EU AI Actは他人事か：日本企業への影響と対応
「欧州の規制だから、うちには関係ない」。EU AI Act（EU人工知能規制法）について、日本の中小企業の多くがそう考えている。だが、この認識は危うい。EU AI Actは2024年8月1日に発効済みで、禁止事項はすでに2025年2月から適用されている。輸出製品へのAI組み込み、EU子会社の運営、欧州企業とのサプライチェーン。この3つの接点を持つ日本企業は、地理的な距離に関係なく、この規制の射程に入る。違反した場合の罰則は売上高の最大7%だ。この記事では、施行スケジュールの現状、日本企業に関わる具体的シナリオ、そして今すぐ取るべきアクションを整理する。
施行スケジュール：今の時点でどこまで適用されているか
EU AI Actは段階的に施行される。現時点（2026年7月）の状況は以下の通りだ。
| 時期 | 内容 | 状態 |
|---|---|---|
| 2024年8月1日 | EU AI Act 発効 | 完了 |
| 2025年2月2日 | 禁止AI慣行（Article 5）の適用開始 | 施行済み |
| 2025年8月2日 | 罰則枠組みの適用開始 | 施行済み |
| 2026年8月2日 | 透明性義務（Article 50）・汎用AIモデル義務の施行 | 約1ヶ月後 |
| 2027年12月2日 | 高リスクAIシステム義務（当初2026年8月から延期） | 準備期間中 |
2026年6月に確認された「オムニバス合意」により、高リスクAIの主要期限が2027年12月に延期された。ただし「廃止」ではなく「猶予」だ。対応準備の時間が18か月延びたに過ぎない。
今すでに違法なAI慣行 — 8つの禁止カテゴリ
2025年2月以降、以下の8カテゴリのAI慣行はEU域内で違法だ。罰則は最大3,500万ユーロまたはグローバル年間売上の7%（高い方）。
- 本人の意識下に働く潜在的操作技術（サブリミナル技術）
- 脆弱性（高齢者・障害者等）を利用した操作
- 公的機関による社会的スコアリング
- プロファイリングのみに基づく犯罪リスク予測
- インターネット・CCTVからの無差別な顔画像データベース構築
- 職場・教育機関での感情認識AI
- 生体データによる人種・政治的意見・宗教等の推定
- 公共空間での法執行目的のリアルタイム遠隔生体識別
このリストで「うちは関係ない」と言い切れる企業は多い。だが、6番目の「職場での感情認識AI」は要注意だ。従業員の顔色や音声から感情を推定してエンゲージメントスコアを出す、採用面接動画を感情分析AIで評価する、といった仕組みを持つ企業は、EU市場への接続があれば今すぐ対応が必要だ。
図1: EU AI Actのリスク分類ピラミッド — 大多数のAIは最小リスクに該当する
日本企業への3つの接点
EU AI Actは「域外適用（extraterritorial reach）」を明確に持つ。適用対象は「EUで出力が利用されるすべてのAIシステム」であり、企業の本社所在地を問わない（Act Article 2）。
接点1：EU向け輸出製品へのAI組み込み
EU向けに出荷する製品（製造機器、医療機器、家電等）にAI機能を組み込む場合、そのAIシステムはEU AI Actの適用対象となる。高リスク分類に該当すれば適合性評価の義務が生じる。製造業の輸出企業は、製品ロードマップにAI AI機能を追加する際、リスク分類の確認が必要だ。
接点2：EU法人・子会社の運営
EU拠点でAIシステムを運用する日本企業の子会社は、「Deployer（デプロイヤー）」として義務を負う。本社からのAIツール展開であっても、EU域内での運用である以上、EU法人がその責任を担う。特に、高リスクAI（採用スクリーニング、信用審査等）を人事・与信業務に使うEU子会社は、2027年12月に向けて適合性評価文書の整備が必要だ。
接点3：欧州企業とのサプライチェーン圧力
日本企業が開発したAIツールをドイツ・フランス等の企業にライセンスする場合、そのシステムはAct適用内となる（WCR.Legal確認）。さらに、欧州のバイヤー企業が取引先（日本のサプライヤー）に対してAIコンプライアンス確認を求めるケースが増えている。「欧州に輸出しているが、AIを使っているのは自社業務だけだから関係ない」という理解は、サプライチェーン圧力という観点では通用しなくなりつつある。
日本政府の対応：AI促進法との違い
日本政府は2025年9月に「AI振興法（AI促進法）」を完全施行した。内閣府にAI戦略本部を設置し、2025年12月にはAI基本計画を策定した。METIは2026年3月にAIガバナンスガイドライン Ver.1.2を更新している。
日本とEUの最大の違いは、罰則の有無だ。
| 観点 | 日本（AI促進法） | EU（EU AI Act） |
|---|---|---|
| アプローチ | 促進・ガイドライン型 | 規制・執行型 |
| 罰則 | なし（comply-or-explain） | 最大売上7%または3,500万ユーロ |
| 強制力 | 自主的対応 | 法的義務・強制執行 |
| 域外適用 | なし | あり（EU市場への接続があれば適用） |
日本法のみの遵守でEU市場での適法性は保証されない。「日本のガイドラインを守っているから大丈夫」という判断は、EU向けビジネスでは通用しない。
欧州委員会は初の正式調査を開始した
2026年初頭、欧州委員会はArticle 5（禁止慣行）に基づく初の正式調査を開始した。対象は3件：多国籍企業での職場感情認識システム、EU複数国での予測型治安維持アルゴリズム、従業員管理プラットフォームのソーシャルスコアリング要素。まだ公式罰則は出ていないが、調査は進行中だ。
また、Microsoft・Google・Amazon・OpenAI・Anthropicを含む26の主要AI事業者が2025年8月にGPAI行動規範に署名した。MetaはこれをEU市場での制約として拒否し、欧州委員会の強化審査対象となっている。日本企業もGPAIモデルを提供する場合、同様の義務が発生する。
今すぐ取るべき3つのアクション
アクション1：AIシステムの棚卸しとリスク分類（今すぐ）
自社が使用・提供するすべてのAIシステムをリストアップし、EU AI Actのリスク分類（禁止・高リスク・限定リスク・最小リスク）を確認する。特に、職場での感情認識、採用時のAI自動判断、社員評価スコアリング、顔画像を用いた認証システムは、禁止カテゴリに該当しないか確認が優先だ。
アクション2：チャットボットのAI開示ラベル実装（2026年8月2日まで）
EU向けのチャットボット・生成AIインターフェースには、「これはAIです」という開示ラベルが義務化される（Article 50）。日本語サイトでも、EU在住ユーザーがアクセスするサービスは対象となる可能性がある。未対応は違反だ。
アクション3：EU域内の授権代理人の指定（EU向けAI提供企業）
EU市場向けにAIシステムを提供する場合、EU域内の「授権代理人（Authorized Representative）」を指定することが法的義務となる。日本企業がEUへAIを輸出・提供する場合、現地の代理人を立てる必要がある。
図2: EU AI Act 対応ロードマップ — 段階的に義務が追加される
よくある誤解
「EUに拠点がないから関係ない」
そうとは言い切れない。EU向けにAIシステムを販売・提供する場合、または提供するサービスの出力をEU在住者が利用する場合、Act Article 2の域外適用の対象となりうる。法人の所在地ではなく、AIの「利用の場所」が基準だ。
「チャットボットはどうせ最小リスクでは？」
使い方による。一般的な情報提供チャットボットは確かに最小リスクだ。しかし、ローン審査・採用選考・信用スコアリング・医療診断補助に使われる場合、高リスクに分類される可能性がある。用途が重要だ。
「日本のAIガバナンスガイドラインに従えばいい」
日本のAI促進法は自主対応型で罰則がない。METIガイドラインへの準拠はビジネスパートナーへの信頼性構築には役立つが、EU AI Actの法的義務とは別物だ。EU向けビジネスには、EU基準での対応が必要だ。
まとめ
- EU AI Actの禁止事項はすでに2025年2月から施行済み。罰則も2025年8月から適用されている
- 職場の感情認識AI・顔画像スクレイピング・ソーシャルスコアリングは今すぐ確認が必要な禁止カテゴリだ
- 輸出・EU子会社・サプライチェーンの3接点を通じて、日本の中小企業にも影響は届く
- 2026年8月2日のチャットボットAI開示義務は具体的で対応しやすい。まずここから着手する
- 高リスクAI義務は2027年12月に延期されたが、廃止ではない。準備期間として活用する
EU AI Actは欧州だけの話ではない。グローバルなAI規制の基準点として、他の地域の規制立案にも影響を与えており、日本の制度設計にも示唆を与えている。「欧州の話だから」と距離を置くより、自社のAI利用を棚卸しする機会として活用する方が、長期的なリスク管理として合理的だ。
Lat91では、AIガバナンス体制の整備やAI導入設計のサポートを行っています。
「自社のAI活用が規制リスクを抱えていないか確認したい」「EU向けビジネスへの影響を整理したい」という方は、無料相談からお気軽にどうぞ。