LEGAL UPDATE | 第35回
分析基準日：2026年10月8日 ｜ 訂正日：2026年10月20日
SAKURA法律事務所 代表弁護士 道下剣志郎
2026年8月2日、EUのArtificial Intelligence Act（Regulation (EU) 2024/1689、以下「EU AI Act」といいます。）について、主要規定の一般的な適用時期が到来し、GPAIに関する欧州委員会の執行権限も本格化しました。同日から、AIシステムが人と直接対話する場面における告知、AIが生成・操作したコンテンツの機械可読なマーキング、ディープフェイク及び一定の公益事項に関するAI生成テキストの開示等、Article 50の透明性義務も実務上の重要な規制として動き始めています。生成AIを単に社内で利用するだけの企業と、自社サービスとしてAIをEU市場へ提供する企業とでは法的立場が異なりますが、EU域外に所在する日本企業であるという理由だけで適用を免れる制度ではありません。 [1] [2]
EU AI Actの理解を難しくしている最大の理由は、「2026年8月2日に全面施行された」と一言で整理できないことにあります。禁止されるAI行為及びAIリテラシーに関する規定は2025年2月2日から、General-Purpose AI Model（GPAIモデル）に関する規定は2025年8月2日から既に適用されています。他方、2026年7月に成立したRegulation (EU) 2026/1744、いわゆるDigital Omnibus on AIにより、ハイリスクAIの主要な要求事項・事業者義務は、Annex III型について2027年12月2日、製品安全法制と結び付くAnnex I型について2028年8月2日へと適用時期が再設計されました。さらに、Digital Omnibusが新設した一定の禁止行為は2026年12月2日から適用されます。企業に必要なのは、「EU AI Actが施行されたか」という二分法ではなく、自社のAIごとに、どの規定が、どの役割に、いつから適用されるかを時系列で切り分ける作業です。 [2]
日本企業にとってもう一つ重要なのが域外適用です。EU AI Actは、EU市場にAIシステム又はGPAIモデルを提供するproviderについて、その所在がEU域内か第三国かを問いません。また、EU域外のprovider又はdeployerであっても、AIシステムが生成したoutputがEU域内で使用される場合には適用対象となり得ます。EU子会社にAI機能を提供する日本本社、EU顧客向けSaaSにAIを組み込む事業者、EU市場で利用される基盤モデルを提供する開発会社、EU向け製品にAI機能を搭載するメーカー等は、契約上の販売主体やサーバー所在地だけでなく、EU AI Act上のprovider、deployer、importer、distributor、downstream providerその他の役割を個別に確認する必要があります。 [1]
本稿では、EU AI Actを網羅的に逐条解説するのではなく、日本企業が現実にコンプライアンス体制を構築する順序に沿って整理します。すなわち、現在の適用時期を正確に把握し、EUとの接点と自社の法的役割を分類した上で、既に適用中の禁止行為・AIリテラシー・GPAI規制を確認し、2026年8月から動き始めた透明性義務を製品・サービス・広報運用へ落とし込み、さらにハイリスクAIの将来義務を契約・データ・人間監督・記録管理へ先回りして組み込むという流れです。EU AI Act対応は、単発の利用規程を作成する作業ではありません。AIインベントリ、製品設計、ベンダー管理、知的財産、個人データ、雇用、マーケティング、取締役会・経営会議のガバナンスを一つの運用体系として接続することが実務上の核心となります。
本稿の要旨
第一に、2026年8月2日はEU AI Actの主要規定について一般的な適用・執行が始まった重要な日ですが、すべての規制が同時に始まったわけではありません。禁止行為及びAIリテラシーは2025年2月から、GPAIモデル規制は2025年8月から既に適用されています。2026年8月にはArticle 50の透明性義務が新たに実務上重要となり、AI Office及び加盟国当局の執行権限も本格化しました。他方、Digital Omnibus on AIにより、Annex III型ハイリスクAIの主要義務は2027年12月2日、Annex I型は2028年8月2日へ延期されています。したがって、旧来の「2026年8月からハイリスクAI規制が全面的に適用される」という説明をそのまま用いることはできません。 [1] [2]
第二に、日本企業はEU域外企業であってもEU AI Actの適用対象となり得ます。EU市場へAIシステム又はGPAIモデルを提供する第三国providerは明文上対象となり、EU域外のprovider又はdeployerであっても、AIのoutputがEU域内で使用される場合には適用され得ます。重要なのは、会社単位で「当社はproviderかdeployerか」と一度だけ分類することではありません。同じ企業でも、自社開発AIをEU顧客へ提供する取引ではproviderとなり、外部生成AIを社内業務へ利用する局面ではdeployerとなり、他社モデルを自社システムへ統合する場合にはdownstream providerとして別の論点が生じます。AIごと、用途ごと、契約関係ごとに役割を判定する必要があります。 [1]
第三に、2026年8月2日からの透明性義務は、生成AIサービス事業者だけの問題ではありません。人と直接対話するAIについてAIであることを知らせる設計、生成・操作された音声・画像・動画・テキストへの機械可読なマーキング、ディープフェイクの開示、公益事項を知らせる目的で公表されるAI生成・操作テキストの開示等が問題となります。特に企業広報、IR、広告、カスタマーサポート、SNS、採用広報、動画・音声コンテンツの運用では、AI利用の有無だけでなく、誰がprovider又はdeployerとしてどの透明性義務を負うのかを制作・承認フローに組み込む必要があります。欧州委員会は2026年7月にArticle 50ガイドラインを公表し、透明性Code of Practiceについても適切なコンプライアンス手段となり得るとの評価を示しています。 [4] [8] [9]
第四に、ハイリスクAIの主要義務が延期されたことを「対応を止めてよい」という意味に読むべきではありません。採用・人事、教育、信用力評価、重要なサービスへのアクセス、一定の生体認証その他のAnnex III領域や、医療機器・機械等の製品安全法制と結び付くAIでは、分類、データガバナンス、技術文書、ログ、人間による監督、正確性・堅牢性・サイバーセキュリティ、ベンダーからの技術情報取得等を短期間で後付けすることは困難です。さらにEU AI Actは、AIサプライチェーン上の第三者との間で、ハイリスクAIのproviderが規制遵守に必要な情報、技術アクセスその他の支援を受けられるよう書面で取り決めることも予定しています。2027年・2028年の期限に備えるためには、2026年の契約更新・システム調達・製品開発の段階から対応を開始する必要があります。
第1章 2026年8月2日は「全面施行」の一言では足りない――Digital Omnibus後の適用時期を読み直す
EU AI Actは2024年8月1日に発効し、その後、規定ごとに段階的な適用が予定されてきました。まず2025年2月2日には、AIの定義等を含むChapter I及び禁止行為に関するChapter IIが適用され、AIリテラシーに関するArticle 4も企業実務へ入っています。2025年8月2日には、GPAIモデルに関するChapter V、ガバナンスに関するChapter VII、制裁に関するChapter XII（Article 101を除く）等が適用されました。したがって、生成AIモデルの提供事業者や、EU域内でAIを提供・利用する企業にとって、2026年8月2日以前からEU AI Act対応は既に始まっていました。 [1] [2]
2026年8月2日の一般的な適用時期の到来により、Article 50の透明性義務を含む規定と、GPAI提供者に対するArticle 101の制裁が重要な実施段階に入りました。もっとも、それ以前に適用された禁止行為等まで同日初めて規制されたと説明することはできません。チャットボット等の対話告知、生成コンテンツの機械可読な識別、ディープフェイク等の開示は、義務を負う者と対象となる機能を分けて実装します。既に適用される規定の履行と、将来適用される規定への準備を、一つのスケジュールの中で別々に管理することが必要です。 [1] [2]
もっとも、2026年7月8日に成立し、7月27日に発効したDigital Omnibus on AIは、ハイリスクAIに関する主要規定の適用時期を大きく変更しました。現在のArticle 113では、Article 6(2)及びAnnex IIIによりハイリスクに分類されるAIについてChapter III Sections 1から3の主要規定は2027年12月2日から、Article 6(1)及びAnnex Iに係る製品組込み型のハイリスクAIについては2028年8月2日から適用されます。人事・採用、教育、信用力評価等の業務AIと、医療機器、機械、安全部品等に組み込まれるAIとでタイムラインが異なることが、今後のプロジェクト管理では極めて重要です。ただし、Annex IのSection Bに属する製品関連AIにはArticle 2(2)による適用限定があり、Annex Iに掲げられた全ての製品にChapter IIIの義務が一律に直接適用されるわけではありません。2026年改正で機械規則（EU）2023/1230もSection Bへ移されています。製品への組込み、機能、安全性及び適合性評価の要件と、分野別製品法を先に確認する必要があります。 [2]
さらにDigital Omnibusは、非同意の性的ディープフェイク等及び児童性的虐待コンテンツに関する新たな禁止規定を追加し、これらは2026年12月2日から適用されます。逆に、既存の禁止行為やAIリテラシー、GPAI規制、Article 50透明性義務まで延期されたわけではありません。企業のコンプライアンス表では、「既に適用中」「2026年8月から適用」「2026年12月から追加適用」「2027年12月」「2028年8月」という複数の期限を分け、各AIシステムについてどの期限が関係するのかを明示する必要があります。 [2]
第2章 日本企業にも直接及ぶ域外適用――EUとの接点とAIごとの「役割」を分類する
EU AI Actの域外適用は、日本企業が最初に確認すべき論点です。Article 2(1)(a)は、EU域内にAIシステムを市場提供し、又は使用開始させるprovider、あるいはEU市場にGPAIモデルを提供するproviderについて、そのproviderがEU域内に設立・所在するか、第三国に設立・所在するかを問いません。またArticle 2(1)(c)は、第三国に設立・所在するAIシステムのprovider又はdeployerであっても、AIシステムが生成したoutputがEU域内で使用される場合を適用範囲に含めています。したがって、日本にサーバー、開発拠点、契約主体を置いていることだけでは、EU AI Actの適用可能性を排除できません。 [1]
実務上は、企業全体へ一つのラベルを貼るのではなく、AIシステムごとに役割を判定します。自社ブランドでAIサービスをEU顧客へ提供する場合にはproviderとなり得ます。EU拠点が第三者AIを自社業務で利用する場合にはdeployerとしての義務が問題となります。日本企業がGPAIモデルを開発しEU市場へ提供する場合にはGPAI provider規制が適用され、EU域外のGPAI providerには原則としてEU域内のauthorised representativeを任命する義務があります。他社のGPAIモデルを自社のアプリケーションへ組み込む場合にはdownstream providerとして、上流providerから能力・制約等の情報を取得し、自社システムの規制分類へ反映する必要があります。
さらに、既存のハイリスクAIを自社名義で市場提供する、既存のハイリスクAIへsubstantial modificationを加える、又は非ハイリスクとして提供されていたAIのintended purposeを変更してハイリスク用途へ転用する場合には、Article 25により、それまでdeployer等であった者がproviderとして扱われることがあります。この点は、AI SaaSをホワイトラベルで提供する取引、既製モデルを大幅にファインチューニングして自社商品化する取引、採用・人事評価等の用途へ企業内で転用する場面で重要です。契約上「当社は単なる利用者である」と書いても、EU AI Act上の実態的役割が当然に変わるわけではありません。 [1] [2]
したがって、日本企業が最初に整備すべき資料は、抽象的なAIポリシーではなく、AIインベントリと役割判定表です。各AIについて、開発主体、ブランド、販売先、EU市場への提供方法、利用者、outputの利用地域、モデル提供者、再販・統合関係、想定用途、個人への影響、製品組込みの有無等を整理し、provider、deployer、importer、distributor、downstream provider、product manufacturerその他の地位を割り当てます。この棚卸しがないままArticle 50、GPAI、ハイリスクAI等を検討しても、自社が誰の義務を履行すべきかが定まりません。
第3章 既に適用中の禁止行為・AIリテラシー・GPAI規制――「2027年まで待てる」という理解は危険である
ハイリスクAIの主要義務が延期された結果、EU AI Act対応全体が2027年以降へ先送りされたように見えることがあります。しかし、これは明確に誤りです。Article 5の禁止行為の多くは2025年2月から既に適用されており、違反にはEU AI Act上最も高い制裁水準が予定されています。企業実務で特に注意すべきものとして、職場・教育機関で生体データに基づいて自然人の感情を推認するAIの利用は、医療又は安全上の理由による一定の例外を除き禁止されています。また、脆弱性を利用して人の行動を重大な害につながる形で歪めるAI、一定のsocial scoring、インターネット等から無差別に顔画像を収集して顔認識データベースを作るAI等も禁止対象です。EU事業でAIを利用する企業は、ハイリスク分類より前に、そもそも禁止行為へ該当しないかを確認すべきです。 [1]
Article 4のAIリテラシーも既に適用されています。Digital Omnibus後の現行条文は、provider及びdeployerが、AIシステムの運用・利用に関与する従業員その他の者について、技術的知識、経験、教育・研修、利用文脈、影響を受ける人々を考慮しながらAIリテラシーの発展を支援する措置を講じることを求めています。特定の個人が一定水準の資格試験に合格することまで保証する義務ではありませんが、「全社員に一回だけ一般研修を実施すれば足りる」という制度でもありません。採用担当者、カスタマーサポート、開発者、マーケティング担当者、リスク・法務担当者ではAIの使い方もリスクも異なるため、役割と用途に応じた教育設計が必要です。 [2]
GPAIモデルに関する規制は2025年8月2日から適用され、2026年8月2日から欧州委員会の執行権限が本格化しています。GPAI providerには、モデルの技術文書を整備・更新し、下流のAI system providerに能力・限界等の情報を提供し、EU著作権法上の権利留保を識別・遵守する方針を設け、学習に使用したコンテンツについて所定テンプレートに従った十分に詳細なsummaryを公開する義務等があります。GPAIモデルがsystemic riskを有する場合には、モデル評価、adversarial testing、EUレベルのsystemic riskの評価・軽減、serious incidentの報告、サイバーセキュリティ等の追加義務が問題となります。また、2025年8月2日より前に市場提供されたGPAIモデルの提供者には、Article 111(3)により2027年8月2日までの適合措置の経過期間があります。この旧モデルの取扱いと、新たに市場提供されるモデルの義務を区別しなければなりません。所定のfree and open-sourceモデルについてはArticle 53(2)が技術文書・下流向け情報に関する一部義務の例外を置きますが、著作権方針や学習内容の要約まで一律に免除するものではなく、systemic riskを有するモデルにはその例外が適用されません。 [1] [10]
一方、一般企業が外部の生成AIサービスを利用するだけで直ちにGPAI providerになるわけではありません。重要なのは、利用企業がどの範囲でモデル又はAIシステムを改変し、自社名義で市場へ提供し、顧客向け機能へ組み込み、又はハイリスク用途へ転用するかです。外部AIの「利用」と自社AIサービスの「提供」の境界を曖昧にすると、社内ポリシーだけを整備していた企業が、実際にはprovider側の文書化・契約・表示・代表者任命等の義務を負っていたという事態が生じ得ます。法務レビューは、サービス名ではなく実際のAI value chainを基準に行う必要があります。
第4章 2026年8月2日からの透明性義務――生成AIの表示を「UI・広報・コンテンツ制作」の問題として実装する
2026年8月2日から実務上の重要性が特に高まったのがArticle 50です。第一に、人と直接対話することを intended purpose とするAIシステムについて、providerは、合理的に十分な情報を有し注意深い自然人から見てAIとの対話であることが明らかな場合を除き、相手方へAIと対話していることが分かるよう設計・開発しなければなりません。企業のチャットボット、音声ボット、AIコンシェルジュ、AIエージェント型顧客対応等では、利用規約の奥に抽象的なAI条項を置くだけでなく、最初のinteraction又はexposureまでに明確かつ識別可能な形で情報を提供するという設計が重要になります。 [4] [8]
第二に、synthetic audio, image, video又はtextを生成するAIシステムのproviderは、outputがAIにより生成又は操作されたことを機械可読な形式でmarkし、検出可能にする必要があります。技術措置は、技術的に可能な範囲でeffective, interoperable, robust and reliableであることが求められます。標準的な編集の補助を行う範囲、又は入力データ若しくはその意味を実質的に変更しない範囲等には例外がありますが、企業が画像生成、動画生成、音声生成又は文章生成機能を自社サービスへ提供する場合には、コンテンツ・クレデンシャル、メタデータその他の技術的マーキングを製品設計段階から検討すべきです。なお、2026年8月2日より前に市場提供されたsynthetic content生成AIシステムについては、Digital Omnibusにより追加されたArticle 111(4)に基づき、Article 50(2)への対応期限が2026年12月2日とされています。この経過措置はArticle 50全体を延期するものではないため、対象システムと義務を切り分ける必要があります。 [4]
第三に、deployer側にも開示義務があります。AIシステムによって生成・操作された画像、音声又は動画がdeep fakeに該当する場合には、原則としてAI生成・操作であることを開示しなければなりません。また、公益事項について公衆へ情報を提供する目的でAIが生成・操作したtextを公表する場合にも開示が求められますが、人によるreview又はeditorial controlを経て、自然人又は法人がpublicationについてeditorial responsibilityを負う場合には例外があります。企業のニュースリリース、IR資料、政策提言、製品安全情報、広報記事等では、単に生成AIを使ったか否かではなく、最終的な人間のレビューと編集責任がどの程度実質的に存在するかを記録できる運用が重要です。このほか、Article 50(3)は、感情認識又は生体情報による分類システムの利用者に、対象者への稼働の告知及び適用されるデータ保護法に従う処理を求めます。これらの告知を行っても、Article 5で禁止される利用を適法化することにはなりません。ディープフェイクについては、明らかに芸術的・創作的・風刺的・虚構的な作品等に関する開示方法の特則も別に確認します。 [2] [4]
欧州委員会は2026年7月20日にArticle 50の透明性義務に関するGuidelinesを公表し、同年6月にはAI-generated contentのTransparency Code of Practiceが最終化され、7月には欧州委員会及びAI Boardがそのadequacyを評価しました。Codeへの参加は任意であり、それ自体が違反不存在を決定的に証明するものではありませんが、規制当局が想定する実装方法を把握し、複数のEU加盟国にまたがるサービスで統一的なコンプライアンス設計を行う上で重要な資料です。日本企業は法務部だけでなく、プロダクト、UX、広報、IR、広告審査、コンテンツ制作部門を含めてArticle 50対応を実装する必要があります。 [8] [9]
第5章 GPAIモデル規制とAIサプライチェーン――モデル提供者・下流事業者・企業ユーザーの契約をつなぐ
生成AIビジネスでは、一つの企業がモデル、API、アプリケーション、データ、クラウド、顧客向けUIのすべてを提供するとは限りません。GPAIモデルのprovider、モデルを統合するdownstream provider、最終AIシステムのprovider、EU importer・distributor、企業deployer等が重層的に存在します。EU AI Actが実務上難しいのは、規制義務を一社だけで完結させるのではなく、上流から下流へ必要な情報が流れることを前提としている点です。Article 53は、GPAI providerに対し、モデルの能力・限界を下流providerが理解し、自らのEU AI Act上の義務を履行できるよう情報・文書を提供することを求めています。 [1] [10]
したがって、AI関連契約のレビューでは、従来のSaaS契約のように、利用料金、サービスレベル、秘密保持、知的財産、責任制限だけを確認するのでは不十分です。モデルのversion変更、intended use、既知のlimitations、評価情報、データ・ログへのアクセス、Article 50マーキングへの対応、インシデント通知、規制当局からの情報要求への協力、サブプロバイダー変更、サービス終了時の移行支援、GPAI Code of Practiceへの参加状況等を確認し、自社が法令上要求される記録・説明を維持できる契約構造にする必要があります。将来ハイリスクAIへ該当する可能性がある場合には、Article 25(4)が予定する情報、technical accessその他のassistanceを確保できるかが重要になります。
GPAI provider側では、著作権対応も契約・データガバナンスの中心です。Article 53は、EU著作権法に従い、Directive (EU) 2019/790 Article 4(3)に基づく権利留保を識別・遵守するpolicyの整備と、学習コンテンツに関するsummaryの公開を求めています。これは個々の著作物について学習適法性を自動的に判断する単一ルールではありませんが、モデル開発企業にとって、学習データの取得経路、ライセンス、rights reservationへの対応、データセット提供契約、crawlerの設計、学習データのdocumentationを法務・技術双方で追跡可能にしておく必要性を高めています。 [1] [13]
第三国に設立されたGPAI providerがEU市場へモデルを提供する場合には、原則としてEU域内のauthorised representativeをwritten mandateにより任命する必要があります。代表者は単なる連絡窓口ではなく、技術文書の保持、AI Officeからの情報要求への対応、providerの義務履行の確認等を担います。日本企業がEU市場へモデル又はAIシステムを展開する際には、販売代理店を置けば済むという発想ではなく、EU AI Act上のauthorised representative、importer、distributorその他の地位と責任を契約書上も実態上も整理する必要があります。Article 54(6)は、所定の公開・ライセンス要件を満たすfree and open-sourceモデルについて代表者義務の例外を置きますが、systemic riskを有するモデルには及びません。オープンソースという呼称だけで例外を適用することはできません。 [5]
第6章 ハイリスクAIは延期されたが、準備は延期できない――2027年・2028年を見据えた分類と統制設計
ハイリスクAIの主要義務の延期は準備期間を与えますが、用途分類と製品分類を省略できるものではありません。Annex IIIは、生体認証、重要インフラ、教育、雇用、重要サービス、法執行、移民・国境管理、司法・民主的プロセス等の特定用途を掲げます。他方、Article 6(1)では、Annex Iの製品又はその安全部品であることに加え、当該製品について法定の第三者適合性評価が要求されること等を確認します。2026年改正は安全関連でない支援・効率化機能と安全部品の区別も明確化しました。医療機器等のSection Aと、機械規則を含むSection BではArticle 2(2)の効果が異なるため、あらゆる製造用AIを同一の「2028年対応」として扱うべきではありません。 [1] [2]
Article 6(3)は、Annex IIIの用途に掲げられるAIでも、意思決定の結果へ重大な影響を与えないことを含め、健康・安全・基本権に重大な害のリスクをもたらさず、狭い手続的作業等の法定条件を満たす場合にハイリスクとしない余地を設けます。ただし、Annex IIIに属するAIが自然人のprofilingを行う場合は、その例外を利用できません。例外を用いる提供者にも判定の文書化や所定の登録が関係します。したがって、「採用支援」「人間が最終決定」といった名称だけで低リスクと判断せず、想定用途、出力の作用、人間による審査の実質及びデータを検証する必要があります。ガイドラインはこの判断を補助するものであり、法定要件を置き換えるものではありません。 [2] [3]
ハイリスクAIのproviderには、リスク管理、データ・データガバナンス、技術文書、記録保存、透明性及びdeployerへの情報提供、人間による監督、正確性・堅牢性・サイバーセキュリティ、品質管理、適合性評価等の重い要求事項が予定されています。deployer側にも、instructions for useに従う利用、適切なhuman oversight、一定のmonitoringやrecord keeping等が問題となります。こうした統制は、システム完成後に法務部が文書だけ追加しても実質的に整いません。データセットの来歴、評価指標、モデル変更履歴、ログ設計、human override、異常時の停止・エスカレーション等を、開発・調達の初期段階からシステム要件として埋め込む必要があります。 [1]
日本企業にとって現実的な対応は、2027年又は2028年まで待つのではなく、2026年の段階で「将来ハイリスク候補」を抽出し、契約更新・システム更改・製品ロードマップへ規制要件を織り込むことです。ベンダーが将来必要となる技術文書、評価結果、ログ、規制当局対応情報を提供できない場合、適用直前に別システムへ移行することは容易ではありません。法的期限が延びた期間は、対応を停止する猶予ではなく、ロックインを回避し、情報権限・技術アクセス・責任分担を契約上確保するための準備期間として使うべきです。
第7章 取締役会・General Counselが構築すべきEU AIコンプライアンス――AIインベントリ、契約、証拠を一つの統制へ統合する
EU AI Act対応を実効化するには、法務部が条文表を作るだけでは足りません。第一に、グループ横断のAIインベントリを作り、EUとの接点、provider/deployer等の役割、禁止行為、Article 50、GPAI、将来ハイリスク候補、個人データ、著作権、営業秘密、雇用その他の規制を紐付ける必要があります。第二に、新規AI導入・開発時に、法務・プライバシー・セキュリティ・人事・プロダクト等が一定のthresholdを超える案件をレビューするgateを設けます。第三に、AIのversion、用途、モデル提供者、データフロー、利用地域が変更された際に再評価されるchange managementを設計します。AIシステムは導入時点で固定されず、モデル更新、RAG接続、agent機能追加、用途転換等によって法的分類が変わり得るからです。
また、EU AI ActはGDPR、ePrivacy、消費者保護法、製品安全法制、労働法、著作権法等を置き換えるものではありません。現行Article 2も、個人データ保護法制の適用を維持することを明示しています。採用AIであればEU AI Act上のハイリスク分類だけでなく、個人データ処理の適法根拠、DPIA、差別禁止、労使関係等が同時に問題となります。生成AIマーケティングではArticle 50の表示に加え、GDPR、広告規制、著作権、肖像・人格権等を確認する必要があります。企業のAIガバナンスは、EU AI Act専用の孤立したルールではなく、既存コンプライアンス体系へAI固有の分類・記録・技術統制を接続する形が望まれます。 [1] [12]
制裁の上限も事業者の区分を分けて読む必要があります。Article 99では、禁止行為について3,500万ユーロ又は前年度全世界年間売上高の7％、Article 50を含む所定の義務違反について1,500万ユーロ又は3％という上限が置かれ、企業については原則として高い方が基準となります。ただし、SME（スタートアップを含む）には同条6項による低い方の上限が適用され、SMCについては2026年改正で追加された6a項が4項・5項の違反について低い方を用いると定めています。GPAI提供者に対する欧州委員会のArticle 101の制裁は別の枠組みであり、故意又は過失等の要件の下で全世界年間売上高の3％又は1,500万ユーロの高い方を上限とします。これらは自動的に科される定額ではなく、違反の性質・重大性・期間、比例原則、協力及び是正等が個別に考慮されます。 [2] [6] [7]
そのため、取締役会及びGeneral Counselが重視すべきなのは、「違反しないこと」だけでなく「なぜその分類・設計・運用を選んだのかを後から説明できること」です。適用範囲判定、役割分類、禁止行為チェック、Article 50の表示設計、AIリテラシー、GPAI契約、ハイリスク候補の分類、ベンダーDD、インシデント対応について、判断根拠と承認プロセスを記録しておけば、当局対応だけでなく、顧客DD、M&A、投資家対応、監査、紛争時にも有効です。EU AI Act対応の最終形は、法令の期限を追い掛ける作業ではなく、AIを事業へ組み込むたびに法的役割とリスクが更新されることを前提とした継続的なガバナンスシステムです。
FAQ
Q1 日本国内だけに本社がある会社でもEU AI Actの対象になりますか。
はい、なり得ます。EU市場へAIシステム又はGPAIモデルを提供する第三国providerは明文上対象となります。また、EU域外のprovider又はdeployerであっても、AIシステムのoutputがEU域内で使用される場合には適用対象となり得ます。EU法人の有無だけでなく、EU市場への提供、EU顧客、EU拠点、outputの利用地域等を確認する必要があります。 [1]
Q2 社員がChatGPT等の生成AIを使っているだけでEU AI Act違反になりますか。
通常の業務利用だけで直ちに違反となるものではありません。ただし、EU域内のdeployerとしてArticle 4のAIリテラシー、用途によってはArticle 50その他の義務が関係し得ます。また、採用・人事等の用途では禁止行為又は将来のハイリスクAI分類が問題となるため、単なる文書作成と重要意思決定への利用を区別する必要があります。
Q3 2026年8月2日にハイリスクAIの規制も全面的に適用されましたか。
いいえ。Digital Omnibus on AIにより、Article 6(2)及びAnnex III型のハイリスクAIに関する主要規定は2027年12月2日、Article 6(1)及びAnnex I型は2028年8月2日へ延期されています。ただし、禁止行為、AIリテラシー、GPAI規制、Article 50透明性義務等は別のタイムラインで既に適用されています。製品関連AIではAnnex IのSection Bに対するArticle 2(2)の適用限定があり、機械を含む全製品へ同一の義務が直接及ぶわけではありません。 [2]
Q4 AIチャットボットには必ず「AIです」と表示する必要がありますか。
人と直接対話することを intended purpose とするAIについては、合理的に十分な情報を有し注意深い人にとってAIであることが明らかな場合等を除き、providerはAIとのinteractionであることを知らせる設計が必要です。具体的な表示位置・方法は利用文脈と欧州委員会Guidelinesを踏まえて検討する必要があります。 [4] [8]
Q5 生成AIで作成した画像・動画には必ずラベルが必要ですか。
Article 50はprovider側に機械可読なmarking義務を置き、deployer側にはdeep fake等について開示義務を置いています。両者は同じ義務ではありません。通常編集の補助等の例外もあるため、誰がprovider/deployerで、コンテンツがどの類型に該当するかを分けて判断する必要があります。また、2026年8月2日より前に市場提供された対象AIシステムのArticle 50(2)対応には2026年12月2日までの経過措置がありますが、これをdeep fake等のdeployer側開示義務まで一律に延期するものと理解してはいけません。 [2] [4]
Q6 生成AIで作成したプレスリリースや記事は必ずAI生成と表示する必要がありますか。
公益事項について公衆へ情報提供する目的でAIが生成・操作したtextにはdeployerの開示義務が問題となります。他方、人によるreview又はeditorial controlを経て、自然人又は法人がpublicationについてeditorial responsibilityを負う場合には例外があります。形式的に人が一読しただけで足りると決めつけず、実質的な編集・責任体制を整えることが重要です。 [4]
Q7 AIリテラシー研修は全社員に同じ内容を受講させれば足りますか。
必ずしもそうではありません。Article 4は、技術的知識、経験、教育・研修、利用文脈、影響を受ける人々等を考慮してAIリテラシーの発展を支援する措置を求めています。開発者、人事担当、マーケティング、一般利用者、管理職等でリスクが異なる場合には、役割に応じた内容・頻度・実務ルールを設計する方が合理的です。 [2]
Q8 外部のGPAIモデルを自社サービスに組み込むと、自社もGPAI providerになりますか。
単に外部モデルを利用・統合するだけで当然に元のGPAIモデルのproviderになるわけではありませんが、自社はAI systemのdownstream provider又はproviderとして別の義務を負い得ます。また、自社名義でハイリスクAIを提供する、substantial modificationを加える、intended purposeを変更してハイリスク化する場合にはArticle 25上providerとして扱われることがあります。 [1] [2]
Q9 EU域外のGPAI providerにはEU代表者が必要ですか。
原則として必要です。Article 54は、第三国に設立されたGPAI providerがEU市場へモデルを提供する前に、EU域内に設立されたauthorised representativeをwritten mandateで任命することを求めています。一定のfree and open-sourceモデルには例外がありますが、systemic riskを有するGPAIモデルにはその例外が及びません。 [5]
Q10 ハイリスクAIの適用が延期されたので、2027年まで契約対応を待ってよいですか。
推奨されません。将来の適合性評価、技術文書、ログ、データガバナンス、人間監督等には上流ベンダーの情報・技術協力が必要です。Article 25(4)もAIサプライチェーン上の書面による情報・technical access等の取り決めを予定しています。2026年の調達・更新契約で必要な権利を確保できなければ、適用直前の対応が困難になる可能性があります。 [1] [2]
Q11 EU AI Act対応で最初に作るべき社内資料は何ですか。
AIインベントリと役割・適用時期のマッピングが出発点です。各AIについて、提供者、利用者、EUとの接点、用途、モデル、outputの利用地域、個人への影響、生成コンテンツ、GPAI該当性、将来ハイリスク候補等を整理します。その上で、禁止行為、Article 50、AIリテラシー、契約、データ保護、著作権、インシデント対応を既存の社内規程・承認フローへ接続することが重要です。
代表弁護士 道下剣志郎「Legal Update」について
SAKURA法律事務所の「Legal Update」は、代表弁護士 道下剣志郎が、企業法務、M&A・Private Equity、コーポレートガバナンス、国際取引・紛争、金融規制・資本市場、AI・テクノロジー、データ保護、Web3、危機管理その他の企業活動に重要な法的テーマについて、法令、裁判例、行政資料、規制当局ガイドラインその他の一次資料を基礎として、経営判断と実務へ落とし込む観点から継続的に分析するシリーズです。第1回から第8回では日本企業の生成AI利用、個人情報、著作権、営業秘密、AIサービス契約、社内ガイドライン、AIエージェント等を取り上げました。本稿は、その国内AIガバナンスの議論をEU AI Actという域外規制・国際展開の問題へ接続するものです。
国内の生成AI利用に関する関連テーマは本シリーズの第1回〜第8回でも扱っています。執筆者の経歴・取扱分野については、末尾の道下剣志郎プロフィール及びSAKURA法律事務所公式サイトをご参照ください。
SAKURA法律事務所に相談できる事項
SAKURA法律事務所では、日本企業によるEU AI Actの適用範囲・域外適用の判定、provider・deployer・downstream provider等の役割分類、AIインベントリの構築、禁止行為チェック、Article 50透明性義務のUI・コンテンツ運用への実装、AIリテラシー施策、GPAIモデル提供・利用に関する契約レビュー、EU authorised representativeとの契約、AIベンダーDD、将来のハイリスクAI分類及び対応ロードマップ等について、国際法務・AI法務・契約実務を横断してご相談いただけます。
EU向けAIサービス又は製品を提供する企業については、利用規約、SaaS・API契約、モデルライセンス、データ提供契約、クラウド契約、代理店・販売店契約等を、EU AI Act上の情報提供、技術アクセス、変更管理、インシデント通知、規制当局対応、知的財産・秘密保持、責任分担と一体で確認する必要があります。また、M&A・投資案件では、対象会社のAIインベントリ、EU展開、GPAI利用、学習データ、Article 50実装、将来ハイリスクAI、規制当局対応等をデューデリジェンスで確認し、表明保証・補償・CP・統合計画へ反映することも重要です。
企業内利用についても、EU子会社を含むグループAIポリシー、生成AI利用規程、AI調達基準、採用・人事AIのレビュー、AI生成コンテンツの広報・IRルール、個人データ・営業秘密・著作権との統合、インシデント対応等を、既存の情報セキュリティ・プライバシー・コンプライアンス体制と接続して設計することが可能です。EU AI Actは技術・用途・規制資料が継続的に更新される分野であるため、単発の規程作成ではなく、重要な変更を再評価する継続的なガバナンスが必要となります。
お問い合わせ
SAKURA法律事務所
〒106-0032 東京都港区六本木一丁目4番5号 アークヒルズサウスタワー4F
代表弁護士 道下剣志郎
公式サイト | 道下剣志郎プロフィール | お問い合わせフォーム
主な参考資料
本文中の参照番号は以下の資料に対応します。法令、取引所規則、裁判例、行政指針及び実務上の提言は、法的性質を区別して参照してください。
1. EUR-Lex｜Regulation (EU) 2024/1689（AI Act原法。2026年改正法と併読）
2. EUR-Lex｜Regulation (EU) 2026/1744（Digital Omnibus on AI、2026年7月8日採択・7月27日発効）
3. 欧州委員会AI Act Service Desk｜Article 6（原法条文の掲載。改正事項は参考資料2と併読）
4. 欧州委員会AI Act Service Desk｜Article 50（透明性義務）
5. 欧州委員会AI Act Service Desk｜Article 54（GPAI提供者の域内代表者）
6. 欧州委員会AI Act Service Desk｜Article 99（原法条文の掲載。SMC特則等は参考資料2と併読）
7. 欧州委員会AI Act Service Desk｜Article 101（GPAI提供者に対する制裁金）
8. 欧州委員会｜AIシステム提供者・利用者の透明性義務に関するガイドライン（2026年7月20日）
9. 欧州委員会｜Code of Practice on Transparency of AI-generated Content（任意の実務規範）
10. 欧州委員会｜GPAIモデル提供者の義務に関するガイドライン・公式案内
11. 欧州委員会｜General-Purpose AI Code of Practice（任意の実務規範）
12. EUR-Lex｜Regulation (EU) 2016/679（GDPR）
13. EUR-Lex｜Directive (EU) 2019/790（デジタル単一市場の著作権・関連権、Article 4(3)）
免責事項
本稿は、2026年10月8日時点で公表・施行されているEU AI Act、Regulation (EU) 2026/1744（Digital Omnibus on AI）、欧州委員会・AI Officeのガイドライン、Code of Practiceその他の公開一次資料に基づき、日本企業に関係するEU AI Actの主要な実務論点について一般的な情報を提供することを目的として作成したものであり、特定のAIシステム、モデル、企業又は取引について法的助言又は法律上の結論を示すものではありません。
EU AI Actは、AIシステムのintended purpose、provider・deployer等の法的役割、EU市場への提供方法、outputの利用地域、製品法制、個人への影響その他の具体的事実によって適用関係が変わります。また、欧州委員会のGuidelinesやCode of Practiceには、法的拘束力、適合性の推定又は執行上の位置付けがそれぞれ異なるものが含まれます。本稿では、法令そのものと行政ガイダンス・任意のCodeを区別して記述するよう努めていますが、個別案件では必ず最新の現行法令及び公式資料を確認してください。
さらに、EU AI ActはGDPR、ePrivacy、消費者保護、製品安全、著作権、労働法その他のEU法及び加盟国法を置き換えるものではありません。AIの開発・提供・利用に際しては、当該AIの機能・データ・契約関係・利用者・対象地域に応じ、これらの法令を重層的に検討する必要があります。特に、2027年及び2028年に適用予定のハイリスクAI関連規定については、今後もガイドライン、標準、実施措置等が更新される可能性があるため、最新情報を継続的に確認してください。