EU AI Act 日本企業の対応2026｜域外適用の判定基準とリスク分類別アクション完全ガイド

「日本企業には関係ない」では済まない、EU AI Act の域外適用

EU AI Actには域外適用があり、サーバや本社が日本でもEU所在者に影響を与えるAIは規制対象になります。

EU AI Act（EU人工知能法）は2024年8月に発効し、段階的に適用が始まっています。2025年2月には禁止AIに関する規定が、2025年8月にはGPAI（汎用AIモデル）に関する規定が適用開始となり、2026年8月には大部分の規定が全面適用を迎えます。「EUの規制だから日本企業には関係ない」という認識は、もはや通用しません。

EU AI Actには明確な「域外適用」条項があります。EU市場でAIシステムを提供する場合はもちろん、EU所在の自然人に影響を与える出力を生成するAIシステムも、提供者の所在地に関わらず規制対象になります。日本企業が自社サービスを多言語展開していたり、欧州拠点を持つグローバル企業の場合、ほぼ確実に対象に含まれます。

一方で、すべてのAIシステムが同じ義務を負うわけではありません。EU AI Actは「リスクベース・アプローチ」を採用しており、AIのリスクレベルに応じて義務の重さが大きく異なります。最も厳格な義務が課される「高リスクAI」に該当するかどうかが、対応規模を決める最初の分岐点です。

本記事では、日本企業が押さえるべき「域外適用の判定基準」「リスク分類別の義務」「対応アクション」「施行タイムライン」を、実務で意思決定に使える粒度で整理します。法務担当者・経営層・DX推進責任者が、自社の対応スコープと優先順位を組み立てるための起点としてご活用ください。

EU AI Actの全体像 ― リスクベース・アプローチと4つのカテゴリ

AIをリスクの大きさで4分類し、それぞれに異なる義務を課す構造。さらにGPAIには別建ての規制があります。

EU AI Actは、AIシステムを「もたらすリスクの大きさ」で4つのカテゴリに分類し、それぞれに異なる義務を課す構造になっています。さらに、これとは別に「汎用AIモデル（GPAI）」に対する独自の規制が設けられています。

分類A：4つのリスクカテゴリ

分類B：対応設計の出発点 ― 「高リスクAI」該当性の見極め

実務的に最も重要なのは「自社AIが高リスクAIに該当するか」の判定です。高リスクAIに該当した瞬間、対応すべき義務が桁違いに増えます。具体的には、リスク管理システムの構築、データガバナンスの整備、技術文書の作成、ログ記録、人間による監督、適合性評価、EUデータベースへの登録、市場投入後のモニタリングなどが義務化されます。

禁止AI・限定的リスクAI・最小リスクAIは、義務の有無や軽重が比較的明確です。最も判断に迷うのが「高リスクAI」のスコープであり、本記事でも重点的に整理します。

分類C：汎用AIモデル（GPAI）に対する別建ての規制

基盤モデル（GPT・Claude・Gemini等の汎用LLMの提供者）には、4カテゴリとは別に独自の義務が課されています。技術文書の作成、著作権遵守ポリシーの整備、訓練データの概要公表、システミックリスクモデル（計算能力10^25 FLOPS超）に対する追加義務などです。

日本企業がGPAI提供者になるケースは限定的ですが、GPAIを利用してAIシステムを構築する場合、上流（GPAI提供者）の遵守状況を確認・記録する責任が発生します。利用者であっても、提供元のコンプライアンス情報の取得・管理が必要になる点に注意が必要です。

日本企業のための「対象判定フロー」 ― 域外適用の3つの問い

『EU市場で提供しているか／EU所在者に影響するか／どのリスクカテゴリか』の順で確認します。

自社が規制対象となるかを判定する出発点は、3つの問いに答えることです。「EU市場で提供しているか」「EU所在者に影響を与えるか」「どのリスクカテゴリか」の順で確認します。

問い1：EU市場でAIシステムを提供しているか

EU域内のユーザー・顧客・取引先に向けてAIシステムを提供している場合、提供者・利用者ともに規制対象になります。具体的には次のようなケースが該当します。

• EU所在の企業に対するSaaS／AIサービスの提供
• EU所在の消費者向けにAIを組み込んだ製品・アプリを提供（B2C含む）
• EU子会社・現地法人を通じてAIシステムを欧州市場で展開している
• EU向けにグローバル製品を販売しており、その製品にAI機能が含まれる

問い2：EU所在の自然人に影響を与える出力か

EU AI Actは、提供者の所在地に関わらず、「EU所在の自然人にAIシステムの出力が影響を及ぼす場合」に適用されます。これが本法の最大の特徴である域外適用条項です。

例えば、日本で開発・運用しているAIモデルでも、EU所在の人に対するリスクスコアリングや採用判定、信用評価などを行う場合、本法の規制対象に含まれます。「サーバが日本」「会社が日本」だけでは対象外にはなりません。

• EU所在の応募者を採用判定する人事AI
• EU所在の顧客の与信判断を行う金融AI
• EU所在のユーザーに対する自動推奨・パーソナライゼーション（高リスクに該当する場合）
• EU所在の自然人の生体情報・感情・属性を判定するAI

問い3：どのリスクカテゴリに該当するか

対象になる場合、次に判定すべきは「どのリスクカテゴリに該当するか」です。前述のとおり、高リスクAIに該当すると義務が桁違いに増えるため、ここの判定が対応規模を決定します。

自社AIが「附属書IIIの分野」に該当するかどうかは、法務担当者がEU AI Act条文を直接参照して判断する必要があります。グレーゾーンの場合は、EU域内の法律事務所や認定機関に相談することが推奨されます。

高リスクAIに該当する場合の主要義務

提供者には10の義務、利用者にも7の義務。提供者の方が桁違いに重いが、利用者も無視できません。

自社AIが高リスクAIに該当する場合、提供者と利用者の双方に複数の義務が課されます。提供者の方が義務の数も重さも大きくなりますが、利用者にも一定の義務があります。

立場A：提供者（Provider）の主要義務

立場B：利用者（Deployer）の主要義務

「高リスクAI」を業務に組み込んで使う側（利用者）にも、軽くない義務があります。日本企業の多くは、まずは利用者側の義務を整理することから始めることになります。

用途遵守：提供者が指定した使用範囲を超えて利用しない。

人間による監督：AIの判断を人間が監督・必要に応じて覆せる体制。

入力データの管理：AIに与えるデータが目的・代表性・正確性の要件を満たすこと。

ログ管理：自社で取得したログの一定期間（通常6ヶ月）の保管。

インシデント報告：重大なインシデント発生時の提供者・当局への報告。

従業員への通知：従業員に高リスクAI利用を通知（職場での利用時）。

基本権影響評価（FRIA）：一部の公的機関・公共サービス提供者には基本権影響評価が義務。

日本企業が着手すべき5つの対応アクション

インベントリ棚卸し→文書整備→適合性評価→登録・CEマーキング→継続モニタリングの5段階で進めます。

対象判定と義務の整理ができたら、次は実行フェーズです。日本企業が着手すべき5つの対応アクションを、担当部門と期限の目安とともに整理します。

アクション1：AIインベントリの棚卸しとリスク分類

最初に行うべきは、社内で開発・利用しているAIシステムをすべて棚卸しすることです。「自社のどこに、どんなAIがあるか」を把握しないと、対応の優先順位が決められません。

• 社内開発AI、外部から導入したAI、SaaS型AIをすべてリストアップ
• 各AIシステムを「禁止／高リスク／限定的リスク／最小リスク」の4カテゴリに仮分類
• 高リスク該当の可能性があるものは、法務・経営層も含めた合議で判定
• インベントリは継続的に更新（新規AI導入時の棚卸しプロセスを定着）

アクション2：技術文書・データガバナンスの整備

高リスクAIに該当する場合、技術文書（Technical Documentation）の作成は最も工数の大きい作業の1つです。AIシステムの仕様、訓練データ、性能評価、リスク低減策などを数百ページ規模で記述する必要があります。

既存のAIシステムでこの文書が整備されていないケースが大半のため、遡及的な文書整備が現実的な課題になります。社内でテンプレートを整備し、AIプロジェクトのライフサイクルに文書化を組み込むことが、長期的な負荷軽減につながります。

アクション3：適合性評価の実施

適合性評価（Conformity Assessment）は、高リスクAIが本法の要件を満たしていることを確認するプロセスです。多くのケースで「内部評価（自己評価）」が選択できますが、生体認証など一部の高リスクAIは第三者機関による評価が必要です。

• 自己評価で済むか・第三者評価が必要かを早期に確認
• 第三者評価が必要な場合、認定機関（Notified Body）の選定と調整に数ヶ月かかる
• 評価プロセスでの指摘事項への対応工数を想定

アクション4：EU AIデータベース登録／CEマーキング

高リスクAIは、EU運営のデータベースへの登録が義務付けられます。登録される情報は一般に公開されるため、競合に開示してよい情報の範囲を法務と合意する必要があります。

また、AIシステムにCEマーキング（EU適合宣言）を貼付することも義務化されます。物理製品に組み込まれているAIの場合、製品ライフサイクル全体での管理が必要になります。

アクション5：継続モニタリング体制の構築

市場投入後のモニタリング（Post-Market Monitoring）は、施行後も継続的に必要な義務です。AIシステムの稼働状況、インシデント、性能劣化、バイアスの発生などを継続的に監視し、必要に応じて当局に報告する体制が必要です。

生成AIの監査ログ設計で扱った監査ログ基盤は、このモニタリング要件を満たすための実装基盤として機能します。EU AI Act対応の文脈で監査ログ基盤を整備すると、社内のAIガバナンス全体の底上げにつながります。

施行タイムライン ― いつまでに何を完了させるか

2026年8月の全面適用が最大の節目。残された時間が短い案件は『最低限の義務違反回避』を優先します。

EU AI Actは段階的に適用されています。すべての義務が一斉に発効するわけではないため、自社AIの該当カテゴリと適用時期の対応関係を正確に把握することが必要です。

2026年5月時点の対応緊急度

2026年5月現在、最も緊急性が高いのは「2026年8月の全面適用」に向けた準備です。残り3ヶ月での新規対応は現実的でないため、対応未着手の企業は「重要な義務違反を回避するための最低限の対応」から優先する判断が必要です。

最優先：禁止AIに該当する利用がないかの確認（既に施行済み）。

次優先：高リスクAIの該当性判定（市場投入が2026年8月以降の場合、対応工数が大きい）。

継続：技術文書・適合性評価・モニタリング体制の構築（並行的に進める）。

罰則・実務的影響と、国内法（AI事業者ガイドライン）との関係

罰金は全世界年間売上の最大7%。日本のAI事業者ガイドラインと併せた『二段構え』で社内整備するのが効率的です。

EU AI Actの罰則は、GDPR（一般データ保護規則）と並ぶ厳しさを持ちます。違反内容によって複数階層の罰金が設定されています。

罰金以外の実務的影響

罰金は最終手段であり、実務的にはそれ以前のリスクの方が経営に影響します。

• 市場投入差し止め：適合性評価の不備によりEU市場での販売・提供が停止される
• 製品リコール：既販売製品のEU市場からの撤去要請
• 当局調査の対応コスト：監督当局からの照会・調査への対応工数（数ヶ月〜年単位）
• 取引先からの遵守確認要請：BtoB取引でのコンプライアンス証明書提示要求の増加
• レピュテーションリスク：違反事例の公表による企業ブランドへの影響

国内法（AI事業者ガイドライン等）との関係

日本では、経済産業省・総務省合同の「AI事業者ガイドライン」が事業者の指針として整備されています。EU AI Actとは構造が異なり、現時点では「法的拘束力のないガイドライン」ですが、国際的な規制トレンドと連動した内容が含まれています。

日本企業の現実的な対応としては、「AI事業者ガイドラインを土台に社内ルールを整備し、EU向け事業がある場合はEU AI Actの追加義務を上乗せする」 という二段構えが効率的です。両者は思想的に共通する部分も多く、社内ガバナンスの基盤を一度作れば、地域別の追加要件は差分管理で対応できます。

ISO 42001（AIマネジメントシステム）の認証取得も、EU AI Act対応の有力な手段です。ISO 42001はEU AI Actの要件と相当部分が重なっており、認証取得が直接的な遵守証明として機能する可能性があります。

まとめ：EU AI Actは「対応すべき経営課題」

規制対応を負担と捉えるだけでなく、社内AIガバナンス基盤を整備するきっかけと位置付けることで競争力につながります。

• EU AI Actには域外適用があり、日本企業も対象になりうる。「EU所在者に影響を与えるか」が判定の起点
• リスクベース・アプローチで4カテゴリ（禁止／高リスク／限定的／最小）に分類。高リスクAI該当性が対応規模を決める
• 対応アクションは5つ（インベントリ棚卸し／文書整備／適合性評価／登録・CEマーキング／モニタリング）
• 2026年8月の全面適用が最大の節目。残り3ヶ月で未着手の企業は最低限の義務違反回避を優先
• 罰金は全世界年間売上の最大7%。市場投入差止め・リコール・取引先要請等の実務的影響も大きい
• 日本のAI事業者ガイドラインと併せて二段構え。ISO 42001認証も有効な対応手段の1つ

EU AI Actは「規制対応」のテーマであると同時に「AI活用の経営課題」でもあります。規制を負担と捉えるだけでなく、自社のAIガバナンス基盤を整備するきっかけと位置付けることで、長期的な事業競争力につながります。

特に高リスクAIを開発・提供している企業にとって、本法対応は単独施策ではなく、データガバナンス・AIライフサイクル管理・モニタリング体制という社内基盤の整備プロジェクトです。AI事業者ガイドラインへの対応、社内ガイドライン策定、監査ログ基盤の構築といった既存の取り組みと統合しながら進めることが、もっとも費用対効果の高いアプローチです。

本記事の判定フロー・対応アクション・タイムラインを起点に、自社のスコープと優先順位を設計してください。EU AI Act対応は、2026年8月で完結するのではなく、その先の継続モニタリングまで含めた長期プロジェクトとして位置付けることが重要です。