「EUへAIを販売していないから、EU AI Actは関係ない」。この答えは早すぎます。日本で開発したAIの出力がEU域内で使われる場合、EUに設立拠点がなくても適用範囲へ入る可能性があります。反対に、日本でAIを使う全企業へ、EUと同じ高リスク分類と罰金がそのまま課されるわけでもありません。
2026年の初動は、法令名を並べることではなく、AIシステムごとに「用途・自社の役割・利用地域・出力の行き先・人への影響」を分類することです。この五つが決まらないまま規程を作ると、低リスクの社内要約へ重い審査を課す一方、採用や与信のAIを台帳から漏らします。
日本の「人工知能関連技術の研究開発及び活用の推進に関する法律」は2025年6月4日に公布され、同年9月1日に全面施行されました。EU AI Actは2024年8月1日に発効し、禁止されるAI慣行とAIリテラシーなどは2025年2月2日から、汎用AIモデル関係の規定は2025年8月2日から、透明性を含む多くの規定は2026年8月2日から適用されています。EUでは2026年7月にAI Omnibusも発効しており、適用時期と実務資料は更新され得ます。
二つの法律を一枚の「厳しさ表」にしない
日本法は、AIの研究開発と活用を推進しながら、国、地方公共団体、研究開発機関、活用事業者などの責務と基本施策を定める枠組みです。政府は不適切な研究開発・活用の分析、調査、指導・助言、情報提供などを行う仕組みを持ちます。
EU AI Actは、禁止される慣行、ハイリスクAI、透明性義務、汎用AIモデルなどをリスクと役割で分け、提供者、導入者、輸入者、販売者等へ具体的な義務を置きます。 日本法を「罰金のないEU AI Act」、EU法を「日本法の厳しい版」と説明すると、両方の設計を誤ります。
法務部だけで条文を読むのではなく、製品、営業、人事、データ、セキュリティを同じ台帳へ集めます。AIという名前が付かなくても、候補者の順位付け、本人確認、価格決定、不正検知、業務評価に機械学習を使っていれば対象候補です。
EU法人がなくても、出力の行き先で対象になり得る
EU AI Actの適用範囲は、EU域内へシステムやモデルを市場投入する提供者、EU域内の導入者、一定の輸入者・販売者だけではありません。 EU域外の提供者・導入者でも、AIシステムが生み出した出力がEUで使われる場合を含む規定があります。
例えば、日本本社が採用候補者を評価するAIを用い、その順位がEU拠点の採用判断に使われる場合、単なる日本国内ツールとして片付けられません。日本で生成した接客コンテンツをEU消費者へ表示する、EUの設備保全判断へ予測出力を送る場合も、出力の利用地を確認します。
適用判定はサーバー所在地や契約主体だけで終えず、「誰の判断を、どの国で、どの出力が変えるか」まで追います。
三つの利用場面は同じ審査票で処理しない
一つ目は、社内規程を検索して回答候補を出す企業内AIです。回答を従業員が確認し、昇進や採用を自動決定せず、EUへ出力しないなら、まず情報管理、誤回答、権限、ログの設計が中心になります。検索対象へ個人情報や機密が混ざる場合は、アクセス権を回答時にも引き継げるかを試します。
二つ目は、応募者を順位付けしてEU拠点の採用担当へ送るAIです。日本で処理していても、出力がEUの雇用判断へ使われます。採用という用途、提供者と導入者の役割、データ品質、人による監督、応募者への説明と異議申立てを、社内検索より深く確認します。
三つ目は、顧客と会話する生成AIです。人がAIと対話していると分かる表示、有人窓口への切替、回答ログ、禁止表現、モデル更新時の再試験が焦点になります。チャット欄へ小さく「AI」と書くだけでなく、利用者が会話を始める時点で認識できるかを端末別に確かめます。
同じ基盤モデルを使っていても、社内検索、採用順位付け、顧客チャットでは、人への影響と必要な証拠が異なります。「当社はモデルを開発していない」という一文では、三つの用途を同時に説明できません。
2026年8月に先に見る三つの義務
第一は、禁止されるAI慣行です。EU Commissionの案内では、社会的スコアリング、一定の操作的・搾取的手法、職場や教育機関での感情認識など、条件により禁止対象となる類型があります。自社に「高リスクAIはない」と結論づけても、禁止類型の確認は別に必要です。
第二はAIリテラシーです。提供者と導入者は、技術知識、経験、教育、利用文脈、影響を受ける人を考慮し、AIを扱う人のリテラシーを確保する措置を取ることが求められます。全社員へ同じ動画を見せた受講率だけでは、採用担当、開発者、問い合わせ担当の役割差を説明できません。
第三は透明性です。人がAIと対話していること、合成コンテンツ、生成・操作された一定の画像・音声・動画・テキストなど、文脈に応じた表示義務があります。EU CommissionはArticle 50の透明性義務について公式FAQを公開しています。
2026年の証拠は「研修を実施した」「表示を検討した」という議事録ではなく、対象者別の演習結果、製品画面、リリース版、例外承認、表示テストを結び付けた記録です。
透明性表示は文言だけでなく、誰に、いつ、どの版で見え、人への異議申立てや引継ぎへ進めるかをテストします。
役割を間違えると、契約条項も証拠も逆になる
他社のAI APIを自社サービスへ組み込む企業は、常に単純な「利用者」とは限りません。自社名でシステムを市場へ出す、用途を大きく変更する、汎用システムを高リスク用途へ組み込む場合は、提供者側の責任を検討する必要があります。
調達契約では、モデル更新の通知、学習データ・著作権情報、ログ、事故連絡、当局対応、下請先、終了時のデータ返却を確認します。生成AIの調達・契約チェック では条項を深掘りしています。
社内台帳には、提供者名だけでなく、モデル版、用途、入力データ、出力の利用者、最終判断者、利用国、異議申立て、停止責任者を入れます。AIモデル台帳の作り方 と接続すると、法令調査がサービス一覧から浮きません。
契約書の「準拠します」を検証可能な証拠へ分解する
ベンダーが「EU AI Actに準拠」と回答しても、それだけでは自社の義務を満たした証拠になりません。対象となる製品版、ベンダーの役割、利用可能な技術文書、ログの保持期間、更新通知の期限、重大事故時の連絡、透明性表示に必要な情報を別々に確認します。
証拠台帳は、AIごとに「主張」「根拠」「所有者」「取得日」「有効期限」「再確認条件」を持たせます。例えば、対話AIであることを示す画面キャプチャには製品版と撮影日を付け、研修記録には対象職種と演習内容を付けます。契約書、画面、ログ、研修が別の共有フォルダに置かれたままでは、用途変更時に古い証拠を使う危険があります。
モデル名が同じでも、システムプロンプト、検索データ、外部ツール、最終判断フローが変われば、製品のリスクは変わります。再審査の起点はベンダーのモデル更新だけではなく、自社が用途、対象者、利用国、データ、画面、人の介入を変えた時です。
90日で作る「法令名ではなくAI単位」の対応
1日目から30日目：全件発見と仮分類
契約台帳、経費、ブラウザ拡張、SaaS管理、APIキー、業務ヒアリングからAI利用を集めます。各AIへ用途、自社の役割、利用地域、対象者、出力の行き先を付け、禁止類型、高リスク候補、透明性候補、汎用AI関係に仮分類します。
台帳の完成率は製品数ではなく、支払・API・業務ヒアリングの三経路で未登録利用が何件残ったかで測ります。
31日目から60日目：証拠と責任分界
各AIへ根拠条文・公式FAQ、契約、技術文書、テスト、研修、インシデント連絡を結びます。 提供者から情報を取得できない項目は空欄にせず「未回答」とし、期限と代替策を置きます。重大用途は法務・リスク・現場の三者承認にします。
61日目から90日目：画面と運用で試す
対話表示、合成コンテンツ表示、人への引継ぎ、異議申立て、ログ出力、停止を本番相当環境で確認します。モデル更新で表示や挙動が変わる前提で、再評価の条件を決めます。事故時の初動はAIインシデント対応計画 と共通化できます。
90日目に作る成果物は、長い方針書一冊ではありません。AI台帳、適用メモ、責任分界表、期限一覧、画面・ログ・研修の証拠索引、停止連絡網の六点です。各項目から実際の製品版と担当者へ移動できるようにします。
経営会議へは「何件を審査したか」だけでなく、未登録利用、期限超過、ベンダー未回答、表示試験失敗、人の異議申立てがない用途を報告します。ゼロ件が正常とは限りません。現場でAIが使われているのに台帳の追加が数か月ゼロなら、発見経路が機能していない可能性があります。
完了率100％より、未登録AIを発見して止められる仕組みの方が、制度変更とシャドーAIに強い統制です。監査指標には、発見から仮分類までの日数、ベンダー未回答日数、重大用途の再試験期限を入れます。
越境対応では、法務の解釈、製品の実装、委託先の証拠、現場の停止判断を一つのリリース日程へ束ねます。
「高リスクではない」で終わらせない
高リスク分類は重要ですが、そこだけに注目すると、禁止慣行、透明性、AIリテラシー、個人情報、著作権、消費者保護、契約責任を落とします。日本のAI事業者ガイドラインも、人間中心、安全性、公平性、プライバシー、セキュリティ、透明性、アカウンタビリティなどをライフサイクルで扱います。
社内基準は「EU高リスクか否か」の二択ではなく、人への影響、取り返しのつきにくさ、規模、データ感度、自動化度、異議申立て可能性で段階化します。法令上の最低線と、自社が顧客へ約束する品質線を分けて記録します。
職種別教育は生成AIリテラシー研修の設計 、入力情報と社内利用ルールは生成AIセキュリティポリシー へつなげると、研修資料だけが独立しません。
2026年の期限表には「確認日」を必ず残す
EU AI Actの適用時期は一枚の古い解説図で固定しない方が安全です。欧州委員会は公式の規制枠組み、FAQ、AI Act Service Desk、ニュースを更新しています。2026年8月2日に適用される透明性義務を実装していても、高リスク関係の時期や実施資料については、AI Omnibusを含む最新の公式情報を再確認します。
台帳には法令名だけでなく、参照した公式URL、確認日、対象条文、判断した担当者を残します。外部の解説記事が先に更新されても、最終根拠は官報・法令本文・欧州委員会の公式資料へ戻します。日本側も、AI法、人工知能基本計画、AI事業者ガイドラインを別の列で管理し、法律と任意指針を混ぜません。
「2026年対応済み」というラベルには有効期限がありません。何を、どの版の公式資料で、いつ確認したかがなければ、翌月には検証不能なメモになります。
まとめ
2026年のAI法対応は、海外法務だけの翻訳作業でも、全社へ同じAI規程を配る作業でもありません。AI一件ごとに用途、自社の役割、利用地域、出力先、人への影響を分類し、期限と証拠と停止責任者を結ぶ仕事です。
日本法とEU AI Actは同じ物差しにせず、それぞれの目的と義務を確認してください。制度は更新されるため、リリース前とモデル・用途変更時に公式情報を再確認し、個別の適用判断は専門家へ相談します。
参考情報
以下は2026年8月28日に確認した一次情報です。
よくある質問 気になる質問を開くと、本文の重要点を短く確認できます。
Q 日本企業にもEU AI Actは適用されますか？ A EUへAIを提供する場合だけでなく、EU域外で作った出力がEUで使われる場合なども適用候補です。契約主体やサーバー所在地だけで判断せず、用途、役割、利用地、出力先を確認します。
Q 日本のAI法にはEUと同じ高リスク分類がありますか？ A 同じ制度ではありません。日本法は研究開発・活用の推進と適正性に関する国の枠組みを定め、EU AI Actはリスクと事業者の役割に応じた具体的義務を置きます。
Q 社内で生成AIを使うだけなら何をすればよいですか？ A 利用するAI、入力データ、出力の用途、最終判断者、利用国を台帳化し、禁止類型、透明性、AIリテラシー、個人情報、著作権、契約を用途に応じて確認します。
Q AIリテラシー研修は受講記録だけで足りますか？ A 役割と利用文脈に応じた措置を説明できるよう、職種別の演習、入力判断、出力検証、事故時行動の結果を残す方が実務的です。受講率だけでは能力を示しません。
Q AI法対応の見直しはいつ行いますか？ A モデル、用途、対象者、利用国、委託先、画面表示が変わる時に再評価します。法令や公式FAQの更新も確認し、少なくともリリース前と重大変更前に適用メモを更新します。
Q 汎用AIのベンダーへ何を質問すべきですか？ A モデル版、更新通知、学習データ・著作権情報、ログ、保存、事故連絡、下請先、透明性に必要な技術情報、契約終了時のデータ返却を確認します。
