EUのAI規則は日本企業に効くか？｜適用の範囲と時期

「EUの規則って、日本の会社にも本当に関係あるんですか」「高リスクの期限が延びたと聞いたので、しばらくは様子見でいいですよね」——EU向けの取引がある会社のマーケ部門と情報システム部門から、同じ時期に並んで届く問いです。ここは印象で決められません。2026年7月8日に採択され、7月24日に官報に載った改正の規則では、一覧に列挙された用途の高リスクへの適用が2027年12月2日、既存の製品規制に組み込まれる高リスクへの適用が2028年8月2日へ移されました。いっぽうで2026年8月2日からの一般の適用と、対話や生成物の表示に関わる義務は動いていません。延びたのは一部です。この記事では、EUのAI規則が日本の会社のどの活動に及ぶのかを、場面を追いながら適用の範囲と時期に分けて整理します。

まず事実：2026年7月に期限が動き、延びたのは一部だけ

2026年7月8日に採択され、7月24日に官報に載り、その3日後に発効した改正の規則があります。公表資料では、一覧に列挙された用途の高リスク（単体で使うもの）への適用が2027年12月2日へ、既存の製品規制に組み込まれる高リスクへの適用が2028年8月2日へ移されました。もとの期日はどちらも2026年8月2日でしたから、1年4か月ぶんと2年ぶん、後ろに動いた形です。

発効の早さに事情が出ています。EUの規則は通常、官報に載ってから20日で発効します。この改正は3日でした。条文には、緊急のこととして掲載の3日後に発効すべきだと書かれています。もとの期日まで6日という時期に間に合わせるための駆け込みだったということです。裏を返せば、期日は政治の日程で動きます。社内の資料に「2027年12月から」と書き切ると、次の改定で古くなります。

そして、動かなかったものがあります。同じ資料では2026年8月2日からの一般の適用は変わっていません。禁止される使い方は2025年2月2日から、統治の仕組みと汎用的なAIモデルへの義務は2025年8月2日から、すでに適用が始まっています。延びたのは高リスクの2つの区分だけで、対話や生成物の表示に関わる義務は予定どおり2026年8月2日から動きました。ここを取り違えると、準備の順番を丸ごと間違えます。

及ぶかどうかは所在地では決まらない。条文が見ているもの

適用範囲を定めた条文は、対象を所在地で切っていません。公表されている条文では、EU域内で仕組みを市場に出す、あるいは稼働させる提供する側は、その提供者がEU域内に設立され所在しているか第三国にいるかを問わず対象になると書かれています。汎用的なAIモデルをEU域内の市場に出す場合も同じ扱いです。日本に本社があり、日本のデータセンターで動かしていても、この一文には引っかかります。

もう一つの入口が、出力の行き先です。同じ条文では、設立の場所または所在が第三国にある提供する側と使う側も、その仕組みが作った出力がEU域内で使われる場合には対象になると書かれています。ここが日本の会社にとって効く部分です。EUの顧客に返す文章、EU向けのサイトに出す記事、EUの現地法人が受け取る資料。出力が向こうで使われるなら、動かしている場所は問われません。

対象として並べられているのは提供する側と使う側だけではありません。輸入する側、流通させる側、製品の製造者、域内の代理人、そしてEU域内で影響を受ける人も含まれます。いっぽうで外れるものも明記されています。専ら軍事・防衛・安全保障の目的のもの、専ら科学的な研究開発のために作られ稼働されたもの、自然人が純粋に私的で非職業的な活動で使う場合、そして自由に使える公開の条件で公開されたもの（高リスクに分類される場合や特定の義務の対象となる場合を除く）です。業務で使い、出力がEUに届いているなら、この除外には入りません。

区分は4段。マーケ業務の多くは下の2段に入る

EUのAI規則は、危険の度合いで4段に分けています。欧州委員会の公式ページの整理では、上から順に、許されないリスク（禁止）、高リスク、透明性のリスク、最小のリスクです。どの段に入るかで義務の重さがまったく変わるので、自社の使い方をここに当てる作業が最初の仕分けになります。

禁止は9つの行為が挙げられています。有害な操作、社会的な評点付け、法の執行のために公共の場で即時に生体的な本人を特定する仕組み、本人の同意なく作られた性的な生成物などです。高リスクとして例示されているのは、重要な設備、教育での評点付け、雇用での採用、与信、法の執行、出入国と国境の管理といった領域です。透明性のリスクは、相手がAIだと分かること、生成物が見分けられることを求める段です。最小のリスクにはゲームや迷惑メールの選別が挙げられ、この段には規則を置かないと明記されています。

マーケの現場で使っている道具の多くは、下の2段に入ります。原稿の下書き、翻訳、要約、問い合わせへの一次返答、画像素材の生成。ただし油断はできません。同じ社内で人事が採用の選考にAIを使っていれば、そちらは高リスクの側です。区分は会社単位ではなく用途単位で決まります。情報システム部門が全社の使い方を洗う理由がここにあります。

場面1：問い合わせ対応を生成AIに任せている

ここから場面で追います。1つ目は、自社サイトの問い合わせ窓口に生成AIを置いている会社です。EUの見込み客からの英語の問い合わせにも、そのまま一次返答を返しています。公表されている条文では、自然人と直接やり取りする仕組みは、相手がAIだと分かるように設計・開発しなければならないとされています。文脈から明らかな場合は除かれますが、明らかかどうかを自社の感覚で決められる話ではありません。

知らせる時期と形も条文に書かれています。情報は、明確で見分けられる形で、遅くとも最初のやり取りまたは最初に触れる時点までに提供すること。加えて、アクセシビリティの要件に合わせることも求められています。実務では、対話の枠を開いた瞬間に見える位置に置くのが安全側です。会話の末尾に小さく添える、利用規約の中に書いておく、という形では条文の求める形になりません。

落とし穴は、窓口が1つではないことです。サイトの対話の枠だけでなく、メールの自動返信、資料請求後の追いかけのメッセージ、展示会で配った案内の返信先。AIが一次返答を出している経路をすべて数えると、たいてい想定の2倍から3倍あります。まず経路を数え、経路ごとに告知の有無を確かめる。ここは判断ではなく数え上げなので、担当を1人決めれば1日で終わります。

場面2：EU向けの記事と広告素材をAIで作っている

2つ目は、EU向けのサイトに載せる記事と広告素材を生成AIで作っている場面です。ここは義務が2つに分かれます。1つは、合成された音声・画像・映像・文章を生成する仕組みの提供者に課される義務で、出力に機械が読み取れる形の印を付け、人工的に作られたか改変されたと検出できるようにすることです。技術的な解決は効果があり、かつ相互に運用できるものであることが求められています。

もう1つは、出す側に課される開示の義務です。実在に見える偽の映像や画像を作って公表する場合は、人工的に作られたことを開示します。芸術や風刺の作品では、合成物であることの表示に留められます。文章については、公共の関心事について公衆に知らせる目的で公表されるAI生成の文章が対象で、人による編集の確認があった場合、または公表する側が編集の責任を負う場合は除かれると書かれています。

実務での読み方はこうです。印を付けるのは道具の提供元の義務なので、自社が買って使っているだけなら、まず提供元がその印に対応しているかを確認します。開示のほうは自社の義務です。自社メディアの記事は、編集の責任を自社が負っていれば開示の対象から外れる読み方ができますが、社内でその責任の所在を決めていなければ外れません。誰が最終確認をして、どこにその記録を残すか。それを決めるのが対応の中身になります。

場面3：EUの現地法人に自社製のAIツールを配っている

3つ目は、自社で作った社内向けのAIツールを、EUの現地法人や代理店に配っている場面です。ここで効くのが「出す側か使う側か」の切り分けです。自分で作って市場に出す、あるいは稼働させるなら出す側。買ってきて業務で使うだけなら使う側。持ち分は段違いに違います。出す側には設計や文書の義務が積み上がり、使う側の義務は主に運用と告知に寄ります。

難しいのは、社内向けに作ったものを海外の関係会社に配る形が、市場に出したことになるのかどうかです。ここは条文の当てはめの問題で、契約の形、対価の有無、法人の関係によって変わります。この判断は自社で決めきらず、一次資料と専門家に当てる領域です。決めきってしまうと、後から前提が崩れたときに全部やり直しになります。

そのうえで、社内でできる準備はあります。配っている道具の一覧、それぞれの作り手（自社か外部か）、配った先の法人、使っている業務。この4列の台帳を作るだけで、専門家に相談したときの往復が1回で済みます。相談の前に台帳を作るかどうかで、費用と期間が変わります。台帳は表計算の1枚で足ります。

期限の一覧：何がいつから動くのか

ここまでの日付を1枚にまとめます。読むときの注意は、行ごとに「誰の」義務かが違うことです。禁止は全員に、透明性は生成物を出す側と対話を置く側に、高リスクはその区分に入る用途を持つ会社にかかります。自社が入っていない行の期日を待つ意味はありません。

時期	動くもの	2026年7月の改正後の扱い
2025年2月2日	禁止される使い方	変更なし。すでに適用されている
2025年8月2日	統治の仕組みと、汎用的なAIモデルへの義務	変更なし。すでに適用されている
2026年8月2日	一般の適用と、対話や生成物の表示に関わる義務	変更なし。予定どおり適用されている
2027年12月2日	一覧に列挙された用途の高リスク（単体で使うもの）	2026年8月2日から移された
2028年8月2日	既存の製品規制に組み込まれる高リスク	2026年8月2日から移された

表の3列目が今回の改正の中身です。動いたのは下の2行だけで、上の3行は動いていません。自社の使い方が透明性の段に入るなら、期限はもう過ぎています。過ぎた期限に対して「延期された」という要約を持ち込むと、対応の開始が1年以上遅れます。

• 2026年8月2日より前に市場に出ていたものについては、機械が読み取れる印の義務に4か月の移行期間が置かれたと公表資料からは読めます（2026年8月21日時点の取得）。
• 期日と条文の改定は続いています。社内の資料に書くときは、参照した公表資料と取得した日付を必ず添えてください。日付のない要約は、半年で使えなくなります。

「延期されたから待てる」がいちばん危ない読み方

実務でいちばん多い事故が、この読み違えです。報道の見出しは「高リスクの期限が2027年12月へ」と伝えます。社内で回ると「EUのAI規則は2027年まで猶予」に縮みます。そして透明性の義務が動いている事実が落ちる。落ちた結果、対話の告知も生成物の開示も手つかずのまま、期限を過ぎた状態で運用が続きます。

そもそも、高リスクの区分に入る用途を持たない会社にとっては、延期は関係のない話です。BtoBのマーケ業務で使う下書き・要約・翻訳・素材生成は、高リスクの一覧に並ぶ領域ではありません。つまり延期の恩恵を受けないまま、延期の話だけが社内に共有されるという形になります。ここを最初に切り分けておく必要があります。

切り分けは1文で足ります。「自社の使い方は高リスクの一覧に入るか。入らないなら、2026年8月2日の期日で見る」。この1文を社内の共有文に入れるだけで、誤読の大半は止まります。共有する側が、延期の記事をそのまま転送しないこと。要約は必ず自社の区分に当てた形にしてから回します。

禁止に2つ追加された。素材づくりの運用に効く

2026年7月の改正では、禁止される行為が2つ追加されています。1つは、本人の自由な・特定の・情報に基づく・明確で明示的な同意なく、識別できる自然人の身体の性的な部分を写した現実に見える画像・映像・音声等を生成または操作する仕組みです。もう1つは、児童の性的な素材に当たるものの生成・操作で、正当な権利がある場合の例外が置かれています。

範囲には限定が付いています。市場に出すことや稼働させることが禁じられるのは、その生成が意図された用途である場合、または大きな技術的な改変を要さずに合理的に予見でき再現できる結果であり、かつ適切な技術的な安全措置が備わっていない場合です。使う側については、その目的で使った場合に禁止に当たるとされています。つまり道具そのものを一律に禁じる形ではありません。

マーケの運用への効き方は、素材の作り方に出ます。人物が写った写真を生成AIで加工する、モデルの画像を社内で作る、といった運用がある会社は、道具の側に安全措置があるかを確認する話になります。見るのは道具の名前ではなく、用途と安全措置の有無です。加えて、社内の誰がその道具で何を作ってよいかを、運用の文書に1行で書いておきます。

中小企業向けの緩和は入った。ただし免除ではない

同じ改正では、規模の小さい会社への配慮も入りました。中小企業と中堅企業の定義が条文に追加され、技術文書を簡略な形で出せることが明記されました。欧州委員会が中小企業や創業初期の会社向けに簡略な様式を作るとも書かれています。品質管理の仕組みの簡略化は、これまで極小規模の事業者に限られていたものが、中小企業全体へ広げられました。

実施の程度についても、提供する側の組織の規模に見合ったものであるべきとされています。加えて、規制の試行の枠組みへの優先的な利用も挙げられています。負担を軽くする方向の改正であることは間違いありません。ただし、軽くなったのは書類と手続きの重さで、義務そのものが消えたわけではありません。

誤解しやすいのはここです。自社が中小企業に当たるなら簡略な形で出せますが、出さなくてよいという話ではありません。透明性の義務、つまり相手がAIだと知らせることと生成物を開示することは、規模で外れる項目に入っていません。緩和の記事を読んだあとに確認するのは、自社が緩和の対象かではなく、緩和されていない義務がどれかのほうです。

制裁金は全世界の年間売上高で計算される

決裁の材料になるのが金額です。公表されている条文では、禁止される行為に違反した場合、3,500万ユーロまたは違反者が事業者である場合は全世界の年間売上高の7パーセントのうち、いずれか高い方を上限とする行政上の制裁金が定められています。表示に関わる義務を含むその他の義務の違反は、1,500万ユーロまたは全世界の年間売上高の3パーセント。当局への誤った・不完全な・誤解を招く情報の提供は、750万ユーロまたは1パーセントです。

読み方の要点は「全世界の」という語です。EU向けの売上ではありません。日本国内が売上の大半を占める会社でも、割合の計算の分母は連結の全体になります。EU向けの売上が小さいから金額も小さい、という読みは成り立ちません。これが、EU向けの取引が一部でも対応を後回しにできない理由です。

中小企業と創業初期の会社には別の定めがあります。条文では、これらに当たる場合は各制裁金が上の割合または金額のいずれか低い方を上限とすると書かれています。金額の水準が下がる仕組みです。とはいえ、下がった水準でも中小企業の体力に対しては重い額になります。金額の話を社内でするときは、上限の数字だけでなく「割合の分母は全世界」という一文を必ず添えてください。

すでに出しているものの猶予は「設計を変えない限り」

もう1つ、実務で効く定めが猶予の扱いです。改正では、同じ型・型式のうち1台でも期日より前に適法に市場に出ていた、あるいは稼働していた場合、同じ型・型式の他の個体も猶予の対象になることが明確にされました。追加の義務も要件も、追加の認証も要らない。ただし、その仕組みの設計が変わらない限りという条件が付いています。

条文では、期日より後に設計へ大きな変更を加えた場合、全面的に適合させる義務が生じるとされています。ここが運用の勘所です。AIを使った仕組みは、モデルの差し替え、指示書の書き換え、つないだ道具の追加といった変更が日常的に起きます。どこからが大きな変更かを自社で決めていないと、いつ猶予の外に出たか分からなくなります。

だから記録が要ります。用意するのは版の記録です。いつ、どこを、なぜ変えたか。モデルの差し替えは版を上げる、指示書の書き換えは版を上げる、表示の文言の直しは版を上げない、といった線を先に引いておきます。猶予の中にいることを説明できるかどうかは、記録があるかどうかで決まります。記録のない猶予は、主張できない猶予です。

自社の持ち分を洗う5工程

ここまでを作業に落とします。順番が大事で、区分から入ると手が止まります。まず活動を洗い、そのあとで区分に当てる。担当は情報システム部門とマーケ部門の2人で足ります。1回目は2週間を見ておけば形になります。

最後に1つ、外してはいけない点があります。条文を生成AIに読ませて、自社が対象かどうかを判定させないことです。要約や下訳を作らせるのは有用ですが、当てはめの結論は人が出します。AIに出させてよいのは、活動の一覧づくり、原文の下訳、用語の対応表まで。対象かどうかの判定は、根拠となる条文の箇所を人が確認したうえで人の名前で残します。

やってはいけない読み方

最後に、社内で回りやすい誤読を並べます。どれも実際に聞く形です。共有文を書く人が、この5つを避けるだけで対応の質が変わります。

• 「日本の会社だから対象外」——条文は所在地で切っていません。出力がEUで使われるかで見ます
• 「延期されたから2027年まで何もしなくてよい」——延びたのは高リスクの2区分だけです
• 「社内で使っているだけだから関係ない」——出力がEUの現地法人や顧客に届いていれば入口に入ります
• 「条文をAIに読ませて対象かどうか判定させた」——当てはめの結論は人が根拠つきで出します
• 「一度調べたので当面は大丈夫」——期日と条文の改定は続いています。取得日を添えて残します

この5つに共通するのは、1回の判断を固定して使い回していることです。EUのAI規則は改定が続いている領域なので、判断には賞味期限があります。半年ごとに、参照した公表資料の日付を見直す。それだけで誤読の寿命が短くなります。

見直しの担当を決めるところまでやってください。担当が決まっていない見直しは行われません。情報システム部門の誰か1人が、半年に1回、公表資料の日付と自社の一覧を突き合わせる。所要はおよそ半日です。半日を年2回払うか、誤読を1年放置するか、という比較になります。

国内の枠組みとの関係だけを整理する

最後に、国内の枠組みとの関係を1節にまとめます。中身の解説はここでは行いません。事実として押さえるのは2つです。国内には2025年に成立し同年9月に全面施行された、罰則や禁止の規定を置かない推進の枠組みがあります。そして事業者向けには、拘束力を持たない形の指針が公表されており、2026年3月31日に改訂版が出ています。

この2つとEUの規則の関係で、実務に効くのは次の1点です。国内の枠組みに沿って進めているからEUの規則も通る、とは言えません。国内は推進と体制づくりを促す枠組みで、EUは義務と制裁金を伴う規制です。求めているものが違うので、片方を満たしたことがもう片方の説明にはなりません。

いっぽうで、作業の入口は同じです。どの業務でどのAIを使っているか、そのAIは自社が作ったのか買ったのか、出しているものは何か。この棚卸しは、EU向けにも国内向けにも同じものが使えます。だから順番としては、棚卸しを1回作り、そこからEUの区分と期日に当てる。国内向けの説明が必要になったら、同じ棚卸しを別の様式に写す。二重に作らないための順番です。

よくある質問

EUに子会社がなければ対象外ですか

対象外とは言えません。公表されている条文では、EU域内で仕組みを市場に出す、あるいは稼働させる提供する側は所在地を問わず対象となり、加えて第三国にいる提供する側と使う側も、その仕組みの出力がEU域内で使われる場合に含まれるとされています。子会社の有無ではなく、出力の行き先で見ます。

高リスクの期限が延びたので、準備は止めてよいですか

止められません。延びたのは高リスクの2つの区分で、2026年8月2日からの一般の適用と、対話や生成物の表示に関わる義務は動いています。そもそもBtoBのマーケ業務で使う下書き・要約・翻訳・素材生成は、高リスクの一覧に並ぶ領域ではないので、延期の対象に入らないことが多いです。

自社メディアのAI記事に、AIを使ったと書く義務がありますか

公表されている条文からは、公共の関心事について公衆に知らせる目的で公表されるAI生成の文章が開示の対象で、人による編集の確認があった場合、または公表する側が編集の責任を負う場合は除かれると読めます。ただし当てはめは記事の性質と体制によります。断定はできないので、編集の責任を誰が負っているかを社内で決め、その記録を残したうえで一次資料と専門家に当ててください。

生成AIの道具を買って使うだけなら義務はないですか

ありません、とは言えません。使う側にも、相手がAIだと知らせること、実在に見える偽の映像等を出すときに開示すること、感情認識や生体的な分類の仕組みを使う場合に対象者へ知らせることが定められています。買って使うだけでも、使う側としての義務は残ります。

期日までに何から手をつけるべきですか

EUに届いている活動の洗い出しからです。区分や条文の解釈から入ると止まります。活動の一覧、出す側か使う側かの仮の判断、そして表示に関わる4点の確認。ここまでは社内で進められます。判断が割れた活動だけを専門家に当てるのが、費用と期間の両方で効率的です。

まとめ

EUのAI規則が日本の会社に及ぶかどうかは、会社の所在地ではなく、EUに向けて出しているか、出力がEUで使われるかで決まります。2026年7月の改正で動いたのは高リスクの2つの区分の期限だけで、2026年8月2日からの一般の適用と、対話や生成物の表示に関わる義務は予定どおり動いています。制裁金の割合の分母は全世界の年間売上高であり、すでに出しているものの猶予は設計を変えない限りという条件付きです。

最初にやるのは条文の読み込みではなく、EUに届いている活動の洗い出しです。活動を並べ、出す側か使う側かを仮に決め、4段の区分に当て、表示の4点を確かめ、期日に突き合わせる。判断が割れたところは自社で決めきらず、印を付けて専門家に当てます。当てはめの結論をAIに出させないこと、判断に取得日を添えて残すこと。この2つを守れば、改定が続いても資料は使い続けられます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。