書III・付属書Iのどの分野に該当するかを特定し、高リスクなら技術文書の骨格づくりから着手するのが実務的な順番です。
主な出典
Regulation (EU) 2024/1689（AI Act）consolidated text, EUR-Lex CELEX:02024R1689-20260727（2026年7月27日時点の統合条文。第1条・第2条・第3条・第5条・第6条・第9〜17条・第22条・第25条・第26条・第43条・第47〜50条・第99条・第111条・第113条・付属書III・付属書IVを直接確認）／Regulation (EU) 2026/1744（Digital Omnibus on AI）EUR-Lex掲載情報（OJ L1744, 2026年7月24日公布）／European Commission, Digital Strategy「AI Act」ページ（適用スケジュールの要約と、デジタル・オムニバスの提案日2025年11月19日・政治合意日2026年5月7日・発効日2026年7月27日の記載を直接確認。2026年8月時点）／AI Act Service Desk（欧州委員会運営）第2条・第22条・第99条の解説ページ／NicFab Blog「Digital Omnibus on AI: Regulation (EU) 2026/1744 Is Published in the Official Journal」（2026年7月）／IAPP「Rewriting the rules of AI: Targeted EU AI Act amendments in the Digital Omnibus on AI」（2026年）／Cloud Security Alliance「CSA Research Note: EU AI Act High-Risk Deadline」（2026年）。数値・適用日は記事中に明記した各条文・各時点のものであり、今後の委任行為・実施行為により運用細目が変わる可能性があります。
PROVE通信では、海外事業と国内事業の判断に効く構造変化を、一次情報にあたって毎週お届けしています。プルーヴ通信の登録は無料です。個別のご相談はお問い合わせからどうぞ。
※2026年8月時点の情報をもとに作成しています。監修：森英朗（グループ代表）。
「グローバルYOU」メールマガジン
海外進出・海外戦略の最新動向、国別レポート、実務で使えるチェックリストを月1回お届けします。登録はメールアドレスのみ・30秒で完了。
- 国別の最新規制・市場動向
- 進出・撤退の実例
- 限定の実務テンプレート
