株式会社TIMEWELLの濱本 隆太です。
「EU AI Actは2026年8月2日に完全施行——なんとなくそう聞いていた経営層が、いま大混乱しています」。ある大手製造業の法務担当役員から、ほぼそのままの言葉でメッセージが届きました。
この理解は、正確ではありません。改正法 Digital Omnibus on AI（Regulation (EU) 2026/1744） は2026年7月8日に採択され、OJ（EU官報）に2026年7月24日付で掲載、2026年7月27日に発効しました。この改正により、最も影響の大きい高リスクAI義務の適用日は 2027年12月2日（Annex III型）／2028年8月2日（Annex I型） に移りました。
一方で第113条第2段落の「2026年8月2日から適用する」という一般適用日そのものは無改正のまま残りました。そしてその日が到来しています。2026年8月2日は「何も起きない日」でも「全部が始まる日」でもなく、始まるものと始まらないものがはっきり分かれた日 でした。ここを読み違えると、日本企業の対応は確実にずれます。
改正で先送りされたのは Chapter III の第1節・第2節・第3節（Article 6(5) を除く）だけです。同じChapter IIIでも第5節（Article 40〜49の整合規格・適合性評価・CEマーキング・登録）は対象外で、8月2日から動いています。この「節」の単位で切られている点が、混乱の元になっています。
適用が始まったいま、確定スケジュールと着手すべき具体タスクを整理します。
要約
- Digital Omnibusは Regulation (EU) 2026/1744 として成立済み（2026年7月8日採択／OJ掲載2026年7月24日／2026年7月27日発効）。Annex III型高リスクAIは 2027年12月2日、Annex I型は 2028年8月2日 から
- 2026年8月2日に始まるのは、第IV章（第50条＝透明性義務）、第III章第5節（整合規格・適合性評価・CEマーキング・登録）、第VI章、第VIII〜XI章、そして欧州委員会のGPAI制裁金権限（第101条） であり、高リスクAIの実体義務ではない
- GPAIモデル提供者の義務と罰則規定（第99条・第100条）は 2025年8月2日から適用済み。禁止AI行為（第5条）とAIリテラシー（第4条）は 2025年2月2日から適用済み
- 高リスクAIの適用日が後ろ倒しになったのは 整合規格とガイダンスの整備が追いついていない 結果であり、準備時間が増えたわけではない
- 日本企業がまず着手すべきは (1)域外適用スコープ判定、(2)Authorised Representative指名、(3)ISO/IEC 42001を共通基盤にした社内ガバナンス の3点
Digital Omnibus（Regulation (EU) 2026/1744）で何が変わったのか
正直に言うと、私はこの改正を「業界の駆け込み妥協」だと見ています。当初は2026年8月2日にAnnex III型高リスクAIへの義務が発動する設計でしたが、整合規格（CEN/CENELEC JTC 21）のドラフトが2026年第2四半期になってもまだ確定せず、ガイダンスも未整備という状態で、実務的に「義務を課せるが何をすれば準拠かわからない」状態に陥っていました。
第113条の主要な変更点を整理すると次の通りです。
| 対象 | 旧スケジュール | 改正後 |
|---|---|---|
| Annex III型（独立型）高リスクAI＝第6条2項 | 2026年8月2日 | 2027年12月2日（第III章第1〜3節、第22条・第25条・第26条・第27条） |
| Annex I型（製品組込み型）高リスクAI＝第6条1項 | 2027年8月2日 | 2028年8月2日 |
| 一般適用日（第113条第2段落） | 2026年8月2日 | 2026年8月2日（無改正） |
| 第IV章（第50条＝透明性義務） | 2026年8月2日 | 2026年8月2日（据え置き） |
| 第101条（欧州委員会のGPAI制裁金権限） | — | 2026年8月2日に適用開始 |
| 新設禁止行為（第5条1項(ba)＝同意なき性的ディープフェイク、(bb)＝CSAM生成、第5条1a・1b項） | 新設 | 2026年12月2日に適用開始 |
| 新設 第111条4項（2026年8月2日より前に上市済みの合成コンテンツ生成AIの提供者） | 新設 | 2026年12月2日までに第50条2項に適合 |
| 高リスクAIの既存上市品の経過措置（第111条2項） | 固定日基準 | 第III章の適用日以降に設計へ重大な変更を加えた場合のみ対象 |
2026年4月28日のトリローグ決裂は「適用日の後ろ倒しそのもの」が争点ではなく、Annex I型の適合性評価アーキテクチャ、つまり医療機器規則・機械規則などの業種別法令との二重認証回避が論点でした。Bird & Birdが「合意は最も目立つ高リスクAIの適用日変更ではなく、適合性評価の組織設計を巡るものだった」と指摘しているとおり、業界の負担削減交渉だったわけです1。
なお、この改正は既に発効しており、「正式採択待ち」の状態ではありません。改正法自体の発効日である2026年7月27日には、AI Actの第102〜110条（他法令の改正条項）も適用開始になっています。
AIセキュリティ研修を、本気で
OWASP・NIST・ISO 42001・経産省ガイドライン全準拠の2日間集中講座。経営層と現場で分けて受講できます。
「後ろ倒しにならなかったもの」こそが本丸
多くの日本企業経営層が読み違えるのが、ここです。適用日が後ろに動いたのは高リスクAIの実体義務であって、次の5点はそのままです。
第一に、禁止AI行為とAIリテラシー。第I章（総則・定義・第4条AIリテラシー）と第II章（第5条＝禁止AI行為）は 2025年2月2日から適用済み です。職場での感情推定AI（第5条1項(f)）はすでに禁止されており、しかも制裁金は最上位の全世界売上7%が適用される区分です。「まだ先の話」と思っていた企業が、実は2025年2月2日以降ずっと義務下にある、という構図です。
第二に、GPAI（汎用AI）モデル提供者の義務。第V章は2025年8月2日適用済で、技術文書整備、訓練データの十分詳細な要約公開、EU著作権法準拠ポリシーが既に義務化されています。「システミックリスクGPAI」に区分されると、敵対的テスト・インシデント報告・サイバーセキュリティ・エネルギー消費追跡が上乗せされます。
第三に、罰則。第XII章のうち第99条・第100条は 2025年8月2日から適用済み です。ここで注意が要るのは、同じ第XII章でも 第101条（欧州委員会がGPAIプロバイダーに制裁金を科す権限）だけは除外されており、2026年8月2日から適用 される点。「罰則は全部2025年から」でも「執行は全部2026年8月から」でもなく、条文単位で分かれています。
第四に、第50条の透明性義務。AI生成コンテンツの機械可読マーキングなどを定める第IV章は、改正後の第113条第3段落のどの例外にも列挙されていません。つまり 2026年8月2日の一般適用日どおり です。Digital Omnibusが第50条について変えたのは第7項（実践規範に関する規定）で、実体義務である第1〜6項は無改正のまま残りました。ここは「前倒しされた」と説明されることがありますが、正しくは据え置きです。
第五に、2026年12月2日に発動する2点。新設された禁止行為（第5条1項(ba)＝同意なき性的ディープフェイク、(bb)＝CSAM生成、および第5条1a・1b項）と、新設の第111条4項——2026年8月2日より前に上市済みの合成コンテンツ生成AIの提供者が、この日までに第50条2項へ適合すること——の2つです。逆に言えば、12月2日に第50条そのものが始まるわけではありません。
つまりEU AI Actは、条文ごとに適用日がずれた状態で走っています。「8月2日に全部が始まる」と読むのも、「高リスクが2027年に動いたから当面やることはない」と読むのも、どちらも実務を外します。
日本企業に効く3パターン — 自己診断の出発点
EU AI Actの第2条は、域外適用の根拠を明確に定めています。日本企業が引っかかるのは次の3パターンです。
パターン1：EU市場への直接製品提供。自動車メーカーが運転支援AI搭載車両をEUで販売する、医療機器企業がAI診断補助ソフトウェアをCEマーキング付きで提供する——いずれもAnnex Iの製品組込み型高リスクAIです。CMSの域外適用ガイドが「日本の自動車メーカーがEUを含むグローバル市場でAI支援ブレーキ搭載車を販売する場合、EU AI Actの適用対象となる」と明示しているとおり、日本に本社があっても関係ありません2。
パターン2：出力がEUで使われるSaaS／API提供。日本企業が採用スクリーニングAIをEU域内のクライアント企業に提供する場合、Annex III（雇用カテゴリー）に該当します。与信スコアリングAI、教育評価AIも同様です。「EU子会社が日本本社のAIを使う」場合も、出力がEUで生成・利用されればこのパターンに入ります。
パターン3：EU子会社・支店でのAI利用（Deployer責任）。日本親会社が開発したHR AIをEU現地法人が従業員評価に使う場合、第26条のDeployer義務として基本権影響評価（FRIA）、ログ保管、人間による監督担当者の任命が課されます。
3パターンすべてに共通するのが、第22条の EU域内Authorised Representative指名義務 です。書面委任が必要で、域外提供者にとっては実質的なEU窓口となります。私が見てきた範囲では、これを「準備物」として認識していない日本企業がまだ過半数です。
ISO/IEC 42001を共通基盤にする戦略
ここからが実装の話です。高リスクAIの適用日が2027年12月2日／2028年8月2日に定まった今、最も合理的なのは ISO/IEC 42001（AIMS）を社内AIガバナンスの共通基盤として導入する ことだと考えています。
ISO/IEC 42001は2023年12月に発行された世界初のAIマネジメントシステム規格です。EU AI Actの高リスク要件との「カバー率」を数値で示すベンダー資料が出回っていますが、公式な対応表は存在しないため、本記事では数値化しません。条文レベルで実務的に重なる部分を挙げると次の通りです。
| EU AI Act 条文 | ISO/IEC 42001 該当箇所 |
|---|---|
| 第9条（リスク管理システム） | Clause 6.1 |
| 第10条（データガバナンス） | Annex A.7, A.8 |
| 第11条（技術文書） | Clause 7.5 |
| 第12条（自動ログ記録） | Annex A.6 |
| 第13条（透明性・情報提供） | Annex A.4, A.9 |
| 第14条（人間による監督） | Annex A.5 |
| 第15条（精度・頑健性） | Annex A.7, A.10 |
| 第17条（品質管理システム） | Clause 8 |
ただし、ISO/IEC 42001をいくら積み上げても埋まらない EU固有のギャップ が残ります。
- 基本権影響評価（FRIA, 第27条）：ISO 42001に対応概念がない
- 適合性評価（Notified Body）：高リスクAIの一部で第三者認証が必要
- EUデータベース登録：EU固有
- Authorised Representative指名：EU固有
- CEマーキング統合：製品組込み型のみ
私はこの構造を「ISO 42001を背骨にして、EU固有要件は装具のように上乗せする」と表現しています。日本企業がEUだけでなく米国（NIST AI RMF）・日本（AI事業者ガイドライン）・アジア（韓国AI基本法、シンガポールAI Verify）まで横断対応する場合、ISO 42001を共通言語にしておくと、各市場への上乗せが圧倒的に楽になります。
逆に「EU AI Actだけ対応する」というアプローチで個別実装すると、後で必ず後悔します。
2026-2028 ロードマップ
確定した適用日から逆算すると、私ならこう組みます。
- 2026年8月2日まで：域外適用スコープ判定（3パターンのどれに該当するか）、Authorised Representative候補選定、社内AIインベントリ作成、第50条（透明性義務）の実装確認
- 2026年8月2日：一般適用日。第IV章（第50条）、第III章第5節（整合規格・適合性評価・CEマーキング・登録）、第VI章、第VIII〜XI章、第101条が適用開始
- 2026年12月2日：新設禁止行為（同意なき性的ディープフェイク・CSAM生成）が適用開始。あわせて、2026年8月2日より前に上市済みの合成コンテンツ生成AIは第111条4項によりこの日までに第50条2項へ適合
- 2027年前半：ISO/IEC 42001認証取得プロセス（一般的に6〜12か月）
- 2027年8月2日：第111条3項——2025年8月2日より前に上市されたGPAIモデルの適合期限
- 2027年後半：Annex III型の適用日に向けたFRIA実施、適合性評価準備、技術文書整備、EUデータベース登録
- 2027年12月2日：Annex III型高リスクAI（第6条2項）に第III章第1〜3節が適用。第22条・第25条・第26条・第27条も同日発動
- 2028年8月2日：Annex I型（製品組込み型、第6条1項）高リスクAIに同適用
- 2030年8月2日／2030年12月31日：第111条2項（公的機関による利用）／第111条1項（Annex Xの大規模ITシステム）
このスケジュールで動くと、2027年12月の適用日直前にFRIAやNotified Body認証で慌てる事態は避けられます。逆に「2027年中盤に動き始めればよい」と判断すると、認証機関のキャパが詰まって取れない、というシナリオが現実味を帯びます。
なお高リスクAIの既存上市品については、第111条2項が改正され、第III章の適用日以降に設計へ重大な変更（significant changes in their designs）を加えた場合にのみ 対象になる形へ変わりました。基準日は固定の2026年8月2日ではなく、第III章の適用日（2027年12月2日／2028年8月2日）に連動します。既存製品の改修計画を立てる際は、この連動を前提に置いてください。
合わせて読みたい既存記事として、2026年8月2日時点での実装ステップは EU AI Act 2026年8月の適用開始と5ステップ で詳述しています。本記事と併読すると、戦略レベル（本記事）と実装レベル（5ステップ記事）の両面が揃います。
WARP SECURITYでの位置づけ
TIMEWELLの WARP SECURITY は、本記事で扱ったEU AI Act・Digital Omnibus・ISO/IEC 42001クロスウォーク・GPAI Code of Practiceを、OWASP LLM Top 10／NIST AI RMF／経産省AI事業者ガイドラインと並べて2日間で習得する、経営層と現場の階層別カリキュラムです。
経営層コースでは、「2027年12月2日のAnnex III型適用日までをどう使うか」「Authorised Representativeをどう選ぶか」「FRIAの責任分界を誰が持つか」を意思決定演習として扱います。
現場コースでは、ISO/IEC 42001のAnnex Aコントロール38項目をEU AI Act条文に紐づけて、自社AIシステムのギャップ分析を実演習として実施します。RAG構成のログ保管設計、機械可読マーキング実装（第50条）まで踏み込みます。
5つの疑似インシデント演習のうち1つは「EU AI Office から GPAI 文書要求が届いた場合の初動72時間」を扱い、法務・情シス・広報・経営の責任分界を同じ部屋で議論します。読んだだけでは身につかない論点を、ロールプレイで体感できる設計です。
「一般適用日」という言葉の正しい使い方
本記事の公開後、改正法の成立を受けて内容を更新しました。2026年8月2日は第113条第2段落が定める 一般適用日 であって、「全面適用」でも「完全施行」でもありません。この日から欧州委員会は汎用AI（GPAI）プロバイダーに対する監督・執行権限（第101条）を行使できるようになり、GPAI関連の制裁金は最大1,500万ユーロまたは全世界売上高の3%（いずれか高い方）です（Regulatory framework on AI（European Commission））。
一方で、高リスクAIの実体義務がこの日に始まるわけではない——ここを混ぜて説明している資料が国内外に少なくありません。社内説明資料をつくるときは、「2026年8月2日に始まるもの」「2026年12月2日に始まるもの」「2027年12月2日／2028年8月2日に始まるもの」を分けて書くことをおすすめします。
なお日本国内でも、AI学習目的のデータ利活用を含む個人情報保護法の2026年改正が並行して動いており、EUと国内の両にらみで体制を組む必要性は増しています。
まとめ
- Digital Omnibusは Regulation (EU) 2026/1744 として成立済み。高リスクAIはAnnex III型が2027年12月2日、Annex I型が2028年8月2日から
- 2026年8月2日に始まるのは第IV章（第50条＝透明性義務）、第III章第5節、第VI章、第VIII〜XI章、第101条であって、高リスクAIの実体義務ではない
- 第50条は「2026年12月2日へ前倒し」ではなく 2026年8月2日で据え置き。12月2日に起きるのは新設禁止行為の開始と、第111条4項による既存システムの適合期限の2点
- 禁止AI行為（第5条）は2025年2月2日から、GPAI義務と罰則（第99条・第100条）は2025年8月2日から、それぞれ適用済み
- 日本企業が着手すべきは、域外適用スコープ判定／Authorised Representative指名／ISO/IEC 42001ギャップ分析の3点
EU AI Actを「規制」として身構えるか、「自社AIガバナンスを国際標準に揃える契機」として捉えるか。2028年以降の競争力は、ここで分岐します。適用日が後ろに動いたことを「猶予」と読んだ企業と、「整合規格が固まる前に動ける最後の窓」と読んだ企業の差は、3年後にきっと埋まりません。
参考文献
- Regulation (EU) 2024/1689（AI Act）第113条（適用日）および第111条（経過措置）— 条文原文
- Regulation (EU) 2026/1744（Digital Omnibus on AI 改正法）— 2026年7月8日採択、OJ L 2026/1744（2026年7月24日掲載）、2026年7月27日発効
- Regulatory framework on AI - European Commission
- AI Act Service Desk - Implementation Timeline
- AI Act Omnibus: What Just Happened and What Comes Next - IAPP
- GPAI Code of Practice - Final Version
