LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUのAI規制について、2026年8月2日という日付を工程表に書いていた場合、その中身が変わっています*1。

AI Actは2024年8月1日に発効し、2026年8月2日から適用されました*1。ただし高リスクAIシステムの規定は、この日には来ませんでした*1。AI Omnibusと呼ばれる簡素化の立法が2026年7月27日に発効し、附属書IIIの高リスク分野は2027年12月2日、製品に組み込まれるものは2028年8月2日へ移りました*1。

AIを組み込む製品やシステムの開発を受託する立場と、EU向けに出す側に向けて、いま効いている義務と後ろに動いた義務を分けて整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

適用のタイムラインを分解する

まず日付の全体像です*1。

欧州委員会の説明では、AI Actは2024年8月1日に発効し、2026年8月2日から適用されるとされ、そのうえで例外が列挙されています*1。

この形になった経緯がAI Omnibusです*1。簡素化のための立法提案（Digital Package on Simplification、通称AI Omnibus）は2025年11月19日に採択され、2026年5月7日に政治的合意に至り、2026年7月27日に発効しました*1。

欧州委員会は、これにより高リスクAIシステムを規律する規定について明確な実施のタイムラインが設定されたと説明しています*1。延期の理由として、標準（規格）のような実施を支える手段が企業に揃った時点でルールが適用されるようにするためと述べています*1。

工程表への影響は二つに分かれます*1。いま適用されているのは、禁止、AIリテラシー、GPAIモデルの義務、そしてガバナンスと執行の体制です*1。後ろに動いたのは、高リスクの分類に当たるシステムの義務です*1。

2026年8月2日から動いているもの

延期の話に気を緩めて、いま適用されている部分を見落とすと危ないです*1。

欧州委員会は、2026年8月2日から、AI Officeと加盟国の当局がAI Actの実施、監督および執行に責任を負うとしています*1。

AI Officeの権限も具体的に書かれています*1。GPAIモデルに対する執行の権限を持ち、技術文書の提出を求め、モデルを評価し、是正措置を要求し、不遵守に対して制裁金を課すことができるとされています*1。

執行を支える体制として、AI Board、科学パネル、助言フォーラムがAI Actのガバナンスを導き助言するとされています*1。

あわせて、2026年7月20日に一定のAIシステムの提供者および展開者の透明性義務に関するガイドラインが公表されています*1。適用範囲、関連する法的定義、透明性義務および例外を明確にするものと説明されています*1。

生成AIに関する実務では、アイコンへの言及もあります*1。生成AIシステムの作成者、公開者その他の展開者が、ディープフェイクを含む一定の画像・音声・テキストについて、人工的に作られたものであることを開示するために用いうるアイコンが示されています*1。

禁止の側も動いています*1。1番目から8番目までの禁止は2025年2月に効力を持ち、その運用を支える文書として禁止されるAIの慣行に関するガイドラインとAIシステムの定義に関するガイドラインが公表されています*1。そして9番目の禁止——同意のない性的・親密な内容や児童性的虐待の素材を生成するAIシステム（いわゆるヌーディフィケーション・アプリなど）——はAI Omnibusの一部として導入され、2026年12月に効力を持つとされています*1。

セキュリティ側の動きもあります*1。2026年7月のサイバーセキュリティとAIに関する行動計画が、最先端のAIモデルがもたらすサイバーセキュリティとレジリエンスの課題に対し、加盟国・企業・公的機関が協調して取り組むための方針を示すとされています*1。

高リスクに当たるのはどんな用途か

延びたとはいえ、当てはめの作業は先に必要です*1。

欧州委員会は、健康、安全または基本的権利に重大なリスクを与えうるAIの用途が高リスクに分類されると説明し、例を挙げています*1。

重要インフラ（輸送など）におけるAIの安全構成要素で、その故障が市民の生命と健康を危険にさらしうるもの*1。教育機関で用いられ、教育へのアクセスや職業上の道筋を左右しうるAI（試験の採点など）*1。製品のAIによる安全構成要素（ロボット支援手術への応用など）*1。雇用、労働者の管理、自営業へのアクセスに関わるAIツール（採用のための履歴書選別ソフトなど）*1。そして不可欠な民間・公共サービスへのアクセスを左右する一定の用途（融資の機会を奪いうる信用スコアリングなど）です*1。

AI Omnibus後の期限は、この分類のどちらに入るかで変わります*1。生体認証、重要インフラ、教育、雇用、移民・難民・国境管理といった分野で用いられるシステムは2027年12月2日から、エレベーターや玩具のような製品に組み込まれるシステムは2028年8月2日からです*1。

組込み側の期限が後ろにある理由は、製品安全の枠組みとの関係にあります*1。AI Omnibusでは、AI ActとEUの製品安全法、特に機械規則との相互関係が明確化され、分野別のルールとAIのルールの重複を避けるとされています*1。機械規則の適用と併走する製品では、どちらの枠組みで何を示すのかを整理しておく意味があります*1。

同じ構図は、無線機器指令のサイバー要件がCRAへ引き継がれる件にも見られます*1。EUは重複を避けるために、どの枠組みで問うかを整理する方向で動いています*1。

中小企業向けの簡素化と、サンドボックス

AI Omnibusには、負担を軽くする側の変更も含まれています*1。

技術文書の簡素化です*1。中小企業（SME）に認められていた簡素化された要件の一部が、小規模中堅企業（SMC）にも拡大され、簡素化された技術文書の要件を含むとされています*1。

規制サンドボックスも広がります*1。より多くのイノベーターがサンドボックスを利用できるようになり、EUレベルのサンドボックスも含まれるとされ、実世界の条件でAIソリューションを試験できるとされています*1。

監督の集中化も入りました*1。AI Officeの権限を強化し、GPAIモデル上に構築されたAIシステムの監督を集中させることで、ガバナンスの分断を減らすとされています*1。

受託開発の観点では、誰に聞けばよいかが変わるという意味を持ちます*1。GPAIモデルの上にアプリケーションを載せる構成では、監督の窓口がAI Office側に寄る整理になるため、提供元と当局のどちらの説明を根拠にするかが判断しやすくなります*1。

支援の窓口も用意されています*1。欧州委員会は、ガイドライン、行動規範、そしてAI Act Service Deskを通じて、企業と各国当局に明確さを提供するとしています*1。AI Actの全体像を押さえたうえで、これらの一次情報を追う形が現実的です。

着手の順序と、受託で進めるときの要点

優先順位を付けるなら、次の順です。

第一に、禁止の確認です。1番目から8番目の禁止はすでに効力を持っています*1。9番目の禁止は2026年12月です*1。生成系の機能を持つ製品では、出力の種類が禁止に触れないかを先に見ます*1。

第二に、GPAIモデルの利用状況です。GPAIモデルの提供者の義務は2025年8月2日から適用されています*1。自社が提供者に当たるのか、それとも提供元のモデルを使う側なのかで、求められる文書が変わります*1。

第三に、透明性義務の当てはめです。2026年7月20日のガイドラインが、適用範囲と定義、義務と例外を明確にしています*1。AIが生成した内容の開示が必要な箇所を洗い出します*1。

第四に、高リスクの当てはめです。期限は2027年12月2日または2028年8月2日ですが、該当するかどうかの判断は先に済ませておくほうが無理がありません*1。雇用、教育、信用、重要インフラ、製品の安全構成要素——この五つの観点で用途を並べます*1。

第五に、規格の動きの追跡です。延期の理由として、実施を支える標準の整備が挙げられています*1。どの規格が出そろうかで、実装の作業量が変わります*1。

もうひとつ、社内の説明で混乱しやすいのが「適用が始まった」と「義務が発生した」の違いです。2026年8月2日はAI Actの適用が始まった日であり、同時にAI Officeと加盟国当局が監督と執行を担い始めた日でもあります*1。一方、高リスクに当たるシステムの義務が実際に問われるのは2027年12月2日または2028年8月2日です*1。この二つを一枚の表で示すと、経営層への説明が短くなります。

期限が動いた事実そのものも、記録に残す価値があります。AI Omnibusは2026年7月27日に発効した比較的新しい変更です*1。過去に作った工程表や社内規程が旧来の日付を前提にしている場合、どの文書を更新したかを残しておくと、次に見直すときの手戻りが減ります。

受託で進める場合の要点を三つ挙げます。

期限を製品ごとに持つことです。同じ会社の中で、附属書IIIの用途に当たる社内システムと、製品に組み込むAIが同時に走っていることがあります*1。期限が2027年12月と2028年8月に分かれるため、まとめて管理すると混乱します*1。

簡素化の適用を確かめることです。技術文書の簡素化は、中小企業と小規模中堅企業に広がりました*1。自社と発注元のどちらの区分で判断するかを確認しておくと、文書の分量が変わります*1。

延期を「やらない理由」にしないことです。高リスクの義務が後ろへ動いた一方で、執行の体制は2026年8月2日から動いています*1。禁止、透明性、GPAI——いま問われる部分から着手するのが順序です*1。

適用時期とガイドラインの一覧は、欧州委員会のサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：AI Actの期限で押さえる3つの視点

EU AI Actは2024年8月1日に発効し、2026年8月2日から適用されました。押さえたい視点は三つです。第一に、いま適用されている部分。禁止されるAIの慣行とAIリテラシーの義務は2025年2月2日から、ガバナンス規定とGPAIモデルの提供者の義務は2025年8月2日から適用されています。2026年8月2日からは、AI Officeと加盟国の当局がAI Actの実施、監督および執行に責任を負い、AI OfficeはGPAIモデルについて技術文書の提出を求め、モデルを評価し、是正措置を要求し、制裁金を課すことができるとされています。2026年7月20日には透明性義務に関するガイドラインが公表されました。第二に、後ろへ動いた部分。簡素化のための立法提案であるAI Omnibusは2025年11月19日に採択され、2026年5月7日に政治的合意に至り、2026年7月27日に発効しました。その結果、生体認証、重要インフラ、教育、雇用、移民・難民・国境管理などの分野で用いられる附属書IIIの高リスクシステムの規定は2027年12月2日から、エレベーターや玩具のような製品に組み込まれるシステムの規定は2028年8月2日から適用されます。理由として、標準のような実施を支える手段が揃った時点で適用されるようにすることが挙げられています。第三に、あわせて入った変更。同意のない性的・親密な内容や児童性的虐待の素材を生成するAIシステムの禁止が2026年12月に効力を持ち、AI Officeの権限が強化されてGPAIモデル上に構築されたAIシステムの監督が集中化され、中小企業向けの簡素化された要件が小規模中堅企業にも拡大され、EUレベルを含む規制サンドボックスが広がり、AI ActとEUの製品安全法、特に機械規則との関係が明確化されました。

よくある質問

出典

1. *1　参考：European Commission「AI Act（Shaping Europe’s digital future／Regulatory framework on AI）」（https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai）。AI Actが2024年8月1日に発効し2026年8月2日から適用されること、禁止されるAIの慣行とAIリテラシーの義務が2025年2月2日から適用されること、ガバナンス規定とGPAIモデルの義務が2025年8月2日から適用されること、附属書Iの製品組込み型の高リスクシステムが2028年8月2日まで、附属書IIIの高リスク用途が2027年12月2日まで延長されたこと、AI Omnibusと呼ばれる簡素化の立法提案が2025年11月19日に採択され2026年5月7日に政治的合意に至り2026年7月27日に発効したこと、生体認証・重要インフラ・教育・雇用・移民と難民と国境管理を含む高リスク分野の適用が2027年12月2日でありエレベーターや玩具のような製品に組み込まれるものが2028年8月2日であること、延期の趣旨が標準などの支援手段が揃った時点で適用させることにあること、9番目の禁止（同意のない性的・親密な内容や児童性的虐待の素材を生成するAIシステム）が2026年12月に効力を持つこと、1番目から8番目の禁止が2025年2月に効力を持ち禁止慣行のガイドラインとAIシステムの定義のガイドラインが公表されていること、2026年8月2日からAI Officeと加盟国当局が実施・監督・執行に責任を負いAI OfficeがGPAIモデルについて技術文書の要求・モデルの評価・是正措置の要求・制裁金を課す権限を持つこと、AI Board・科学パネル・助言フォーラムがガバナンスを導くこと、2026年7月20日に透明性義務のガイドラインが公表されたこと、生成AIの人工的性質を開示するアイコンが示されていること、2026年7月のサイバーセキュリティとAIに関する行動計画、AI Officeの権限強化とGPAIモデル上のシステムの監督の集中化、中小企業向け簡素化要件の小規模中堅企業への拡大と技術文書の簡素化、EUレベルを含む規制サンドボックスの拡大、機械規則を含むEU製品安全法との関係の明確化、AI Act Service Deskの存在、ならびに高リスクに分類される用途の例（重要インフラの安全構成要素、教育機関での利用、製品の安全構成要素、雇用と労働者管理のツール、不可欠なサービスへのアクセスに関わる信用スコアリング等）の一次情報として。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：European Commission「General-Purpose AI Code of Practice（AI Act）」（https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice）。AI ActのGPAIに関する規定が2025年8月2日から適用されること、AI Actが汎用目的AIモデルおよびシステミックリスクを伴う汎用目的AIモデルの提供者に対して透明性と著作権に関するルールを置き、システミックリスクを伴いうるモデルについて提供者がリスクを評価し軽減すべきとされていること、European AI OfficeがGPAI行動規範の策定を促進し独立の専門家が議長を務め約1,000の関係者と加盟国代表・欧州および国際のオブザーバーが関与したこと、行動規範が独立の専門家により準備された自主的な手段であることの一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet