EU AI法（EU AI Act、正式名称 Regulation (EU) 2024/1689）とは、AIをリスクの高さで4段階に分けて規律する、世界初の包括的なAI規制です。EUの法体系上は「規則（Regulation）」に分類されるため「EU AI規則」「欧州AI法」「AI規制法」とも呼ばれます。なお日本国内にも2025年成立の「AI法（人工知能関連技術の研究開発及び活用の推進に関する法律）」があるため、本記事では混同を避けて「EU AI法」と表記します。
2026年8月2日、このEU AI法は当初の予定どおりの「全面適用」を迎えませんでした。実際に始まったのは第50条の透明性義務と、当局が汎用AIの提供者に対して持つ執行権限です。一方、高リスクAIの義務は2027年12月2日まで延期されました。
この記事では、次の問いに答えます。
- 2026年8月2日に、具体的に何が始まったのか
- なぜ高リスクAIの義務は延期されたのか
- そもそも「高リスクAI」とは何か。どうやって判定するのか
- 附属書IIIに当たっても高リスクにならない場合はあるのか
- 高リスクに該当したら、何をしなければならないのか
- AIを開発せず「使うだけ」の企業にも義務はあるのか
本記事は2026年8月5日時点の情報に基づく解説です。EU AI法および改正規則の運用は流動的であり、一部の期限については解説によって記述が分かれています。実務判断にあたっては、必ず条文または欧州委員会のガイドラインで一次確認を行ってください。
この記事の結論
スケジュールを組み替えたのは、2026年7月8日に採択され7月27日に発効した改正規則、Digital Omnibus on AI（Regulation (EU) 2026/1744）です。要点は3つです。
- 第50条の透明性義務は2026年8月2日に適用開始した。チャットボット、画像・音声生成、AIアバターを提供する事業者は既に義務下にあります。制裁は1,500万ユーロまたは全世界売上の3%の高い方です。
- 高リスクAIの義務は2027年12月2日に延期された。理由は整合規格（prEN 18286）がEU官報に掲載されていないことです。
- 優先順位が逆転している。「8月2日で全面適用」を前提に組んだロードマップは、高リスク対応を前倒し、透明性対応を後回しにしている可能性があります。
「延期されたから当面は関係ない」と読むと事故ります。延期されたのは高リスク規制だけです。
EU AI法とは何か──正式名称と、日本の「AI法」との違い
この記事では、EUのAI規則を「EU AI法」と呼びます。正式名称は Regulation (EU) 2024/1689、英語圏では EU AI Act と呼ばれるものです。
条文の構造を先に押さえておくと、以下の説明が読みやすくなります。EU AI法は、AIを「リスクの高さ」で4段階に分けて規律しています。
- 禁止（第5条）── 政府による社会的スコアリング、サブリミナル操作、職場や教育機関での感情認識など。そもそも使ってはいけないもの
- 高リスク（第6条、附属書I・III）── 使ってよいが、上市の前後に重い義務がかかるもの。本記事の主題
- 限定リスク（第50条）── AIであることを開示すればよいもの。チャットボットや生成コンテンツがここ
- 最小リスク── 規制なし。大半のAIはここに落ちます
つまり、自社のAIがこの4段階のどこに落ちるかを判定することが、対応の出発点になります。
2026年8月2日に始まったのは何か──第50条の透明性義務
第50条は、AIの提供者（provider）と利用者（deployer）の双方に開示義務を課します。誰に何がかかるのかで分かれるので、表で整理します。
| 項 | 名宛人 | 義務の内容 | 主な例外 |
|---|---|---|---|
| 1項 | 提供者 | 自然人と直接やり取りするAIについて、AIとやり取りしていることが分かるように設計する | 合理的に見て明らかな場合／法が認めた犯罪捜査用途 |
| 2項 | 提供者 | 合成の音声・画像・映像・テキストを出力するAIについて、機械可読な形式でマーキングし、人工的に生成・操作されたものとして検出可能にする | 標準的な編集の補助にとどまる場合／入力を実質的に改変しない場合 |
| 3項 | 利用者 | 感情認識システム・生体分類システムの運用について、対象となる人に通知する | 法が認めた犯罪捜査用途 |
| 4項前段 | 利用者 | ディープフェイクを生成・操作した場合、人工的に生成・操作されたものであることを開示する | 明らかに芸術的・風刺的・虚構的な作品の場合は、作品の鑑賞を妨げない形での開示に限定 |
| 4項後段 | 利用者 | 公共の利益に関する事項について公衆に情報提供する目的で公表するテキストを生成・操作した場合、その旨を開示する | 人によるレビュー・編集上のコントロールを経ており、自然人・法人が編集責任を負う場合 |
5項は、これらの情報を「遅くとも最初のやり取りまたは接触の時点で、明確かつ識別可能な方法で」提供することを求めています。アクセシビリティ要件への適合も要求されます。
制裁は第99条4項(g)により、1,500万ユーロまたは全世界年間売上高の3%のいずれか高い方です。EU AI法は域外適用があるため、EU域内の利用者に向けてサービスを提供している日本企業は、EU法人の有無にかかわらず射程に入ります。
経過措置には注意が必要です
すでに市場に出ている生成AIシステムのマーキング義務について、Digital Omnibus に経過措置が置かれています。ただし、この猶予期限が2026年12月2日なのか2027年12月2日なのか、解説によって記述が食い違っています。本稿執筆時点で条文の一次確認ができていないため、断定を避けます。既存サービスをお持ちの場合は、必ず条文または欧州委員会のガイドラインで自ら確認してください。安全側に倒すなら、2026年12月2日を前提に設計を進めるのが無難です。
2026年8月2日に延期されたのは何か──高リスクAI義務は2027年12月2日へ
Digital Omnibus による主な変更は次のとおりです。
| 項目 | 変更前 | 変更後 |
|---|---|---|
| 附属書III の高リスクAI（第6条2項） | 2026年8月2日 | 2027年12月2日 |
| 附属書I の高リスクAI（第6条1項・製品組込型） | 2027年8月2日 | 2028年8月2日 |
| 規制サンドボックス | 2026年8月2日 | 2027年8月2日 |
延期以外にも、Digital Omnibus は次の変更を加えています。
- 新たな禁止行為の追加（2026年12月2日適用）── 同意なき性的画像の生成（いわゆる nudifier アプリ）、AI生成の児童性的虐待資料
- 第4条 AIリテラシー義務の緩和── 「十分な水準を確保する」という結果債務から、「リテラシー向上を支援する措置をとる」という手段債務へ。義務そのものは残っています
- “safety component” の定義の限定── もっぱら非安全関連のユーザー支援、性能最適化、サービス効率、自動化・利便性、品質管理に用いられるものは safety component に当たらない旨が明記されました
- Small mid-cap（従業員750人未満・売上1.5億ユーロ以下等）向けの緩和
- AI Office への執行集中── 汎用AIモデルを基盤とするシステムなどについて、AI Office が排他的な監督権限を持つとされます
高リスクAIとは何か──判定の入口は2つある
ここからが本題です。「高リスクAI」という言葉は日本語の記事でも頻出しますが、何が高リスクに当たるのかを具体的に説明したものは意外と少ないのが実情です。条文に沿って整理します。
高リスクAIの判定ルートは何種類あるのか
高リスクの判定ルートは、第6条に2つ用意されています。どちらか一方に当たれば高リスクです。
- 経路A（第6条1項）── EUの製品安全法制が対象とする製品に組み込まれるAI
- 経路B（第6条2項）── 附属書IIIに列挙された8つの用途分野に当たるAI
日本企業が引っかかりやすいのは、製造業なら経路A、ソフトウェア・SaaS事業なら経路Bです。
附属書Iの高リスクAIとは何か──製品に組み込まれるAI
第6条1項は、次の両方を満たす場合に高リスクとします。
- そのAIが、附属書Iに掲げるEU法令が対象とする製品の安全構成部品（safety component）として使われることを意図している、またはAIそのものがその製品である
- その製品が、当該法令に基づいて第三者による適合性評価を受けることを要求されている
ここは「かつ」であることが実務上重要です。附属書I該当製品でも、自己認証で足りるカテゴリであれば、第6条1項の高リスクにはなりません。
附属書Iに掲げられている法令は20件あり、大きく2群に分かれます。
Section A（新しい立法枠組み＝NLFに基づく群）── 機械、玩具安全、レクリエーション用舟艇、リフト、爆発性雰囲気用機器（ATEX）、無線機器（RED）、圧力機器、索道設備、個人用保護具（PPE）、ガス燃焼機器、医療機器（MDR）、体外診断用医療機器（IVDR）
Section B（その他の群）── 民間航空保安、二輪・三輪車、農林用車両、船舶装備、鉄道相互運用性、自動車型式認証、自動車一般安全、民間航空（無人航空機関連を含む）
産業機械、医療機器、自動車部品、ドローンといった、日本企業が強い分野がまとめて入っている点に注意してください。なお Digital Omnibus により、機械規則が Section A から Section B へ移動したとする解説がありますが、条文での一次確認はできていません。
附属書IIIの高リスクAIとは何か──用途で決まる8分類
こちらが、ソフトウェア事業者にとっての本丸です。附属書IIIは次の8分野を列挙しています。
| 分野 | 対象となるAIの例 |
|---|---|
| 1. 生体情報 | 遠隔生体識別システム（本人確認のみを目的とするものは除く）、センシティブ属性・保護属性に基づく生体分類、感情認識 |
| 2. 重要インフラ | 重要デジタルインフラ、道路交通、水・ガス・暖房・電力の供給の管理・運用における安全構成要素としてのAI |
| 3. 教育・職業訓練 | 入学・受入れ・配属の決定、学習成果の評価、適切な教育水準の評価、試験中の不正行為の監視・検知 |
| 4. 雇用・労働者管理 | 採用・選考（求人広告のターゲティング、応募書類のフィルタリング、候補者の評価）、昇進・解雇の判断、行動や個人的特性に基づくタスク配分、業績・行動のモニタリングと評価 |
| 5. 必要不可欠なサービス | 公的扶助給付の受給資格評価と給付の付与・減額・取消・回収、信用力評価・信用スコアリング（金融詐欺検知目的は除く）、生命保険・健康保険のリスク評価および価格設定、緊急通報の評価・分類 |
| 6. 法執行 | 犯罪被害者となるリスクの評価、ポリグラフ等、証拠の信頼性評価、犯行・再犯リスクの評価、捜査・訴追におけるプロファイリング |
| 7. 移民・庇護・国境管理 | ポリグラフ等、入域者がもたらす安全保障・不法移民・健康上のリスク評価、庇護・査証・居住許可申請の審査支援、人物の探知・認識・識別（旅行証明書の検証は除く） |
| 8. 司法運営・民主的プロセス | 司法当局による事実・法令の調査・解釈および具体的事案への法適用の支援、ADRにおける同様の利用、選挙・国民投票の結果や投票行動への影響を意図したもの（純粋な事務ツールは除く） |
HRテック事業者は第4号に直撃します。採用スクリーニングAI、人事評価支援AI、勤怠モニタリングツールは、いずれも射程に入りうる典型例です。またフィンテック・保険テックは第5号です。与信AIと保険料率算定AIが名指しで入っています。
附属書IIIに当たっても高リスクにならないのはどんな場合か──第6条3項
ここが実務上いちばん効くフィルターです。附属書IIIに掲げられていても、自然人の健康・安全・基本的権利に対する重大な危害のリスクをもたらさない場合、つまり意思決定の結果に実質的な影響を与えない場合には、高リスクとはされません。
そのうえで、次の4類型のいずれかに当たることが必要です。
- (a) 狭い手続的タスクを実行することを意図している
- (b) 既に完了した人間の作業の結果を改善することを意図している
- (c) 意思決定のパターン、または過去のパターンからの逸脱を検知することを意図しており、適切な人間によるレビューなしに過去の人間の評価を置き換えたり影響を与えたりすることを意図していない
- (d) 附属書III掲載用途に関する評価の準備的タスクを実行することを意図している
ただし、決定的な例外があります。条文は「第1小段落にかかわらず、自然人のプロファイリングを行う場合は常に高リスクとみなされる」と定めています。プロファイリングを行うなら、(a)〜(d)のどれに当たっても除外は一切効きません。ここを見落とすと判定を誤ります。
なお、附属書III該当だが高リスクではないと判断した場合、提供者は上市またはサービス開始の前にその評価を文書化する義務を負い（第6条4項）、EUデータベースへの登録も必要です（第49条2項）。「高リスクではない」という結論に至った場合でも、手ぶらではいられない設計になっています。
高リスクAIに該当すると何をしなければならないのか
提供者に課される義務は第16条に一覧されています。まず、満たすべき技術要件（第9条〜第15条）は次のとおりです。
| 条 | 内容 |
|---|---|
| 第9条 | リスク管理システム。全ライフサイクルにわたる継続的・反復的なプロセス |
| 第10条 | データとデータガバナンス。学習・検証・テストデータの品質基準 |
| 第11条 | 技術文書（附属書IVに記載事項が定められています） |
| 第12条 | 記録保持。自動でログを生成する機能を備えること |
| 第13条 | 利用者への透明性と情報提供。使用指示書の整備 |
| 第14条 | 人間による監督。設計段階で監督可能にすること |
| 第15条 | 正確性、堅牢性、サイバーセキュリティ |
手続き面では、品質マネジメントシステムの設置（第17条）、文書の保管（第18条・上市またはサービス開始後10年間）、自動生成ログの保管（第19条）、上市前の適合性評価（第43条）、EU適合宣言書の作成（第47条）、CEマーキングの貼付（第48条）、EUデータベースへの登録（第49条）、是正措置と情報提供（第20条）、EU域外の提供者による授権代理人の設置（第22条）、市販後モニタリングと重大インシデントの報告（第72条・第73条）が求められます。
適合性評価の重さは分野で違います。第43条により、附属書III第1号（生体認証）は、整合規格を適用しない場合、notified body（第三者認証機関）による評価が必須です。一方、附属書III第2号から第8号は、内部管理による自己評価（附属書VI）で足ります。つまりHRテックやフィンテックは、重い義務を負うものの、第三者認証機関を通す必要はありません。ここは負担感の見積もりに直結するので、正確に押さえておく価値があります。
AIを「使うだけ」の企業にも義務はあるのか──第26条・第27条
高リスクAIは、作る側だけでなく使う側にも義務がかかります。日本企業が「自社は開発していないから関係ない」と考えて見落としがちなポイントです。第26条の主な内容は次のとおりです。
- 使用指示書に従って利用するための技術的・組織的措置をとること
- 人間による監督を、必要な能力・訓練・権限・支援を有する自然人に割り当てること
- 入力データを管理する範囲で、意図された目的に照らして関連性があり十分に代表的であることを確保すること
- 運用を監視し、リスクがあると判断した場合は遅滞なく提供者と市場監視当局に通知し、利用を停止すること
- 自動生成ログを最低6か月間保存すること
- 職場で高リスクAIを導入する使用者は、事前に労働者代表および影響を受ける労働者に通知すること
- 自然人に関する決定を行う／支援する高リスクAIを利用する場合、当該自然人にその旨を通知すること
さらに第27条は、公的機関等、および信用力評価・生命健康保険のリスク評価を行う事業者に対して、基本権影響評価（FRIA）の実施を義務付けています。初回利用前に、利用プロセス、利用期間・頻度、影響を受ける人のカテゴリ、生じうる危害のリスク、人間による監督の方法、リスクが顕在化した場合の措置を評価し、結果を市場監視当局に通知する必要があります。
日本企業は今週何をすべきか
- 自社のEU向けAIサービスを第50条の4類型に当てはめる。対話型か、合成コンテンツを生成するか、感情認識・生体分類を含むか、ディープフェイクを扱うか。1つでも該当すれば、既に義務下にあります。
- 既存システムのマーキング対応の期限を、条文で自分で確認する。解説によって記述が分かれています。C2PAなどの規格対応が必要になるため、実装リードタイムを見積もったうえで、安全側の日付から逆算してください。
- 附属書IIIの8分類に自社サービスを当ててみる。特にHR、与信、保険料率算定、教育、生体認証の領域は要注意です。当たった場合、第6条3項のフィルターが使えるか、プロファイリングを行っていないかを確認します。
- 「2026年8月2日全面適用」を前提に組んだ社内ロードマップを差し替える。高リスク対応の予算・人員を2027年に平準化できる一方、透明性対応は前倒しになります。優先順位が逆転している可能性を疑ってください。
- 使う側の義務を忘れない。自社開発していなくても、EU域内で高リスクAIを業務利用していれば第26条の義務がかかります。特に職場導入時の労働者への事前通知は、日本の実務では抜けやすい項目です。
後編はこちら
後編では、8月2日にもうひとつ動き出した汎用AI（GPAI）を扱います。汎用AIとは何か、提供者にどんな義務がかかるのか、当局が持つことになった執行権限（情報要求、モデル評価へのアクセス、是正措置命令、市場からの回収、制裁金）とは具体的に何なのか、そして行動規範に署名すると何が変わるのかを整理します。
→ EU AI法の汎用AI（GPAI）規制とは──制裁金と行動規範【後編】
一次情報
- EU AI法本体（Regulation (EU) 2024/1689）
https://eur-lex.europa.eu/eli/reg/2024/1689/oj - Digital Omnibus on AI（Regulation (EU) 2026/1744）
https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng - 欧州委員会 AI生成コンテンツの透明性に関するガイドライン
https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content - 欧州委員会 AI法の執行枠組み
https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act - CEN-CENELEC 人工知能（JTC 21）
https://www.cencenelec.eu/areas-of-work/cen-cenelec-topics/artificial-intelligence/