- EU AI Actは2026年8月に完全施行。EU向けにサービスを提供する日本企業も規制対象となり、採用・与信・医療領域のAIは「高リスク」分類に該当する可能性が高い。
- 違反した場合のペナルティは最大3,500万ユーロまたは全世界売上高の7%。まずは自社AI活用の全社棚卸しとリスク分類から着手することが、対応の第一歩となる。
- AI Actへの対応は単なるコストではなく、透明性・安全性を競争優位に変える機会。今から逆算したロードマップで、2026年施行を経営強化の転換点として活用したい。
EU AI規制法（AI Act）とは何か——日本企業にも無関係ではない理由
2024年8月、欧州連合（EU）のAI規制法（正式名称：Artificial Intelligence Act、以下AI Act）が正式に発効した。そして2026年8月には主要条項が完全施行される予定であり、グローバルに事業展開する日本企業にとって、もはや「対岸の火事」では済まされない局面を迎えている。
AI ActはEU域内で使用・提供されるAIシステムを広く対象とする。重要なのは、EU域外に本社を置く企業であっても、EU市場向けに製品・サービスを提供する場合は規制の適用対象となる点だ。日本からEUへの輸出、EU在住ユーザー向けのSaaSやWebサービス、EUに子会社を持つ企業グループなど、その射程は想定より広い。
「自社はAI企業ではないから関係ない」——この思い込みが、2026年以降の最大のリスクになりかねない。採用ツール、与信審査、品質管理の自動化など、すでに多くの企業がAIを業務に組み込んでいる。
AI Actのリスク分類——自社のAI活用はどこに該当するか
AI Actが採用するのはリスクベースアプローチと呼ばれる規制フレームワークだ。AIシステムをリスクの高さによって4段階に分類し、それぞれに異なる義務を課す構造となっている。
4段階のリスク分類と主な要件
第1段階の受け入れられないリスク（Unacceptable Risk）に該当するAIは原則禁止だ。リアルタイムの遠隔生体認証システムや、人の無意識を操作するサブリミナル技術などが該当し、EU域内での使用は全面禁止となる。
第2段階の高リスク（High Risk）が最も影響範囲が広い。採用・人事評価、教育・訓練、重要インフラ管理、医療診断、法執行、入国管理などに使用されるAIが対象だ。技術文書の整備、適合性評価、人間による監視体制の確立、透明性の確保など、厳格な事前・事後義務が課される。
第3段階の限定リスク（Limited Risk）には、チャットボットや感情認識システムなどが含まれる。主な義務は透明性の確保であり、「AIと対話していること」をユーザーに開示することが求められる。ChatGPTを活用したカスタマーサポートを導入している企業は、この段階の要件を確認する必要がある。
第4段階の最小リスク（Minimal Risk）はスパムフィルターや在庫最適化AIなどが該当し、法的義務は課されないが、自主的な行動規範への準拠が推奨される。
違反した場合のペナルティ——最大3,500万ユーロの制裁金
AI Actの制裁金は、GDPRと同等かそれを上回る水準に設定されている。違反の深刻度に応じて3段階のペナルティが定められている。
最も重大な違反（禁止されたAIの使用）には最大3,500万ユーロ、または全世界年間売上高の7%のいずれか高い方が科される。高リスクAIに関する義務違反は最大1,500万ユーロまたは売上高の3%、不正確な情報提供は最大750万ユーロまたは売上高の1.5%となっている。
中小企業には上限額の緩和措置があるものの、売上高比率での算定は変わらない。グローバルに展開する日本企業にとって、財務インパクトは決して小さくない。
日本企業が直面する3つの現実的課題
規制の内容を理解した上で、日本企業が実際に直面する課題を整理しておきたい。
課題1：AIの「棚卸し」ができていない
多くの企業では、どの業務にどのようなAIが使われているかの全体像が把握されていない。SaaSツールに組み込まれたAI機能、外部ベンダーが提供するAPIベースのサービス、社内で独自開発したスクリプトまで含めると、「意図せずAIを使っている」ケースが想定以上に多いのが実態だ。
課題2：リスク分類の判断が難しい
自社のAI活用がどのリスクカテゴリに該当するかの判断は、法律と技術の両方の知見を要する。特に人事・採用領域のAI活用は「高リスク」に分類される可能性が高く、すでに導入済みの企業は早急な確認が必要だ。
課題3：対応リソースの不足
GDPRへの対応でも同様の問題が起きたが、AI Actへの対応には法務・IT・事業部門の横断的な連携が不可欠だ。専任担当者の設置やガバナンス体制の整備は、中小企業にとって特に重い負担となる。
今すぐ取り組むべき5つの実践的対応策
課題を踏まえた上で、2026年の完全施行までに日本企業が実行すべき具体的なアクションを示す。
対応策1：AIシステムの全社的な棚卸しと台帳整備
最初のステップは自社が使用・提供しているAIシステムの完全なリストアップだ。業務部門ごとにヒアリングを実施し、SaaSに内包されるAI機能を含めて洗い出す。各AIについて「目的」「使用データ」「意思決定への関与度」「EU市場への関連性」を記録した台帳を整備する。この台帳はAI Actへの準拠を示す技術文書の基盤にもなる。
対応策2：リスク分類の実施と優先順位付け
台帳をもとに、各AIシステムのリスク分類を実施する。自社内での判断が難しい場合は、外部の法律事務所やコンサルタントの活用も検討したい。採用管理・人事評価・与信審査・医療関連のAIは高リスクと判定される可能性が高く、優先的にレビューすべきだ。リスク分類の結果に基づき、対応コストと工数を見積もり、優先順位を決定する。
対応策3：透明性確保とドキュメント整備
高リスクAIに該当する場合、技術文書・リスクマネジメント記録・人間による監視体制の設計・適合性評価の実施が求められる。限定リスクのAIについては、ユーザーへのAI利用開示をWebサイトやアプリのUI上で明示する対応が必要だ。既存の利用規約やプライバシーポリシーの見直しも、この段階で同時に行うことを推奨する。
対応策4：社内ガバナンス体制の構築
AI Actへの対応は一度きりのプロジェクトではなく、継続的なガバナンスが必要だ。AIの新規導入・変更時にリスク評価を行うプロセスを組み込むとともに、法務・情報システム・事業部門が連携する横断的な委員会や担当者を設置することが求められる。大企業であれば専任の「AI責任者（Chief AI Officer）」の配置も選択肢に入る。
対応策5：取引先・ベンダーとの契約・連携見直し
AI ActはAIシステムの「提供者（Provider）」と「利用者（Deployer）」双方に義務を課す。自社がAIを提供するベンダーから調達している場合、そのベンダーがAI Act対応済みかどうかを確認し、契約上で責任分担と対応義務を明確化しておくことが重要だ。EU子会社や現地パートナーとの情報共有体制も整備しておきたい。
2026年を見据えたロードマップ——今から逆算して動く
AI Actの完全施行まで、残された時間は限られている。現実的なロードマップとして、以下のフェーズで考えるとよい。
2025年内（今すぐ〜年末）は「現状把握フェーズ」だ。AI棚卸しの実施、リスク分類、ガバナンス体制の設計に着手する。特にEU市場との接点がある事業部門は最優先で対応すべきだ。
2026年前半（1月〜6月）は「対応実装フェーズ」となる。高リスクAIへの技術文書整備、適合性評価の実施、ユーザー向け開示対応の完了を目指す。外部の専門家との連携もこの時期に集中させると効率的だ。
2026年8月の完全施行後は「継続モニタリングフェーズ」に移行する。新規AI導入時のリスク評価プロセスを定常化し、規制当局のガイダンス更新に継続的に対応していく体制を維持する。
まとめ——AIガバナンスは競争優位にもなりうる
EU AI Actへの対応は、確かにコストと工数を伴う。しかし視点を変えれば、AI利用の透明性と安全性を自社の強みとして打ち出す機会でもある。GDPRへの早期対応が欧州市場での信頼獲得につながった企業があったように、AI Actへの真摯な対応は、EU市場での差別化要因になりうる。
重要なのは「まず動く」ことだ。AI棚卸しから始めれば、自社のAI活用の全体像が把握でき、リスク管理だけでなくDX推進の観点からも価値ある情報が得られる。2026年を単なるデッドラインではなく、AIガバナンスを経営基盤に組み込む転換点として捉えてほしい。