【世界2番目の包括的AI法】韓国 AI基本法 2026年1月施行を読み解く ─ 国内代理人義務とディープフェイク5倍損害賠償

株式会社TIMEWELLの濱本 隆太です。

2026年1月22日、韓国で AI基本法（人工知能の発展と信頼基盤の確立に関する基本法）が施行されました。EU AI Act に次ぐ、世界2番目の包括的AI法 です。

ところが日本のメディアでこの法律をきちんと取り上げた記事はほとんど見かけません。「韓国もAI法を作ったらしい」程度の認識で、2026年8月時点でも国内代理人指定義務に気づいていない日本企業を何社か見ました。これは危険です。

ソウル発で起きた規制の輪郭を、日本企業が今すぐ動くべきポイントに翻訳して読み解きます。

要約

• 2026年1月22日施行。EU AI Act に次ぐ 世界2番目の包括的AI法、罰則猶予の 1年グレースピリオド あり
• 海外事業者に 国内代理人指定義務。不指定は 第43条で最大3,000万ウォン（約21,000ドル） の課徴金
• 高影響AIは エネルギー・医療・金融など10セクター に限定、施行令ドラフトでセクター拡張なし
• ディープフェイク広告には 5倍損害賠償（懲罰的賠償）を導入、ネットワーク法改正で強制ラベリング
• 日本企業の優先アクションは 代理人選定・該当性棚卸し・ラベリング基盤整備 の3点。グレースピリオド中の1年が勝負

法律の輪郭 ─ EU AI Act と何が違うのか

韓国AI基本法は、2024年12月26日に国会本会議で可決 された全70条の法律です。Lee Jae-myung 政権（共に民主党）は当初、規制よりも産業振興を重視する立場でしたが、2024年11月の米国大統領選で Trump が当選し米国規制が後退する見通しが強まると、韓国は逆に 「世界2番目の包括的AI法を作った国」というポジショニング を取りに行きました¹。

その意気込みのわりに、条文を読むと EU AI Act とはずいぶん粒度も射程も違います。EU AI Act は4段階リスク分類（許容できないリスク／高リスク／限定的リスク／最小リスク）を置き、Annex III に掲載された高リスク用途に厳密な要件を課す 全数規制型 です。これに対して韓国 AI基本法は「高影響AI」を10セクターに 限定列挙 し、事業者の義務を5つに絞っています。

その5つの義務は次のとおりです。

1. 透明性の確保：生成AI出力の通知、ラベリング、ウォーターマーク
2. 安全性の確保：技術的・管理的セキュリティ措置
3. 高影響AI事業者の特別責務：リスク管理計画、社会的影響モニタリング、データ要請・現地検査への対応
4. AI影響評価：高影響AIの導入前評価
5. 国内代理人の指定：海外事業者は国内代理人を指定（域外適用の核）

EU AI Act との大きな差は、罰則の桁が違う こと。EU AI Act は最大3,500万ユーロ（約56億円）または全世界売上の7%ですが、韓国 AI基本法の罰則は 第43条で最大3,000万ウォン（約300万円） です。これは「抑止」ではなく「行動誘導」の罰則設計だと読むべきです。

私はこの設計を「慎重な第二走者の戦略」と評価しています。EU AI Act が出てから2年。市場参加者の反応を見ながら、過度に厳しくしすぎないラインに着地させた。罰則を抑え目にすることで、外国事業者の市場撤退を防ぎつつ、ラベリングや代理人指定といった 「動かしやすい義務」を確実に守らせる 設計です。

第43条 ─ 3つの違反だけが罰則対象

韓国 AI基本法は条文の数こそ多いものの、罰則対象は第43条が定める3類型のみ です。これは日本企業のコンプライアンス設計上、決定的に重要なポイントです。

違反類型	罰則
海外事業者の 国内代理人不指定	最大3,000万ウォン
利用者へのAI利用通知義務 違反（生成AI・高影響AIとのやり取りを通知しない）	最大3,000万ウォン
政府是正命令 違反	最大3,000万ウォン

逆に言うと、これ以外の義務違反（例：高影響AIのリスク管理計画策定義務、AI影響評価の不実施）に 直接的な金銭罰則はない。ガイダンス・是正命令を経由してから初めて罰則対象になる構造です。

これは EU AI Act や米国SB 53 とは全く違う設計です。日本企業の韓国法対応では、「罰則対象の3類型を最低限クリアしつつ、残りの義務は ベストエフォート対応 でも当面は問題ない」という優先度設計が現実的だと感じています。

ただし楽観しすぎは禁物です。MSIT（科学技術情報通信部）は 2026年1月22日から2027年1月までの1年間 をグレースピリオドと位置づけ、この期間は罰則を適用せず指導・是正にとどめる方針を表明しました²。逆に言うと、2027年1月以降は容赦なく執行する という時計が動き始めています。

国内代理人指定義務 ─ 日本企業が今すぐ動くべき第一の理由

法律の中で日本企業にとって最もインパクトが大きいのは、国内代理人指定義務 です。

これは EU GDPR の Article 27（域外事業者のEU内代表者指定義務）と同じ発想で、韓国国内に拠点を持たない事業者 が韓国ユーザー向けに AI サービスを提供する場合に、国内に代理人を置いて MSIT との窓口を担わせる仕組みです。具体的な閾値（年商何ドル以上が対象か、ユーザー数の下限はあるか等）は施行令で定められ、グローバルSaaS の 大半は対象 になります。

代理人の主な役割は3つです。

• MSIT および利用者からの 問い合わせ・苦情の窓口
• データ要請 および 現地検査 への対応
• 行政命令 の受領と本社への伝達

実務的には、韓国に法律事務所・コンサルファーム・現地法人を持つ事業者と契約するのが標準パターンになります。EU GDPR の代表者指定でも同じパターンが定着していて、専門事業者の年間契約料はEUで500〜2,000ユーロが相場でした。韓国でも同程度の市場相場で安定するはずです。

私が日本企業に最初に伝えるのは、「契約だけで終わらせない」 ということです。代理人を契約しても、MSIT からの照会が来た時に 「日本本社のどの部署が、何時間以内に応答するか」 の運用設計がなければ、書類上の代理人は意味をなしません。EU GDPR で多くの企業が経験した「代理人指定したけど本社が動けない」問題が、韓国でも繰り返されることになります。

10セクターの高影響AI ─ 限定列挙の解釈論

「高影響AI」（high-impact AI）の対象セクターは、施行令ドラフトで10領域に限定列挙されています³。

セクター	想定される対象システム
エネルギー	スマートグリッド最適化、原発運用支援AI
飲料水・水資源	水質管理、配水ネットワーク制御AI
医療	診断支援AI、SaMD（医療機器プログラム）
金融	与信スコアリング、不正検知、アルゴリズム取引
生体認証	顔認証、指紋認証、声紋認証
雇用	HR Tech、採用スクリーニング、業績評価
教育	アダプティブラーニング、入試スコアリング
公共サービス	福祉給付決定、税務リスク評価
犯罪捜査	予測警備、犯罪リスク評価
生体識別	群衆認識、特定人物追跡

このリストは「狭すぎる」と市民社会から強い批判を受けています。Business and Human Rights Resource Centre は2025年9月、人権リスクの観点が抜け落ちていると指摘し、特に コンテンツモデレーション、選挙関連AI、移民・難民関連AI、軍事・治安関連AI がリストから除外されている点を問題視しました⁴。

私はこの「人権視点の欠落」を、日本企業にとってはむしろチャンスと読んでいます。リスト外の領域（例：採用面接動画解析、社内コミュニケーション分析）であれば、高影響AI規制の重い義務（影響評価、社会的影響モニタリング等）を回避できる。ただし韓国の野党・市民団体は2026〜2027年にリスト拡張を狙うと公言しているため、「今は外れているけど将来入りうる」セクター を含めた監視リストを社内で持つべきです。

ディープフェイク5倍損害賠償 ─ 韓国独自モデル

韓国 AI基本法そのものとは別に、2025年12月に首相主導で導入が決まったディープフェイク広告規制 が、日本のマーケティングDX担当者にとってインパクト大です。

具体的には、AI で生成・編集された写真・動画・音声を広告に使う場合、視認可能なラベル（「AI生成」「実在しない映像」等）の表示が義務化されました。違反した場合、被害者は通常の損害賠償に加えて 最大5倍までの懲罰的賠償 を請求できます。これがいわゆる「5倍損害賠償」（5배 손해배상）制度です⁵。

5倍という数字は韓国独自です。米国の懲罰的賠償（punitive damages）には州ごとの上限制限があり、テキサスは通常損害の2倍＋75万ドル、フロリダは3倍までといった具合に州法でばらつきます。韓国の「実損の最大5倍」は、米国の懲罰的賠償の感覚で読むとかなり重い設計です。

実装はネットワーク法（「情報通信網利用促進および情報保護等に関する法律」）改正で行われ、SNS・動画プラットフォーム・広告配信プラットフォームに 強制ラベリング義務 が課されます。日本企業がインフルエンサーマーケティングやAI生成バナーを韓国向けに展開する場合、(1)生成時点でのラベル埋込み、(2)プラットフォーム提出時の宣言、(3)被害発生時の5倍賠償リスク評価 の3点セットを運用に組み込む必要があります。

「日本向けには表示しなくていい」では済まないことに注意してください。グローバルキャンペーンを韓国ユーザーが視聴した時点で適用対象になります。米国 TRAIGA の域外適用設計と同じく、「韓国ユーザーが1人いれば適用」 という広範な射程です。

ハードロー国の連鎖反応に備える ─ WARP SECURITYの活かし方

EU AI Act（2026年8月2日から一般適用。ただし高リスクAIの実体義務は Annex III 型が2027年12月2日、Annex I 型が2028年8月2日）、韓国 AI基本法（2026年1月施行）、ベトナムAI法（2026年3月施行）。私が 「2026年は東アジア・東南アジアのハードロー連鎖反応の年」 と呼んでいるのは、この3つが短期間に連続して動き出したからです。

TIMEWELL の WARP SECURITY では、こうした マルチジュリスディクション規制 の同時対応を、机上ではなく実機で組み立てる支援を始めました。テーブルにEU AI Act の Annex III チェックリスト、韓国の第43条罰則対象リスト、ベトナムのリスク分類対照表を並べて、自社の AI ユースケース1本ずつに 「どの法域でどの義務が発火するか」 をマッピングしていく作業です。

具体的に多いのは次の3パターンです。

• 生成AIラベリング基盤の統合設計：EU・韓国・インド・カリフォルニア（SB 942）・中国それぞれが微妙に違う要件を出しているため、最大公約数の技術仕様を1本決めて全法域に適用
• 国内代理人ネットワークの構築：EU・韓国の代理人指定義務に加え、今後ベトナム・インドネシアでも類似制度が出るため、地域代理人の標準契約テンプレ を社内で持つ
• 多言語ラベリングの監査ログ設計：5倍損害賠償（韓国）、最大250億ルピー（インドDPDP）といった重い罰則を視野に入れ、ラベリングが実際に表示されたことを証拠化する仕組み

特に韓国向けの法務窓口を東京の本社で巻き取ろうとして失敗する例を立て続けに見ています。本社の法務部が韓国語で照会を受けて対応できなければ、代理人指定の意味がない。3か月以内に 「韓国向け事業のすべての AI ユースケースを、誰が法務上の責任者か」 を明確化することを、私からは強く勧めています。

グレースピリオドが終わるのは2027年1月です。代理人の選定・契約から、MSITからの照会に本社が応答できる体制づくりまでを逆算すると、期限間際に着手して間に合う工程ではありません。

2026年8月時点の最新動向 ─ EU AI Act の適用スケジュールを正確に把握する

本記事の初出以降、この「ハードロー連鎖反応」を象徴する動きが続いています。最も大きいのは EU 側で、AI Act（Regulation (EU) 2024/1689）を改正する Digital Omnibus が Regulation (EU) 2026/1744 として成立 したことです。2026年7月8日採択、EU官報（OJ L 2026/1744）掲載は2026年7月24日、発効は2026年7月27日。政治合意の段階ではなく、すでに施行された法令として読む必要があります。

ここで日本企業が最も間違えやすいのが、「2026年8月2日に EU AI Act が全面適用され、高リスクAIの義務が一斉に発火する」 という理解です。これは誤りです。改正後の第113条を読むと、一般適用日が2026年8月2日である点は変わっていませんが、高リスクAIの実体義務はそこから外れています。

日付	その日から適用されるもの
2025年2月2日	第1章（総則・定義・第4条 AIリテラシー）、第2章（第5条 禁止AI行為）
2025年8月2日	第3章 第4節（通知機関）、第5章（GPAIモデル）、第7章（ガバナンス）、第12章（罰則 第99条・第100条）、第78条。第101条のみ除外
2026年7月27日	改正法 2026/1744 の発効。あわせて AI Act 第102条〜第110条（他法令改正条項）の適用開始
2026年8月2日（一般適用日）	第4章（第50条 透明性義務）、第3章 第5節（第40条〜第49条：整合規格・適合性評価・CEマーキング・登録）、第6章、第8章〜第11章、第101条（欧州委員会のGPAI制裁金権限）
2026年12月2日	新設の禁止行為（第5条(1)(ba)(bb)、第5条(1a)(1b)）。加えて新設の第111条(4)＝2026年8月2日より前に上市された合成コンテンツ生成AIのプロバイダーは、この日までに第50条(2)へ適合
2027年8月2日	第111条(3)＝2025年8月2日より前に上市されたGPAIモデルの適合期限
2027年12月2日	Annex III 型の高リスクAI（第6条(2)） に第3章 第1〜3節が適用。第22条（EU代理人）、第25条（バリューチェーン）、第26条（deployer義務）、第27条（FRIA）もここで発動
2028年8月2日	Annex I 型の高リスクAI（第6条(1)＝製品組込み型） に同じ義務が適用
2030年8月2日／2030年12月31日	第111条(2)（公的機関による利用）／第111条(1)（Annex X の大規模ITシステム）

つまり2026年8月2日から動き出すのは、第50条の透明性義務と、汎用AI（GPAI）プロバイダーに対する欧州委員会の制裁金権限（第101条）ほか であって、高リスクAIの実体義務ではありません。GPAI関連の制裁は最大1,500万ユーロまたは全世界売上高の3%、第5条の禁止行為違反は最大3,500万ユーロまたは全世界売上高の7%です（Regulatory framework on AI（European Commission））。韓国の第43条が最大3,000万ウォン止まりであることと比べると、罰則の桁の差はいっそう際立ちます。

なお第50条の透明性義務が2026年12月2日へ前倒しされたという説明を見かけますが、これも誤りです。第4章は第113条第3段落のどの例外にも挙げられておらず、第50条は2026年8月2日適用のまま。2026/1744 が改めたのは第50条(7)（実践規範）のみで、実体義務である(1)〜(6)は無改正です。2026年12月2日に起きるのは、新設の禁止行為の開始と、第111条(4)の既存システム経過措置の期限という2点です。

既存の高リスクAIの経過措置（第111条(2)）も改正されました。すでに上市されている高リスクAIは、第3章の適用日以降に設計へ重大な変更（significant changes in their designs）を加えた場合にのみ 義務の対象になります。基準日は2026年8月2日固定ではなく、第3章の適用日（2027年12月2日／2028年8月2日）に連動する形へ変わりました。

あくまで筆者の見立てですが、日本企業がEU側の重い義務を軸に共通の生成AIラベリング基盤を設計しておけば、韓国の代理人指定・通知義務にはその一部で対応しやすくなるはずです。国内側では個人情報保護法の2026年改正も並走しており、越境データと合わせて確認しておきたい論点です。

まとめ

• 韓国 AI基本法は 世界2番目の包括的AI法。2026年1月22日施行、2027年1月までグレースピリオド
• 罰則対象は第43条の3類型のみ：国内代理人不指定、利用者通知義務違反、是正命令違反。各最大3,000万ウォン
• 国内代理人指定義務 は日本企業の最優先課題。グローバルSaaS の大半が対象
• 高影響AIは 10セクター限定列挙。HR Tech・与信・SaMDが特に該当しやすい
• ディープフェイク5倍損害賠償 は独自設計。韓国ユーザーが視聴するグローバル広告にも適用

韓国の規制設計を見ていると、「EU と米国の中間に立つ」 という第三のスタンスが見えてきます。EU ほど厳格ではないが、米国ほど野放しでもない。罰則は控えめだが、ラベリングと代理人指定だけは確実に守らせる。「Made in Korea」という強いブランド意識と、市民社会との折り合いをつけた現実主義の産物だと感じています。

日本企業がアジア圏のAI規制を考えるとき、韓国は「最初に動く国」として見ておくべき市場です。ここで失敗すると、ベトナムでも、後続のインドネシア・タイでも同じ失敗を繰り返すことになります。

合わせて読みたい：EU AI Act デジタル簡素化と2026年スケジュール、カリフォルニア州AI規制3本、テキサスTRAIGAとニューヨークRAISE Actの比較。

参考文献

• South Korea's New AI Framework Act: A Balancing Act - Future of Privacy Forum
• One Law Sets South Korea's AI Policy - ITIF
• South Korea: Comprehensive AI Legal Framework Takes Effect - Library of Congress
• Korea's new AI Basic Act: Characteristics and significance - Law.asia
• Global AI Governance Law and Policy: South Korea - IAPP

Footnotes

1. South Korea's AI Basic Act: Overview and Key Takeaways - Cooley ↩

2. South Korea's Revised AI Basic Act to Take Effect January 22 - BABL AI ↩

3. South Korean Ministry of Science and ICT Issues Package of Regulations - Baker Botts ↩

4. S. Korea: Draft decree for AI Basic Act spark backlash - Business and Human Rights Centre ↩

5. Deepfake Regulation: Korea Orders AI Ad Labels - AI CERTs News ↩