EU AI法の施行が始まりました。実際に求められる要件とは。

EU AI法は、同法の対象となるAIシステムを開発または導入する組織に対し、各システムをリスクレベルごとに分類し、その分類に紐づく義務を遵守することを求めています。高リスクAIが関わる場合、これは市場投入前に、品質マネジメントシステム、完全な技術文書、ログの保持、適合性評価、そして人間による監視をシステム設計に組み込むことを意味します。禁止される慣行は2025年2月から施行されており、汎用AI（GPAI）に関する義務は2025年8月に発効し、Article 50の透明性義務は2026年8月から適用されます。罰金は最大€35 millionまたは全世界年間売上高の7%に達し、GDPRの上限である4%を上回ります。もはや問題は、EU AI法が自社に適用されるかどうかではありません。現在のAI導入がコンプライアンス要件を満たしているかどうかです。

EU AI法のコンプライアンス・タイムライン

EU AI法は2024年8月1日に発効しました。同法の義務は、主要な施行マイルストーンに沿って段階的に適用されます。

2025年2月2日 - 禁止される慣行とAIリテラシー：禁止されるAI慣行が違法かつ執行可能となりました。提供者およびデプロイヤーは、自らに代わってAIシステムを取り扱う従業員その他の関係者に対し、適切な水準のAIリテラシーを確保する責任を負うこととなりました。
2025年8月2日 - 汎用AI（GPAI）：汎用AIの提供者に対するモデルガバナンス義務が発効しました。罰則規定は、当時施行されていた義務に対して適用可能となりました。
2026年8月2日 - 透明性と市場監督：Article 50に基づく透明性義務が発効します。ユーザーは、チャットボットなどのAIと対話していることを知らされなければならず、AI生成または加工されたコンテンツは、必要な場合にはラベル表示または開示が義務付けられます。各国の所管当局は、施行済みの規定について完全な執行権限の行使を開始します。
2027年12月2日 - Annex IIIのスタンドアロン高リスクAI：Annex IIIに基づく高リスクAIシステム（人事・採用ツール、教育、信用スコアリング、重要インフラ、生体認証、法執行、移民、司法）が完全なコンプライアンス義務の対象となります。この期限は、EUの2026年オムニバス簡素化パッケージを受けて、2026年8月から延長されました。
2028年8月2日 - Annex Iの製品組み込み型高リスクAI：機械、医療機器、車両などの規制対象物理製品に安全部品として組み込まれた高リスクAIシステムが、完全なコンプライアンス要件の対象となります（2026年オムニバス改正により、2027年8月から延期）。

オムニバスによるスケジュール延長は、技術標準との整合を図るため高リスクの期限（Annex IIIおよびAnnex I）に適用されますが、禁止される慣行、GPAIルール、Article 50の透明性義務、および罰則制度は、当初のスケジュールのまま維持されます。

4つのリスク階層と実務上の意味

許容できないリスク（2025年2月2日から禁止）

これらの慣行は全面的に禁止されています。中堅企業にとって重要な禁止事項には、次のものが含まれます。

職場および教育機関における感情認識システム。
年齢、障害、または特定の社会経済的状況に基づく脆弱性を悪用し、行動を歪めるAI。
公共の場におけるリアルタイムの遠隔生体認証（法執行に関する限定的な例外を除く）。
認識用データベースを構築するための、インターネットまたは監視カメラ映像からの無差別な顔画像スクレイピング。

従業員モニタリング、人事分析、または顧客エンゲージメントツールにこれらの機能のいずれかが含まれている場合、それらはEU法の下でコンプライアンス違反となります。

高リスク（2027年から2028年にかけて段階的に適用）

多くの中堅企業にとって、コンプライアンス対応の中心となるのが高リスクカテゴリーです。該当する例には、次のようなものがあります。

機械、車両、または医療機器における安全部品として機能するAI（Annex I - 2028年8月2日発効）。
AIによる履歴書選考、候補者ランキング、または従業員パフォーマンスモニタリング（Annex III - 2027年12月2日発効）。
信用評価および特定の保険リスク評価に使用されるAI（Annex III - 2027年12月2日発効）。
安全性に関わる予知保全を含む、重要インフラの運用に使用されるAI（Annex III - 2027年12月2日発効）。

限定的リスク（2026年8月2日発効）

チャットボットや合成コンテンツを生成するAIシステムがここに該当します。中核となる義務はArticle 50の透明性要件であり、ユーザーはAIと対話していることを知らされなければならず、AI生成または加工されたコンテンツは、Article 50に基づき必要な場合にはラベル表示または開示が義務付けられます。正式な適合性評価は不要です。

最小リスク

スパムフィルター、ビデオゲーム、標準的なAI支援型文書検索ツールなどが該当します。同法の下での法的義務は課されませんが、自主的な行動規範の採用が推奨されています。

高リスクAIのコンプライアンスに実際に求められること

高リスクAIシステムを導入または開発する場合、同法はシステムが市場投入または実運用に至る前に満たすべき法定要件を定めています。

品質マネジメントシステム（Article 17）- データガバナンス、システム設計、変更管理、市販後モニタリング、インシデント報告を網羅した文書化されたポリシー。
技術文書（Article 11）- システムの目的、学習データ、アーキテクチャ、性能指標、既知の限界に関する完全な文書化（Article 11に基づき規定され、Article 18に従い市場投入後10年間保持）。
ログの保持（Article 12およびArticle 26）- 提供者は技術的なログ記録機能を有効化しなければなりません（Article 12）。デプロイヤーは、ログが自らの管理下にあり技術的に実行可能な場合、少なくとも6か月間、自動生成されたログを適切な期間保持しなければなりません。ただし、他のEU法または国内法が適用される場合はこの限りではありません（Article 26）。
適合性評価（Article 43）- システムが市場投入または実運用に供される前に完了させる必要があります。システムの種類に応じて、自己評価または第三者評価のいずれかとなります。
EU適合宣言およびCEマーキング（Article 47およびArticle 48）- 市場投入前に、システムが同法の要件を満たしていることを示す正式な宣言およびCEマークです。
EU AIデータベースへの登録（Article 49）- 市場投入または実運用開始前に、公式なEUデータベースへのシステム登録が義務付けられます。
人間による監視（Article 14）- 提供者は、オペレーターがシステムの限界を理解し、自動化バイアスを防止し、システムに介入または停止できるよう、実効的な監視メカニズムをシステム設計に組み込まなければなりません。

デプロイヤー、すなわち第三者が構築した高リスクAIを利用する企業にも義務が課されます。これには、公的機関および必須サービス提供者を対象とした基本的権利影響評価（Article 27に基づくFRIA）の実施、適切な人間監視措置の実装、およびログの保持が含まれます。

自社製品でChatGPT、Claude、Geminiを利用する場合 - 同法の下での意味

2025年8月に発効した汎用AI（GPAI）義務は、主にGPAIモデルの提供者（OpenAI、Anthropic、Googleなど）に適用されるものであり、通常の事業運営のためにそのAPIを利用する企業には適用されません。

自社が第三者のAIモデルをAPI経由で利用し、社内ワークフローや顧客向け機能を実現している場合、貴社はデプロイヤーです。貴社のコンプライアンス上のリスクは、その利用ケースが禁止または高リスクカテゴリーに該当しないことを確保すること、およびArticle 50の透明性要件を遵守することに限定されます。

GPAIモデルを実質的に改変した製品を構築・提供する場合、または自社のブランドや商標の下でEU市場に投入する場合は、この位置づけが変わります。この場合、貴社は同法の下で提供者としての地位を取得し、技術文書、透明性、そしてシステムが高リスクの閾値に達する場合には完全な適合性評価を含む、対応する義務を負うことになります。

域外適用範囲

同法のArticle 2は明確です。本社の所在地やエンジニアリングチームの所在地にかかわらず、AIシステムをEU市場に投入する、あるいはそのAI出力がEU域内のユーザーに影響を及ぼすすべての企業に適用されます。

米国、英国、またはアジアに本社を置き、開発チームをベトナム、インド、フィリピンなどに置く企業であっても、その製品が欧州連合内のユーザーにサービスを提供している場合には、EU企業と同等の完全な義務の対象となります。適用の可否を決定するのは、AIシステムがどこで構築されたかではなく、どこで市場投入または利用されているかです。

罰則

執行権限は、各国の市場監視当局と欧州AI事務局との間で分担されています。

禁止される慣行：最大€35 millionまたは全世界年間売上高の7%（いずれか高い方）。
高リスクAIの非遵守：最大€15 millionまたは全世界年間売上高の3%。
当局への不正確な情報提供：最大€7.5 millionまたは全世界年間売上高の1.5%。

上限7%というAI法の最大罰金水準は、GDPRの上限である4%を上回ります。EU域外の企業も、まったく同じ罰則水準の対象となります。

よくある質問

2026年、EU AI法は企業に何を求めていますか。

2026年には、組織は自社が開発または導入するAIシステムを棚卸しし、評価する必要があります。企業はArticle 50の透明性義務（チャットボットとの対話時にユーザーへ通知すること、およびAI生成メディアの開示）を遵守し、適切な水準のAIリテラシーを確保し、高リスクツールを2027年および2028年のコンプライアンス期限に照らしてマッピングする必要があります。

EU AI法はEU域外の企業にも適用されますか。

はい。Article 2は、企業の所在地にかかわらず、そのAIシステムがEU市場に投入されている、またはその出力がEU域内の個人に影響を及ぼす、すべての提供者またはデプロイヤーに適用されます。EU域外の企業が欧州の顧客にAI搭載製品を販売している場合、EU企業と同じ義務の対象となります。

EU AI法の下で、現在禁止されているAI慣行にはどのようなものがありますか。

2025年2月時点で、禁止される慣行には、公共の場におけるリアルタイムの遠隔生体認証、ソーシャルスコアリング、潜在意識に働きかける手法や脆弱性の悪用を通じて行動を操作するAI、職場や学校における感情認識、そして認識用データベースを構築するための無差別な顔画像スクレイピングが含まれます。

企業が自社製品でChatGPTやClaudeを利用する場合、どうなりますか。

一般的な業務や機能のためにAPI経由でアクセスする場合、主要なGPAIモデルの義務は提供者（OpenAI、Anthropicなど）が負います。企業がモデルを実質的に改変する場合、または自社ブランドでEU域内にソリューションを展開する場合には、同法の下で提供者となり、文書化、透明性、および高リスクに関する適合性評価の義務を負うことになります。

EU AI法は、人事・採用AIにいつから適用されますか。

人事、採用、履歴書選考、候補者ランキング、従業員パフォーマンスモニタリングのツールは、Annex IIIの下で高リスクに分類されます。2026年に採択されたAI法実施改正を受けて、Annex IIIのスタンドアロン高リスクシステムに対する施行期限は2027年12月2日です。

EU AI法における提供者とデプロイヤーの違いは何ですか。

「提供者」は、AIシステムを開発する（または開発させる）主体であり、自社のブランド名の下でそれを市場に投入します。「デプロイヤー」は、自らの権限の下で運用目的のために第三者のAIシステムを利用する主体です。提供者は、品質マネジメント、技術文書、適合性評価、CEマーキングといった主要な構造的義務を負います。デプロイヤーは、人間監視措置の実装、実行可能な場合の少なくとも6か月間のログ保持、およびユーザーへの透明性開示といった運用上の義務を負います。

次のステップへ

Gradionは、DACHおよび東南アジア全域の企業に対し、AIコンプライアンスリスクの評価、リスク分類の監査、そして本番環境水準を満たすAIシステムの構築を支援しています。まずはお気軽にお問い合わせください。