欧州AI規制法（EU AI Act）の全貌と日本企業への影響

欧州AI規制法（EU AI Act）の定義と全体像

EU AI規制法（AI Act）は、2024年8月1日に発効した世界初の包括的なAI規制である。GDPRと同様に域外適用を前提としており、EU域内に拠点がなくても、EU市場にAIを提供したり、EUでAI出力が利用される場合には規制対象となる。

規制対象となる主体は、

• プロバイダー（Provider）：AIを開発・上市する事業者

• デプロイヤー（Deployer）：AIを使用する事業者

• インポーター（Importer）：EU市場に第三国のAIを流通させる事業者

• ディストリビューター（Distributor）：EU域内で流通させる中間事業者

といったサプライチェーン全体に及ぶ。日本企業も例外ではなく、自社製品の一部にAIが組み込まれている場合や、EU居住者が利用する生成AIサービスを運営している場合も適用対象になる。

AI Actのリスクベース分類

AI Actはリスクに応じて4区分を定める。

1. 許容できないリスク（禁止AI、Art.5）
   社会的スコアリングや無許可の顔認証データベース化など。違反時の罰金は最大売上高7%または3,500万ユーロ。

2. 高リスク（High-risk）（Art.9–15）
   教育・雇用・医療機器・重要インフラ関連のAIなど。要求事項はリスク管理、データガバナンス、技術文書、ログ保持、人による監視、サイバーセキュリティ。EUデータベース登録や適合性評価が必要になる。

3. 限定リスク（透明性義務）（Art.50）
   感情認識、ディープフェイク生成など。AIである旨の通知、ラベリング、合成コンテンツの明示義務が課される。

4. 最小リスク
   一般的な利用。義務はほとんどなく、行動規範（Code of Practice）の遵守が推奨される。

汎用目的型AI（GPAI）とシステミックリスク

生成AIなどの汎用目的型AIモデル（GPAI）は特別に扱われる。

• 義務内容：技術文書作成、下流事業者への情報提供、EU著作権遵守、学習データの要約公表。

• システミックリスク（systemic risk）モデル：計算量やユーザー数が一定規模を超えるモデル。リスク評価・敵対的テスト・重大インシデント報告・サイバーセキュリティ強化を義務付け。EU委員会への届け出は2週間以内。

これはOpenAIやGoogleなどの基盤モデル提供者だけでなく、日本企業がGPAIを組み込む場合も透明性義務や情報開示に対応しなければならない。

今後のタイムライン

主要スケジュール：

• 2025/02/02：禁止AI条項の適用開始

• 2025/08/02：GPAI規制の適用開始

• 2026/08/02：高リスク要件・透明性義務を含む全面適用

• 2027/08/02：一部高リスクAI（既存システム組込み型）の猶予期限

• 2030/12/31：特定の大規模ITシステム構成要素の最終猶予期限

制裁金上限：

• 禁止AI違反：3,500万ユーロまたは売上7%

• 高リスク要件・透明性違反：1,500万ユーロまたは売上3%

• 誤解を招く情報提供：750万ユーロまたは売上1%

日本企業の対応ロードマップ

1. スコープ確認：自社AIユースケースを棚卸し、対象リスク区分を特定。

2. リスク分類：高リスク用途（採用・教育・医療等）のAIを重点的に評価。

3. GPAI対応：技術文書・著作権ポリシー・学習データ要約を準備。

4. 高リスク要件実装：リスク管理・データガバナンス・サイバーセキュリティをQMSに統合。

5. 透明性義務対応：合成コンテンツのラベル付け、ユーザー通知をUIに組み込み。

6. 移行計画：2025～2027年の適用スケジュールに基づき、ギャップ分析→対策→内部監査のPDCAを回す。

単なる「規制対応」にとどまらず、AIガバナンスの強化を競争優位化の要素とすることが日本企業にとって重要である。

まとめ

• EU AI規制法は域外適用×リスクベースで、日本企業も例外ではない。

• GPAIには追加義務（技術文書、著作権遵守、学習データ要約、システミックリスク評価）がある。

• 違反時は最大7%の制裁金。2025/02/02、2025/08/02、2026/08/02を軸に今すぐ準備すべきである。