EU AI Act 全面施行で日系企業が今やるべきこと──「対岸の規制」が国内ルールになるまで

EU AI Act が2026年8月で全面施行。EU 市場に AI 製品を出していない企業も「Brussels効果」で無関係でいられない。リスク分類・データガバナンス・透明性義務、そして日本のAI規制が後追いする時期を読む。

KIYODO2026-06-1000

#EU AI Act#AI規制#コンプライアンス#企業法務#Brussels効果

EU AI Act は 2024年8月発効、2026年8月に全面施行 という長い助走期間を経て、ついに罰則を伴う規制になる。GDPR と同様、これは EU 域内だけの話では終わらない。日系企業が今やるべきことを整理する。

EU AI Act の核心は「リスク階層」

AI システムを4階層に分類：

禁止（Unacceptable Risk）：ソーシャルスコア、サブリミナル操作、リアルタイム顔認証（公的機関による例外あり）→ 全面禁止
高リスク（High Risk）：採用・与信・教育評価・医療・重要インフラ → 適合性評価+登録+モニタリング義務
限定リスク（Limited Risk）：チャットボット、deepfake、感情認識 → 透明性義務（AI使用の開示）
最小リスク（Minimal Risk）：スパムフィルタ、ゲームAI → 規制なし

罰金は最大 3,500万ユーロまたは年間世界売上高の7%（GDPR の4%より厳しい）。

「Brussels効果」で日本企業も無関係でいられない

GDPR がそうだったように、EU の規制が事実上の世界標準になる。理由：

EU に製品やサービスを提供する企業は当然対象
グローバル本社で AI ポリシーを統一する方が現実的（地域ごとに変えるとコスト爆発）
日本政府の「AI推進法」「重要AI制度」が EU AI Act を参考に2027年頃整備されると噂

つまり 今のうちに EU 対応を進めておけば、国内対応のコストも下がる。

日本企業が今すぐやるべき5項目

1. AI 利用棚卸し（AI Inventory）

社内で使われている AI / LLM / 機械学習モデルを 全部リストアップ。誰が、どのシステムで、何の目的に、どの提供元のAIを使っているか。OpenAI API も Claude API も Copilot も Gemini Workspace も全部対象。

意外と多くて、上場企業でも100以上の AI 利用ポイントが出てくる。

2. リスク分類の自社判定

各 AI 利用を EU AI Act の4階層 に当てはめる。高リスク（採用・与信・医療）に該当するなら、適合性評価の準備を始める必要がある。

特に HR Tech は要注意。AI による履歴書スクリーニング、面接動画解析、性格適性判定は 全部高リスク。

3. 透明性義務への対応

カスタマー対応チャットボット → 「これはAIです」の明示
AI 生成画像・動画・テキスト → 機械可読な識別子（C2PA等）の付与
重要な意思決定で AI を使った場合 → ユーザーに通知

4. データガバナンスの強化

高リスク AI 用の学習データは 代表性・正確性・バイアス検証 が必須。社内データを LLM ファインチューニングに使う場合、個人情報含有・偏り検査の記録が必要になる。

5. AI 推進部署と法務の常設会議

「AI を使いたい部署」と「コンプライアンス・法務・情報セキュリティ」の間で 月次会議 を回す体制。少なくとも 2027年までは新規 AI 案件は全部レビューが望ましい。

中堅・中小企業はどうするか

「うちは EU に売ってないから関係ない」は通用しない。

国内大手の サプライヤー監査 で EU AI Act 準拠の確認を求められる
取引銀行・損保が AI 利用調査 を始めている
求人で「AI 倫理担当」「責任ある AI 推進」のポジションが急増

500人規模以上の企業は今年中に AI Policy をドラフト、200人規模以下は 業界団体のガイドラインに従う体制、を作っておくのが最低ライン。

日本の AI 規制はいつ来るか

経産省・総務省・内閣府が 2027年に「重要AI制度」 を整備する方向。EU AI Act の「高リスク」概念を踏襲しつつ、罰則は緩めの「ガイドライン+業界自主規制」型になる見込み。

ただし 医療AI・自動運転・金融 AI は厚労省・国交省・金融庁の縦割りで個別に厳格化が進んでいる。横断的な議論は遅いが、業界別では既に動き始めている。

個人ユーザーへの影響

ChatGPT・Claude・Gemini の出力に 「AI生成」表示の義務化 が EU 経由で広がる
AI 採用面接で「AI を使うか / 人間がレビューするか」の開示が必須化
日本国内でも 2027年から類似の規制が始まる

EU AI Act は「過剰規制」批判もあるが、情報の非対称性を是正する という目的は理にかなっている。日本企業は文句を言うより、半年早く対応を始めた方が得だ。