EU AI Act 日本企業対応ガイド
Last updated: 2026-04-17 · 約 10 分で読めます
EU AI Actは2024年8月発効の包括的AI規制で、2025-2027年に段階施行されます。日本の中小企業でも、EU顧客・EU取引先・上場準備がある場合は該当判定と対応整備が必要です。リスク分類に応じて透明性義務〜高リスクAIの適合性評価まで要求範囲が変わり、違反時は最大売上7%の罰金が科されます。ISO/IEC 42001 と重なる部分が多いため同時整備が効率的です。
EU AI Act とは
EU AI Act (EU人工知能法) は、欧州連合が2024年8月に発効させた世界初の包括的AI規制です。AIシステムを「許容不可」「高リスク」「限定リスク」「最小リスク」の4段階に分類し、分類に応じた義務を課す構造になっています。域外適用の仕組みにより、EU市場に製品・サービスを提供する日本企業も対象となります。用語の詳細は EU AI Act (用語集) をご参照ください。
日本企業への該当判定
日本の中小企業でも、以下のいずれかに該当する場合は EU AI Act の対象となる可能性があります。
- EU居住の顧客・従業員に対してAI機能を提供している
- AI出力がEU市場の意思決定に使用されている
- 欧州の親会社・取引先からコンプライアンス対応を要請されている
- 越境ECや海外向けSaaSでEU域内に販売している
- 将来的にEU市場進出を視野に入れている
該当可能性の自己診断には EU AI Act 対応レディネス・チェックリスト をご活用ください。
リスク4分類
- 許容不可 (Prohibited): 公共空間でのリアルタイム生体識別等。利用禁止
- 高リスク (High-Risk): 採用・与信・医療・重要インフラ等。適合性評価・技術文書・監視等を義務化
- 限定リスク (Limited Risk): チャットボット・ディープフェイク等。透明性義務 (AI利用の明示)
- 最小リスク (Minimal Risk): スパムフィルタ・AIゲームAI等。特別な義務なし
施行タイムライン
- 2025年2月: 禁止AIの適用開始
- 2025年8月: 汎用AI (GPAI) のルール適用
- 2026年8月: 高リスクAIの本格規制開始 (大半の要求事項)
- 2027年8月: 既存製品の高リスクAIへの全面適用
取るべき対応 優先度別
まずは以下の順で進めるのが中小企業にとって現実的です。
- 該当可能性チェック: 上記の5項目で自社の該当性を評価
- エージェント台帳の棚卸し: 利用中のAI・エージェントをリスク分類で整理
- 高リスク用途の優先対応: 該当がある場合は適合性評価・文書化の準備
- 透明性義務の実装: 限定リスク用途のAI利用明示
- ISO 42001 との統合: 同時整備でコストを最適化
ISO/IEC 42001 との関係
ISO/IEC 42001 (AIマネジメントシステム) は EU AI Act の要求事項の多くをカバーします。リスク管理・ログ保管・監視・文書化・継続改善の観点では両者の要求が重なります。一方で EU AI Act 固有の要件 (CEマーキング・適合性評価・EU代理人) は ISO 42001 でカバーされません。中小企業では、ガバナンス基盤として ISO 42001 を整備しつつ、EU AI Act 固有要件を追加対応する形が効率的です。用語の詳細は ISO/IEC 42001 をご参照ください。
よくある質問
Q. 日本国内で事業が完結していれば対応不要ですか？
A. 原則は対応不要ですが、EU居住の顧客・従業員に対してAI利用がある場合、EU取引先から監査・説明責任を問われる場合、将来的にEU市場進出を視野に入れる場合は、段階的な準備が合理的です。上場準備・大型資金調達での第三者デューデリジェンスでも論点化する可能性があります。
Q. 中小企業は適用除外になるのですか？
A. スタートアップ・中小企業向けの緩和措置は存在しますが「適用除外」ではありません。高リスク用途では規模に関わらず義務が発生します。限定リスク・最小リスク用途では透明性義務 (AI利用の明示) 等の軽量な要求が中心です。
Q. 具体的にはいつまでに何をすればよいですか？
A. 禁止AIは2025年2月から適用済みです。汎用AI (GPAI) のルールは2025年8月から、高リスクAIの本格運用は2026年8月から段階施行されます。日本企業はまず該当可能性チェック、リスク分類判定、必要対応の優先順位付けの順で進めるのが現実的です。
Q. 違反時の罰則はどのくらいですか？
A. 最も重い違反 (禁止AI利用) で最大3,500万EURまたは世界売上の7%、高リスクAIの違反で最大1,500万EURまたは世界売上の3%など、GDPRを上回る水準の罰則が設定されています。
Q. ISO 42001 を取れば EU AI Act 対応になりますか？
A. 完全には重ならないものの、ISO/IEC 42001 (AIマネジメントシステム) は EU AI Act が求める多くの要素 (リスク管理・ログ・監視・文書化) をカバーします。同時整備は効率的ですが、EU AI Act 固有の要件 (CE マーキング・適合性評価等) は別途対応が必要です。
まとめ
EU AI Act は「EU事業のある大企業だけの話」ではなく、中小企業でも段階的な準備が必要な規制です。該当可能性の判定と ISO 42001 との同時整備から着手するのが現実解になります。
関連ピラーは エージェントガバナンス、 実装相談は 無料相談、サービス詳細は Managed Agents からどうぞ。