【2026年8月全面施行】EU AI法とは？罰金7%・リスク4分類・日本企業への影響を5分で解説

EU AI法（EU AI Act）は、2026年8月2日に全面施行される世界初の包括的なAI規制です。違反した場合、最大で全世界年間売上高の7%（または3,500万ユーロ＝約54億円）という重い制裁金が科されます。EU域外の日本企業であっても、AIシステムのアウトプットがEU域内で利用される場合は域外適用の対象となるため、対応は急務です。本記事ではEU AI法の中核である「リスク4分類」の具体例、施行スケジュール、日本企業に求められる対応、そして社内ガバナンス構築の5つの実践ポイントを最新情報で整理します。

EU AI法とは｜2026年8月2日に全面施行される世界初の包括的AI規制

EU AI法（正式名称: Regulation (EU) 2024/1689、通称 AI Act）は、AIシステムを「リスクの程度」で4段階に分類し、それぞれに応じた義務と禁止事項を定めた包括的な法律です。2024年8月1日に発効し、段階的な経過措置を経て2026年8月2日に大部分の規定が全面適用されます。

段階施行スケジュール（押さえるべき3つの節目）

EU AI法は一斉施行ではなく、段階的に適用範囲が広がる設計になっています。日本企業がスケジュール感を見誤ると、すでに違反状態のまま運用しているケースもあり得ます。

• 2025年2月2日: 「許容不能リスク」に該当する禁止AIの利用が違法化（社会的スコアリング、職場・学校での感情認識など）
• 2025年8月2日: 汎用AIモデル（GPAI）提供者の義務が発生。執行のための監督機関整備
• 2026年8月2日: ハイリスクAIシステムを含む大部分の規定が全面適用開始
• 2027年8月2日: 既存の規制対象製品（医療機器など）に組み込まれた高リスクAIへの猶予期限

特に2026年8月2日の節目は、ハイリスクAIに該当する人事評価AI・与信判断AI・採用スクリーニングAIなどが規制対象に入る重要なタイミングです。

EU AI法の罰金は最大「全世界売上高の7%」

EU AI法の制裁金はGDPR（最大4%）を上回る厳しさで、違反内容によって以下の3段階に分かれます。

• 禁止AI（許容不能リスク）の違反: 最大3,500万ユーロ（約54億円）または**全世界年間売上高の7%**のいずれか高い方
• ハイリスクAIの義務違反: 最大1,500万ユーロ（約23億円）または全世界年間売上高の3%
• 当局への虚偽情報提供: 最大750万ユーロ（約11.6億円）または全世界年間売上高の1%

罰金額は「いずれか高い方」が適用されるため、売上規模の大きい企業ほどリスクが膨らむ仕組みです。

EU AI法のリスク4分類｜具体例で理解する判断基準

EU AI法の中核は、AIシステムを「許容不能」「ハイリスク」「限定的」「最小限」の4段階に分類するリスクベースアプローチです。AIガバナンスを社内構築するうえで、まず自社のAI利用がどの分類に該当するか棚卸しする必要があります。

1. 許容不能リスク（禁止AI）｜2025年2月から違法

人間の尊厳・基本的権利を侵害するAIは利用そのものが禁止されています。具体例は以下のとおりです。

• 無意識下の行動操作AI（サブリミナル技術を使った判断誘導）
• 社会的スコアリング（中国型の市民信用ランク付け）
• 職場・教育機関での感情認識AI
• 人種・思想信条を推定する生体情報分類
• インターネット・防犯カメラ画像の無差別スクレイピングによる顔認識DB構築

これらに該当するAIは、EU域内での提供・利用の双方が禁止されます。

2. ハイリスクAI｜2026年8月から厳格な義務が発生

人々の安全や権利に重大な影響を与える可能性があるAIは「ハイリスク」に分類され、リスク管理・データガバナンス・人間による監視・サイバーセキュリティなどの厳しい要件が課されます。Annex III（附属書III）で具体的に列挙されている主な分野は次のとおりです。

• 雇用・人事管理: 採用書類のスクリーニング、求人ターゲティング、業績評価、タスク配分のAI
• 教育: 入学選考、試験採点、学習進度の評価AI
• 重要インフラ: 電力・水道・交通の制御AI
• 金融・信用: 与信スコアリング、保険料率決定AI
• 法執行・出入国管理: 犯罪リスク予測、ビザ審査支援AI
• 生体認証: 公共空間での遠隔生体認証システム
• 司法プロセス: 判例分析・量刑提案AI

これらに該当する場合、適合性評価・CEマーク取得・EUデータベースへの登録・技術文書整備が義務付けられます。

3. 限定的リスク｜透明性義務のみ

チャットボット、ディープフェイク生成AIなどが該当します。利用者に「AIと対話していること」「コンテンツがAI生成であること」を明示する透明性義務だけが課されます。社内向けFAQボットなどは多くがこの分類です。

4. 最小限リスク｜規制対象外

スパムフィルター、レコメンドエンジンなど、上記いずれにも該当しないAIです。義務はなく、自主的なベストプラクティス遵守が推奨される程度です。

リスク分類の判断軸は、企業向けAIリスクマネジメントの実践ガイドやNIST AIリスク管理フレームワークの解説と組み合わせて運用すると、より精度の高い社内アセスメントが可能になります。

日本企業への適用｜EU AI法の「域外適用」を見落とさない

「EU AI法はEU域内の話」と捉える日本企業もありますが、実際にはEU域外の日本企業にも広く適用される点が最大の落とし穴です。

域外適用が発生する3つのケース

EU AI法は事業者の所在地ではなく「AIシステムのアウトプットがEU域内で使われるか」で判断するため、以下のケースは日本企業でも対象となります。

• 日本企業がEU域内の顧客に直接AIサービスを提供している
• 日本企業のEU子会社・支社がそのAIを業務利用している
• 日本企業が提供したAIをEU域内の取引先が利用し、出力をEU市民向けに使う

特にBtoBでAI機能を組み込んだSaaSを提供する企業は、エンドユーザーの所在地まで遡って判断する必要があります。

日本企業がまず取り組むべき初動対応

EU域外適用に備えて、日本企業は以下のステップから着手するのが定石です。

• AIマッピング: 自社で利用・提供している全AIシステムを棚卸し、どの業務でどのデータを使っているか可視化
• 適用評価: 各AIがEU AI法の対象となるか、リスク4分類のどれに該当するかを判定
• ハイリスク該当AIの優先対応: 採用・与信・人事評価などEU向けに使うAIから順に技術文書・ログ管理体制を整備
• GPAIモデル利用時の確認: ChatGPT・Claude・Gemini等の汎用AIをEU向けサービスに組み込む場合、提供者の透明性報告書を確認

具体的なルール策定の手順は、AIガバナンスとは？生成AI導入の失敗を防ぐ企業向けガイドラインと6つの手順も併せて参考にしてください。

EU AI法に対応する社内ガバナンス｜5つの実践ポイント

ここからは、EU AI法のリスク4分類を踏まえ、日本企業が社内で運用すべきAIガバナンス事例を5つの観点で整理します。総務省のAIリスク4分類と組み合わせると、国内・EU双方で通用する体制を構築できます。

ポイント1: リスクベースの社内アセスメント基準を作る

AIを安全に業務へ組み込む第一歩は、システムがもたらすリスクを正確に分類し、それに応じた管理体制を敷くことです。EU AI法の4分類を社内アセスメントシートに落とし込み、用途ごとに導入の可否を判断するプロセスを明確化します。

国内の大手製造業では、EU AI法のリスク分類と総務省が示すAIリスク4分類を組み合わせた独自アセスメントシートを運用しています。たとえば、採用書類選考AIは個人の権利に影響を与えるため「ハイリスク」に分類し、厳格なデータ管理と人間の最終確認を義務付ける運用です。一方、社内規程の検索ボットは「最小限」として迅速な導入を認めています。EU AI法と並行して、総務省・生成AIガイドラインとAIリスク4分類×社内ルール対応表も参照すると、日本国内向けの整合がスムーズです。

導入の費用感や初期ステップ全体については、生成AI導入の失敗しないステップと費用も併せて検討することをおすすめします。

ポイント2: 透明性の確保とシャドーAI対策

EU AI法の限定的リスクで求められる「透明性義務」は、社内運用でも重要な原則です。特に、従業員が未承認のAIツールを個人判断で業務利用するシャドーAIを放置すると、知らないうちに禁止AIや顧客データの違法転送が発生するリスクがあります。

ある金融機関のAIガバナンス事例では、利用可能な生成AIツールをホワイトリスト化し、入力してよいデータと禁止データ（顧客の個人情報や未公開財務情報など）を社内ガイドラインで明示しています。さらに、AIの出力結果をそのまま外部公開せず、必ず人間が内容を確認する**ヒューマンインザループ（Human-in-the-Loop）**を業務フローに組み込むことで、EU AI法のハイリスクAI要件である「人間による監視」をクリアできる体制を整えています。

事実誤認（ハルシネーション）対策については、注意喚起だけでは不十分で、システム的な制約やプロンプトの工夫など具体的な対策を組み合わせることが必須です。

ポイント3: 現場で使えるチェックリストと申請フロー

ルールを策定しても、現場の業務フローに定着しなければ意味がありません。一律に厳しい制限を設けると生産性向上の妨げになるため、現場担当者が迷わず利用可否を判断できるチェックリストを整備します。社内申請時に活用できるセルフチェック項目の例は次のとおりです。

• 入力データの機密性: 顧客の個人情報や未公開の業績データを含んでいないか
• EU域内データの有無: EU市民の個人データやEU向けサービス提供に使われるデータか
• 出力の利用目的: 社内の参考情報か、社外向けの公式発表資料か
• 人間の介入: 最終的な意思決定や事実確認を人間が行うフローになっているか
• 著作権の侵害リスク: 他社の著作物や既存コンテンツをそのまま出力させていないか
• AI生成物の明示: ディープフェイクなどEU AI法の透明性義務に該当する出力ではないか

機密情報の入力を防ぐために、プロンプト入力時のデータマスキングツールを導入する企業も増えています。情報漏洩は企業の信頼を大きく損なうため、情報漏洩を防ぐ具体的な対策と安全な導入環境の構築手順を事前に把握しておくことが不可欠です。

意図しない情報漏洩やプロンプトインジェクションを防ぐためには、安全な指示の出し方を社内で標準化することも重要です。プロンプトエンジニアリング入門｜AIエージェントの作り方とLLM活用事例などを参考に、現場の基礎リテラシーを底上げしていきます。

ポイント4: 継続的なモニタリングと監査体制

AIシステムは一度導入して終わりではなく、時間の経過とともに学習データや社会環境が変化します。出力結果の妥当性やバイアスの有無を定期的に確認するプロセスは、EU AI法のハイリスクAI要件である「リスク管理システム」「ログ管理」を満たすうえで必須です。

リスク管理が機能している企業のAIガバナンス事例では、「誰が・いつ・どの指標を確認するか」という判断ポイントを明確に定義しています。たとえば月に1回、法務部門と現場リーダーが合同でAIの出力ログを監査し、EU AI法をはじめとする最新の法的要件から逸脱していないかを定量的に評価する仕組みです。

システム側の対策として、入力プロンプトのログを定期的に抽出し、機密情報が含まれていないかを自動または目視で監査する体制を導入する企業が増えています。ルール違反が発見された場合は、個人罰則ではなく、なぜその操作が行われたのかを分析し、ガイドラインの改訂やツールの改善につなげる運用が定着しやすくなります。

ポイント5: AIガバナンスセミナーを活用した人材育成

EU AI法のように頻繁にガイドラインや解釈が更新される領域では、社員のリテラシー向上が最重要です。社内外の専門家を招いたAIガバナンスセミナーを定期的に開催し、最新のセキュリティ脅威や法規制動向を共有する取り組みが効果的です。

大手IT企業では、新入社員研修から経営層向け勉強会まで階層別にAIガバナンスセミナーを実施し、全社的なリスク認識の底上げに成功しています。AI技術の進化は速く、一度ルールを作って終わりにするのではなく、外部セミナーで得た最新知見を取り入れ、技術動向や社会の要請に合わせてガバナンス体制を常にアップデートする姿勢が求められます。

具体的な現場への落とし込み方については、生成AIで社内データを活用する7つのステップや、教育現場の生成AI活用事例と導入ガイドも参考にしながら、自社の業務プロセスに合わせた体制を整備してください。

EU AI法に関するよくある質問（FAQ）

Q1. EU AI法は日本企業にも適用されますか？

A. はい、域外適用の対象となります。AIシステムのアウトプットがEU域内で利用される場合、EU域外の日本企業であっても直接適用されます。EU子会社が業務利用するケース、EU市民向けサービスにAIを組み込むケース、EU企業に提供したAIが現地で稼働するケースなどが該当します。

Q2. EU AI法の罰金は実際にいくらですか？

A. 違反内容に応じて3段階あります。禁止AIの違反は最大3,500万ユーロ（約54億円）または全世界年間売上高の7%、ハイリスクAI義務違反は最大1,500万ユーロまたは3%、虚偽情報提供は最大750万ユーロまたは1%です。いずれも「高い方」が適用されます。

Q3. EU AI法はいつから全面施行されますか？

A. 2026年8月2日に大部分の規定が全面適用されます。ただし、許容不能リスクの禁止AIはすでに2025年2月2日から、汎用AIモデル（GPAI）の義務は2025年8月2日から段階的に施行済みです。

Q4. EU AI法の「ハイリスクAI」に該当する業務は？

A. 採用書類選考AI、人事評価AI、与信スコアリング、入学選考AI、重要インフラ制御AI、法執行支援AI、公共空間での生体認証AIなどが代表例です。Annex III（附属書III）に詳細リストが定められており、これらに該当する場合は技術文書整備・人間による監視・CEマーク相当の適合性評価が義務付けられます。

Q5. ChatGPTやClaudeなど汎用AIをEU向けサービスに使うと違反になりますか？

A. 直ちに違反にはなりませんが、提供者（OpenAI、Anthropicなど）が汎用AI（GPAI）モデル提供者として透明性義務・著作権配慮の対応を行っているか確認する必要があります。利用企業側も、用途がハイリスクAIに該当する場合は別途の義務が発生します。

まとめ｜EU AI法は「2026年8月」までに対応の道筋を立てる

EU AI法は、2026年8月2日の全面施行までに日本企業も含めた多くのプレイヤーが対応を求められる、極めて重要な法律です。本記事で整理したポイントを以下に集約します。

• 罰則の重さ: 最大で全世界売上高の7%（約54億円）。GDPR（最大4%）を上回る制裁金リスク
• リスクベースアプローチ: AIを「許容不能・ハイリスク・限定的・最小限」の4段階に分類し、それぞれに応じた義務を課す設計
• 域外適用: AIアウトプットがEU域内で使われる場合、EU域外の日本企業にも適用
• 段階施行: 2025年2月（禁止AI）→ 2025年8月（GPAI）→ 2026年8月（ハイリスクAI全面）と節目が連続
• 社内ガバナンス: AIマッピング・リスクアセスメント・透明性・モニタリング・人材育成の5本柱で対応

これらの取り組みを通じて、企業はEU AI法のリスクを最小限に抑えつつAIのポテンシャルを最大限に引き出し、グローバル基準に通用する持続的な成長を実現できます。