「うちはEUに進出していないから関係ない」——EU AI法（EU Artificial Intelligence Act）についてこう話す経営者に、Lat91はこの1年間で何度も出会った。しかし、それは危険な誤解だ。EU AI法の設計を詳しく読むと、日本企業が対象になる条件は「EUに拠点を置くこと」ではない。EUとの取引関係だけで十分なのだ。
世界初の包括的AI規制法が、今まさに段階的に適用され始めている。2025年2月には禁止AIの規制が発動し、2025年8月には汎用AIモデル（GPT類似技術）への規制が開始した。高リスクAIへの本格適用は2027年12月に迫っている。
この記事では、EU AI法が日本企業に与える3つの現実と、今から始めるべき準備を整理する。
EU AI法とは何か — 世界が注目する前例なき規制
EU AI法（EU Artificial Intelligence Act）は2024年8月1日に発効した、世界初の包括的AI規制法だ。GDPRがデータの扱いを規定したのと同様に、EU AI法はAIシステムそのものの設計・開発・運用を規制する。
特徴的なのは「リスクベースアプローチ」だ。全てのAIを一律に規制するのではなく、社会的影響の大きさに応じて4段階のカテゴリに分け、義務の重さを変える。社会的スコアリングや人々の意識を操作するAIは完全禁止、採用・医療・信用審査に使うAIは厳格な義務付け、チャットボットには開示義務のみ、スパムフィルターは規制なし——という構造だ。
GDPRの失敗から学んだ設計でもある。GDPRが発効当初から厳格適用を求めたのに対し、EU AI法は段階的な適用スケジュールを取っている。企業が「気づかないまま違反する」事態を避けるための配慮だ。
しかしその「段階的」という構造が、かえって見落としを生んでいる。「まだ先の話」と思っていたら、気づいたら準備が間に合わなくなっていた、というパターンが欧州の企業でも起きている。
日本企業が「対象外」ではない3つの条件
EU AI法の域外適用は、GDPRと同じロジックで設計されている。以下のいずれかに該当する場合、日本に本社を置いていても対象になる。
条件1: EU市場にAIシステムを投入・販売している場合
これが最も多いケースだ。EU顧客向けにSaaSを提供している、EU拠点の工場向けにAI搭載機器を輸出している、EU在住ユーザーを持つアプリを運営している——これら全てが対象になる。AIの機能がほんの一部でも含まれていれば、サービス全体が規制の対象になりうる。
条件2: EU子会社・拠点がAIシステムを使用・運用している場合
欧州に販売会社、製造拠点、研究開発センターを持つ日系企業は、現地でAIツールを使っているだけで対象になる。採用管理、工程品質検査、顧客与信判断——これらにAIを使っているなら確認が必要だ。
条件3: AIの出力がEU域内で利用される場合
最も見落とされやすい条件がこれだ。サーバーが日本にあり、会社も日本にあっても、EU在住のユーザーに対してAIが判断を下す場合は対象になる。「物理的にどこにあるか」ではなく「誰に対して影響を与えるか」が判断基準なのだ。
実際に影響を受けやすい日本企業の例:
- 自動車・製造業: EU工場向けAI品質検査が高リスクAI（重要インフラ）に該当
- 医療機器メーカー: EU市場向けAI診断支援がCEマーキング必須の高リスクAIに該当
- HRテック事業者: EU顧客企業向け採用・評価AIが高リスク（雇用カテゴリ）に直撃
- 金融機関欧州拠点: EU顧客向け与信スコアリングAIが高リスクに該当
「我が社は非製造業だから」という話もよく聞く。しかし今やほぼ全業種がAIをどこかで使っている。バックオフィスのRPAや採用支援ツールにもAIが組み込まれているケースは多い。
リスク分類で変わる義務の重さ
EU AI法が定める4段階のリスク分類を理解することが、対応の第一歩だ。
図1: EU AI法のリスク分類と主な義務
注意が必要なのは、「自社がどのカテゴリに入るか」の判断を自己申告で行う点だ。高リスクかどうかの判定に第三者の強制審査はない（一部例外を除く）。つまり、自社のAIがどのリスクカテゴリに該当するかを、自ら分析・文書化する義務がある。「知らなかった」は免責にならない。
高リスクAIが課される義務の実体
日本企業が最も頭を悩ませるのが「高リスクAI」への対応だ。以下の8つの義務が課される。
1. 技術文書（Technical Documentation）の整備
AIシステムの設計意図、アルゴリズムの概要、学習データの仕様、性能指標、既知のリスクと限界——これらを詳細に文書化し、規制当局の求めに応じて提出できる状態にしておく必要がある。
2. 適合性評価（Conformity Assessment）の実施
内部評価か、第三者機関による審査のいずれかが必要。医療機器や安全部品（Annex I）に組み込まれるAIは第三者審査が必須だ。
3. CEマーキングの取得
EU市場に製品を投入する前に、適合性評価をクリアし、CEマーキングを取得しなければならない。
4. EUデータベースへの事前登録
2026年以降、高リスクAIはEUのデータベースに事前登録することが義務付けられる。
5. リスク管理システムの整備
開発から廃棄まで、AIシステムのライフサイクル全体を通じた継続的なリスク監視の仕組みが必要。
6. データガバナンスの整備
学習データの品質管理とバイアス検出の仕組みを構築し、文書化する。
7. 人間による監視機能（Human Oversight）
自動で行われる判断に、人間が介入・修正・停止できる機能を実装する。これは「最後は人間が決める」という設計を技術的に担保することを意味する。
8. ロギング（操作ログの記録）
AIシステムが下した判断の記録を自動保存し、事後検証できるようにしておく。
これだけ見ると圧倒される量だ。ただし現実的な観点で言えば、日本の製造業や医療機器メーカーはGMP（Good Manufacturing Practice）やISO規格に準拠している場合が多く、文書化の枠組みは既にある。そこへAI固有の要件を追加するアプローチが現実的だ。
日本のAI促進法との決定的な違い
2025年9月に全面施行された日本のAI促進法（AI関連技術の研究開発及び利用の促進に関する法律）と、EU AI法の設計はまったく異なる。
| 観点 | EU AI法 | 日本AI促進法 |
|---|---|---|
| 基本姿勢 | リスク管理・規制 | イノベーション促進 |
| 義務規定 | 高リスクAIに厳格な義務 | なし |
| 罰則 | あり（最大年商の7%） | なし |
| 適用範囲 | 欧州市場に関わる全企業 | 日本企業 |
| アプローチ | ルールベース | 原則ベース |
日本政府はAI基本計画（2025年12月公表）で「ライフサイクルガバナンス」「リスクベースアプローチ」を推奨しているが、これはあくまでガイドラインであり、違反した場合の罰則はない。
この「罰則の非対称性」が問題になる場面がある。欧州子会社を持つ日本の親会社が「日本の法律に問題はないから大丈夫」と判断し、EU側の対応を後回しにするケースだ。EU AI法の罰則は全世界売上高ベースで計算されるため、売上規模の大きな企業ほど実質的なリスクが大きい。
- 禁止AI（Unacceptable Risk）違反: 3,500万ユーロ または 全世界売上高の7% の高い方
- 高リスクAI義務違反: 1,500万ユーロ または 全世界売上高の3%
- 当局への虚偽報告: 750万ユーロ または 全世界売上高の1%
年商1兆円の日系グローバル企業が高リスクAIの義務違反をした場合、最大で約300億円の罰則計算となる。「知らなかった」では済まない数字だ。
段階的に迫る適用スケジュール
EU AI法の適用はすでに始まっている。
図2: EU AI法の段階的適用スケジュール（2024-2028）
当初は高リスクAIへの本格適用が2026年8月の予定だったが、整合規格の整備遅れを理由に欧州委員会が16ヶ月の延期を発表。現在の高リスクAI全面適用は2027年12月となっている（出典: European Commission, 2025）。
「延期されたなら、まだ余裕がある」と思うかもしれない。だが準備に実際にかかる時間を逆算すると、余裕はほとんどない。技術文書の整備だけで数ヶ月、適合性評価に数ヶ月、社内プロセスの改修に数ヶ月——合計1年以上かかるケースが普通だ。
今すぐ始める3つの準備
海外の先行事例を見ると、対応が早い企業ほど「AIインベントリの把握」から始めている。自社でどのようなAIをどのような目的で使っているか、全部リストアップすることだ。驚くほど多くの企業が、部門ごとにバラバラにAIツールを導入しており、全体像を誰も把握していない。
準備1: 自社AIの棚卸し（今週から）
全社のAI使用状況を把握する。ベンダーのAI機能（採用SaaSのスコアリング機能、顧客管理ツールのリコメンド機能など）も含め、AIが関与する業務プロセスを全て洗い出す。特に採用、医療、信用判断、インフラ管理に関わるものは優先してリスト化する。
準備2: EU接点の確認（今月中に）
自社がEU市場に何らかの形で接点があるかを確認する。欧州子会社の有無、EU顧客へのサービス提供、EU向け製品・ソフトウェアの輸出。接点がある場合、そのビジネスでAIが使われているなら次のステップへ。
準備3: 法務・IT部門との横断チームの組成
EU AI法対応は、法務だけでも、IT部門だけでも完結しない。AIシステムの技術的な理解と、法律・コンプライアンスの知識、ビジネス文脈の判断——この三者が揃わないと、正確なリスク評価ができない。この体制を早く作った企業ほど、後の対応コストが下がる。
よくある誤解への回答
「チャットボットや生成AIツールを使っているだけなら関係ない？」
ChatGPTやClaudeを業務で使うだけなら「限定リスク」（Limited Risk）に該当し、AIと明示する義務のみだ。ただし、その生成AIが採用判断・医療診断・信用評価の補助をしている場合は「高リスク」になりうる。ツールではなく「何に使うか」でカテゴリが変わる点に注意が必要だ。
「EU子会社が独自に対応するから、日本の親会社は関係ない？」
EU AI法の罰則は「全世界売上高」ベースで算出される。EU子会社が違反した場合、グループ全体の売上高が罰則の計算基準になる可能性がある。日本の親会社が「子会社の問題」と切り離して考えることはリスク管理上、適切ではない。
まとめ
EU AI法をめぐる3つの現実を整理する。
- 日本企業も対象になりうる: EUと接点があれば（市場投入・子会社・EU顧客）、日本拠点でも対象。「進出していないから関係ない」は成り立たない
- 罰則のスケールは大きい: 全世界売上高の最大7%。グローバル企業ほどリスクが大きい
- 高リスクAIの本格適用は2027年12月だが、準備には1年以上かかる: 今から動かないと間に合わない
日本の企業が苦手なのは「罰則のない規制には従わなくていい」という発想だ。しかし今回は罰則が伴う。そしてその罰則は、EU内だけでなくグループ全体の売上を基準に計算される。
AIの活用が広がるほど、コンプライアンスへの投資は「制限」ではなく「リスク管理のインフラ」として位置づけるべきだ。
Lat91では、AIエージェントの設計・導入から運用まで、コンプライアンスも含めた一気通貫のサポートを行っています。
「EU AI法への対応、うちに関係あるの？」という段階から相談できます。