EU AI Act・日本版AI規制2026：中小企業が今すぐ動くべき実務変化
「AI規制は大企業の話だ」——日本の中小企業経営者の多くがそう思っている。だがその認識は、2026年8月2日を境に大きくずれる可能性がある。
EU AI Actの高リスクシステムに対する準拠期限が、この日に迫っている。EU市場で取引する日本企業は、本社が日本にあっても適用対象だ。一方、国内では2025年5月に「AI推進法」が施行され、真逆の方向——規制を最小化し、民間の自主性に委ねる方針が打ち出された。
同じタイミングで「締める」EUと「緩める」日本。この矛盾が、グローバルに事業を展開する中小企業にとって実務上の混乱を生んでいる。この記事では、2つの規制の実態と、中小企業が今すぐ着手すべき準備を整理する。
EU AI Actの全体像：4段階のリスク分類
EU AI Actは2024年8月1日に発効した。罰則を含む本格的な義務は段階的に適用されていて、企業が動くべき期限は複数ある。まず構造を理解するための4段階のリスク分類から始めよう。
禁止（Unacceptable Risk）：2025年2月2日から即時適用済み。社会的スコアリング（信用スコアによる行動制限）、本人が意識しない行動操作、公共空間でのリアルタイム生体認証（例外規定あり）が対象。これらを使っていれば、すでに違反状態だ。
高リスク（High Risk）：採用・人事評価、与信判断、医療診断、教育評価、重要インフラ管理などが対象。準拠期限は2026年8月2日（一部は2027年12月2日に延長）。事前の適合性評価、リスク管理システムの整備、技術文書の整備が必要になる。
限定リスク（Limited Risk）：チャットボットや生成AIが該当。透明性の確保——「これはAIです」と明示すること——が主な義務だ。
最小リスク（Minimal Risk）：スパムフィルターや推薦アルゴリズムなど。義務なし。
図1: EU AI Act リスク分類と適用タイムライン（2026年6月時点）
日本企業が見落としている「域外適用」という落とし穴
EU AI Actには域外適用がある。EU市場向けにAIシステムを提供・展開するのであれば、企業の本拠地が日本でも適用対象になる。
具体的にどのような日本企業が対象になるかを整理する。
- EU拠点の取引先に採用スクリーニングシステムを提供しているSaaS企業
- EU市場の消費者に与信判断を含むサービスを提供しているフィンテック企業
- EU製造業向けに品質検査AIを販売しているメーカー
- EU向けECサイトで購買行動に基づくパーソナライズを実施している企業
「チャットボットやレコメンドは限定リスクだから大丈夫」と思っている企業も注意が必要だ。チャットボット自体は限定リスクに該当するが、そのチャットボットが与信判断や採用意思決定の前段階として機能しているなら、高リスクに分類される可能性がある。AIシステムのリスク分類は「機能」ではなく「用途」で決まる。
日本の規制：AI推進法はなぜ「緩い」のか
2025年5月28日に施行された日本の「AI推進法（AI技術の促進と安全な普及に関する法律）」は、EUと正反対の設計思想だ。
日本法の特徴は3つある。
第一に、規制より推進を優先する。法律名に「促進」が入っている通り、国内AI開発・活用を後押しすることが主目的だ。罰則規定は事実上ない。
第二に、「コンプライアイオア説明」アプローチ。METI/MICが策定したガイドライン（2025年3月改定v1.1）への準拠は強制ではなく、準拠しない場合でも理由を説明できればよい。拘束力のある義務ではなく、努力目標に近い。
第三に、既存法の活用。個人情報保護法、独占禁止法、製造物責任法といった既存の法規制が適用される。AI固有の新たな罰則は原則設けない方針だ。
この「緩さ」は意図的だ。欧州が規制先行で産業競争力を失いつつあることへの反省から、日本は意図的にイノベーション優先の立場をとっている。
中小企業が今すぐ動くべき3つの実務準備
図2: 中小企業のAI規制対応3ステップ
準備1：AIシステムの棚卸し
まず社内で使っているAIをすべてリストアップする。採用スクリーニングにAIツールを使っているか、融資審査や保険料算出にAIが関与しているか、サプライチェーン管理や安全システムにAIが組み込まれているか。これを把握していない企業が意外に多い。SaaSツールとして契約しているサービスの中にも、AIが動いているものがある。
準備2：EU市場との関係性の確認
EU向けに製品・サービスを提供しているかどうかを確認する。B2Bでも、EU拠点の企業が使うシステムを提供しているなら対象になる可能性がある。EUへの売上がゼロであれば、現時点では実務的な対応は不要だ。
準備3：高リスクなら今すぐ準備、限定リスクならチャットボット開示
棚卸しと確認の結果、高リスクに該当するシステムがEU市場向けに提供されているなら、2026年8月2日（一部は2027年12月）を期限に技術文書の整備・リスク管理システムの構築・人間による監視機能の実装が必要だ。
チャットボットや生成AIは限定リスクの範囲に収まるケースが多い。この場合の義務はシンプルだ——「これはAIが対応しています」と明示すること。日本語のサービスであっても、EU市場向けに提供しているなら適用される。
よくある誤解に正面から答える
「中小企業にはSME特例があるから関係ない」——確かに、従業員750名未満・売上€1.5億未満の企業には罰則が軽減される特例がある。しかし特例は罰則の軽減であり、義務の免除ではない。高リスクに該当するシステムには、規模に関わらず準拠義務がある。
「まだ猶予があるから大丈夫」——2026年8月2日まで1ヶ月強しかない。高リスクシステムの適合性評価は、技術文書の整備から始めて通常3〜6ヶ月かかる。「期限が来てから動く」では間に合わない。
「日本でビジネスをしているだけだから無関係」——現時点ではそうかもしれない。ただし、2027年以降に日本でもEU水準に近い規制が段階的に導入される可能性は否定できない。EU AI Actは先進国のAI規制の実質的な国際標準になりつつある。早期から準拠体制を作っておくことは、将来の負担軽減にもなる。
まとめ：「うちには関係ない」が最大のリスク
- EU AI Actは2024年8月発効済み。高リスク義務の主要期限は2026年8月2日
- 日本企業でも、EU市場向けにAIシステムを提供・展開する場合は適用対象
- 日本のAI推進法は推進寄りで罰則なし——EUとは真逆の設計
- グローバルに事業展開するなら、EUが実質的な国際標準になっている現実から逃れられない
- まず「AI棚卸し」から着手。EU市場と無縁なら当面の急ぎ対応は不要
2026年8月2日という期限は、多くの日本企業の経営者が知らないまま過ぎていく可能性が高い。「関係ない」という判断も立派な意思決定だが、それは調べた上での「関係ない」でなければならない。
Lat91では、AI導入企業のガバナンス設計やリスク分類の整理をサポートしています。「自社のAIがどのカテゴリに該当するかわからない」「EU向けのサービスがあるが何から始めればいいか」という場合は、まず無料相談でご確認ください。