EU AI Actとは何か — 欧州に輸出する企業が最初に確認すべきこと

株式会社TIMEWELLの濱本 隆太です。EU AI Actの一般適用日は2026年8月2日。この記事は2026年8月1日時点の条文と官報にもとづいて書いています。輸出管理のご担当者から「うちもEU AI Actの対象なんですよね？」というご相談が、ここにきて急に増えました。

最初にいちばん大事なことを書きます。「欧州に輸出していれば全員が対象」というのは、条文を読む限り正確ではありません。

この誤解は、たぶん善意から広がっています。「知らずに違反すると全世界売上の7%」という数字が独り歩きして、EU向けの取引がある会社はとりあえず身構えておこう、という空気になっている。気持ちはわかります。ただ、対象でない会社が対象だと思い込んで社内工数を溶かすのも、対象なのに気づいていない会社が期限を踏み外すのも、どちらも同じくらい損です。

この記事のゴールはひとつだけ。輸出管理のご担当者が、自社がEU AI Actの対象なのか対象でないのかを、自分で判定できる状態になること。 AIガバナンスの話はしません。ISO/IEC 42001の話もしません。輸出実務の言葉だけで書きます。

なお、条番号・日付・金額はすべてEUの官報（Official Journal）正文で逐語照合しました。確認が取れなかったことは書いていません。

この記事でわかること

• EU AI Actがどういう構造の法律なのか（輸出管理の該非判定と比べると腹落ちしやすい）
• Article 2が定める適用対象7類型と、AIを含まない一般貨物が対象外である理由
• 自覚のないまま provider や product manufacturer に該当してしまう典型パターン
• 2026年8月2日に実際に始まるもの／まだ始まらないもの
• Digital Omnibus（Regulation (EU) 2026/1744）で高リスク規定が後ろ倒しされ、機械が別枠になったこと
• 輸出管理の該非判定とAI Actの関係（別物だが、両方かかる）

そもそもEU AI Actとは何か

正式名称は Regulation (EU) 2024/1689。EU域内でAIを扱うときのルールをまとめたEU規則で、2024年8月1日に発効しました¹。

性格としては製品安全規制です。輸出を止める法律ではありません。「このAIをEU市場に出すなら、危険度に応じてこれだけの手続きを踏め」という作りになっています。

輸出管理の言葉に翻訳するとこうなる

輸出管理をやってきた方には、この対比がいちばん早いと思います。

輸出管理の発想	EU AI Actの発想
貨物・技術がリスト規制に載っているか（該非判定）	そのAIが「禁止」「高リスク」「透明性義務」のどれに当たるか
該当したら許可申請	該当したら適合性評価・技術文書・CEマーキング等
判定の主語は「輸出者」	判定の主語は provider（提供者）や deployer（業として使う側）
基準となる瞬間は「輸出（国境の通過）」	基準となる瞬間は「上市（EU市場に置くこと）」
該当しない判断も記録に残す	高リスクでないと判断した場合も文書化義務あり（後述）

いちばん効く違いは4行目です。輸出管理は「モノや技術が国境を越えること」を捕まえます。AI Actが捕まえるのは「EU市場に置くこと（placing on the market / putting into service）」と、後で述べる「出力がEUで使われること」です。

だから判定の問いは「EUに輸出しているか」ではありません。**「EU市場にAIを置いているか、あるいは自社AIの出力がEUで使われているか」**です。ここを取り違えると、判定そのものがずれます。

なお「AIを危険度で4段階に分ける」という説明をよく見ますが、この4区分は実務上の整理であって、条文にそういう見出しの章があるわけではありません。「最小リスク」に至っては定義規定すら存在せず、禁止にも高リスクにも透明性義務にも当たらない、という消去法の呼び名です。社内資料を作るときは、区分名ではなく根拠条文で管理したほうが後で揉めません。

「欧州に輸出していれば全員対象」が誤りである理由

適用範囲を決めているのは Article 2 です。第1項がそのまま対象者リストになっています。逐語で引くとこうです¹。

号	対象	平たく言うと
(a)	AIシステムをEUで上市・サービス提供する provider、GPAIモデルをEUで上市する provider（EU域内か第三国かを問わない）	EUにAIを出す側。日本法人でも対象
(b)	EU域内に所在する deployer	EU域内でAIを業務利用する側（EU子会社など）
(c)	第三国に所在する provider・deployer で、そのAIの出力がEU域内で利用される場合	EUに法人がなくても、出力がEUで使われれば対象
(d)	AIシステムの importer および distributor	EU側で輸入・販売する立場
(e)	自社の名称・商標で、自社製品と一緒にAIシステムを上市・サービス提供する product manufacturer	自社ブランド製品にAIを載せてEUに出す製造業
(f)	EU域内に設立されていない provider の authorised representative（EU代理人）	指名された代理人自身
(g)	EU域内に所在する affected persons（影響を受ける個人）	事業者の義務ではなく、申立て・説明を求める権利の側

この表を上から下まで読んで気づいてほしいのは、主語がすべて「AIシステム」か「GPAIモデル」だということです。

つまり、こうなります。

• ネジ、鋼材、化学品、産業用の部材といったAIを含まない一般貨物をEUに輸出しているだけなら、EU AI Actの適用対象ではありません。
• EU向け売上があること自体は、判定に何の影響もありません。
• 逆に、EUに一度も「輸出」していなくても、クラウド越しに出力がEUで使われていれば (c) で対象になります。

（g）だけは性格が違います。これは事業者に義務を課す号ではなく、EU域内の個人が当局へ申立てをしたり、自分に不利な判断の説明を求めたりする権利に対応するものです。輸出者の該非判定では読み飛ばして構いません。

私の見立てでは、社内でまずやるべきは「うちはAI Actをやらなくていい」という結論を、根拠条文つきで文書に落とすことです。輸出管理の非該当証明と同じ発想で、判定した事実と根拠を残しておく。これがいちばん安く済みます。

では誰が対象か — 自社判定の順序

順番に潰していきます。ひとつでも「はい」があれば、その先を読む価値があります。

#	確認事項	根拠
1	自社がEUに出している製品・サービスに、機械学習モデルや推論機能が入っているか（入っていなければ、ここで終わり）	Art.2(1) 柱書
2	そのAIを、自社の名称・商標でEU市場に出しているか（AI単体でも、製品に組み込んでも）	Art.2(1)(a)(e)
3	EUには何も置いていないが、自社AIの出力がEU域内で使われているか	Art.2(1)(c)
4	グループのEU法人が、輸入者・販売店としてEU側に立っているか	Art.2(1)(d)
5	EU法人が、業務でそのAIを使う立場になっているか	Art.2(1)(b)
6	既に市場にあるAIに自社ブランドを付けた、大幅に改変した、用途を変えた	Art.25(1)

自覚なく該当してしまう典型パターン

相談を受けていて「え、それも入るんですか」と言われるのは、だいたい次の4つです。どれもAIベンダーではない会社の話であることに注意してください。

パターン1：AI画像検査機能つきの製造装置をEUへ輸出している

外観検査に学習モデルを積んだ装置を、自社ブランドでEUの工場に納入している。装置メーカーの認識は「うちは機械屋であってAI企業ではない」ですが、Article 2(1)(e) の product manufacturer にきれいに当てはまります。しかも Article 25(3) は、Annex I Section A の製品の safety component である高リスクAIについて、自社名・商標で上市すれば製品メーカーが provider とみなされると定めています¹。AIを外部から買ってきていても同じです。

なお装置が「機械」に当たる場合、機械は後述のとおり2026年の改正でAnnex I Section Bへ移ったため、Article 25(3) がそのまま効く場面ではなくなりました。ただし Article 2(1)(e) で適用対象に入ること自体は変わりません。ここは製品がどの整合法令に載るかで結論が変わるので、製品ごとに確認してください。

パターン2：予知保全AIをEUの顧客にSaaSで提供している

サーバーは日本、EUに法人はなし、装置は既に納入済みで新たな輸出もない。それでも稼働データを受け取って異常予兆を返しているなら、出力がEU域内で使われているので Article 2(1)(c) の対象です。輸出管理の感覚だと「モノは動いていないから関係ない」となりがちなところで、ここがいちばん抜けます。

パターン3：EU子会社が自社ブランドで再販している

日本本社がAI搭載製品を作り、EU子会社が現地ブランド名を付けて販売している。Article 25(1)(a) は、既に上市された高リスクAIに自社の名称・商標を付した者を provider とみなすと定めます。しかもこの号には "without prejudice to contractual arrangements stipulating that the obligations are otherwise allocated"（義務を別途配分する契約上の取決めを妨げない）という一句が付いています¹。

ここは輸出実務にとって最大の示唆だと思っています。契約で「AI Act対応は本社が持つ」と決めても、規制上の地位そのものは消えません。 誰が費用と作業を負担するかは契約で決められる。しかし当局から見て誰が provider かは条文が決めます。取引基本契約の見直しでカバーしたつもりになっている会社は、一度この一句を法務と読み合わせてください。

パターン4：買ってきた汎用AIの用途を変えて製品に載せた

Article 25(1)(c) は、高リスクに分類されていないAI（汎用AIシステムを含む）のintended purpose を変更して高リスクAIにしてしまった者を provider とみなします。市販のモデルを調達して自社用途に仕立てる、という普通の開発が該当しうる、ということです。

2026年8月2日に何が始まり、何が始まらないのか

ここが誤解のいちばん多いところなので、丁寧に書きます。

前提：Digital Omnibus はすでに成立している

AIに関する Digital Omnibus は、Regulation (EU) 2026/1744 として2026年7月8日に採択され、官報 OJ L 2026/1744 に2026年7月24日付で掲載、2026年7月27日に発効しました²。「まだ提案段階」「夏に採択見込み」と書かれた資料が出回っていますが、もう成立済みの法令です。手元の社内資料が古いままなら、まずここを直してください。

そしてこの改正は、輸出者にとってかなり大きい内容を含んでいます。

段階適用の現在地

右端は、その日付が適用開始日なのか期限なのかの区別です。

時期	何が適用されるか	位置づけ
2024-08-01	発効。義務はまだ発生しない	発効日
2025-02-02	Chapter I（総則・定義・AIリテラシー）、Chapter II（Art.5 禁止AI行為）	適用開始日（適用中）
2025-08-02	Chapter V（GPAIモデル）、Chapter VII（ガバナンス）、Chapter XII（罰則）、Art.78 ほか（Art.101を除く）	適用開始日（適用中）
2026-07-27	Omnibus発効。AI ActのArt.102〜110も適用開始	適用開始日（適用中）
2026-08-02	一般適用日。Chapter IV（Art.50 透明性義務）、Chapter III Section 5（整合規格・適合性評価・CEマーキング・登録）、Art.101（欧州委員会のGPAI制裁金権限）ほか	適用開始日
2026-12-02	新設の禁止行為2件が適用開始。既存の合成コンテンツ生成AIのArt.50(2)適合期限	適用開始日／適合期限
2027-08-02	2025-08-02より前に上市されたGPAIモデルの適合期限	適合期限
2027-12-02	Annex III型（独立型）高リスクにChapter III Sections 1・2・3が適用	適用開始日
2028-08-02	Annex I型（製品組込型）高リスクに同適用	適用開始日
2030-08-02	公的機関利用を意図した高リスクAIの最終適合期限	適合期限

高リスク規定は8月2日には来ない

改正前のArticle 113では、高リスク関連の規定も2026年8月2日でした。既存の解説記事の多くが「2026年8月2日に高リスクAI完全適用」と書いているのはそのためです。これはRegulation (EU) 2026/1744で書き換わりました。

改正後の Article 113 第3段落(c)は、Chapter III の Sections 1・2・3 について、Annex III型（Art.6(2)）は 2027年12月2日、Annex I型（Art.6(1)）は 2028年8月2日 から適用すると定めています²。

したがって、EU代理人の指名（Art.22）、バリューチェーン上の責任配分（Art.25）、deployerの義務（Art.26）といった、輸出者がいちばん気にする条文の発動も、この日付にぶら下がります。2026年8月2日から高リスク対応が求められる、というのは事実ではありません。

なお、Chapter III Section 5（Art.40〜49の整合規格・適合性評価・CEマーキング・EUデータベース登録）は、条文の文言上は2026年8月2日から適用されます。ただし「何が高リスクか」を決める Section 1 が上の日付まで動かない以上、実務としては高リスク側の日付に合わせて準備を組むのが自然です。ここは欧州委員会の公式解釈を確認できていないので、断定はしません。

とはいえ、この後ろ倒しを「猶予ができた」と読むのは早いです。適合性評価の準備は数か月では終わりませんし、次に述べる禁止AIと透明性義務は猶予の外にあります。

一方で、もう始まっているものがある

禁止AI行為（Article 5）は2025年2月2日から適用中で、制裁金は最上位の水準です。 上限は3,500万ユーロ、または前会計年度の全世界年間売上高の7%の高いほう（Art.99(3)）¹。そして罰則規定そのもの（Chapter XII）は2025年8月2日から適用が始まっています。

輸出者にいちばん刺さるのは Article 5(1)(f)、職場および教育機関における感情推定の禁止でしょう。条文は「医療上または安全上の理由」による場合を除外していますが、それ以外の用途は端的に禁止です。作業者の集中度や疲労を推定する安全管理システムなら安全目的の例外を検討できますが、生産性評価や勤怠管理に寄せた瞬間に、例外の外に出ます。これは高リスクではなく禁止、つまり適合性評価をすれば使えるという類の話ではありません。

8月2日に本当に始まるもの：透明性義務

2026年8月2日から効く実体義務のうち、輸出者に関係が深いのは Article 50 です。

• 50(1) 自然人と直接やりとりするAIは、相手がAIと対話していると分かるように設計・開発する（合理的に注意深い人から見て明白な場合は不要）
• 50(2) 合成音声・画像・動画・テキストを生成するAIの出力を、機械可読な形式でマーキングし、人工的に生成・改変されたものだと検知できるようにする
• 50(3) 感情認識システム・生体分類システムに晒される人への通知（deployerの義務）
• 50(4) ディープフェイクの開示（deployerの義務）

製品にチャットボット型のUIやマニュアル生成機能を載せている場合、50(1)と50(2)は他人事ではありません。なお、2026年8月2日より前に上市済みの合成コンテンツ生成AIについては、Regulation (EU) 2026/1744が新設したArticle 111(4)により、2026年12月2日までにArt.50(2)へ適合すればよいことになっています²。

ちなみに「透明性義務が2026年12月2日に前倒しされた」という記述を見かけますが、これは正確ではありません。Chapter IV は改正後の Article 113 のどの例外にも列挙されておらず、一般適用日である2026年8月2日のままです。12月2日に起きるのは、新設された禁止行為の開始と、いま述べた既存システムの経過措置期限の2点です。

リスク区分ごとに輸出者が確認すべきこと

禁止AI行為（Article 5）

適用は2025年2月2日から。上限は売上高7%です。輸出者の確認事項はシンプルで、自社製品に載っているAIが、労務管理・入退場管理・教育訓練の文脈で人の感情や心理状態を推定していないか。ここだけは真っ先に潰してください。

2026年12月2日からは、同意のない性的ディープフェイクの生成・改変（Art.5(1)(ba)）と、児童性的虐待表現物の生成（同(bb)）が加わります。ただし新設のArticle 5(1a)により、上市・提供が禁止されるのは「その生成・改変が intended purpose である場合」か、「設計・訓練・アーキテクチャ等から、大きな技術的改変なしに合理的に予見可能かつ再現可能な結果であり、かつ合理的・適切な技術的安全措置を欠く場合」に限られます²。汎用の画像生成機能を積んだ製品なら、安全措置を実装しているかどうかが分岐点になる、という読み方になります。

高リスク・Annex I型（製品組込型）— 製造業はここを最優先で

輸出者にとっていちばん重いのがここです。Article 6(1) は、次の両方を満たすAIを高リスクとします¹。

• (a) そのAIが、Annex I に列挙されたEU整合法令の対象となる製品の safety component として使われることを意図されているか、AIそのものがその製品である
• (b) その製品が、Annex I の整合法令に基づいて第三者適合性評価（third-party conformity assessment）を受けることを要求されている

(b)が効きます。 自己適合宣言で足りる製品なら、AIを積んでいてもAnnex I型の高リスクにはなりません。既にCEマーキングの実務をやっている会社なら、この判定は新しい作業ではなく、既存の適合性評価ルートの確認作業として処理できます。

Annex I Section A（改正後）に挙がっているのは、玩具安全2009/48/EC、レジャー用船舶2013/53/EU、昇降機2014/33/EU、ATEX 2014/34/EU、無線機器指令（RED）2014/53/EU、圧力機器2014/68/EU、索道2016/424、PPE 2016/425、ガス燃焼機器2016/426、医療機器規則（MDR）2017/745、体外診断用医療機器規則（IVDR）2017/746。Section B には航空保安、二輪三輪、農林用車両、船用機器、鉄道相互運用性、自動車型式認証、車両一般安全、民間航空／無人機が並びます¹。

機械はSection Bへ移った（2026年改正の目玉）

Regulation (EU) 2026/1744 は、Annex I Section A から機械指令2006/42/ECへの参照を削除し、Section B に機械規則 (EU) 2023/1230 を追加しました²。

効果は改正後の Article 2(2) に出ます。Annex I Section B に挙がる法令の対象製品に関係する高リスクAIについては、AI Act のうち Article 6(1)、Article 60a、Articles 102〜112 のみが適用される。つまり、機械に組み込まれたAIについては、Chapter IIIの高リスク要件（リスク管理、データガバナンス、技術文書、CEマーキング、EUデータベース登録）がAI Act側からは直接かからない構造になりました。

前文はその理由を「機械および機械セクターの特殊性に鑑み、AI搭載機械に対する規制枠組みを簡素化する必要に対応するため、分野別アプローチへ移行することが適切である」と説明しています²。

ただし、これは免除ではありません。 同じ改正は、機械規則2023/1230のAnnex IIIを委任行為で改正し、AI Act側のAI関連要件を機械規則の必須健康安全要件として取り込むことを予定しており、その委任行為は2028年8月2日までに適用されるとしています²。

日本の産業機械・工作機械・ロボットメーカーにとっては、「AI Actの対応義務が消えた」ではなく「対応すべき法令が機械規則の側に移った」と理解するのが正確です。読む条文と社内の担当窓口が変わる、という話であって、やることが無くなるわけではない。ここを楽観的に伝えている資料が既にあるので、注意してください。

意図せぬ高リスク化を抑える新ルール

同じ改正で Article 6 に3つの項が新設されました。いずれも輸出者に有利に働きます²。

• 6(1a)：ユーザー支援、性能最適化、サービス効率、自動化、利便性、品質管理といった非安全側面にのみ使われるAIは、safety component に当たらない
• 6(1b)：ただし、その故障・誤作動が人の健康・安全を危険にさらすものは safety component に当たる
• 6(1c)：健康安全以外のリスク、とくに電波の分配や電磁干渉で健康安全に影響しないリスクのみを理由に第三者適合性評価が要求される製品は、Article 6(1)(b) の条件を満たさない

6(1c)は地味ですが実務的にはかなり大きい。無線モジュールを積んでいるためにREDだけで第三者評価を受けている、という機器がAI搭載を理由に高リスク扱いされる、という懸念が相当程度整理されました。6(1a)の「品質管理」も、外観検査AIの位置づけを考えるうえで効いてきます。とはいえ、検査の失敗が最終製品の安全性に直結する用途なら6(1b)で引き戻されるので、用途ごとに判定するという原則は変わりません。

高リスク・Annex III型（独立型）

製品に組み込まれない独立型のAIについて、Annex III が8分野を挙げています。適用は2027年12月2日。輸出者の関心が高いのは次のあたりです。

分野	中身（抜粋）
1 バイオメトリクス	遠隔生体識別、機微属性による生体分類、感情認識（本人確認のみの verification は除外）
2 重要インフラ	重要デジタルインフラ、道路交通、水・ガス・暖房・電気の管理運用における safety component
3 教育・職業訓練	入学配置、学習成果評価、試験中の不正監視
4 雇用・労働者管理	採用選考、応募書類のフィルタ、昇進・解雇の決定、業績・行動の監視評価
5 必須の民間・公共サービス	公的給付の受給資格、信用力評価・信用スコア（金融詐欺検知は除外）、生命・健康保険のリスク評価と価格設定、緊急通報のトリアージ
6〜8	法執行／移民・庇護・国境管理／司法運営・民主的プロセス

Article 6(3) には除外規定があります。Annex III に挙がる用途でも、健康・安全・基本権への重大な危害リスクを生じさせない場合（意思決定の結果に実質的な影響を与えない場合を含む）は高リスクとされない。条件は、狭い手続的タスクの遂行、既に完了した人間の活動の結果の改善、意思決定パターンや逸脱の検知で従前の人間の評価を置換する意図がないもの、Annex III用途の評価に対する準備的タスク、の4つです¹。

ただし条文はこう続けます。"an AI system referred to in Annex III shall always be considered to be high-risk where the AI system performs profiling of natural persons." 自然人のプロファイリングを行うなら、上の除外条件を満たしても常に高リスクです。ここは例外の例外なので、社内資料に必ず書き添えてください。

そしてもうひとつ。Article 6(4) は、Annex III に挙がるAIについて「高リスクではない」と判断した provider に、上市前にその評価を文書化する義務を課しています。当局から求められれば提出しなければならず、Article 49(2) の登録義務も伴います¹。

輸出管理をやってきた方なら、この構造には見覚えがあるはずです。該当しないという判定にも証跡が要る。 非該当判定書を残す文化がある会社は、そのフォーマットをほぼそのまま流用できます。逆に「該当しないので何もしていません」で通そうとすると、当局対応で困ります。

透明性義務と最小リスク

Article 50 は前述のとおり2026年8月2日から。最小リスクについては条文上の定義規定がなく、禁止にも高リスクにもArticle 50にも当たらないAIは、AI Act上の実体義務がかからない、というだけです。Article 95が任意の行動規範の受け皿になっています。

GPAIモデルは別軸（ほとんどの輸出者には関係しない）

上の区分とは独立に、汎用AIモデル（GPAIモデル）の提供者に対する義務がChapter Vに置かれています。技術文書の整備、下流の提供者への情報提供、EU著作権法の遵守方針、訓練コンテンツの十分に詳細な要約の公表などです。

ここで押さえておきたいのは、これは基盤モデルを自ら訓練して世に出す側の義務だということ。市販のモデルを調達して製品に組み込んでいるだけなら、GPAIモデルの提供者ではなく、下流のAIシステム提供者です。自社で大規模モデルを訓練していないのであれば、この章は読み飛ばして構いません。

ひとつ訂正しておくと、「訓練計算量10^23 FLOPs超がGPAIの定義」という説明が広まっていますが、Article 3(63) の定義に計算量の閾値はありません¹。10^23 FLOPは欧州委員会のガイドラインが示す指標的な基準にすぎず、しかも「言語（テキストまたは音声）・text-to-image・text-to-video のいずれかを生成できること」という条件とセットで使われます³。条文上の閾値として社内資料に書くと誤りになるので、注意してください。詳細はGPAIモデル提供者の制裁金リスクと回避策に譲ります。

制裁金の水準

違反類型	上限	根拠	適用開始
禁止AI行為（Art.5）	3,500万ユーロ または全世界年間売上7%（高いほう）	Art.99(3)	2025-08-02
provider(16)／EU代理人(22)／輸入者(23)／流通者(24)／deployer(26)／通知機関／透明性(50) の義務違反	1,500万ユーロ または3%（高いほう）	Art.99(4)	2025-08-02
当局・通知機関への不正確・不完全・誤導的な情報提供	750万ユーロ または1%（高いほう）	Art.99(5)	2025-08-02
GPAIモデル提供者（欧州委員会が直接賦課）	3% または1,500万ユーロ（高いほう）	Art.101(1)	2026-08-02
SME・スタートアップ	上記の金額と率のうち低いほう	Art.99(6)	2025-08-02

金額そのものより、輸出者に使える論点は Article 99(7) だと思います。制裁金の算定にあたって当局が考慮する事情として、当局への協力の程度、実施した技術的・組織的措置を踏まえた責任の程度、そして**当局が侵害を知るに至った経緯（自主的な申告の有無と程度）**が明示されています¹。

社内で判定の証跡を残し、問題に気づいたら自主的に申告する。輸出管理で当たり前にやっている作法が、そのまま金額に効く設計になっている、ということです。

輸出管理の該非判定との関係 — 別物だが、両方かかる

最後に、輸出管理のご担当者が必ず聞かれる論点を整理します。

	輸出管理（外為法・EAR・EU Dual-Use）	EU AI Act
捕まえる行為	国境を越える輸出・技術提供	EU市場への上市、EUでの出力利用
判定の対象	貨物・技術のスペック、需要者、用途	AIの用途（intended purpose）とリスク区分
該当したときの帰結	許可申請	適合性評価・技術文書・CEマーキング・登録など
判定の主体	輸出者	provider / product manufacturer / deployer など

押さえていただきたいのは1点だけです。ECCNの分類をして、外為法の該非判定書を作って、輸出許可を取った。それでAI Actの義務が消えることはありません。 逆も同じで、AI Actの適合性評価を通してもEUからの再輸出許可は不要になりません。

「別々の網が二重にかかっている」という前提で、社内の担当を先に決めておくのが実務的です。両者の重なり方（Annex III の高リスク分野とサイバー監視アイテムの関係、EU Dual-Use Regulation 2021/821 との交点）についてはEU AI Actと輸出管理の重なりで詳しく扱っているので、そちらへ譲ります。

適用除外の落とし穴

「うちは除外だから大丈夫」と言われたときに、必ず確認している3点を挙げておきます。

軍事除外は "exclusively"（専ら）が付いている。 Article 2(3)第2副段落は、専ら軍事・防衛・国家安全保障目的で上市・提供・使用されるAIを適用除外とします¹。裏を返せば、民生用にも市場投入されているデュアルユースのAIは除外されません。防需と民需の両方に出している製品を「防衛品だから対象外」と整理するのは危険です。

研究開発除外は2系統あり、実環境試験は除外されない。 Article 2(6) は専ら科学研究開発の目的で開発・提供されるAIを、Article 2(8) は上市前の研究・試験・開発活動を除外します。ただし2(8)には "Testing in real world conditions shall not be covered by that exclusion." という一文が明記されています¹。EUの顧客先で実機検証をする、という工程は除外の外です。ここは製造業で本当によく起きます。

オープンソース除外は高リスクでは効かない。 Article 2(12) はフリー・オープンソースライセンスで公開されたAIシステムを除外しますが、高リスクAIとして、またはArticle 5もしくはArticle 50に該当するAIシステムとして上市・提供される場合を除く、と条件が付いています¹。

輸出者の確認チェックリスト

そのまま社内展開できる粒度に落とします。

ステップ1：AIの棚卸し（AIを含む製品がなければ、ここで終了）

• EU向けに出荷している製品・提供しているサービスのうち、機械学習モデルや推論機能を含むものを列挙する
• 自社開発か、調達したモデルの組込みかを区別する
• 該当ゼロなら、その判定結果と根拠（Art.2(1)の主語がAIシステム／GPAIモデルであること）を文書化して終了

ステップ2：自社の立場を確定する

• 自社ブランドで出しているか（Art.2(1)(e)／Art.25(3)）
• EUに置いていないが出力がEUで使われているか（Art.2(1)(c)）
• EU法人が輸入者・販売店・利用者のどれに当たるか（Art.2(1)(b)(d)）
• 販売店契約・OEM契約でAI Act対応を相手方に配分していないか。配分していても規制上の地位は移らない（Art.25(1)(a)）

ステップ3：禁止AIの有無を最優先で確認する（適用中）

• 職場・教育機関での感情推定に該当する機能がないか（Art.5(1)(f)）
• 医療・安全目的の例外に本当に収まるか、用途記述レベルで確認する

ステップ4：高リスク判定を既存のCE適合ルートに乗せる

• 製品がAnnex Iのどの整合法令の対象か
• その法令で第三者適合性評価が要求されているか（要求されていなければAnnex I型高リスクではない：Art.6(1)(b)）
• 機械であれば、機械規則2023/1230側の委任行為の動きを追う担当を決める
• AIの機能が品質管理・利便性のみか、故障が健康安全を危険にさらすか（Art.6(1a)(1b)）
• Annex III の8分野に当たる独立型AIがあるか。ある場合、プロファイリングを行っていないか
• 「高リスクではない」と判断したものは、上市前に評価を文書化する（Art.6(4)）

ステップ5：2026年8月2日から効く透明性義務を確認する

• 人と直接やりとりするUIがあるか（Art.50(1)）
• 合成音声・画像・動画・テキストを生成する機能があるか。機械可読マーキングの実装状況（Art.50(2)）
• 2026年8月2日より前に上市済みのものは、2026年12月2日が期限（Art.111(4)）

ステップ6：期限を逆算して担当を置く

• Annex III型高リスク：2027年12月2日
• Annex I型高リスク：2028年8月2日
• 第三国のproviderは、高リスクAIをEU市場で提供する前にEU代理人を書面委任で指名する必要がある（Art.22(1)）。指名は前日にできる作業ではないので、上の日付から逆算して着手する

TRAFEEDでできること

ここまで読んで「輸出管理の該非判定に加えてこれもやるのか」と感じた方は、TRAFEED（旧 ZEROCK ExCHECK）の活用もご検討ください。TRAFEEDは輸出管理AIエージェントで、取引先・最終需要者のリスト該当性、品目の該非、用途面の懸念を横断的にチェックします。

EU AI Actへの対応そのものを代替する製品ではありません。ただ、輸出管理側の確認工数を圧縮できれば、その分をAI Actの棚卸しに回せます。法令解釈の最終判断は人（社内担当者・弁護士・通関士）が行う前提で設計しています。

詳細はTRAFEED 製品ページ、ご相談はお問い合わせからどうぞ。

まとめ

• EU AI Act（Regulation (EU) 2024/1689）は製品安全規制で、捕まえるのは「輸出」ではなく「EU市場への上市」と「出力のEUでの利用」
• 「欧州に輸出していれば全員対象」は誤り。Article 2(1) の主語はすべてAIシステムかGPAIモデルで、AIを含まない一般貨物は対象外
• 危ないのは自覚のない該当。自社ブランド製品にAIを載せてEUに出す製造業は product manufacturer として対象（Art.2(1)(e)・Art.25(3)）。EUに何も置かなくても、出力がEUで使われれば対象（Art.2(1)(c)）
• 契約で義務を配分しても、規制上の地位は移らない（Art.25(1)(a)）
• Digital Omnibus（Regulation (EU) 2026/1744、2026年7月27日発効）で高リスク規定は後ろ倒し。Annex III型は2027年12月2日、Annex I型は2028年8月2日
• 一方、禁止AI行為は2025年2月2日から適用中で上限は売上高7%。職場の感情推定は真っ先に確認する
• 2026年8月2日に始まる実体義務はArticle 50の透明性義務。既存システムは2026年12月2日が期限
• 機械はAnnex I Section Bへ移り、AI Act側の高リスク要件は直接かからなくなった。ただし免除ではなく、機械規則2023/1230側へ移っただけ（委任行為は2028年8月2日までに適用）
• 「高リスクではない」という判定にも文書化義務がある（Art.6(4)）。輸出管理の非該当証明と同じ発想で運用する

まずやるべきは、対象か対象でないかを根拠条文つきで1枚にまとめることです。対象でないなら、その1枚が今後の質問すべてへの回答になります。対象なら、2027年12月2日と2028年8月2日から逆算した計画に着手する。この記事がその1枚目の材料になれば幸いです。

関連記事

• EU AI Actと輸出管理の重なり — Dual-Use Regulationとの交点
• Digital OmnibusでEU AI Actの何が変わったのか
• EU AI Act 2026年8月 — 日本企業の実装5ステップ
• GPAIモデル提供者の制裁金リスクと回避策
• Digital Omnibusの簡素化とISO/IEC 42001

参考文献

本記事の条番号・日付・金額は、以下のEU官報正文で逐語照合しています。

Footnotes

1. Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal, ELI: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴

2. Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). OJ L 2026/1744, 24.7.2026. https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

3. European Commission, "Guidelines on the scope of the obligations for providers of general-purpose AI models under the AI Act" (18 July 2025). https://digital-strategy.ec.europa.eu/en/library/guidelines-scope-obligations-providers-general-purpose-ai-models-under-ai-act ↩