EU AI法 日本企業への適用は？判定と義務の期限【2026】

「EU AI法（EU AI Act）は日本企業にも関係があるのか」という相談が、2026年に入ってから明らかに増えました。結論から書きます。EU AI法は、EU域内に製品やサービスを出している日本企業にも適用され得ます。条文（Regulation (EU) 2024/1689 第2条1項）は、提供者について「EU域内に設立されているか第三国に設立されているかを問わず」EU市場に出す者を対象とし、さらに第三国の提供者・利用者であっても、そのAIシステムの出力がEU域内で使われる場合を明示的に含めています。日本に本社があること自体は、対象外の理由になりません。

そのうえで、2026年8月時点の実情はこうです。EU AI法の一般適用日は予定どおり2026年8月2日に到来しました。一方で、多くの日本企業が身構えていた高リスクAIの義務は、2026年7月に成立した改正規則によって2027年12月2日（一部は2028年8月2日）へ後ろ倒しされました。つまり「一般適用は始まったが、重い義務の本番はまだ先」という、少しややこしい状態にあります。

この記事は、EUR-Lex に掲載された条文本文と欧州委員会の公式ページだけを根拠に、2026年8月13日時点の状況を日本企業目線で整理したものです。法令の解釈は個別事情で変わります。本記事は法的助言ではありませんので、自社の対応判断は必ず弁護士等の専門家にご確認ください。

結論：日本企業がEU AI法の対象になる3つのパターン

EU AI法の適用範囲は第2条1項に列挙されています。日本企業に関係が深いのは、次の3つのパターンです。自社がどれかに当たるなら、EUに拠点がなくても対象になり得ます。

• EU市場にAIシステム・汎用AIモデルを出している（第2条1項(a)）。提供者がEU域内に設立されているかどうかを問いません。自社製品にAI機能を載せてEUで売る、SaaSをEUの顧客に提供する、といったケースが該当します。
• EU域内に置いた拠点でAIを業務利用している（同(b)）。EU現地法人が採用選考や与信判断にAIを使う場合などです。
• 第三国（＝日本）にいながら、AIの出力がEU域内で使われている（同(c)）。この項は提供者だけでなく利用者（デプロイヤー）も明文で含みます。日本本社でAIが出した判定結果を、EUの取引先や現地従業員に対して使う、といった形が想定されます。

逆に、EUと一切接点のない国内向け事業だけであれば、直接の適用対象にはなりません。ただし対象になったとしても、すべての企業に同じ義務が課されるわけではありません。義務の重さはAIの用途のリスクと、自社が提供者か利用者かで大きく変わります。ここを分けずに議論すると、必要以上に身構えることになります。

適用スケジュール：2026年8月時点で始まったもの・延期されたもの

EU AI法は2024年8月1日に発効し、条文（第113条）で段階的に適用される設計になっています。その第113条が、2026年7月8日のRegulation (EU) 2026/1744（通称 Digital Omnibus on AI）によって改正されました。同規則はEU官報に2026年7月24日に掲載され、2026年7月27日に発効しています。この改正が、高リスク義務の適用日を動かした本体です。

ここで実務上いちばん大事なのは、延期されたのは「高リスクAIの要求事項」であって、法律そのものではないという点です。禁止されるAI慣行は2025年2月からすでに適用中で、罰則の章も2025年8月から動いています。2026年8月2日には透明性義務が一般適用に入りました。「2027年まで何もしなくていい」という読み方は誤りです。

もう一点、既存システムへの配慮も条文に入りました。改正で追加された第111条4項は、2026年8月2日より前に市場に出された合成音声・画像・動画・テキスト生成AIの提供者について、第50条2項（機械可読なマーキング）への対応期限を2026年12月2日までとしています。生成AI機能を含む製品をEUで提供している日本企業は、この日付が直近の実務期限になります。

リスク4分類と、自社がどこに当たるかの判定手順

EU AI法は、AIの用途を4段階のリスクに分けて義務の重さを変えています。まず自社のAI利用がどこに落ちるかを見極めるのが、対応の出発点です。

判定は次の順番で進めると迷いません。用途から見るのがコツです。同じ生成AIでも、議事録の要約に使うのと採用の合否判定に使うのとでは区分が変わります。

1. EUとの接点があるかを確認する。EU市場への提供、EU拠点での利用、出力のEU域内での使用のいずれかがあるか。なければEU AI法の直接の対象外です。
2. 第5条の禁止慣行に触れていないかを確認する。ここは適用済みで、罰則も最も重い区分です。最優先で潰します。
3. 附属書IIIの8領域に当たる用途があるかを確認する。採用選考、人事評価、与信、教育の評価など、人の権利や機会に直接影響する用途が典型です。
4. 顧客や従業員がAIと接する場面があるかを確認する。チャットボット、AI生成の画像・音声・動画、AI生成テキストの公開などは第50条の透明性義務の射程です。
5. 自社が提供者（provider）か利用者（deployer）かを切り分ける。市販のAIツールを使っているだけなら通常は利用者で、義務は提供者よりかなり軽くなります。

「使う側」の日本企業がやること

日本企業の多くは、AIを自社開発する提供者ではなく、市販のAIサービスを使う利用者（デプロイヤー）です。利用者に課される義務は、条文上は次のように整理できます。

まず、リスク区分を問わず全社にかかるのが第4条のAIリテラシーです。改正後の第4条1項は、提供者・利用者に対し、自社スタッフや自社に代わってAIを操作する者の「AIリテラシーの向上を支援する措置をとる」ことを求めています。改正では「特定の水準のAIリテラシーを個人について保証することまでは求めない」と明記され、義務の輪郭がやや緩やかになりました。実務的には、社内研修や利用ガイドの整備がこれに当たります。

次に、高リスクAIを使う場合の義務です（第26条。適用は2027年12月2日以降）。主なものは以下のとおりで、いずれも「使い方の管理」に関するものです。

• 提供者の使用説明書に従って使うための技術的・組織的措置をとる（1項）。
• 人的監督を、必要な能力・訓練・権限を持つ自然人に割り当てる（2項）。担当者を決めるだけでなく、止める権限まで持たせる必要があります。
• 入力データを自社が管理している範囲で、意図した用途に照らして適切で代表性のあるものにする（4項）。
• 運用をモニタリングし、リスクを認めたときは遅滞なく提供者・当局に通知して利用を停止する。重大インシデントは直ちに通知する（5項）。
• 自動生成されるログを最低6か月保存する（6項）。
• 職場で高リスクAIを使う前に、従業員代表と対象従業員に事前通知する（7項）。

そして第50条の透明性義務は、2026年8月2日からの一般適用に入っています。利用者側に直接かかるのは、感情認識・生体分類システムの対象者への通知（3項）と、ディープフェイクにあたる画像・音声・動画を生成・加工した場合の開示（4項）です。同項は、公共の関心事について公衆に情報提供する目的で公開するAI生成テキストについても開示を求めていますが、人によるレビュー・編集を経て編集責任者がいる場合は適用されない、という例外が置かれています。

私たちMihataは、こうしたAIの社内利用の整理やルール作りを含むAI導入支援も行っております。記事の途中で恐縮ですが、社内で誰がどのAIをどう使っているのかの棚卸しから詰まっている場合は、下記もご覧ください。

罰則の考え方

EU AI法の制裁金は第99条に定められています。加盟国が具体的な罰則規定を置く建て付けですが、上限は規則で共通化されています。金額と売上高比率の「高いほう」が上限になるのが原則です。

ここで中小企業にとって重要なのが第99条6項です。SME（スタートアップを含む）については、上記の金額と比率の「低いほう」が上限になります。改正規則では、中堅企業（SMC）についても同様の扱いを定める6a項が追加されました。売上規模の小さい企業に対して、絶対額の上限がそのまま適用されるわけではありません。

なお、汎用AIモデルの提供者に対する欧州委員会の制裁金は第101条に別途定められており、上限は1,500万ユーロまたは全世界売上高の3％（高いほう）です。基盤モデルを提供する事業者向けの規定で、モデルを使うだけの企業には直接かかりません。

日本のAI関連法・ガイドラインとの違い

日本にもAIに関する法律とガイドラインがありますが、EUとは性格がまったく違います。整理の軸は拘束力の有無です。

直近では、総務省・経済産業省のAI事業者ガイドライン（版1.2）が令和8年3月31日に公表されています。日本国内の制度の全体像については、日本のAI規制の全体像を整理した記事で詳しく書いています。

どちらが優れているという話ではありません。EUは事前規制で予見可能性を作る設計、日本は推進とソフトローで様子を見ながら既存法で対処する設計です。日本企業にとっての実務的な意味は、EUと接点がある事業にだけEUの物差しが追加でかかる、というだけのことです。

EU向けに何もしていない中小企業が、まずやる3つのこと

高リスク義務が2027年12月まで延びたことで、準備の時間は確保されました。今やるべきなのは、重い体制構築ではなく判断材料を揃えることです。

1. EUとの接点を1枚に書き出す。 EUに売っている製品・サービス、EUの拠点や現地スタッフ、EUの顧客データを扱う業務を列挙します。ここが空欄なら、当面は経過観察で構いません。埋まる項目があれば、そのサービスにAIが関与しているかを確認します。
2. 社内で使っているAIを棚卸しする。 誰がどのツールを何の業務に使っているかを一覧にします。会社が把握していないツールが出てくるのが普通です。この段階でつまずく場合は、シャドーAIへの対処法をまとめた記事が参考になります。
3. 用途ごとにリスク区分を仮置きし、社内ルールに落とす。 特に採用・人事評価・与信など、附属書IIIに触れそうな用途を先に見つけます。そのうえで、使ってよいツールと入力してはいけない情報を1枚のルールにまとめます。ゼロから作るのが大変な場合は、生成AIの社内ルールの雛形をたたき台にしてください。

この3つは、国内の個人情報保護や情報漏えい対策としてもそのまま効くため、EUと接点がない企業でも無駄になりません。EU向けに高リスク用途がある企業は、2027年12月2日から逆算し、提供者側（ツールベンダー）にどの資料を出してもらえるのかを早めに確認しておくのが現実的です。

よくある誤解

相談を受ける中で繰り返し出てくる誤解を挙げておきます。

• 「EUに支社がなければ無関係」。 誤りです。第2条1項(a)は提供者の設立地を問わず、(c)は第三国にいる提供者・利用者であってもAIの出力がEU域内で使われる場合を対象としています。
• 「高リスクが延期されたから2027年まで何もしなくていい」。 誤りです。禁止慣行は2025年2月から、GPAIの義務と罰則の章は2025年8月から適用されています。透明性義務は2026年8月2日から一般適用に入りました。
• 「生成AIを社内で使っているだけで高リスク」。 そうとは限りません。高リスクかどうかは用途で決まります。議事録要約や文章の下書きは、通常は最小リスクの領域です。
• 「AIを使うと必ず制裁金の対象になる」。 誤りです。制裁金は義務違反に対するもので、義務がかからない用途には発生しません。またSMEには「低いほう」の上限が適用されます（第99条6項）。
• 「延期されたから、いずれ規制自体がなくなる」。 改正規則が変更したのは適用日と手続の簡素化であり、高リスクAIの要求事項そのものは維持されています。

最後に、本記事で確認できなかったことも書いておきます。改正規則（EU）2026/1744 は、第2条13項として「附属書IのSection Aの法令が同等以上の保護を定める場合に第9条〜第15条・第17条〜第25条の要求を限定できる」という仕組みを新設し、その具体化を2027年8月2日までに欧州委員会が委任法令で定めるとしています。どの高リスクAIについてどの義務が限定されるのかは、本記事執筆時点（2026年8月13日）では公表されておらず、公式には確認できませんでした。該当しそうな製品を扱う企業は、今後の委任法令の公表を追う必要があります。

自社がEU AI法の対象になるのか、なるとして何から着手すべきかの整理でお困りでしたら、状況をうかがったうえで現実的な進め方をご提案します。

国内向けの規制動向としては、日本のAI規制はどうなったか・中小企業が守るべきことや政府の生成AIガイドライン改定2026もあわせて押さえておくと、EU AI法とのギャップが把握しやすくなります。契約面での実務対応はAI契約書レビューは中小企業に使えるか、AIを支える計算資源の負荷という観点ではAIの電力消費とデータセンターの実データもご参照ください。