EU AI法8月2日施行｜高リスク規制は延期・企業の義務【2026年8月】

結論: 2026年8月2日にEU AI法で確定して始まるのは「高リスクAI規制」ではありません。汎用AI（GPAI）提供者への制裁金の適用開始、AI Office（AI規制の執行機関）の本格的な調査・是正権限、そしてAI生成コンテンツの透明性表示義務（第50条）の3つです。採用選考・与信審査・生体認証など「高リスクAI」への重い義務は、2026年5月の「デジタル・オムニバス」合意により2027年12月2日（単体AI）・2028年8月2日（製品組込型AI）へ延期されました。

この記事の要点

• 高リスクAI義務（採用・与信・生体認証など）は2027年12月2日以降に延期。2026年8月時点で新たな義務が発生する日本企業は限定的
• 8月2日に確定するのは、GPAI提供者への制裁金（最大1,500万ユーロまたは全世界売上高3%）の適用開始とAI Officeの執行権限
• 日本企業の義務は「AI提供者」か「AI利用者」かで大きく異なる。市販の生成AIツールを社内利用するだけの企業に、提供者と同等の重い義務は原則発生しない

対象読者: EU域内に拠点・取引先・従業員がいる日本企業の経営者・法務・情報システム部門責任者

読了後にできること: 自社が「AI提供者」か「AI利用者」かを分類し、EU域内向けに提供している生成AI機能・対話型AI・ディープフェイク生成機能の有無を棚卸しできる

「EU AI法、8月2日についに全面施行」——ここ数週間、そんな見出しをいくつも目にした方も多いのではないでしょうか。検索データを見ても「EU AI法 罰則」「EU AI法 日本企業 義務」といった不安げなクエリが増えており、AI導入支援の現場でも「うちはEU拠点があるから何か対応しないとまずいですか」という相談が入るようになってきました。

結論から言うと、多くの報道が「高リスクAI規制の全面施行」とひとまとめにしている内容は正確ではありません。2026年5月にEU理事会と欧州議会が政治合意した「デジタル・オムニバス」により、採用選考や与信審査など”高リスクAI”に対する重い義務は2027年12月まで延期されています。8月2日に確定するのは、もっと限定的で、しかし無視できない内容です。

この記事では、100社以上の企業向けAI研修・導入支援に携わってきた立場から、8月2日に実際に何が変わるのか、日本企業が「提供する側」「使う側」でそれぞれ何をすべきかを、一次情報ベースで整理します。

AI導入戦略全体の考え方はAI導入戦略ガイドでまとめています。あわせてご覧ください。

何が起きたのか — EU AI法の適用スケジュール全体像

まず全体像を時系列で整理します。EU AI法は2024年8月に発効した規則で、リスクの重さに応じて段階的に義務が発生する設計になっています。

ポイントは、「禁止AI」と「GPAI義務」はすでに施行済みで、8月2日に新しく始まるのは透明性義務・GPAI制裁金・AI Officeの執行権限の3つだということです。世間で警戒されがちな「高リスクAI規制」（採用選考や与信審査で使うAIへの重い適合性評価義務など）は、まだ本格適用されていません。

時系列を少し掘り下げると、EU AI法はもともと「一気に全部を義務化する」設計ではなく、リスクの重さごとに施行日をずらす「段階施行」を最初から前提にしていました。2025年2月の禁止AIは、社会的スコアリングや潜在意識に働きかける操作的AIなど、そもそも容認できないとEUが判断した用途を排除する部分です。2025年8月のGPAI義務は、ChatGPTやClaude、Geminiのような汎用AIモデルを提供する企業に、技術文書の整備や著作権方針の公開などを求めるものでした。ここまでは各社淡々と対応が進んできた領域です。

今回の8月2日は、この段階施行の「次のステップ」にあたります。当初の設計では、ここで採用選考・与信審査などの高リスクAI義務も一緒に始まる予定でした。しかし2026年5月の政治合意で、その部分だけが切り離されて延期になった、というのが正しい理解です。

なぜ「高リスク規制も8月から」という理解が誤解なのか

2026年5月7日、EU理事会と欧州議会は「デジタル・オムニバス」と呼ばれる規則改正案について政治合意に達しました。これにより、当初2026年8月2日に予定されていた高リスクAI（Annex III・単体で使われるAIシステム、採用選考・与信審査・生体認証など）の義務は2027年12月2日へ、製品に組み込まれるタイプの高リスクAI（Annex I・医療機器やエレベーターなど）の義務は2028年8月2日へ、それぞれ延期されました。

延期の理由として複数の分析が挙げられているのは、高リスクAIの適合性評価に必要な「整合規格（harmonized standards）」の策定が間に合っていないことと、欧州委員会からの詳細ガイダンスがまだ整備されていないことです。つまり「準備期間を延ばしてあげた」というより、「評価する仕組み自体がまだできていない」というのが実態に近いという指摘があります。

このため、8月2日を指して「EU AI法が完全施行」と報じる記事は不正確です。実際には、施行済みの部分（禁止AI・GPAI義務）に加えて、透明性義務とGPAI制裁金・AI Officeの執行権限という限定的な範囲が新たに始まる、というのが正確な理解になります。

8月2日に確定して始まる3つのこと

1. 第50条：AI生成コンテンツの透明性義務

対話型AI（チャットボットなど）を提供する事業者は、利用者がAIと対話していることを認識できるようにする義務を負います。また、画像・音声・動画・テキストなどの生成AIコンテンツには、機械可読な形式でAI生成であることを示すマーキングが求められます。既存システムについては2026年12月2日まで経過措置が設けられています。

2. GPAI提供者への制裁金の適用開始

汎用目的AI（GPAI）モデルの提供者に対する義務自体は2025年8月から適用されていましたが、2026年8月2日からは欧州委員会が実際に制裁金を科す権限を行使できるようになります。違反内容は、文書提出要求への不応答、不正確・不完全な情報提供、モデル評価へのアクセス拒否などが対象です。

3. AI Officeの本格的な調査・是正権限

欧州委員会内のAI Officeと加盟国当局が、AIシステムに関する文書提出要求、技術評価の実施、是正措置の要求、市場からの製品撤去命令、そして制裁金の賦課までを本格的に行えるようになります。

日本企業への影響 — 「提供する側」と「使う側」で義務が違う

ここが最も誤解されやすいポイントです。EU AI法は「AIを提供する事業者（provider）」と「AIを利用する事業者（deployer）」で負う義務が異なります。

重要な点として、市販のAIツール（ChatGPT、Claude、Geminiなど）を社内業務で導入しているだけの企業には、提供者と同等の重い義務は原則として自動的には発生しません。一方で、自社サービスに対話型AIチャットボットを組み込んでEU域内の顧客に提供している場合や、ディープフェイクに類する生成AIコンテンツを公開している場合は、透明性表示の対応が必要になります。

自社の該当性は業態・提供形態によって個別性が高いため、EU域内での事業実態がある企業は、この記事を出発点として法務専門家への確認をおすすめします。

具体的にどう分類すればいいのか — 3つの想定シナリオ

事例区分: 想定シナリオ
以下は100社以上の企業向けAI研修・導入支援の経験をもとに構成した典型的な分類パターンです。特定の企業を指すものではありません。

シナリオ1：製造業がChatGPTやClaudeを社内の資料作成・議事録要約で使っている
この場合は「使う側（deployer）」であり、提供者と同等の重い義務は原則発生しません。ただし、感情認識システムや生体認証システムを業務で使っている場合は、対象者への通知義務が別途発生する点に注意が必要です。

シナリオ2：SaaS企業が自社製品にAIチャットボットを組み込み、EU域内の顧客に提供している
この場合は「提供する側（provider）」に該当し、利用者がAIと対話していることを認識できるようにする義務（第50条）が発生します。EU域内向けの機能追加やUI改修を検討している企業は、リリース前にこの表示要件を組み込んでおくと後戻りが少なくて済みます。

シナリオ3：人材紹介・採用支援企業が、応募者のスクリーニングにAIを使っている
これは「高リスクAI」に該当する可能性が高い用途です。現時点（2026年8月）では義務の本格適用前ですが、2027年12月2日の施行に向けて、適合性評価や記録保持の体制を早めに準備しておくべき領域です。

罰則はどのくらいか — 「3,500万」と「1,500万」を混同しない

報道で見かける制裁金の金額には2種類あり、混同されがちです。

「EU AI法違反で最大◯億円の罰金」という見出しは、多くの場合この3,500万ユーロ（禁止AI違反）を指しています。2026年8月2日から新たに執行が本格化するのは、それより低いGPAI提供者向けの1,500万ユーロ／3%の枠であることを押さえておくと、報道の解像度が上がります。

施行延期を巡る評価は割れている

デジタル・オムニバスによる高リスクAI義務の延期については、評価が分かれています。産業界や一部のEU加盟国からは「整合規格やガイダンスが未整備のまま拙速に義務化するより、実務的に対応可能なタイミングまで調整するのは合理的」という肯定的な受け止めがあります。

一方で、消費者保護団体や一部の欧州議会議員からは「規制の実効性を弱める後退」との批判も出ています。特に採用選考や与信審査など、個人の権利に直接影響する領域での義務適用が2年近く先送りされたことへの懸念は根強く残っています。

実務上重要なのは、この評価の対立自体ではなく、「延期されたのは高リスクAI義務であって、透明性義務やGPAI規制、禁止AI規制ではない」という事実関係を正確に押さえることです。

日本のAI推進法との違い — ハードローとソフトローの二重構造

日本企業がEU AI法を理解するうえで押さえておきたいのが、日本国内のAI推進法との設計思想の違いです。日本のAI推進法は罰則を伴わない「ソフトロー」型で、事業者の自主的な取り組みを促す枠組みになっています（詳細はAI推進法とは｜2025年施行・罰則なしの中身と企業対応で解説しています）。

一方でEU AI法は、違反すれば最大3,500万ユーロ規模の制裁金が科される「ハードロー」型です。この設計思想の違いが、日本企業にとって実務上の落とし穴になりやすい点があります。国内基準だけで「AIガバナンスはソフトローで十分」と判断し、EU域内向けのサービス展開や採用ツールの利用実態を精査しないまま進めてしまうケースです。EU域内に拠点・取引先・利用者がある企業は、国内のソフトロー対応とEUのハードロー対応を、別物として二重に管理する必要があります。

なお、AIの規制アプローチは国・地域によって大きく異なります。中国では2026年にAIエージェントの利用を3段階の権限レベルで管理する制度が世界に先駆けて施行されており（中国AIエージェント規制が世界初施行｜3段階権限に日本企業はどう備える）、グローバルに事業展開する企業は、地域ごとに異なる規制の性格を把握したうえでガバナンス体制を設計する必要があります。

日本企業がやるべき3つのアクション

1. 今月中：自社がEU AI法上「提供する側」か「使う側」かを分類する。EU域内向けに自社開発の対話型AI・生成AI機能を提供しているか、市販ツールを社内利用しているだけかを棚卸しする
2. 今四半期中：該当する場合は、対話型AI・生成AIコンテンツの透明性表示（AIであることの明示、生成コンテンツのマーキング）の実装を検討する。市販ツールの社内利用のみであれば、この対応は原則不要
3. 2027年12月に向けて：採用選考・与信審査・生体認証など高リスクAIに該当しうる業務でAIを利用・検討している企業は、延期期間を「規制対応の準備期間」として、社内のAIガバナンス体制（利用ルール・承認フロー・記録保持）の整備を前倒しで進める

社内のAI利用ルールや承認フローの設計に不安がある場合は、社内ガバナンス設計の考え方をAI導入で「監視」と誤解されないための社内ガバナンス設計で解説しています。

用語ミニ解説 — EU AI法を読むときにつまずきやすい5つの略語

実務チェックリスト — 自社の該当性を5分で確認する

以下のチェックリストは、EU AI法の該当性を大まかに把握するための簡易セルフチェックです。1つでも「はい」がある場合は、法務専門家への相談を優先度高く検討してください。

大半の日本企業は、ChatGPT・Claude・Geminiなど既存の汎用AIサービスを「使う側」として利用しているケースに該当します。この場合、GPAI提供者としての義務（技術文書整備や制裁金リスク）を負うのはOpenAIやAnthropic、Googleといったモデル提供企業側であり、利用企業ではありません。ただし、感情認識・生体認証機能を使っている場合や、EU域内向けに自社サービスへAI機能を組み込んで提供している場合は、上記チェックリストの該当項目を個別に確認する必要があります。

まとめ

2026年8月2日にEU AI法で本格化するのは、「高リスクAI規制の全面施行」ではなく、GPAI提供者への制裁金適用・AI Officeの執行権限強化・AI生成コンテンツの透明性表示義務（第50条）の3点です。高リスクAI義務は2027年12月2日（単体型）・2028年8月2日（製品組込型）へ延期されています。日本企業がまず取り組むべきは、自社が「提供する側」か「使う側」かを分類し、EU域内での生成AI利用実態を正確に棚卸しすることです。

よくある質問

Q. EU AI法は2026年8月から全面適用されますか？

A. 一部は適用開始しますが、全面適用ではありません。第50条の透明性義務、GPAI提供者への制裁金、AI Officeの執行権限は2026年8月2日に予定通り施行されます。一方、採用選考・与信審査などの「高リスクAI」に関する義務は2027年12月2日（単体型）・2028年8月2日（製品組込型）に延期されました。

Q. EUのAI法はいつから始まりますか？

A. 段階的に施行されています。禁止AI（社会的スコアリングなど）は2025年2月、GPAI提供者の義務は2025年8月、透明性義務とGPAI制裁金は2026年8月、高リスクAI義務は2027年12月以降という順番です。

Q. EU AI法違反の罰金はいくらですか？

A. 違反内容によって上限が異なります。禁止AI（第5条）違反は最大3,500万ユーロまたは全世界売上高の7%、GPAI提供者の義務違反（第101条）は最大1,500万ユーロまたは全世界売上高の3%です。

Q. 日本企業もEU AI法の対象になりますか？

A. EU域内でAIシステムを提供している、またはEU域内の利用者・成果物に影響する形でAIを利用している場合は、域外適用の対象になり得ます。ただし該当性は事業形態によって個別性が高いため、EU域内での事業実態がある企業は法務専門家への確認をおすすめします。2026年8月時点で、市販の生成AIツールを社内利用しているだけの企業に新たな重い義務が一律に発生するという公式発表は確認できていません。

Q. 高リスクAIとはどのようなAIを指しますか？

A. 採用選考、与信審査、生体認証、重要インフラの管理、教育・雇用に関する判断など、個人の権利や安全に直接影響しうる用途で使われるAIシステムを指します。これらへの重い適合性評価義務は2027年12月2日（単体型）以降に施行されます。

参考・出典

• Regulatory framework for AI — European Commission（参照日: 2026-08-12）
• EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes — Gibson Dunn（参照日: 2026-08-12）
• Article 101: Fines for Providers of General-Purpose AI Models — EU Artificial Intelligence Act（参照日: 2026-08-12）
• EU AI Act 2026年8月「完全施行」の裏側】Digital Omnibusで何が延期され、何が前倒しになったか — TIMEWELL Inc.（参照日: 2026-08-12）

今日から始める3つのアクション

1. 今日やること：自社が「AI提供者」か「AI利用者」かを1枚のメモに整理する
2. 今週中：EU域内向けに提供している自社サービスに対話型AI・生成AI機能がないか、法務・情報システム部門で確認する
3. 今月中：該当リスクがある場合は、透明性表示の実装要否と2027年12月に向けたガバナンス体制整備の優先順位を洗い出す

次回予告：次の記事では、国内のAIガバナンス動向について、企業が実務で押さえるべきポイントをお届けします。

著者：佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー約10万人。
100社以上の企業向けAI研修・導入支援。著書『AIエージェント仕事術』（SBクリエイティブ）。
SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

ご質問・ご相談はお問い合わせフォームからお気軽にどうぞ。