EU AI規制が日本企業を直撃する2026年 — 今すぐ知るべき5つの現実
「EU AI法は大企業の話だろう」。そう思っているなら、2026年8月が近づくにつれて考えを変えることになる。従業員50人の中小製造業であっても、EU向けの製品やサービスに少しでもAIが絡んでいれば、最大7,500万円超の制裁金リスクを負う可能性がある。これは脅しではなく、欧州委員会が公表している条文上の数字だ。この記事では、日本の中小企業が本当に知るべきEU AI法の現実を5つに絞って解説する。
1. EU AI法とは何か — 「GDPR以来最大の規制」の実態
EU AI法（Artificial Intelligence Act）は2024年5月に正式成立し、同年8月1日に発効した。技術規制としてGDPR（一般データ保護規則）以来の規模とされるが、GDPRとは構造が異なる。GDPRが「データを使う全員」を対象にしたのに対し、EU AI法はリスクのレベルに応じた段階的な規制を採用した。
規制は4段階のリスク分類で構成される。
図1: EU AI法 リスク分類と適用時期の概要
日本企業が特に注意すべきは「高リスク」カテゴリだ。採用選考や人事評価にAIを使っている場合、EU拠点の従業員を対象にした瞬間に規制の射程に入る。
2. 「EU向けに売っていない」は関係ない — 適用範囲の本当の広さ
EU AI法の適用範囲について最も広く誤解されているのが「EU拠点を持つ企業だけの問題」という認識だ。実際の条文は異なる。
法律の適用対象は、EUに製品またはサービスを提供するすべての事業者だ。国籍や所在地は問わない。つまり、日本から直接EU消費者向けにECサイトで製品を販売し、そこに「AI機能」が含まれていれば対象になる。
「でも自分たちは直接EU顧客に売っていない」という声は多い。ここに盲点がある。サプライチェーン経由の間接的な影響がある。日系自動車部品メーカーの例を考えよう。
従業員200名の愛知県の精密部品メーカーA社は、欧州主要自動車メーカーのTier2サプライヤーだ。直接EUには販売しておらず、「うちには関係ない」と考えていた。しかし2026年に入り、発注元のTier1メーカーから「EU AI法に基づく適合性評価書類の提出」を求めるサプライヤー向け通達が届いた。工場の品質管理システムにAI検査機能を組み込んでいたため、高リスクカテゴリの製造設備AIとして対応が必要になったのだ。これは特殊なケースではない。経産省のヒアリングでも、製造業サプライヤーが間接的に影響を受けるパターンが増加していると報告されている。
3. 2026年8月までに何が起きるか — タイムラインの現実
EU AI法は段階的施行を採用している。全面適用まで「まだ時間がある」と思うのは危険だ。各フェーズで求められる対応が異なる。
図2: EU AI法の段階的施行スケジュール（2024〜2027年）
2026年8月の高リスクAI適用が最も影響が大きい。ここに一点重要な追記がある。2026年5月に欧州議会で暫定合意された「Digital Omnibus」により、Annex III（採用・重要インフラ等）に分類される高リスクAIの一部については、全面義務化の期限が2027年12月に延長された可能性がある。ただしこれは2026年6月時点で最終成立前の状態であり、透明性義務（チャットボット開示等）の2026年8月期限は変わらない。「延期になったから準備しなくていい」ではなく、「どちらの期限が自社に適用されるかを確認する必要がある」のが正確な理解だ。
EU AI法への準備状況については、法律事務所So ＆ Satoの調査によると、対応済みの日本企業は全体の1割以下とされる。「まだ手をつけていない」が過半数を占める状況で、準備を始めた企業が優位に立てる状況はしばらく続く。
4. 採用・人事AIを使っている企業への直撃 — 最もリスクが高い領域
日本企業にとって最もリスクが高いのは「採用・人事評価AI」の分野だ。なぜか。多くの中規模企業が、外資系のATS（応募者追跡システム）や採用支援ツールを導入している。それらの多くが「AIによるスクリーニング機能」を持つ。
EU拠点の従業員の採用・評価にこれらのツールを使っていれば、高リスクカテゴリの対象となる。必要な対応は3つ。
まず適合性評価の実施。AIシステムのリスク評価書を作成し、第三者機関のレビューを受ける（一部のシステムは自己適合評価可）。次にログ保存。AI判断のプロセスと出力を記録し、5年間保存する義務がある。そして人間による最終承認。重要な意思決定（採用/不採用、昇進、解雇）は、必ず人間が最終判断を下す構造を明示的に設計する必要がある。
「人間が最終判断している」という組織でも、実態がブラックボックスになっていると問題になる。「AIのスコアを見て採用を決めた」では説明責任が不十分とみなされる可能性がある。
5. 日本政府・METIの動向 — 「自主対応」に委ねられている現実
EU AI法に対する日本の公式スタンスは「対応を支援するが、義務化はしない」だ。METIはAI事業者向けガイドラインを改訂し、EU AI法との整合性に関する対応指針を公表しているが、法的拘束力はない。
これは日本企業にとって「規制がないから対応しなくていい」ではなく、「法的拘束力がない分、自分で判断する必要がある」ということを意味する。
実際に2025年に日本企業向けEU AI法対応セミナーを行った法律事務所によると、参加企業の8割が「自社への適用があるか判断できていない」と回答している。この「判断できていない」状態が最大のリスクだ。
日本企業が今週からできる5つのアクションを示す。
- 自社のAIシステムの使用一覧を棚卸しする（採用・製造・顧客対応で何を使っているか）
- EU向けビジネスとの接点を確認する（直接販売・サプライヤー・EU拠点従業員のいずれか）
- 使用AIのリスク分類を確認する（ベンダーに問い合わせるか、公式分類を参照する）
- 高リスクと判定されたシステムについて、適合性評価の開始を検討する
- 社内の「AI使用規程」に、EUへの対応方針を追記する
よくある誤解と反論
「罰金を払っても日本企業には取り立てられないのでは？」
確かに現時点でEUの制裁金を日本の国内企業に強制執行するメカニズムは確立されていない。ただし、EU拠点の法人がある場合は別だ。また、EU内での事業活動（販売代理店、パートナー経由販売を含む）があれば、それらを通じた間接的な法的影響が発生しうる。より現実的なリスクは「EU顧客・パートナーとの商取引停止リスク」だ。大手EU企業が自社サプライヤーに対してAI規制対応証明を要求し始めているという事例は、すでに複数報告されている。
「AIツールを使っているのはベンダー側の責任では？」
EU AI法は「プロバイダー（開発者）」と「デプロイヤー（使用者）」の両者に義務を課している。Salesforceや採用AIツールを使う企業は「デプロイヤー」に分類され、適切な使用・監視・記録の義務を負う。「ベンダーが対応しているから自分たちは不要」という解釈は成立しない。
まとめ — 2026年に備えるための3つの原則
- EU接点の有無にかかわらず棚卸しから始める。「関係ない」という判断も、一覧を見た上でなければ根拠にならない
- 採用・人事AIは最優先で確認する。EU従業員が1人でもいれば、高リスクカテゴリの適用対象になりうる
- サプライヤー側のリスクを意識する。自社が直接対象でなくても、取引先からの要求で対応が必要になる
EU AI法は「遠い欧州の話」ではない。グローバルなビジネスのインフラを変える規制が、2026年8月に完全稼働する。日本の中小企業が「知らなかった」では済まない局面が、静かに近づいている。
Lat91では、AIエージェントの設計・導入から、AI利用規程の整備まで包括的に支援しています。
「自社のAI利用がEU規制の対象になるか知りたい」「AI活用を進めたいが法規制が不安」という方は、まず無料相談からお気軽にどうぞ。