LASSIC Media らしくメディア
EU AI規制（AI Act）とは｜日本企業への影響
「うちはEUに拠点もないのに、EUのAI規制は関係あるのだろうか」——。生成AIの活用や、AIを組み込んだ製品・サービスの開発を進める企業から、こうした声を聞くことが増えました。2024年に成立したEUのAI規制（AI Act）は、各国に先駆けて成立した包括的なAIの法律とされ、2026年8月には、リスクの高いAIに関する義務の多くが適用の段階へと進みます。そして、この規制はGDPR（EUの個人データ保護規則）と同じように、EUの外にある企業にも及ぶ場合があるのです。
とはいえ、条文は長く、専門用語も多いため、全体像をつかむだけでも骨が折れるものです。本記事では、AIを開発・活用する情報システム部門や事業部門の担当者に向けて、EU AI規制とは何か、リスクをどう区分するのか、なぜ日本企業にも関わるのか、そして受託・委託開発で何を押さえておくべきかを、かみくだいて整理します。なお、本記事は一般的な情報の整理であり、法的な助言ではありません。個別の適否は、公式文書や専門家にご確認ください。
目次
EU AI規制（AI Act）とは——各国に先駆けた包括的なAI法
EU AI規制（AI Act）とは、EUが定めた、AIを対象とする包括的な法律です。2024年8月1日に発効し、AIの開発や提供、業務での利用に関するルールを、分野をまたいで横断的に定めています。各国のAI規制づくりのなかでも早い時期に整えられた点で注目され、特定の業界だけでなく、AI全般を正面から扱う法律としては、各国に先駆けた包括的な枠組みと位置づけられているのです。ねらいは、人々の権利や暮らしを守りながら、AIの活用と成長も後押しするという、二つの目的の両立にあります。
この規制の背骨になっているのが、「リスクベース・アプローチ」という考え方になります。すべてのAIをひとくくりに厳しく縛るのではなく、そのAIがもたらすリスクの高さに応じて、義務の重さを変える。リスクが高い使い方には厳しい義務を課し、リスクの小さいものには軽い扱いにとどめる、という発想です。だからこそ、自社が扱うAIが「どの程度のリスクに当たるのか」を見極めることが、対応の出発点になるわけです。
この記事のポイント
- EU AI規制は、リスクの高さに応じて義務を変える「リスクベース」の包括的なAI法で、段階的に適用が進みます。
- GDPRと同じく域外適用があり、EUと関わり方によっては日本企業も対象になりえます。
- 受託・委託開発では、提供者か利用者かという役割の切り分けと、文書・データ管理の備えが要になります。
リスクの4段階と、汎用AI（GPAI）モデル
EU AI規制は、AIシステムをリスクの高さで大きく4つに区分します。全体像を図にまとめました。
いちばん上が「許容できないリスク」で、人々を欺いて操るようなAIなど、原則として禁止される使い方です。次が「ハイリスク」で、たとえば採用選考や与信、重要インフラ、教育といった、人の暮らしや権利を大きく左右する分野での利用が当たります。ここに該当すると、適合性の評価や技術文書の整備、人による監督、記録の保存など、重い義務が課されるのが特徴です。三段目が「限定的なリスク」で、対話するAIや生成物については、AIであることや生成された内容であることを利用者に知らせる、という透明性の義務が中心になります。そして土台が「最小限のリスク」で、多くのAIはここに入り、追加の義務は基本的に生じません。
この4区分とは別枠で扱われるのが、汎用AI（GPAI＝General-Purpose AI）モデルです。用途を一つに限らず、さまざまな目的に使える基盤的なモデルを指し、生成AIの土台となる大規模なモデルなどが当てはまります。GPAIの提供者には、技術文書や学習データの概要の用意、著作権への配慮などが求められます。とりわけ影響の大きい「システミックリスク」級のモデルには、追加の評価や情報提供が上乗せされる仕組みです。自社が使うAIが、この汎用モデルを土台にしている場合も少なくないため、押さえておきたい区分といえるでしょう。
いつ何が始まるのか——段階的な適用
EU AI規制は、発効と同時にすべてが動きだすわけではありません。項目ごとに、適用の時期が段階的にずらして定められているのです。主な節目を整理しました。
| 時期 | 主に適用が始まる内容 |
|---|---|
| 2024年8月 | 発効（本格的な義務の適用はこの先に段階的に） |
| 2025年2月 | 禁止される使い方の規定、AIリテラシーの要請 |
| 2025年8月 | 汎用AI（GPAI）モデルの義務、統治の枠組み、制裁の規定 |
| 2026年8月 | ハイリスクAI（一定分野）の多くの義務、加盟国当局による執行 |
| 2027年8月 | 規制対象の製品に組み込まれるハイリスクAI等、残りの規定 |
ここで注目したいのが、2026年8月という節目です。この時期から、ハイリスクに当たるAIの多くの義務が適用の段階へ進み、加盟国の当局による執行も本格化していきます。汎用AIモデルに関する義務や制裁の枠組みは、それに先立って2025年8月から動き始めているのです。なお、適用の一部については、その後の見直しで時期が調整される可能性も取りざたされています。実際のスケジュールは流動的な面もあるため、自社に関わる部分は、公式の情報でその都度あらためて確かめておくと危なげがありません。
なぜ日本企業に関わるのか——域外適用
「EUの法律だから、EUの企業だけの話」——そう考えたくなりますが、そこに落とし穴があります。EU AI規制には、GDPRと同じように「域外適用」の考え方があるのです。つまり、企業がどこに拠点を置いているかではなく、EUとどう関わるかで、対象になるかどうかが決まります。所在地が日本であっても、無関係とは言い切れないわけです。
具体的には、AIシステムをEUの市場に提供する場合や、AIが出した結果をEU域内で使わせる場合などに、対象になりうるとされています。たとえば、EUの顧客に向けてAIを組み込んだ製品・サービスを出す、あるいはEU域内の利用者が使うシステムにAIの出力を組み込む、といった関わり方です。受託開発の現場でいえば、EU市場に展開する取引先のためにAI機能を作り込むようなケースでは、規制への配慮が求められる場面が出てきます。「EUと接点のあるAIかどうか」を、まず自社の目線で棚卸ししておくことが欠かせません。
日本のAI推進法・ガイドラインとの違い
日本にも、AIをめぐるルール作りの動きがあります。ここで、日本のAI推進法との違いを押さえておくと、EU AI規制の性格がくっきり見えてきます。日本のAI推進法は、AIの研究開発と活用を後押しすることに軸足を置き、国や事業者の努力を促す性格が強い法律です。罰則を前面に立てて縛るというより、方向性を示し、自主的な取り組みを引き出す枠組みだといえます。AI事業者ガイドラインのような指針も、同じく自主的な対応を支える位置づけです。
これに対してEU AI規制は、守るべき義務と、破ったときの制裁を明確に定めた、拘束力のある法律になります。ハイリスクに当たれば具体的な義務が生じ、違反には重い制裁金が用意されているのが大きな違いです。いわば、日本は「促す」色合いが濃く、EUは「義務づける」色合いが濃い、と対比できるでしょう。関連して、AIが扱う個人データについては個人情報保護法の改正など国内の規制も関わってきます。国内外のルールは重なり合う部分があるため、片方だけを見て終わりにしないことが肝心です。
受託・委託開発で押さえる実務ポイント
AIの開発や活用を外部と進める場合、EU AI規制への向き合い方も、あらかじめすり合わせておきたいところです。要点を三つに絞って挙げます。一つ目は、役割の切り分けです。EU AI規制では、AIを作って世に出す「提供者」と、それを業務で使う「利用者（デプロイヤー）」とで、負う義務が異なります。受託開発では、開発を担う側と使う側のどちらが、どの義務を負うのかがあいまいになりがちです。契約の段階で役割分担をはっきりさせておくと、後の食い違いを防ぎやすくなります。
二つ目は、文書と記録の備えです。ハイリスクに当たるAIでは、技術文書の整備やログの保存などが求められます。開発の過程でこうした資料を残す進め方にしておけば、いざ必要になったときに慌てずにすむはずです。三つ目が、データの扱いと透明性への配慮になります。学習に使うデータの素性や、AIであることの明示など、規制が求める観点を設計の初期から織り込んでおくと、手戻りを小さく抑えられます。いずれも、開発が進んでから付け足すより、初めから見込んでおくほうが負担は軽くなるのです。EUと関わるAIかどうかの見極めも含めて、経験のある外部の知見を借りるのも、現実的な一手でしょう。
まとめ：EU AI規制で押さえる3つの視点
EU AI規制（AI Act）は、AIとの向き合い方を大きく左右しうる、拘束力のある法律です。押さえておきたい視点は三つに整理できます。第一に、リスクの高さに応じて義務を変える「リスクベース」の包括的なAI法であり、禁止・ハイリスク・限定的・最小限という区分と、汎用AI（GPAI）モデルの扱いを軸に、段階的に適用が進むこと。第二に、GDPRと同じく域外適用があり、EUとの関わり方によっては日本企業も対象になりうること。第三に、受託・委託開発では、提供者か利用者かという役割の切り分けと、文書・データ管理の備えが対応の要になることです。まずは、自社のAIがEUと接点を持つのか、持つとしてどの区分に当たるのかを見極めるところから。判断に迷う部分があれば、公式文書の確認とあわせて、外部の知見を頼るのも堅実な選び方といえます。
よくある質問
EUに拠点がない日本企業も、EU AI規制の対象になりますか。
なりうると考えるのが妥当です。EU AI規制にはGDPRと同じく域外適用の考え方があり、拠点の所在地ではなくEUとの関わり方で対象かどうかが決まります。AIシステムをEU市場に提供する、AIの出力をEU域内で使わせるといった関わり方があると、対象になる場合があるのです。自社のAIにEUとの接点がないかを棚卸しすることをおすすめします。
「ハイリスク」とは、どのようなAIを指しますか。
人の暮らしや権利を大きく左右する分野で使われるAIが当たります。採用選考や与信、重要インフラ、教育などでの利用がその一例です。ハイリスクに該当すると、適合性の評価や技術文書の整備、人による監督、記録の保存などの義務が課されるのです。自社のAIがこうした分野に関わるかを見極めることが第一歩になります。
日本のAI推進法とは何が違うのですか。
性格が異なります。日本のAI推進法は、研究開発と活用を後押しし、自主的な取り組みを促す色合いが濃い法律です。いっぽうEU AI規制は、守るべき義務と違反時の制裁を明確に定めた、拘束力のある法律になります。日本は「促す」、EUは「義務づける」と対比するとつかみやすいでしょう。
違反すると、どのような制裁がありますか。
違反の内容に応じて段階的な制裁金が定められています。禁止される使い方への違反がいちばん重く、上限で3,500万ユーロ、または全世界売上高の7%のいずれか高いほうです。汎用AIモデルの義務違反などはより軽い水準が設けられています。金額は大きく、影響も小さくないため、対象かどうかの見極めが欠かせません。
まず何から着手すればよいですか。
自社のAIがEUと接点を持つかの棚卸しから始めるとよいでしょう。接点がある場合は、そのAIがどのリスク区分に当たるか、自社は提供者か利用者かを整理します。そのうえで、必要になる文書やデータ管理の備えを設計に織り込んでいきます。判断に迷う部分は、公式文書の確認と専門家への相談を組み合わせるのが堅実です。
著者：テレリモ総研編集部 鈴木 亮佑
EUと関わるAI開発・活用のご相談はLASSICへ
元請（プライムベンダー）として、EUとの接点の棚卸しから、役割の切り分け・文書やデータ管理を織り込んだ設計まで、貴社のAI活用に合わせてご提案します。まずはお気軽にご相談ください。
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 参考：European Commission「AI Act｜Shaping Europe’s digital future」（https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai）。制度の概要・リスク区分・制裁の一般的な参考として。
- *2 参考：EU Artificial Intelligence Act「Implementation Timeline」（https://artificialintelligenceact.eu/implementation-timeline/）。段階的な適用時期の参考として。
