EU AI Act、8月施行。日本企業が今すぐやること

あなたのAIサービス、EUで使われていませんか？

突然ですが、質問させてください。

あなたの会社やチームが使っているAIツール、あるいはあなた自身が開発に関わっているサービス——そのユーザーの中に、EU在住の人はいませんか？

「うちはヨーロッパと関係ないから」と思った方、ちょっと待ってください。実はこれ、かなり重要です。

2026年8月、EU AI Actの主要条項がついに完全施行を迎えました。日本国内で開発・運営していても、サービスのエンドユーザーがEUにいれば、原則としてこの規制の対象になります。GDPRのときと同じ構図ですよね。「自分たちには関係ない」と思っていた日本企業が、数年後に対応を迫られた、あの経験です。

私自身、ライターとして複数のスタートアップの広報やコンテンツ制作を支援していますが、この数ヶ月で「EU AI Actってうちも対応しなきゃいけないの？」という相談が一気に増えました。そこで今回は、現場で私が見聞きしたリアルな話を交えながら、日本企業が今やるべきことを整理してみます。

EU AI Actって、結局何をしている法律なの？

AIをリスクに応じて4段階に分類する

EU AI Actの核心は、AIシステムをリスクレベルで分類し、リスクが高いほど厳しい義務を課す、という仕組みにあります。具体的には以下の4段階です。

• 容認できないリスク（Unacceptable Risk）：原則禁止。潜在意識を操作するAIや、ソーシャルスコアリングなど。

• - 高リスク（High Risk）：医療、採用選考、教育評価、インフラ管理など。透明性確保・人間による監視が義務。

• - 限定的リスク（Limited Risk）：チャットボットなど。ユーザーへの開示義務あり。

• - 最小リスク（Minimal Risk）：スパムフィルターなど。規制はほぼなし。

採用システムにAIを使っている、医療系アプリを開発している、あるいは教育系のサービスを手がけている——そういう方は「高リスク」カテゴリに引っかかる可能性があります。

GPAIモデルへの規制も見逃せない

もうひとつ重要なのが、GPAI（汎用AIモデル）への規制です。ChatGPTのような大規模言語モデルを提供する事業者は、モデルの能力や学習データに関する技術文書の提出と、著作権法遵守のための方針開示が求められます。

計算量が10の25乗フロップを超える「システミックリスクモデル」に該当する場合は、さらに厳格な評価・インシデント報告義務が加わります。日本のAI開発企業が自社でLLMを開発しているなら、ここは必ずチェックしてください。

「うちは関係ない」が一番危ない理由

域外適用という現実

GDPRで学んだことを思い出してほしいのですが、EU法の「域外適用」は本当に厳しいんです。EU AI Actも同様で、EU域内でAIシステムの出力が利用される場合、開発者・提供者がEU外にいても規制対象になります。

違反した場合の制裁金は、最大で全世界年間売上高の3〜7%。高リスクAIに関する義務違反なら3%、禁止されたAIの使用や虚偽情報の提供なら7%です。売上1億円の企業なら最大700万円、売上100億円なら最大7億円。他人事ではないですよね。

私がよく話す、あるSaaSスタートアップの話をさせてください。従業員20名ほどで、採用支援AIを開発していた会社です。国内向けのつもりで作ったサービスが、パートナー企業経由でヨーロッパの企業に導入されていた。それに気づいたのが施行の3ヶ月前。そこから大急ぎで対応ドキュメントを整備することになり、かなりのコストと工数がかかったと聞いています。早く気づいていれば、設計段階で組み込めたものを、と担当者が悔しそうに話してくれました。

じゃあ、日本企業は今何をすればいい？

Step1：まず自社AIをリスク分類してみる

最初にやることは、自社のAIシステムが何に当たるかを確認することです。難しく考えなくていいです。こんな問いを立ててみてください。

「このAIの判断が、特定の人の人生や権利に影響を与えるか？」

採用の合否、ローン審査、医療診断のサポート、学校の評価——こういった領域に絡んでいれば「高リスク」に該当する可能性が高い。逆に、社内の議事録を要約するだけのAIや、コンテンツのレコメンドをするだけなら、リスクは低い方に分類されることが多いです。

まずはこのリスク分類を、エンジニア・法務・ビジネスサイドの3者で話し合う場を作ることを強くおすすめします。

Step2：透明性のためのドキュメントを整備する

高リスクAIに該当した場合、必要になるのが技術文書と使用説明書の整備です。具体的には「このAIはどんなデータで学習したか」「どんな精度でどんな限界があるか」「人間がどう監視するか」といった情報を文書化します。

これ、面倒に聞こえますが、実はやってみると自社サービスの品質管理にもすごく役立つんです。私が取材した複数の開発チームが口を揃えて言っていたのが「AI Actへの対応をきっかけに、自分たちのシステムをちゃんと言語化できるようになった」という点でした。義務だからやるのではなく、プロダクトをより良くするための機会と捉えてみてください。

Step3：ユーザーへの開示を見直す

限定的リスクのカテゴリであっても、チャットボットなどのAIを使っている場合、「あなたはいまAIと会話しています」という開示が義務になります。これ、すでにやっていますよね？

意外と抜け落ちているのが、AIが生成したコンテンツの明示です。画像、動画、テキスト——EU AI Actでは、AIが生成したコンテンツには機械可読な形での透かし（ウォーターマーク）の埋め込みが求められます。マーケティング素材やSNS投稿をAIで生成して使っているチームは、ここを今すぐ確認してみてください。

「対応が重荷」ではなく「信頼の設計」と捉えてほしい

正直に言います。EU AI Actへの対応は、コストも工数もかかります。中小企業やスタートアップには特に重荷に感じるでしょう。

でも、視点を変えてみてほしいんです。

GDPRが施行されたとき、プライバシーポリシーをきちんと整備した企業と、いい加減な対応をした企業とでは、その後のユーザーからの信頼度に大きな差が生まれましたよね。EU AI Actも同じです。「私たちのAIはこういうデータを使っていて、こういう限界があって、人間がこう監視しています」と説明できる企業は、ユーザーから選ばれる企業になっていく。

AIへの信頼が揺らいでいる今だからこそ、透明性と説明責任を武器にできる時代が来ていると私は思っています。

2026年8月の今、対応に追われているのは日本だけではありません。世界中の企業が同じスタートラインに立っています。だからこそ、今動けた企業が次の5年をリードする。私はそう信じています。

まとめ

EU AI Actは「ヨーロッパのルール」ではなく、AIを使って誰かのサービスを届けているすべての人が向き合うべき問いであり、あなたがそれに誠実に応えることが、これからの時代に「選ばれる理由」になる——だから今日、まず一歩だけ動いてみてください。