株式会社TIMEWELLの濱本 隆太です。EU AI Act（Regulation (EU) 2024/1689）は、2024年8月の発効から段階的に適用範囲を広げてきました。そして Article 113 の定める一般適用日である2026年8月2日が到来しました。
ここで最初に誤解を解いておきます。この日に「高リスクAI」まで完全適用されたわけではありません。 動き出したのは、Chapter IV の 透明性義務（Article 50）、Chapter III Section 5（Article 40〜49：整合規格・適合性評価・CEマーキング・登録の枠組み）、Chapter VI・Chapter VIII〜XI、そして 欧州委員会のGPAI制裁金権限（Article 101） などです。高リスクAIの実体義務は、改正法 Regulation (EU) 2026/1744（2026年7月8日採択、OJ L 2026/1744 として2026年7月24日掲載、2026年7月27日発効）が Chapter III の 第1節・第2節・第3節（Article 6(5) を除く） の適用日を動かしたことで、Annex III型（Article 6(2)）は2027年12月2日、Annex I型（Article 6(1)＝製品組込み型）は2028年8月2日 に整理されています。先送りされたのはこの3つの節だけで、同じChapter IIIでも第5節は8月2日から適用されている、という区切り方です。
ここで多くの担当者がつまずくのが、「EU AI Act は 製品安全規制 なのか、輸出管理規制 なのか」という根本的な問いです。結論から言うと、EU AI Act 自体は製品安全規制です。ただし、Annex III に列挙される高リスクAI 8分野は、輸出管理の世界で言う「サイバー監視アイテム」と実務上ほぼ重なります。そして高リスクAIを EU 域外（特に懸念国）へ再輸出する場合、別途 EU Dual-Use Regulation 2021/821 の輸出許可が必要になることがあります。
つまり、日本のAI企業は「AI製品としてEU域内市場に出すための適合性評価（AI Act）」と「EUから第三国へ送り出すための輸出許可（Dual-Use Reg）」を 二重で見る必要が出てきます。さらに米国 ECCN 4E091／GP10、日本の外為法キャッチオール改正も並行して動いており、四層構造の規制が同時にかかる状況です。
この記事では、輸出管理実務担当の方が「自社で何をいつまでに整理すべきか」を判断できるよう、4つの規制レイヤーの交点を整理します。
この記事でわかること
- EU AI Act の4リスク区分と、2026年8月2日に実際に適用が始まるもの／始まらないもの
- 高リスクAIの適用日（Annex III型＝2027年12月2日、Annex I型＝2028年8月2日）と改正法 2026/1744 の位置づけ
- Annex III 高リスクAI 8分野が EU Dual-Use Regulation の「サイバー監視アイテム」と重なる構造
- GPAI Model（汎用AIモデル）の systemic risk 義務と 10^25 FLOPs 閾値
- 米国 ECCN 4E091／GP10 ガイダンスと EU の対応関係（比較表付き）
- 日本企業が直面する3つの典型シナリオと、実務でやるべき5ステップ
まず用語を3つだけ理解する
EU AI Act と輸出管理が交わる議論は、用語の前提が共有されていないとすぐに迷子になります。ここでは最低限の3語だけ押さえてください。
EU AI Act — AIシステムの「製品安全規制」
正式名称は Regulation (EU) 2024/1689、通称 EU AI Act。2024年8月1日に発効し、リスク区分ごとに段階的に適用される 製品安全規制 です。
ここでのポイントは、EU AI Act は AIシステムを EU 域内市場に上市（market placement）する側に対する規制 だということです。「上市」とは EU 域内で初めて販売・利用に供すること を指す用語で、AI Act の適用判定はこの「上市」のタイミングが基準になります。輸出を直接止める法律ではありません。しかし、後述するとおり高リスクAIに分類されるシステムは、輸出管理上の「サイバー監視アイテム」と実質的に重なるため、結果として 輸出管理レーンでも引っかかる 構造になっています。
GPAI（General-Purpose AI Model）— 汎用AIモデル
訓練時に 10^23 FLOPs（10の23乗回の浮動小数点演算）超 を使い、テキスト・音声・画像・動画などを生成できるモデルを指します。GPT、Claude、Gemini、Llama、Mistral などはほぼ確実にこの枠に入ります。
GPAI には2025年8月2日から義務が課されており、訓練データの著作権サマリー公表、技術文書整備などが必要です。さらに後述する10^25 FLOPs 超のモデルは systemic risk GPAI として、より重い義務が乗ります。
systemic risk（システミックリスク）— 計算量で決まる「重い枠」
EU AI Act が独自に定めた概念で、訓練計算量が10^25 FLOPs を超えた GPAI はシステミックリスクを持つと推定されます（Article 51(2)：システミックリスク GPAI の定義条文）。閾値到達から2週間以内に欧州委員会へ通知する義務があり、red-teaming、重大インシデント報告（72時間以内）、モデル重みのサイバーセキュリティ確保などが求められます。
該当モデルの一覧や件数は欧州委員会が確定的に公表しているわけではないため、本記事では特定の数字を挙げません。日本企業が自社で大規模LLMを訓練する場合、この閾値は他人事ではない、という点だけ押さえておいてください。
EU AI Act の4リスク区分と制裁金
EU AI Act は AI システムを4つのリスクカテゴリに分け、それぞれに義務と適用日を割り当てています。輸出管理担当者が最初に押さえるべきは、自社が扱うAIがどの区分に入るのか という地図感覚です。
| リスク区分 | 該当例 | 適用日 | 主要義務 |
|---|---|---|---|
| Unacceptable Risk（禁止） | 社会的スコアリング、職場での感情推定（Article 5(1)(f)）、リアルタイム公共空間生体識別 | 2025年2月2日（Article 5） | 全面禁止 |
| High Risk（高リスク） | Annex III の8分野（Article 6(2)） | 2027年12月2日 | 適合性評価（後述）／技術文書／リスク管理／人的監督／deployer義務・FRIA |
| High Risk（高リスク） | Annex I の製品安全部品（Article 6(1)） | 2028年8月2日 | 同上 |
| Limited Risk（限定リスク） | チャットボット、ディープフェイク、生成AI出力 | 2026年8月2日（Article 50） | 透明性義務（AI生成である旨の表示・機械可読なマーキング等） |
| Minimal Risk（最小リスク） | スパムフィルタ、推薦エンジン | 規制対象外 | 任意の行動規範 |
段階適用スケジュール（Article 113、改正法 2026/1744 反映後）
Article 113 第2段落の「2026年8月2日から適用する」という一般適用日そのものは改正されていません。改正されたのは、そこから外れる段階適用の例外です。
| 日付 | 適用が始まるもの |
|---|---|
| 2025年2月2日 | Chapter I（総則・定義・Article 4 AIリテラシー）、Chapter II（Article 5 禁止AI行為） |
| 2025年8月2日 | Chapter III Section 4（通知機関）、Chapter V（GPAIモデル）、Chapter VII（ガバナンス）、Chapter XII（罰則 Article 99・100。ただし Article 101 を除く）、Article 78 |
| 2026年7月27日 | 改正法 Regulation (EU) 2026/1744 発効。あわせて AI Act の Article 102〜110（他法令改正条項）が適用開始 |
| 2026年8月2日（一般適用日） | Chapter IV（Article 50 透明性義務）、Chapter III Section 5（Article 40〜49：整合規格・適合性評価・CEマーキング・登録）、Chapter VI、Chapter VIII〜XI、Article 101（欧州委員会のGPAI制裁金権限） |
| 2026年12月2日 | 新設の禁止行為 Article 5(1)(ba)（同意なき性的ディープフェイク）・(bb)（CSAM生成）および Article 5(1a)(1b)。加えて新設 Article 111(4)＝2026年8月2日より前に上市済みの合成コンテンツ生成AIのプロバイダーは、この日までに Article 50(2) に適合すること |
| 2027年8月2日 | Article 111(3)＝2025年8月2日より前に上市されたGPAIモデルの適合期限 |
| 2027年12月2日 | Annex III型 高リスクAI（Article 6(2)） に Chapter III Sections 1・2・3 が適用。Article 22（EU代理人）、Article 25（バリューチェーン）、Article 26（deployer義務）、Article 27（FRIA）もここで発動 |
| 2028年8月2日 | Annex I型 高リスクAI（Article 6(1)＝製品組込み型） に同 Sections が適用 |
| 2030年8月2日／2030年12月31日 | Article 111(2)（公的機関による利用）／Article 111(1)（Annex X 大規模ITシステム） |
ここでよくある誤解を2つ潰しておきます。
- 「2026年8月2日に高リスクAIが完全適用される」は誤りです。 高リスクAIの実体義務は Annex III型が2027年12月2日、Annex I型が2028年8月2日です。2026年8月2日に始まるのは透明性義務（Article 50）と欧州委員会のGPAI制裁金権限（Article 101）などです。
- 「Article 50 の透明性義務が2026年12月2日へ前倒しされた／猶予が短縮された」も誤りです。 Chapter IV は Article 113 第3段落のどの例外にも列挙されておらず、Article 50 は2026年8月2日適用のまま です。2026/1744 が改正したのは Article 50(7)（実践規範）だけで、実体義務である (1)〜(6) は無改正です。2026年12月2日に起きるのは「新設の禁止行為の開始」と「Article 111(4) の既存システム経過措置期限」の2点です。
制裁金は最大「全世界年間売上の7%」
Article 99（制裁金の上限と算定基準を定める条文）が定める制裁金は、GDPR と比べてもさらに重い水準です。
- 禁止AI違反：最大 3,500万 EUR または 全世界年間売上の7%（高いほう）
- その他の義務違反：最大 1,500万 EUR または 3%
- 虚偽情報提供：最大 750万 EUR または 1%
「7%」という数字は、GDPRの4%を上回ります。EU市場で売上を立てている日本企業にとって、ここを軽く扱うのはかなり危険です。
Annex III 高リスクAI 8分野と輸出管理の交点
ここが本記事の中核です。EU AI Act の Annex III に列挙される8つの高リスク分野は、輸出管理の世界では EU Dual-Use Regulation 2021/821 の「サイバー監視アイテム」 と概念的にかなり重なります。
両者の関係を雑に図示すると、次のようになります。
- EU AI Act：EU 域内で「販売・利用」する高リスクAIに、適合性評価とCEマークを要求
- EU Dual-Use Reg：EUから第三国へ「輸出」するサイバー監視関連品目に、輸出許可を要求
つまり、同じAIシステムが EU 内では AI Act の網にかかり、EU から外へ出すときには Dual-Use Reg の網にかかる構造です。両方の網に同時にかかる典型例が、Annex III の以下の分野です。
| Annex III 分野 | 輸出管理上の重なり | 関連 Dual-Use エントリ／条文 |
|---|---|---|
| 1. バイオメトリクス（識別・分類・感情推定） | 顔認識・虹彩・声紋などのサイバー監視アイテム | Annex I 5A001.f / 5D001、Article 5 catch-all |
| 2. 重要インフラ（電力・水道・交通・デジタル基盤） | SCADA／ICS関連の制御ソフト | Annex I 4D・5D サイバー関連 |
| 3. 教育・職業訓練 | 該当少 | — |
| 4. 雇用・労働者管理 | 該当少 | — |
| 5. 必須サービス（信用評価、保険、生活保護） | 該当少 | — |
| 6. 法執行（予測ポリシング、ポリグラフ等） | 人権配慮対象のサイバー監視 | Article 5 catch-all |
| 7. 移民・国境管理（リスク評価AI、虚偽検知） | 同上 | Article 5 catch-all |
| 8. 司法・民主プロセス | 該当少 | — |
実務で覚えておくべきポイントは1つだけです。バイオメトリクス、重要インフラ、法執行、移民・国境管理の4分野でAIを扱っている場合、AI Act の高リスク要件と、Dual-Use Reg の Article 5 キャッチオールの両方を意識する必要があります。
Article 5：サイバー監視アイテムのキャッチオール
EU Dual-Use Regulation 2021/821 の Article 5（サイバー監視アイテムに関するキャッチオール条文）は、非リスト品目であっても、人権侵害・内部抑圧・国際人道法違反に使われると「知る、または合理的に疑える」場合は輸出ライセンスが必要 と定めています。AI単体は通常リストに載りませんが、他のサイバー監視技術と組み合わさったシステム全体がキャッチオール対象となり得る点に注意してください。
2024年10月15日には欧州委員会が デューデリジェンスガイドライン を公表しており、企業側にも一定の調査義務が事実上求められています。
該非判定の属人化を、AIで解消する。
経産省2024年度データによれば、外為法違反の52%は該非判定起因。TRAFEEDの機能・導入フローをまとめたサービスカタログを無料でダウンロードできます。
GPAI Model 義務とsystemic risk（10^25 FLOPs閾値）
ここからはGPAI寄りの話です。AI Act 全体の中でも、ここはとくに 大規模LLMを自社訓練する企業 に直撃します。
GPAI に共通する義務（2025年8月2日〜）
- 訓練データの著作権サマリー公表
- 技術文書の整備（モデルアーキテクチャ、訓練データ、能力評価等）
- 下流提供者への情報提供義務
- EU AI Office への協力義務
systemic risk GPAI の追加義務
10^25 FLOPs 超のモデルは、自動的にシステミックリスクを持つと推定され、追加で以下が乗ります。
- モデル評価：標準化プロトコルに基づく adversarial testing／red-teaming
- システミックリスクの評価と緩和
- 重大インシデント報告：AI Office に72時間以内
- サイバーセキュリティ確保：モデル重みの保護（外部流出防止）
- エネルギー消費の開示
- Safety and Security Framework の策定・更新
このうち 「モデル重みの保護」が、実は輸出管理と最も密接につながっています。後述の米国 ECCN 4E091 が「AIモデル重み」そのものを規制対象にしているため、EU の GPAI 義務と米国 EAR が実質的に同じ方向を向く構造になっています。
適用スケジュール
| 時期 | 内容 |
|---|---|
| 2025年8月2日 | GPAI 義務（Chapter V）の適用開始。あわせて罰則の Article 99・100 も適用開始（Article 101 は除く） |
| 2026年8月2日 | Article 101 が適用開始し、欧州委員会がGPAIプロバイダーに制裁金を科す権限が発効 |
| 2027年8月2日 | Article 111(3)＝2025年8月2日より前に上市されたGPAIモデルの適合期限 |
念のため補足すると、この2026年8月2日の Article 101 は GPAIプロバイダーに対する欧州委員会の監督・執行の話 であって、高リスクAIの実体義務とは別レーンです。ニュース記事などで「2026年8月に全面適用」と要約されることがありますが、高リスクAIまで含めて読むと誤ります。
Dual-Use Regulation 2021/821 と AI関連エントリ
ここからは輸出管理側の話に戻ります。EU の母法である Regulation (EU) 2021/821（Recast Dual-Use Regulation）は、軍民両用品目の輸出管理を統括する規制で、Annex I に管理品目リストが載っています。
AI に関連する主要エントリを抜き出すと、次のようになります。
| EU Dual-Use Annex I 番号 | 内容 |
|---|---|
| 5A001.f | 通信傍受・サイバー監視機器 |
| 5D001 | 上記用のソフトウェア |
| 4A005 / 4D004 | 侵入ソフトウェア（intrusion software） |
| 3A001.z / 4A090 | 先端コンピューティング集積回路（AI訓練用GPU等。2025年更新で追加検討） |
| 500シリーズ（2025年9月8日採択） | EU独自の新興技術エントリ（半導体製造装置、量子等） |
2025年9月8日に採択された Delegated Regulation 2025/2003 は、Annex I を全面差替えする大型改正で、半導体製造装置・量子コンピューティング・低温技術などにEU独自の「500シリーズ」を新設しました。AI訓練用GPUの一部は、ここから間接的に規制を受ける構造になっています。
500シリーズの詳細は別記事「EU Dual-Use Regulation 2025年改正（2025/2003）の完全解説」で扱っています。AI Act との同時対応を考える場合は、こちらも合わせて読むことをおすすめします。
米国 ECCN 4E091／GP10 ガイダンス との比較
EU AI Act と直接対応する米国側の枠組みは、商務省産業安全保障局（BIS）が定める ECCN 4E091 と GP10（General Prohibition 10） です。
ECCN 4E091：AIモデル重みを直接規制
2025年1月のAI Diffusion Rule で新設された ECCN 4E091 は、先端クローズドウェイトAIモデルの「モデル重み」そのもの を規制対象にしました。AIモデルを物理的な品目として捉え、輸出許可の対象にするという、世界でも初めての立法です。
その後、トランプ政権下で AI Diffusion Rule は撤回方針が示され、新ルールが策定中です。ただし、ECCN 4E091 の枠組み自体は維持される見通しで、「モデル重み＝規制対象品目」 という発想は今後の各国規制のベースになる可能性が高いです（詳細は「AI Diffusion Rule 撤回と代替ルールの動向」を参照）。
GP10：エンドユース・エンドユーザー確認の包括義務
GP10 は EAR 上の包括禁止条項で、規制対象品目のエンドユース／エンドユーザーが懸念に該当することを「知るか、知る理由がある」場合、許可なしの輸出を禁止 します。日本は低リスク目的地として原則無制限ですが、第三国経由の取引には注意が必要です。
EU と米国の比較
| 項目 | EU | 米国 |
|---|---|---|
| モデル重みの直接規制 | なし（GPAI 義務で間接的） | ECCN 4E091 で直接規制 |
| 域外適用 | 出力が EU で使用されれば適用 | 米国製ソフトの再輸出に EAR 適用 |
| エンドユース確認 | Article 5 catch-all で要求 | GP10 で全品目に要求 |
| 罰則 | 最大 3,500万 EUR ／全世界売上7% | 最大 100万 USD/件 ＋ 刑事罰 |
| 規制の性格 | 製品安全＋人権ベース | 国家安全保障ベース |
EU は 「製品安全と人権」、米国は 「国家安全保障」 という、根本の哲学が違います。日本企業が両方に対応する場合、それぞれの「なぜ」を理解しておくと、社内説明や審査対応で迷いが少なくなります。
日本企業への3つの影響
ここまで読んできて、「結局うちの会社にどう関係するのか」と感じている方も多いと思います。実務でよく問題になる3つのシナリオを整理します。
影響1：日本のAI製品をEU向けに販売する
日本のAIベンダーが欧州の銀行に信用評価AIを提供する、というケースを考えてみます。信用評価AIは Annex III の「必須サービス」に該当するため、高リスクAIです。
| 必要な対応 | 適用日 |
|---|---|
| EU 代理人の指名（Article 22） | 2027年12月2日 |
| 適合性評価（conformity assessment：技術文書・リスク管理・テスト結果が AI Act の高リスク要件を満たすかを審査する手続き。第三者機関または自己評価のいずれか） | 同上（枠組みを定める Chapter III Section 5＝Article 40〜49 自体は2026年8月2日から適用） |
| CE マークの貼付・EU データベースへの登録 | 同上（同じく Article 40〜49 の枠組みは2026年8月2日から） |
| 技術文書の整備、リスク管理システム構築 | 2027年12月2日 |
| 人的監督の仕組み、サイバーセキュリティ対策 | 同上 |
| deployer 義務（Article 26）、基本権影響評価＝FRIA（Article 27） | 同上 |
| 生成AI出力の表示など透明性義務（Article 50） | 2026年8月2日 |
Annex I型（製品組込み型、Article 6(1)）に該当する場合は、上記のうち Chapter III Sections 1・2・3 の適用日が2028年8月2日になります。
準備には最低でも6ヶ月から1年を要するのが実務感覚です。Annex III型の適用日が2027年12月2日であることを踏まえ、逆算した社内スケジュールを引いておく ことをおすすめします。
影響2：外為法キャッチオール改正との並行対応
2025年10月9日に日本の外為法キャッチオール規制が改正され、半導体・工作機械等が「コア品目」として指定されました。これに加えて、2026年2月14日には防衛装備品の保守用部品の一括許可制度が導入されています。
EU から AI 訓練用 GPU を購入し、シンガポール経由で中国の取引先に出荷するようなケースでは、
- EU 側：Dual-Use Annex I の半導体エントリでEU輸出許可が必要
- 米国側：原産国が米国なら EAR 再輸出規制（EAR99 でも GP10 適用の可能性）
- 日本側：外為法キャッチオール、シンガポール経由でも実質的に中国向けと判断されれば許可が必要
という 三層チェックが同時に必要 になります。AI Act が間接的に絡むのは、GPAI 義務がモデル重みの保護を要求し、それが「重みをいつ・誰に渡すか」というガバナンスにつながるためです（関連記事「EAR、中国、EU 三つの輸出規制が同時に効く構造」も参照）。
影響3：Article 2 軍事除外の境界線の曖昧さ
EU AI Act Article 2(3)（AI Act の適用範囲から軍事・防衛目的を除外する条文）は 軍事・防衛・国家安全保障目的のAI を適用除外と定めています。一見クリアに見えますが、実務では境界線がかなり曖昧です。
- 軍事用に開発されたAIが民生用途に転用された場合 → AI Act 適用
- 民生用に市場投入されたAIが軍事に転用された場合 → AI Act 適用外
- デュアルユース品目（民生・軍事両用）は 実質的に AI Act の規制下 に入る
つまり、日本企業が「軍事専用なので関係ない」と判断するのは危険です。多くのAIシステムは、開発時点では民生用に位置づけられているからです（関連記事「二重用途技術と軍事転用リスクの実務」も参照）。
実務でやるべき5ステップ
ここまでの内容を踏まえて、輸出管理担当としてすぐ動かせる実務ステップを整理します。
ステップ1：自社AIの分類マップを作る
社内のAIシステム／製品を棚卸しし、「Annex III 8分野のどれに該当しうるか」「GPAI／systemic risk GPAI に該当しうるか」を1枚の表にまとめます。判断に迷うグレーゾーンは、その旨を明示して残す ことが重要です。
ステップ2：EU市場アクセス計画の見直し
EU向け売上が立っている／立てる計画がある製品については、生成AI出力の表示など Article 50 の透明性義務は2026年8月2日から、高リスク該当の場合の適合性評価・CEマーク・EUデータベース登録は Annex III型なら2027年12月2日、Annex I型なら2028年8月2日を起点に逆算します。間に合わない場合は、上市時期の見直しか、用途限定（高リスク該当を外す）の検討が必要です。
ステップ3：訓練計算量（FLOPs）の記録体制を作る
自社で大規模モデルを訓練している場合、訓練時の総 FLOPs を継続的に記録・報告できる体制 が必須です。10^25 閾値に到達する見込みが立った時点で、2週間以内の欧州委員会通知義務が発動します。
ステップ4：4層規制の同時チェック手順を定める
EU AI Act × EU Dual-Use Reg × 米国 EAR × 日本外為法を 同時に確認する社内手順 を作ります。担当部門が縦割りだと漏れが必ず出るので、横串の責任者を1人決めることをおすすめします。
ステップ5：人権デューデリジェンスの仕組み化
Article 5 キャッチオールは「合理的に疑える」と判断された時点で発動します。最終ユーザーの用途確認、人権リスクの初期スクリーニング、記録保存の仕組みを定型化しておきましょう。
TRAFEED でできること
ここまで読んで「4層の規制を毎日チェックするのは現実的に無理だ」と感じた方は、ぜひ TRAFEED（旧 ZEROCK ExCHECK）をご検討ください。TRAFEED は 世界初の輸出管理AIエージェント で、以下のような確認を自動化します。
- 取引先・最終ユーザーが Entity List／MEU List／SDN List／日本の外国ユーザーリストに該当するか
- 取扱品目が EU Annex I・500シリーズ／米国 ECCN／日本の貨物等省令のどこに引っかかるか
- 用途が Annex III 高リスクAI 8分野や Article 5 キャッチオールに該当する蓋然性
- 経産省ガイドライン・METI 通達との整合性
中立的なツールとして、法令解釈の最終判断は必ず人間（社内担当者・弁護士・通関士）が行う前提 で設計されています。あくまで「気づき漏れを減らす」「審査時間を短縮する」「証跡を残す」ことに価値を置いた製品です。
EU AI Act 対応で社内リソースが逼迫する2026年だからこそ、輸出管理側の手間を減らす意義は大きいはずです。
導入企業の声
導入企業の一例として、ある商社では EU AI Act × Dual-Use Reg × 米国 EAR × 外為法の4層チェックに従来1案件あたり平均3日かかっていたものが、TRAFEED 導入後は最短2時間まで短縮 されたという声をいただいています。輸出管理担当が1〜2名しかいない体制でも、AI Act 対応の繁忙期を乗り切るインフラとして機能します。
よくある質問（FAQ）
Q1. 日本のSaaS型AIサービスがEUの顧客に提供されている場合、AI Act の対象になりますか？
A. はい。Article 2 の域外適用条項により、出力がEU内で使用される場合は提供者がAI Actの対象 になります。生成AI・チャットボットとしての透明性義務（Article 50）は2026年8月2日から。高リスク用途に該当する場合の適合性評価・EU代理人指名（Article 22）等は、Annex III型なら2027年12月2日、Annex I型なら2028年8月2日が適用日です。
Q2. 自社で開発した LLM の訓練 FLOPs が 10^25 を超えているか不明です。どうすべきですか？
A. 訓練時の総計算量を計算して記録してください。閾値到達が合理的に予見できる時点で2週間以内に欧州委員会へ通知義務 が発生します（Article 52：systemic risk GPAI の通知義務を定める条文）。社内の AI Office 窓口（多くは法務・コンプラ部門）を一本化しておくと、いざ通知が必要になった際にスムーズです。
Q3. AI Actの「高リスク」と Dual-Use Reg の「サイバー監視」は同じものですか？
A. 重なりますが同一ではありません。AI Act は EU 域内市場での販売・利用に関する製品安全規制、Dual-Use Reg は EU から第三国への輸出許可規制です。たとえば EU 市場で販売する顔認識システムは、AI Act の高リスク規制（CEマーク等）を受けつつ、EU から第三国へ輸出する際には Dual-Use Reg の許可も必要になります。
Q4. 軍事用AIなら AI Act の適用外ですか？
A. 軍事専用なら適用外（Article 2(3)）ですが、デュアルユースで市場投入される場合は対象です。「軍事専用」の境界線は実務上かなり曖昧なので、多くのAIシステムはデュアルユース判定される可能性が高い と考えるのが安全です。
Q5. EU 子会社経由でAI関連品目を日本から第三国に再輸出する場合、何を見ればよいですか？
A. EU 子会社が「輸出者」に該当する場合、Dual-Use Reg 2021/821 に基づく許可の主体は EU 子会社になります。日本本社は外為法上の役務取引許可（技術提供）と、グループガバナンス上の責任を負います。EU 子会社の現地法務と日本本社の輸出管理部門の連携が不可欠 です。
AI Act 改正（Regulation (EU) 2026/1744）の要点
いわゆる Digital Omnibus による AI Act 改正は、すでに 法令として成立しています。Regulation (EU) 2026/1744 が2026年7月8日に採択され、OJ L 2026/1744 として2026年7月24日に掲載、2026年7月27日に発効しました。「暫定的な政治合意にとどまる」「正式採択は今後」という説明は、この時点で古い情報です。
実務上の要点は次の3つです。
- 一般適用日は動いていない。 Article 113 第2段落の「2026年8月2日から適用する」は無改正です。
- 高リスクAIの適用日が後ろにずれた。 Annex III型（Article 6(2)）は2027年12月2日、Annex I型（Article 6(1)）は2028年8月2日。あわせて Article 22・25・26・27 もこのタイミングで発動します。
- 既存上市品の経過措置の基準日が「Chapter III の適用日連動」に変わった。 改正後の Article 111(2) では、高リスクAIの既存上市品は「Chapter III の適用日以降に設計に重大な変更（significant changes in their designs）を加えた場合にのみ」対象になります。基準日は固定の2026年8月2日ではなく、2027年12月2日／2028年8月2日に連動する形です。
加えて、2026年12月2日には新設の禁止行為（Article 5(1)(ba)・(bb)、Article 5(1a)(1b)）が始まり、同じ日が Article 111(4) の期限にもなります。2026年8月2日より前に上市済みの合成コンテンツ生成AIのプロバイダーは、この日までに Article 50(2) に適合する必要があります。Article 50 本体の適用日が前倒しされたわけではない 点に注意してください。
国際的な枠組みの動き
本記事で整理した「EU・米国・日本の複数レイヤーが同時にかかる」構造は、2026年7月時点でも強まる方向にあります。2026年7月2日の第16回日印年次首脳会談では、半導体・重要鉱物（レアアース）・クリーンエネルギー・ICT（海底ケーブル）・医薬品の5分野で経済安全保障協力に関する共同宣言が出され、約2兆円規模の投資が示されました（日印首脳会談 共同記者発表（首相官邸, 2026年7月））。AIや先端半導体を含むサプライチェーンが安全保障の文脈で再編されつつあり、輸出管理の実務でも「どの国と組み、どの品目をどこへ流すか」の判断は一段と複雑になっています。AI Act の適用日程は上記のとおり Regulation (EU) 2026/1744 で整理されており、そのうえでこうした国際的な枠組みの動きも併せて追う必要がある、というのが筆者の見立てです。詳細は日印首脳会談2026と経済安全保障で扱っています。
輸出管理の実務改善や該非判定の効率化に関心がある方は、TRAFEEDサービスカタログ（PDF）で機能概要を確認するか、お問い合わせからご連絡ください。
まとめ
EU AI Act と EU Dual-Use Regulation は別々の規制ですが、実務上は 同じ目線で見ないと取り残される構造 になります。本記事のポイントを整理すると、次のようになります。
- 2026年8月2日は 一般適用日。この日に始まるのは Article 50 の透明性義務、Article 40〜49 の適合性評価・CEマーキング・登録の枠組み、Article 101（欧州委員会のGPAI制裁金権限）など
- 高リスクAIの実体義務は Annex III型が2027年12月2日、Annex I型が2028年8月2日（Regulation (EU) 2026/1744 による整理）
- 制裁金は禁止行為違反で最大 3,500万 EUR または 全世界年間売上の7%
- Annex III 高リスクAI 8分野は EU Dual-Use Reg のサイバー監視アイテムと 実務上ほぼ重なる
- GPAI は10^23 FLOPs超、systemic risk GPAI は10^25 FLOPs超
- 米国 ECCN 4E091／GP10、日本の外為法キャッチオール改正と合わせて 四層の規制が同時にかかる
- 日本企業の典型シナリオは「EU向け高リスクAI提供」「第三国再輸出」「軍事除外の曖昧さ」の3つ
- 実務は 棚卸し→市場アクセス計画→FLOPs記録→4層チェック手順→人権DD の5ステップで進める
EU AI Act の一般適用日は2026年8月2日、高リスクAIの実体義務は2027年12月2日（Annex III型）と2028年8月2日（Annex I型）です。「うちは軍事品目を扱っていないから関係ない」「AIは輸出していないから関係ない」という判断は、今後通用しなくなる可能性が高いです。グレーゾーンを残したまま走るより、まずは 自社のAIマップを1枚作る ところから始めてみてください。
関連記事
- EU Dual-Use Regulation 2025年改正（2025/2003）の完全解説
- AI Diffusion Rule 撤回と代替ルールの動向
- EAR、中国、EU 三つの輸出規制が同時に効く構造
- 二重用途技術と軍事転用リスクの実務
- 2026年の輸出管理の変更点まとめ
TRAFEED のご紹介
TRAFEED（旧 ZEROCK ExCHECK）は、輸出管理担当者の「気づき漏れ」を減らすための AI エージェントです。EU AI Act・EU Dual-Use Regulation・米国 EAR・日本の外為法を横断して、取引先と品目、用途のリスクを統合的にチェックできます。EU AI Act 対応で工数が逼迫する2026年こそ、輸出管理側の負担を減らすご検討の好機です。
輸出管理実務担当の方が「次の一歩」を踏み出しやすいよう、以下の3つの入り口を用意しています。
- 30分のオンライン相談（無料）：自社AI製品が Annex III 8分野や systemic risk GPAI に該当しうるか、TRAFEED の活用イメージをセットで確認できます
- AI Act 簡易該当性チェック（無料）：貴社の主要AI製品を Annex III 8分野・GPAI 閾値・Article 5 キャッチオールに当てはめた1枚レポートをお渡しします
- 製品デモ：4層規制チェック（EU AI Act・Dual-Use・米国 EAR・外為法）の実際のUIをご覧いただけます
詳細・お申し込みは TRAFEED 製品ページ からお願いいたします。
参考文献
- Regulation (EU) 2024/1689（AI Act 本文）
- Regulation (EU) 2026/1744（AI Act 改正法。2026年7月8日採択、OJ L 2026/1744 として2026年7月24日掲載、2026年7月27日発効）
- AI Act Service Desk - 欧州委員会公式
- Annex III: High-Risk AI Systems
- Article 99: Penalties
- Regulation (EU) 2021/821（Dual-Use Regulation）
- Guidelines on Cyber-Surveillance Items（2024年10月）
- 2025 Update of EU Dual-Use Control List
- Guidelines for GPAI Providers（2025年7月）
- Framework for Artificial Intelligence Diffusion - Federal Register
- METI - Trade Control
- CISTEC - Overview of Japanese Export Control Legal Framework
- Anderson Mori & Tomotsune - Major Changes to Catch-All Export Controls
- Akin - EU Updates Dual-Use Export Control List
- SIPRI - EU Catch-All Control on Cyber-Surveillance Exports
- WilmerHale - European Commission Issues Guidelines for GPAI Providers
