2025年2月から、すでに始まっている
「EU AI Actは欧州の話だから、うちには関係ない」——そう思っている日本の中小企業経営者が多い。だが、この認識は2つの意味で危うい。
一つは施行スケジュールの誤解だ。「高リスクAIの規制は2027年12月に延期になった」という情報が一人歩きしているが、禁止AI（ソーシャルスコアリング等）の規制は2025年2月から、汎用AI（ChatGPT等のAPI利用）への義務は2025年8月から、すでに適用されている。罰則も同時に発動している。「延期になった」のは一部の高リスクAI分野だけで、規制全体が延期されたわけではない。
もう一つは「欧州接点ゼロ」の前提だ。欧州への輸出、欧州系グローバル企業との取引、欧州向けサービスの提供。これらがある企業は、知らないうちに域外適用の対象になっている可能性がある。そして欧州大手企業がEU AI Act対応を社内基準化する中で、日本の取引先・サプライヤーへの要求事項に「AIコンプライアンス確認」が追加されるケースが2026年に向けて増加している。
この記事では、日本の中小企業経営者が知っておくべきEU AI Actの実態と、今すぐ取るべきアクションをまとめた。
EU AI Actとは何か — 4段階リスク分類の基本
EU AI Actは、AIシステムのリスクレベルに応じて4段階に分類し、それぞれ異なる義務を課す法律だ。2024年8月1日に正式発効した。
図1: EU AI Actのリスク分類と施行時期 — 「全部2027年延期」は誤解
重要なのは、「禁止AI」と「汎用AI（GPAI）」の規制はすでに始まっているという点だ。ChatGPTやClaudeのAPIを使ってサービスを構築している企業は、2025年8月時点で汎用AIへの義務対象になっている可能性がある。
「延期になった」は誤解だ — 何が延期で何が適用中か
2025年から2026年にかけて「EU AI Act、高リスクAIは2027年12月に延期」という報道が増えた。これが「EU AI Act全体が先送りになった」という誤解につながっている。実態は異なる。
延期されたのは「Annex III高リスクAI（採用AI、与信AI、医療AI等）」の一部適用期日だ。技術標準の整備が間に合わないという理由による。これは準備期間を与えられたと理解するのが正しく、「やらなくていい」ではない。
一方で以下は予定通り適用されている（または適用される）。
- 2025年2月 — 禁止AIの規制開始（適用中）
- 2025年8月 — 汎用AI（GPAI）への義務・罰則発動（適用中）
- 2026年12月 — 透明性義務（Article 50）：AI生成コンテンツの明示義務等
- 2027年12月 — Annex III高リスクAI（延期後の期日）
罰則は最大3,500万ユーロ（約56億円）または全世界売上高の7%。これが「先の話」ではなく、一部については今この瞬間も有効な状態にある。
日本の中小企業が直面する3つの影響ルート
「EU域内で事業をしていないから無関係」という判断が、実は危険な理由を3つ挙げる。
ルート1: 欧州取引先からの「AIコンプライアンス確認」要求
欧州大手企業が自社のEU AI Act対応を進める中で、日本の取引先・サプライヤーへの調達条件更改時に「AI利用の実態確認書」「AIガバナンス文書」の提出を求めるケースが増えている（出典: note.com/datacrew）。これは直接規制ではなく、取引継続条件としての間接的な波及だ。
対応できなければ取引から外れるリスクがある。特に欧州系グローバル企業を主要取引先に持つBtoBの中小企業は、2026年の契約更改タイミングで突然この問題に直面する可能性がある。
ルート2: 欧州向けサービスへの域外適用
EU AI Actは「欧州のユーザーに影響を与えるAIシステム」には域外でも適用される。欧州向けECサイトでAIレコメンドエンジンや価格最適化AIを稼働させている場合、透明性義務（2026年12月〜）の対象になる可能性がある。AIであることの明示義務が生じる。
越境ECや欧州向けSaaSを展開している企業は、自社サービスがどのリスク分類に当たるかを確認する必要がある。
ルート3: 自動車サプライチェーンの技術文書要求
日本の自動車部品メーカーが欧州OEMに車載ソフトウェアを供給する場合、EU内の「インポーター（輸入者）」が適合性確認義務を負う。そのインポーターは日本側サプライヤーに対して、EU授権代理人（EU Representative）の任命と技術文書の提出を求める。製品組込み型高リスクAIは2028年8月が期日だが、準備期間として捉えるべきだ（出典: frESH Law Blog）。
自動車Tier-2・Tier-3メーカーは、欧州OEMの調達担当から突然「AIコンポーネントの文書を出してほしい」と連絡が来るシナリオが現実として存在する。
日本のAI促進法とEU AI Actは何が違うか
2025年6月、日本でも「AI促進法」が施行された。だが日本のアプローチはEUとは根本的に異なる。
日本のAI促進法は「イノベーション優先・事後対応・罰則なし」のソフトロー（軟法）だ。ガイドラインに従うかどうかは企業の判断に委ねられ、違反しても罰則はない。一方、EU AI Actは「事前審査・ハードロー（硬法）」で、罰則は7%の売上高課徴金まで及ぶ。
この「日欧規制ギャップ」が、欧州ビジネスパートナーとの商談で摩擦を生む。「日本のガイドラインに従っている」という説明は、EU AI Act準拠の要求を満たさない。欧州側から見ると、日本企業のAIガバナンス体制は「標準以下」と映りうる。
これは競争上の不利につながる可能性がある。逆に言えば、今から準備を進めた日本企業が欧州市場での差別化要因として「AI Compliant」を打ち出せる。
今すぐ取るべき3つのアクション
アクション1: 自社のAI利用を棚卸しする
どの業務でAIを使っているか、どのAIシステムやAPIを利用しているかをリストアップする。採用スクリーニング・与信判断・価格決定など「重要な決定に関わるAI」は高リスク分類になる可能性がある。appliedAIの欧州調査では、106社のAIシステムを分析したところ「高リスクか判断できない」ケースが40%に達した（出典: Cloud Security Alliance）。まず自分がどこにいるかを把握することが第一歩だ。
アクション2: 主要取引先（特に欧州系）の動向を把握する
取引先の欧州系グローバル企業がEU AI Act対応を進めているかどうかを確認する。次回の契約更改や調達条件見直しのタイミングで「AIコンプライアンス確認」が追加される可能性がある。先手を打って「当社のAI利用方針はこうです」と示せる準備をしておく。
アクション3: ChatGPT・Claude等の利用規約を確認する
汎用AI（GPAI）の義務は2025年8月から適用されている。OpenAIやAnthropicは自社のサービスをEU AI Actに準拠させているが、APIを使ってサービスを構築している場合、そのサービス提供者（つまり自社）にも義務が生じる可能性がある。まずAPIの利用規約と、自社サービスがどの分類に当たるかを確認する。
まとめ
- 「EU AI Act全体が2027年延期」は誤解。禁止AI規制は2025年2月から、GPAI義務は2025年8月から適用中
- 欧州取引先からのAIコンプライアンス要求は、間接的な波及ルートとして2026年に増える見込み
- 自動車サプライチェーン・越境ECなど特定業界は直接的な影響を受けうる
- 日本のAI促進法（ソフトロー）とEU AI Act（ハードロー）は根本的に異なる。欧州商談では区別して説明が必要
- 今すぐできることは「自社のAI利用棚卸し」と「主要取引先の動向把握」の2つ
EU AI Actへの準備は、単なるコンプライアンスコストではない。欧州市場での信頼構築と差別化の機会でもある。対応が遅れた競合より先に「AI Compliant」を打ち出せる企業が、欧州ビジネスで優位に立つ。
Lat91では、AI活用の方針設計から、EU AI Act対応を含むAIガバナンス体制の構築まで、一気通貫でサポートしています。
「まず自社のAI利用を整理したい」という段階から相談いただけます。まずはお気軽にどうぞ。