EU AI法とは。4段階のリスク分類と、日本企業への影響
EU AI法は、EU域内の規制でありながら、域外の企業にも影響します。この記事では、何がどこまで規制されるのか、日本企業は何を準備すべきかを整理します。
どういう法律か
EU AI法（Regulation (EU) 2024/1689）は、AIを対象とした包括的な規制として、世界で初めて成立したものとされます。
特徴は、リスクに応じて規制の強さを変える設計です。すべてのAIを一律に扱うのではなく、用途と影響で段階を分けます。
そして、域外の事業者にも適用されます。EU域内で使われる可能性があれば、どこの企業であっても対象になりうる構造です。
GDPRが世界のプライバシー実務を変えたのと同じ構図で、EUの規制が事実上の国際標準になる現象が、AI領域でも起きつつあります。
リスクの4段階
規制の中心にあるのが、この分類です。
- 許容できないリスク／禁止される用途。社会的評価による選別、特定の生体認証など
- 高リスク／厳格な要件が課される。採用、与信、教育、医療、重要インフラなど
- 限定的なリスク／透明性の義務。AIとのやり取りであることの明示、生成物の表示
- 最小限のリスク／特段の義務なし。多くの一般的な用途がここに含まれる
実務で最も影響が大きいのは2つ目です。人の権利や機会に関わる判断にAIを使う場合、記録の保持、人による監督、精度の検証などが求められます。
採用選考や与信の判断にAIを使う設計は、この区分に該当する可能性があります。
透明性の要件
3つ目の区分にあたる透明性の義務は、多くの企業に関わります。
AIとやり取りしていることを利用者に知らせる。チャットボットなどが該当します。
AI生成物であることを、機械が読み取れる形で示す。この要件が、生成テキストへの不可視の透かし導入につながっています。
実際、Anthropicは2026年8月から、Claudeの生成テキストに機械可読な印を埋め込むと発表したと報じられています。EU域内の規制対応でありながら、適用は全世界に及びます。
モデル側に組み込まれるため、利用者は選べません。規制対応が製品仕様として降りてくる構造です。
日本企業への影響
自社が対象になるかを判断する材料を整理します。
直接の対象になる場合。EU域内に製品やサービスを提供している、EU域内の利用者がいる、EU企業と取引がある。
間接的に影響を受ける場合。利用しているAIサービスの提供元が対応した結果、その仕様が自社にも及ぶ。透かしの事例がこれにあたります。
対象外に見えても、確認は必要です。自社製品が代理店経由でEU域内に流通している場合もあります。
国内のAI事業者ガイドラインは拘束力のないソフトローですが、EU AI法には罰則があります。この違いは大きく、対応の優先度が変わります。
何を準備するか
実務として着手できることを挙げます。
第一に、使用状況の棚卸し。どの業務でAIを使い、どの用途に該当するか。把握できていない組織が多いのが実情です。
第二に、高リスク用途の特定。人の権利や機会に関わる判断に使っていないか。採用、評価、与信、選別。
第三に、記録の整備。どのモデルを使い、どう判断したか。事後に説明できる状態にしておきます。
第四に、人による確認工程の確保。自動で完結する設計を避け、判断に人が関与する箇所を残します。
いずれも技術ではなく運用の設計です。規制の細部が変わっても、この4点を整えていれば対応できます。
この動きをどう捉えるか
最後に、規制を負担としてだけ見ない視点を示します。
ルールが定まることには利点もあります。何をしてよいかが不明確な状態では、企業は投資を判断できません。
日本は生成AIの利用が他国より遅れているとされます。個人の利用経験率で26.7％、米国68.8％、中国81.2％という差があります。
後から入る側は、ルールが定まった状態で始められるという面があります。手探りで進めた先行者より、整った条件で設計できます。
問われるのは、規制を避けることではなく、規制の中で使える形を設計できるかです。開示を前提にした使い方を先に決めた組織のほうが、結果として自由に使えるようになります。
適用の段階
この法律は、一度にすべてが施行されるわけではありません。
規定ごとに適用の時期が分かれています。禁止される用途に関する規定が先に適用され、高リスク用途に関する要件は後になるという構成です。
この段階的な設計は、事業者に準備の期間を与えるためとされます。
実務的な意味は、いま対象でなくても将来対象になる可能性があることです。現時点で要件がないからと放置すると、後で対応が必要になります。
適用の時期と要件は、公式の情報で確認すべきです。解説記事には誤りや古い情報が含まれる場合があります。制度は変更されることもあるため、最新の状況を一次資料で確認してください。
他の規制との関係
AI法だけを見ていると、全体像を誤ります。
GDPRとの重複があります。AIが個人データを扱う場合、両方の規制が適用されます。
製品安全に関する規制とも関係します。AIが組み込まれた製品では、既存の安全基準も適用されます。
各国の国内法も存在します。EUの規則に加えて、加盟国が独自に定める部分があります。
日本企業にとっては、複数の規制が重なる構造を理解する必要があります。
専門家への相談が現実的です。自社で全体を把握しようとすると、判断を誤る可能性があります。
本文中の数値は各調査時点のものです。調査主体により定義や推計方法が異なるため、出典を確認のうえご参照ください。
人材をお探しの企業さまへ
イーランサーでは、専任担当がご経歴と希望条件を整理したうえで案件をご提案し、条件面の調整もお手伝いしています。すぐに稼働できる状態でなくても、情報収集としてご相談いただけます。
ご登録いただいた情報が企業に公開されることはありません。氏名・連絡先を伏せたスキルシートを使用します。登録から案件のご紹介、契約手続きまで費用は一切かかりません。
相談する