EU AI法とは｜日本の中小企業との関係・適用時期・延期・罰則を整理

そら／公式情報と一次資料で整理

公開: 2026年10月15日

EU AI法は2024年8月1日に発効したEU規則で、2026年8月2日に大半が適用されましたが、高リスクAIの規定は附属書IIIが2027年12月2日、附属書Iが2028年8月2日へ延期済みです。EUに拠点がなくても、EU市場へのAI提供や出力のEU域内での利用は適用範囲に挙げられています。日本の中小企業はEUとの接点から確かめ、拠点・AIの提供先・出力の利用先が国内だけなら、第2条1項の各号に当たる記載は見当たらない、というのが2026年10月6日時点の整理です。

出典：欧州委員会 AI法の概要／EU AI法 第2条1項（2026年10月6日確認）。

EU AI法とは何か？

EU AI法とは、AIの使い道が人の安全や権利に及ぼすリスクに応じて、開発・提供・利用のルールを分けたEUの規則です。 指令ではなく、加盟国で直接効力を持つ法形式です。

規則番号はRegulation (EU) 2024/1689。2024年6月13日付の規則で、同年7月12日にEU官報へ掲載され、8月1日に発効しました。発効と、各義務の適用開始は区別します。

出典：EU官報 EU AI法・表題、第113条（2026年10月6日確認）。

欧州委員会は、制度の位置づけを次のように説明しています。

… the first-ever comprehensive legal framework on AI worldwide.

出典：欧州委員会 AI法の概要（2026年10月6日確認）。

筆者訳：AIを包括的に扱う法的枠組みとして、世界で初めてのもの。

どんなAIが規制されるのか？

AIシステムは、禁止、高リスク、透明性リスク、最小リスクの4段階で整理されます。最小リスクのAIに、この法は義務を設けていません。

出典：欧州委員会 リスク分類／EU AI法 第6条（2026年10月6日確認）。

欧州委員会は、EUで利用されるAIの大多数を最小リスクに位置づけています。高リスクのうち附属書IIIは採用・教育・生体認証などの分野、附属書Iは製品に関わる区分です。後者はAI入り製品すべてではなく、対象製品の安全部品などで、第三者による適合性評価が必要な製品という条件を伴います。

透明性ルールは、誰が何を知らせるのか？

提供者が出力に付ける印と、導入者が人に向けて行う開示は別です。 第50条は、項ごとに主語を読みます。

• 1項・提供者：人と直接やり取りするAIは、相手がAIだと本人に伝わる設計にする。
• 2項・提供者：生成した音声・画像・動画・テキストに、AIによる生成・加工を検出できる機械可読の印を付ける。
• 3項・導入者：感情認識や生体分類のシステムを使う際、対象者へ知らせる。
• 4項・導入者：ディープフェイクや、公共の関心事を伝える目的で公開するAI生成テキストについて、生成・加工の事実を開示する。

4項のテキストに関する開示は、人によるレビューまたは編集管理を経て、かつ、自然人か法人が公表の編集責任を負う場合には除かれます。この条件を、あらゆる生成物へ広げません。5項が定める告知の時点は、遅くとも最初の対話・接触時です。

出典：EU AI法 第50条1〜5項（2026年10月6日確認、原則の適用開始は2026年8月2日）。

EU向けの画像利用では、印・開示の論点と道具選びを分けます。比較の材料はAI画像生成ツールの選び方と商用利用条件にまとめています。

いつから何が適用されているのか？

2026年8月2日は大半の規定の適用開始日で、高リスクAIまで一斉に始まった日ではありません。 2026年10月6日時点の適用スケジュールです。

出典：欧州委員会 適用タイムライン／EU AI法 第113条（2026年10月6日確認）。

原則日の執行開始は、GPAIモデル、禁止行為、透明性、AIリテラシーに関するものです。高リスクの延期を理由に、これらも先送りされたと捉えないことが重要です。

既存製品の経過期限は、次の条件とセットで読みます。

• 2026年8月2日より前に市場に出ていた生成AIシステムの提供者：第50条2項の機械可読の印について、2026年12月2日まで。透明性全体の延期ではありません。
• 2025年8月2日より前に市場に出ていたGPAIモデル：対応期限は2027年8月2日。会社がそのモデルを使い始めた日ではなく、市場に出た時期が基準です。

出典：EU AI法 第111条3・4項（2026年10月6日確認）。

延期は決まったのか？

高リスクAIの規定の延期は、2026年7月27日に発効した改正で決まっています。 改正はAI Omnibusと呼ばれます。

出典：欧州委員会 AI Omnibus発効／EU理事会 採択の投票結果・11301/26／欧州委員会 改正の経緯（2026年10月6日確認）。

この改正で、附属書IIIの分野の高リスクAIは2027年12月2日から、附属書Iの製品組み込み型は2028年8月2日からの適用に変わりました。延期されたのは高リスクAIの規定だけで、禁止行為・GPAI・透明性の規定の日付は動いていません。過去の解説を読む際も、提案段階の資料なのか、改正発効後の資料なのかを見ると、違う日付を混ぜずに読めます。

日本の会社にも適用されるのか？

第2条はEU域外の提供者・導入者も条件付きで適用範囲に挙げています。 同条1項の各号は次の整理です。各行の人に同じ義務を課す表ではありません。

出典：EU AI法 第2条1項(a)〜(g)（2026年10月6日確認）。

立場の定義は第3条にあります。提供者は自社の名称か商標でAIを市場へ出すか使用開始させる側で、有料か無料かは問いません。導入者は自らの権限の下でAIを使う側で、個人的・非職業的な利用は除かれます。

輸入者は、第三国の者の名称か商標が付いたAIをEU市場へ出す、EU域内の者です。販売者は、提供者・輸入者以外でEU市場へ流通させる側。日本から輸出する会社を、そのまま条文上の輸入者と読み替えないことも要点です。

出典：EU AI法 第3条・立場の定義（2026年10月6日確認）。

日本で処理すれば、EUとの接点はなくなるのか？

処理場所だけでは整理できません。第2条1項(c)は出力の利用先に着目しています。

前文（22）は、EUの事業者が高リスクに当たるAI処理を域外へ委託し、EUから送ったデータの処理結果をEUへ返す例を示しています。前文は解釈の手がかりで、条文そのものとは区別します。

出典：EU官報 EU AI法・前文（22）（2026年10月6日確認）。

個々の成果物の受け渡しがこの条件に当たるかは、取引の実態に応じて専門家へ相談する論点です。EU顧客のデータを入力する業務の社内ルールには、生成AIの情報漏えい対策と入力情報の線引きを使えます。

ChatGPTを業務で使うだけでも対象になるのか？

ChatGPTを使うという事実だけでは決まりません。 モデル提供者の義務、使う側とEUとの接点、用途の順に分けます。

1. 汎用目的AI（GPAI）モデル提供者の義務：第53条は技術文書、組み込む側への情報提供、著作権を守る方針、学習内容の要約公開を求めています。モデルを使う社員へ、そのまま移す義務ではありません。
2. 導入者の適用範囲：第2条1項(b)のEU域内の拠点・所在、または(c)のEU域内での出力利用が入口です。国内業務と、EU拠点・取引先につながる業務を分けます。
3. 用途による違い：最小リスクのAIに、この法は義務を設けていません。純粋に私的・非職業的に使う個人の活動も、第2条10項によって導入者の義務から除かれます。

出典：EU AI法 第53条1項／第2条1・10項（2026年10月6日確認）。

実務の設定はChatGPTに学習させない設定とプラン別の扱いで整理しています。設定変更と、法律の適用範囲の判断は別の作業です。

AIリテラシーのために資格や外部研修が必要なのか？

外部研修や資格取得が義務になったわけではありません。 改正後の第4条は、個人ごとに特定の知識水準を保証することまでは求めていません。公式のFAQにも次の説明があります。

… no obligation for external training or external certification.

出典：EU AI法 第4条／欧州委員会 FAQ・AIリテラシー（2026年10月6日確認）。

筆者訳：外部の研修や外部認証を受ける義務はありません。

社内で学ぶ内容を考える材料には、AI資格の学習範囲と目的別の選び方を使えます。資格取得を法令対応の必須条件や、対応完了の証明として扱わない位置づけです。

違反するとどうなるのか？

第99条の金額は、違反別の行政上の罰金の上限です。 事業者では固定額と売上高による額の高い方、中小企業（スタートアップ含む）は低い方を上限とします。

中堅の区分SMCも同条6a項により、4項・5項の違反は低い方が上限ですが、禁止行為の3項は含まれません。罰則を定めて科すのは加盟国で、同条7項は違反の重大性・期間、会社の規模、協力の程度、故意か過失かなどの考慮を求めています。

出典：EU AI法 第99条1・3〜7項（6a項を含む）（2026年10月6日確認）。

日本のAI推進法やガイドラインとは何が違うのか？

日本のAI推進法は開発・活用を後押しする性格の法律で、罰則の規定はありません。EU AI法のリスク別の禁止・義務・罰金上限とは仕組みが違います。

正式名は「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）です。第3章・第4章等を除く規定は、公布日の2025年6月4日から施行されました。

第7条は、活用による事業の効率化・高度化などに努めることに加え、国や自治体の施策への協力を求めています。すべてを努力義務とまとめず、協力を求める部分と区別します。

出典：e-Gov AI推進法 第7条・附則第1条（2026年10月6日確認）。

日本のAI事業者ガイドラインをもとに社内で決める項目や、AI推進法との違いは、生成AIの社内ルールの作り方と公的指針の読み方へ分けています。この法律に罰則がないという説明を、日本のAI利用にルールがないという意味には広げません。

自社が関係あるかはどう確かめればいいのか？

AIの機能、EUとの接点、立場、用途、適用日の順に整理します。 次は専門家へ相談する論点を見つける目安で、適用の結論を出す判定表ではありません。

1. 機能を書く：第3条(1)のAIシステムの定義と照合します。商品名だけでなく、入力から何を推論し、どんな出力を作るかを書きます。
2. EUとの接点を書く：EU拠点での利用、AI入り製品・サービスの提供、EUでの出力利用を分けます。
3. 立場を分ける：自社名での提供、業務での利用、輸入・販売を製品ごとに整理します。
4. 用途を見る：禁止、高リスクの分野・製品条件、透明性の規定と照合します。
5. 日付を結ぶ：義務ごとの適用日と、市場に出た時期による経過期限を分けます。
6. 公式窓口へ進む：AI Act Service Deskの条文検索、Compliance Checker、FAQ、問い合わせ窓口を、EU法に詳しい専門家への相談と合わせて使います。

出典：EU AI法 第3条(1)／欧州委員会 公式窓口の案内（2026年10月6日確認、確認順は条文をもとに構成）。

相談時は処理場所・提供先・出力の利用先を分けて伝え、取引が変わればEUとの接点を見直します。

よくある質問

オープンソースのAIなら、規定を読まなくてよいのですか？

第2条12項にはオープンソースのAIを原則として適用から除く定めがあります。高リスクAIや第5条・第50条に当たるものは除外に含まれず、公開方式だけでは判断できません。

出典：EU AI法 第2条12項（2026年10月6日確認）。

販売前の研究・試験も、同じ扱いですか？

第2条6・8項は、科学研究開発だけを目的とするAIや、市場投入前の研究・試験・開発を適用から除く定めを置いています。実環境での試験はこの除外から外れるため、「開発中」と一括りにしない読み方になります。

出典：EU AI法 第2条6・8項（2026年10月6日確認）。

中小企業かどうかは、日本での呼び方で決まりますか？

第3条(14a)は、中小企業の定義として欧州委員会勧告2003/361/ECを参照しています。SMCも同条(14b)が勧告(EU) 2025/1099を参照する別区分で、自社で使う呼称をそのまま罰金上限の区分へ置き換えません。

出典：EU AI法 第3条(14a)・(14b)（2026年10月6日確認）。

まとめ

EU AI法の大半は適用中で、高リスクAIの規定は附属書IIIが2027年12月2日、附属書Iが2028年8月2日から適用されます。
日本の中小企業はEUとの接点を先に整理し、提供者・導入者の違いと、義務ごとの適用日・罰金上限を分けて読みましょう。
本記事は欧州委員会・EU理事会などの公式情報をもとに、2026年10月6日時点で整理したもので、法的助言ではありません。自社への適用は取引の実態に応じて、EU法に詳しい専門家や欧州委員会の公式窓口（AI Act Service Desk）で確認してください。