株式会社TIMEWELLの濱本 隆太です。
「EU AI Act？うちはEUに拠点ないから関係ないでしょ」——初版を書いた2026年5月ごろまで、日本企業の経営層の8〜9割からこの反応を受けていました。
その一般適用日が、2026年8月2日に到来しました。この日から 透明性義務（Article 50） と 欧州委員会によるGPAIプロバイダーへの制裁金権限（Article 101） が動いています。罰金の最大幅は €35Mまたは全世界売上の7%（高い方）。そして条文を丁寧に読めば、 日本に本社を置く企業も域外適用される3パターン が明確に存在します。
ただし、この日に高リスクAIの実体義務まで始まったわけではありません。 改正法 Regulation (EU) 2026/1744（いわゆるデジタル・オムニバス。2026年7月8日採択、官報 OJ L 2026/1744 掲載 2026年7月24日、2026年7月27日発効）により、Chapter III の 第1節・第2節・第3節（Article 6(5) を除く） の適用日が、Annex III型の高リスクAI（Article 6(2)）は2027年12月2日、Annex I型（Article 6(1)＝製品組込み型）は2028年8月2日 へ移されたためです。逆に言えば、遅延したのはこの3つの節だけで、Chapter III 第5節（Article 40〜49の整合規格・適合性評価・CEマーキング・登録）は8月2日から動いています。
「うちは関係ない」と言い切れる日本企業は、実は少数派です。本記事では適用タイムライン、日本企業が対象になる条件、そして今すぐ着手すべき5ステップを解説します。
要約
- EU AI Act は 段階的に適用中。禁止行為と AI リテラシー義務は 2025年2月2日から、汎用AI（GPAI）モデルと罰則規定は2025年8月2日から、 一般適用日は2026年8月2日（透明性義務 Article 50／欧州委員会のGPAI制裁金権限 Article 101 ほか）
- 高リスクAIの実体義務は Annex III型が2027年12月2日、Annex I型が2028年8月2日（改正法 Regulation (EU) 2026/1744 による）
- 日本企業が域外適用される3パターン：①EU市場に製品/サービス提供、②EU域内ユーザー向けAI出力、③EU子会社が利用
- 罰金は最大 €35M または全世界売上 7%（GDPR の€20Mを大きく上回る）
- 着手の現実解は ISO/IEC 42001 を骨格としつつ高リスク要件を満たす5ステップ
EU AI Act 適用タイムラインを正確に押さえる
EU AI Actは2024年8月1日に発効しましたが、規定ごとに適用時期が異なります（Article 113）。以下は改正法 Regulation (EU) 2026/1744 反映後の値です。
| 適用日 | 適用される規定 |
|---|---|
| 2025年2月2日 | Chapter I（総則・定義・Article 4 AIリテラシー義務）／Chapter II（Article 5 禁止AI行為）。職場での感情推定AI（Article 5(1)(f)）はこの時点で禁止済み |
| 2025年8月2日 | Chapter III Section 4（通知機関）／Chapter V（GPAIモデル）／Chapter VII（ガバナンス）／Chapter XII（罰則 Article 99・100）／Article 78。※Article 101は除く |
| 2026年7月27日 | 改正法 Regulation (EU) 2026/1744 発効。同時に AI Act の Article 102〜110（他法令の改正条項）が適用開始 |
| 2026年8月2日（一般適用日） | Chapter IV（Article 50 透明性義務）／Chapter III Section 5（Article 40-49 整合規格・適合性評価・CEマーキング・登録）／Chapter VI／Chapter VIII〜XI／Article 101（欧州委員会のGPAI制裁金権限） |
| 2026年12月2日 | 新設の禁止行為 Article 5(1)(ba)（同意なき性的ディープフェイク）・(bb)（CSAM生成）と Article 5(1a)(1b)／新設 Article 111(4)＝2026年8月2日より前に上市済みの合成コンテンツ生成AIのproviderは、この日までに Article 50(2) に適合すること |
| 2027年8月2日 | Article 111(3)＝2025年8月2日より前に上市されたGPAIモデルの適合期限 |
| 2027年12月2日 | Annex III型 高リスクAI（Article 6(2)） に Chapter III Sections 1・2・3 が適用。Article 22（EU代理人）・Article 25（バリューチェーン）・Article 26（deployer義務）・Article 27（FRIA）もここで発動 |
| 2028年8月2日 | Annex I型 高リスクAI（Article 6(1)＝製品組込み型） に同上が適用 |
| 2030年8月2日／2030年12月31日 | Article 111(2)（公的機関による利用）／Article 111(1)（Annex X 大規模ITシステム） |
すでに 「禁止AI」「AIリテラシー義務」「GPAIモデルの提供者義務」「罰則（Article 99・100）」 は適用済みです。2026年8月2日から加わるのは 透明性義務（Article 50）と欧州委員会のGPAI制裁金権限（Article 101）ほか であって、高リスクAIの実体義務ではありません。高リスクAIの実体義務は Annex III型が2027年12月2日、Annex I型が2028年8月2日 です。
AIセキュリティ研修を、本気で
OWASP・NIST・ISO 42001・経産省ガイドライン全準拠の2日間集中講座。経営層と現場で分けて受講できます。
罰金構造 — GDPRより重い
EU AI Act Article 99 の罰則は、違反種別ごとに次のとおりです：
| 違反種別 | 上限 |
|---|---|
| 禁止AIの使用（社会的スコアリング等） | €35M または全世界売上の7%（高い方） |
| 高リスクAIシステムへの主要義務違反 | €15M または全世界売上の3% |
| 当局への虚偽情報提供 | €7.5M または全世界売上の1% |
GDPR の上限が「€20M または全世界売上 4%」だったのに対し、 EU AI Act の禁止AIへの罰金は €35M、売上7% とより重くなっています。EUは「AI規制で世界の規範を作る」という戦略を、罰金額で明確に示しています。
日本企業が域外適用される3パターン
EU AI Act 第2条で適用範囲が定義されています。日本に本社を置く企業が対象になる主なパターン：
パターン1：EU市場へのAI製品/サービス提供
EU域内の事業者・消費者にAIシステムまたはAIモデルを提供（販売、SaaS、API、無償含む）している場合。
日本企業の例：
- 化粧品メーカーがEU向け eコマースで AI画像レコメンドを使用
- 自動車部品メーカーが EU OEM 向け製品に AI 制御を組み込み
- SaaS企業が EU 顧客向けに生成AI機能を提供
パターン2：EU域内のユーザー向けAI出力が使われる
AIの出力（推論結果、分類、画像等）がEU域内で使用される場合。
日本企業の例：
- 日本の本社で動かしている採用AIで、EU子会社の従業員を評価
- 日本の信用スコアAIの結果を、EU子会社の取引判断に使う
- マーケティングAIの分析結果をEU向け広告に反映
パターン3：EU子会社がAIシステムの「導入者（deployer）」になる
EU 子会社が業務でAIシステムを利用している場合、子会社が 「導入者」 として義務を負います。本社のリスクマネジメントとは別に、子会社側で対応が必要。
日本企業の例：
- EU子会社で人事評価AIを利用
- EU子会社でCRM内蔵の生成AI機能を業務利用
- EU子会社でAIエージェントを社内文書要約に利用
「うちはEUに製品出していないから関係ない」と思っていても、EU子会社で日々使われるAIが規制対象になっているケースは多数あります。
4リスク区分とそれぞれの義務
EU AI Act はAIを4つのリスク区分に分け、それぞれ異なる義務を課します。
| 区分 | 内容 | 義務の重さ |
|---|---|---|
| 禁止リスク | 社会的スコアリング、潜在意識操作、職場/学校での感情認識など | 使用不可（2025年2月2日適用済。新設の禁止行為は2026年12月2日から） |
| 高リスク | 採用・人事評価、信用スコア、医療診断、教育評価、重要インフラ運用、法執行のAI等 | 適合性評価、技術文書、ログ、人間監督、データガバナンス等（Annex III型は2027年12月2日、Annex I型は2028年8月2日から） |
| 限定リスク | チャットボット、ディープフェイク、AI生成コンテンツ等 | 透明性義務（AI使用の開示等。Article 50＝2026年8月2日から） |
| 最小リスク | AIスパムフィルタ、ゲーム内AI等 | 任意（自主行動規範推奨） |
**ほとんどの日本企業で問題になるのは「高リスク」と「限定リスク」**です。チャットボットやAI生成コンテンツを外部向けに使っている企業には、2026年8月2日から Article 50 の透明性義務 が適用されています。一方、採用・人事評価AI、信用スコアリング、医療診断補助 を業務に組み込んでいる企業は、Annex III型なら2027年12月2日、Annex I型（製品組込み型）なら2028年8月2日 までに義務充足の準備が必要です。
なお、2026年8月2日より前に上市された合成コンテンツ生成AIのプロバイダーには経過措置があり、2026年12月2日までに Article 50(2) に適合すること（Article 111(4)）とされています。
ISO/IEC 42001 を経由した5ステップ実装ロードマップ
EU AI Act 本文だけを読んで実装しようとすると、抽象度が高くて手が動きません。現実解は、ISO/IEC 42001（AIマネジメントシステム、2023年12月公表）を骨格とし、EU AI Actの高リスク要件を上に乗せる アプローチです。
Step 1：AIシステム棚卸し（1〜2ヶ月）
社内で利用中・開発中のAIシステムをすべて洗い出します。
- 自社開発・SaaS利用・組み込み利用すべて
- 用途、利用部門、関与するデータ
- EU AI Actのリスク区分仮判定
成果物：AIシステム台帳（Excel可）
Step 2：高リスク・限定リスクの選別（2〜3週間）
棚卸しした各AIシステムを、EU AI Act Annex III（高リスク用途リスト）と照らし合わせて区分判定します。
特に注意：
- 採用・昇進・解雇に関わるAI → 高リスク
- 教育評価・受入判定AI → 高リスク
- 医療診断・治療判断補助AI → 高リスク
- 信用スコア・与信判定AI → 高リスク
Step 3：ISO/IEC 42001 AIMSの骨格構築（3〜6ヶ月）
ISO 42001 の主要要求事項を実装：
- AIガバナンス方針の策定（経営層承認）
- AIリスクアセスメント手順の文書化
- AI開発・運用ライフサイクルの定義
- インシデント管理プロセス
- 教育・リテラシーの計画
Step 4：高リスクAI個別の要件充足（3〜6ヶ月）
EU AI Act の高リスク要件（Chapter III, Section 2）を実装：
- リスク管理システム（Article 9）
- データガバナンス（Article 10）
- 技術文書の作成（Article 11、Annex IV）
- ログ保持（Article 12）
- 透明性と利用者への情報提供（Article 13）
- 人間監督（Article 14）
- 精度・堅牢性・セキュリティ（Article 15）
Step 5：適合性評価と継続運用（持続的）
- 高リスクAIシステムごとに適合性評価を実施（Article 43）
- CEマークの貼付（該当する場合）
- 重大インシデントの当局報告（Article 73）
- 監査ログの保持と定期レビュー
ISO 42001 認証取得まで踏み込めば、EU AI Actの「適切なAIマネジメント」の証跡として機能 します。これがPwC・EY・Deloitte が「ISO 42001 認証取得支援」を高額商品として売れている背景です。
経営層に必要な意思決定
EU AI Act 対応で、経営層が判断すべきポイントは次の通り：
- 対象範囲の確定：日本本社のAIで、EU域内に影響が及ぶものをすべて洗い出す
- 責任者の任命：CAIO（Chief AI Officer）またはCISO配下のAIガバナンスリードを明示
- 予算配分：ISO 42001 認証取得＋EU AI Act 適合まで含めると、中堅企業で年間3,000万〜1億円規模
- タイムライン宣言：透明性義務（Article 50）は2026年8月2日、高リスクAIの実体義務はAnnex III型が2027年12月2日・Annex I型が2028年8月2日。どの期日に合わせて何を仕上げるかを、リスク受容と合わせて決断
- コンプライアンス vs ビジネス：EU向けサービスの一部撤退・縮小も含めた経営判断
既存の高リスクAIについては経過措置があります。Article 111(2) は改正により、既に上市済みの高リスクAIは Chapter III の適用日以降に設計へ重大な変更（significant changes in their designs）を加えた場合にのみ 対象となる建て付けになりました。基準日は固定の2026年8月2日ではなく、Chapter III の適用日（2027年12月2日／2028年8月2日）に連動 します。
WARP SECURITYでの位置づけ
TIMEWELLの WARP SECURITY 経営層コースでは、EU AI Act の適用タイムライン、罰金構造、ISO 42001との関係を 「自社のAIシステム棚卸し」ワークショップ で実体験できます。
参加企業には、Step 1のAIシステム台帳テンプレートと、ISO 42001 簡易ロードマップ診断を受講特典として提供します。
改正法 Regulation (EU) 2026/1744 を踏まえた整理（2026年8月1日時点）
デジタル・オムニバスと呼ばれた改正案は、Regulation (EU) 2026/1744 として成立済みです。2026年7月8日に採択、官報 OJ L 2026/1744 への掲載が2026年7月24日、発効が2026年7月27日。この改正により、高リスクAIへの Chapter III Sections 1・2・3 の適用日は、Annex III型が2027年12月2日、Annex I型が2028年8月2日 に定められました。一方、Article 113第2段落の「It shall apply from 2 August 2026」は無改正で、一般適用日は2026年8月2日のままです。
2026年8月2日からは、汎用AI（GPAI）プロバイダーに対する欧州委員会の監督・執行権限（Article 101）が発効し、GPAI関連の違反には最大1,500万ユーロまたは全世界売上高の3%という制裁が科されます（本文Article 99の罰金体系とあわせて確認しておきたいところです）。出典: Regulatory framework on AI（European Commission）。
透明性義務（Chapter IV / Article 50）は Article 113第3段落のどの例外にも列挙されておらず、2026年8月2日適用のままです。2026/1744 が改正したのは Article 50(7)（実践規範）のみで、実体義務にあたる (1)〜(6) は変わっていません。2026年12月2日に起きるのは、新設の禁止行為の開始と、Article 111(4) による既存システムの経過措置期限の2点です。
国内でも歩調を合わせる動きがあり、AI事業者ガイドラインは2026年3月31日に第1.2版が公表されました（本文で触れたv1.2はこれにあたります）。出典: AI事業者ガイドライン第1.2版（経済産業省, 2026年3月31日）。自社が域外適用のどのパターンに該当するかは早めに整理しておきたく、企業内でのAIエージェント統制の観点は統制されたエンタープライズAIエージェントの記事もあわせてご覧ください。
まとめ
- 2026年8月2日 はEU AI Actの一般適用日。この日から 透明性義務（Article 50） と 欧州委員会のGPAI制裁金権限（Article 101） ほかが適用開始
- 高リスクAIの実体義務は Annex III型が2027年12月2日、Annex I型が2028年8月2日（改正法 Regulation (EU) 2026/1744 による）。「2026年8月に高リスクが完全適用」は誤り
- 日本企業も 3つのパターン で域外適用される。「うちは関係ない」は危険な誤解
- 罰金は 最大 €35M または売上 7%——GDPR を超える
- 現実解は ISO/IEC 42001 を骨格にした5ステップ——棚卸し、リスク選別、AIMS構築、高リスク要件充足、適合性評価
- 経営層の意思決定なしには間に合わない
EU AI Act は「先進的すぎる規制」と見られがちですが、米国 Executive Order や日本の AI事業者ガイドライン v1.2 も、同じ方向に向かって動いています。今やるか後でやるかの違いだけで、いずれやる必要があります。
