AIガバナンス・セキュリティ 2026.02.28 （更新: 2026.03.27）

EU AI Act対応チェックリスト2026｜中小企業の最小準備5ステップ

結論：EU AI Actは2026年8月2日に本格施行。日本企業もEU向けにAIサービスを提供していれば対象になります。「うちは日本だから関係ない」は通用しません。

この記事でわかること：

EU AI Actの4段階リスク分類と、あなたの会社のAIがどこに該当するかの判定方法
2026年8月までに最低限やるべき5ステップのチェックリスト（コピペ可能プロンプト付き）
違反時の罰則：最大で全世界売上高の7%または3,500万ユーロ（約56億円）

対象読者：EU圏にAI製品・サービスを提供している（or 予定がある）日本企業の経営者、法務担当、DX推進担当

今日やること：この記事の「5分即効プロンプト」で、自社AIのリスク分類をChatGPTに判定させてください。5分で現状把握できます。

EU AI Act対応、「うちはまだ大丈夫」が一番危ない理由

先日、僕がAI研修を担当している製造業のクライアント企業で、こんなことがありました。

ドイツの取引先から突然メールが届いて、「御社がうちに納品しているAI品質検査システムについて、EU AI Actへの準拠状況を報告してほしい」と。担当者の方が「佐藤さん、これ何ですか？」って、めちゃくちゃ焦った顔で相談に来たんです。

正直、僕もびっくりしました。というのも、その会社は日本国内の製造業で、「ヨーロッパの法律なんて関係ない」と思い込んでいたからです。でも実際は、AIシステムのアウトプットがEU域内で使われている時点で、EU AI Actの適用対象になる。これ、知らなかった企業が本当に多いんです。

2024年8月に発効したEU AI Act（EU人工知能規則）は、世界初の包括的なAI規制法です。そして2026年8月2日に、ハイリスクAIに関する規制が本格施行されます。違反すれば、最大で全世界売上高の7%という、GDPR以上の罰金が科される可能性がある。

この記事では、100社以上のAI導入支援をしてきた僕が、「日本の中小企業が最低限やるべきこと」を、コピペで使えるプロンプト付きで徹底解説します。難しい法律用語はなるべく噛み砕いて説明するので、最後まで読めば「何から始めればいいか」がクリアになるはずです。

「5分即効」プロンプト3選 ── まずはこれだけやってください

いきなり全部理解しようとしなくて大丈夫です。まずは以下の3つのプロンプトを、ChatGPTやClaudeにコピペしてください。5分で自社の状況が把握できます。

プロンプト1：自社AIのリスク分類を判定する

あなたはEU AI Act（EU人工知能規則）の専門家です。
以下の情報をもとに、当社のAIシステムがEU AI Actのどのリスク分類に該当するか判定してください。

【当社AIシステムの情報】
・システム名：（例：AI品質検査システム）
・用途：（例：製品の外観検査を自動化）
・利用者：（例：ドイツの取引先工場の品質管理担当者）
・データの種類：（例：製品画像、検査履歴）
・EU域内での利用：ある / なし / 不明

【判定してほしいこと】
1. EU AI Actの4つのリスク分類（禁止・ハイリスク・限定リスク・最小リスク）のどれに該当するか
2. 該当する根拠（条文番号付き）
3. 2026年8月2日までに必要な対応のサマリー
4. 対応の優先度（高・中・低）

わからない情報がある場合は、追加で質問してください。

プロンプト2：準拠チェックリストを自動生成する

あなたはEU AI Actコンプライアンスの専門家です。
以下の条件で、当社が2026年8月2日までに対応すべきチェックリストを作成してください。

【条件】
・業種：（例：製造業 / SaaS / 人材紹介 / 金融）
・AIの用途：（例：品質検査 / チャットボット / 採用スクリーニング / 信用スコアリング）
・EU AI Actのリスク分類：（例：ハイリスク / 限定リスク）
・従業員数：（例：50名）
・EU拠点：ある / なし

【出力フォーマット】
以下の形式でチェックリストを作成：
□ [対応項目] ── [具体的にやること] ── [期限目安] ── [担当部門]

カテゴリ：
1. 組織体制（AI統括責任者、社内規定）
2. リスク管理（リスクアセスメント、軽減策）
3. データガバナンス（学習データの品質、バイアス対策）
4. 技術文書（テクニカルドキュメンテーション）
5. 透明性（利用者への通知、ログ記録）
6. 人間による監視（ヒューマンオーバーサイト）
7. 適合性評価（CEマーキング、EU代理人）

各項目に「中小企業向けの簡易対応」も併記してください。

プロンプト3：社内周知メールの文面を作成する

あなたは企業のコンプライアンス担当者です。
以下の条件で、EU AI Act対応について社内に周知するメール文面を作成してください。

【条件】
・送信者：（例：法務部 / DX推進室 / 経営企画部）
・宛先：全社員
・トーン：堅すぎず、危機感は伝わる程度
・文字数：800字以内

【含めてほしい内容】
1. EU AI Actとは何か（3行で）
2. なぜ当社に関係があるのか（具体的に）
3. 2026年8月2日までに対応が必要なこと
4. 各部門にお願いしたいこと
   - 開発部門：AIシステムの棚卸し
   - 法務部門：規制要件の精査
   - 営業部門：EU顧客への説明準備
5. 今後のスケジュール（仮でOK）
6. 質問の連絡先

カジュアルすぎず、でも「読んでもらえる」文面にしてください。

この3つをやるだけで、「うちは何をすべきか」の全体像が見えてきます。ここからは、EU AI Actの中身を詳しく解説していきますね。

AI活用、何から始めればいい？

100社以上の研修実績をもとに、30分の無料相談で貴社の課題を整理します。

無料相談はこちら →資料ダウンロード（無料）

そもそもEU AI Actって何？── 世界初のAI包括規制を3分で理解

EU AI Actの基本情報

EU AI Act（正式名称：Regulation (EU) 2024/1689）は、2024年8月1日に発効した、世界で初めての包括的なAI規制法です。EUの「規則（Regulation）」なので、加盟27カ国すべてに直接適用されます（各国での立法手続き不要）。

ポイントは「リスクベースアプローチ」を採用していること。つまり、AIシステムのリスクの大きさに応じて、規制の厳しさが変わる仕組みです。全てのAIを一律に規制するわけじゃないので、その点は安心してください。

施行スケジュール ── 段階的に規制が厳しくなる

EU AI Actは一気に全部施行されるわけじゃなく、段階的に施行されています。

施行日	内容	影響度
2025年2月2日	禁止AIの使用停止義務 + AIリテラシー義務	★★★★★
2025年8月2日	汎用AIモデル（GPAI）の規制、ガバナンス体制	★★★★
2026年2月2日	市販後モニタリング規定、ガイドライン公表	★★★
2026年8月2日	ハイリスクAI規制の本格施行（Annex III）、透明性義務（Article 50）	★★★★★
2027年8月2日	残りの全規定の施行（完全施行）	★★★★★

注目すべきは2026年8月2日。ここで、多くの企業に直接影響する「ハイリスクAI」の規制と「透明性義務」が施行されます。つまり、あと約5カ月しかありません。

日本企業にも適用される「域外適用」

「EUの法律でしょ？うちは日本だから関係ないよね？」

これ、一番多い誤解です。EU AI Actは域外適用があります。具体的には、以下のケースで日本企業にも適用されます：

EU域内でAIシステムを上市（販売・提供）している場合 ── プロバイダーとして規制対象
AIシステムのアウトプットがEU域内で利用される場合 ── たとえ開発が日本国内でも対象
EU企業にAIを組み込んだ製品を納品している場合 ── サプライチェーン経由で対象

つまり、「EU企業と取引がある」「EU向けにSaaSを提供している」「EU企業にAI部品を納品している」なら、ほぼ確実に対象です。GDPRのときと同じパターンですね。

あわせて読みたい：各AIツールの機能・料金・セキュリティの詳細比較は、法人向け生成AI導入完全バイヤーズガイド（AIgent Lab）も参考にしてください。

4段階リスク分類 ── あなたの会社のAIはどこに該当する？

EU AI Actの核心は「リスクベースアプローチ」。AIシステムを4つのカテゴリに分類して、それぞれ異なるレベルの規制を適用します。

レベル1：禁止AI（Unacceptable Risk）── 即座に使用停止

これに該当するAIは、EU域内での使用が完全に禁止されます。2025年2月2日から施行済み。

具体的には：

サブリミナル操作：人の意識下に働きかけて行動を歪めるAI（例：ゲームでの課金誘導AI、高齢者の認知的弱みを悪用する詐欺AI）
ソーシャルスコアリング：社会的行動や個人特性に基づいて人を評価・分類し、不利な扱いをするAI（例：SNS投稿に基づく従業員評価、保険料の不当な差別的算定）
感情認識AI：職場や教育機関での感情認識（安全・医療目的を除く）
リアルタイム遠隔生体認証：公共空間での法執行目的のリアルタイム生体認証（限定的な例外あり）
生体情報による機微カテゴリ推定：顔写真から人種、政治思想、宗教、性的指向などを推定するAI

顧問先の人事系SaaS企業で、「従業員のWeb会議中の表情から満足度を分析する」機能を開発中だったケースがあったんですが、これはまさに「職場での感情認識AI」に該当する禁止AIでした。開発を中止するか、EU市場を除外するかの選択になります。

レベル2：ハイリスクAI（High Risk）── 厳格な義務あり

2026年8月2日から規制が本格施行される最重要カテゴリです。

Annex III（附属書III）に列挙された8分野のAIが該当します：

分野	該当するAIの例	日本企業の該当ケース
1. 生体認証	遠隔生体認証、生体分類、感情認識	顔認証入退室システムのEU輸出
2. 重要インフラ	電力・ガス・水道・交通の安全管理AI	プラント制御AIのEU企業向け納品
3. 教育・職業訓練	入学選考AI、試験採点AI	EdTechサービスのEU展開
4. 雇用・労務管理	AI採用スクリーニング、履歴書解析、人事評価AI	HR SaaSのEU企業への提供
5. 必須サービス	信用スコアリング、保険査定、社会保障AI	フィンテックサービスのEU展開
6. 法執行	犯罪予測AI、証拠分析AI	セキュリティソフトのEU販売
7. 出入国管理	ビザ審査AI、亡命申請評価AI	入国管理システムの受託開発
8. 司法・民主主義	判例検索AI、選挙関連AI	リーガルテックのEU展開

ハイリスクAIのプロバイダーには、以下の義務が課されます：

リスク管理システムの構築・文書化（Article 9）
データガバナンス：学習データの品質管理、バイアス対策（Article 10）
テクニカルドキュメンテーションの作成・10年間保管（Article 11）
自動ログ記録機能の実装（Article 12）
透明性の確保：利用者への適切な情報提供（Article 13）
ヒューマンオーバーサイト：人間による監視体制（Article 14）
精度・堅牢性・セキュリティの確保（Article 15）
適合性評価（Conformity Assessment）の実施
CEマーキングの取得・表示
EUデータベースへの登録

「え、こんなにやることあるの？」って思いますよね。正直、僕も最初に読んだとき「これは大変だ」と思いました。でも安心してください。中小企業向けの簡易対応も認められています（後述します）。

レベル3：限定リスクAI（Limited Risk）── 透明性義務のみ

2026年8月2日から、Article 50の透明性義務が施行されます。

該当するAI：

チャットボット：AIとやり取りしていることを利用者に明示する義務
ディープフェイク生成AI：AI生成コンテンツであることの表示義務
テキスト生成AI：公共の情報提供目的で公開する場合、AI生成であることの開示義務
画像・音声・動画生成AI：機械可読な形式でAI生成コンテンツにマーキングする義務

現在、欧州委員会が「AIラベリング・透明性に関する実務規範（Code of Practice）」を策定中で、2026年6月に最終版が公表される予定です。

レベル4：最小リスクAI（Minimal Risk）── 規制なし

スパムフィルター、AIゲーム、在庫最適化AIなど、リスクの低いAIには特別な義務はありません。ただし、AIリテラシーの確保義務（2025年2月施行済み）は全てのAIプロバイダー・導入者に適用されるので、そこだけは注意です。

罰則規定 ── 「知らなかった」は通用しない金額

EU AI Actの罰則は、GDPRと同様に「抑止力のある水準」に設定されています。正直、この金額を見て背筋が凍った経営者の方もいると思います。

違反の種類	罰金上限	対象
禁止AIの使用	3,500万ユーロ（約56億円）または全世界売上高の7%	Article 5違反
ハイリスクAI義務違反	1,500万ユーロ（約24億円）または全世界売上高の3%	ハイリスクAI要件、透明性義務等
虚偽情報の提供	750万ユーロ（約12億円）または全世界売上高の1%	不正確・誤解を招く情報提供

ここで大事なポイントが2つあります：

1. 中小企業には「低い方」が適用される

大企業は「固定額」と「売上高比率」の高い方が適用されますが、中小企業・スタートアップは低い方が適用されます。これはEU AI Actの中小企業配慮措置のひとつです。

2. 各EU加盟国の当局が独立して執行する

罰金は、各国の所管当局、欧州データ保護監督者（EDPS）、または欧州委員会が課すことができます。つまり、複数の国から同時に調査・制裁を受ける可能性もあるということです。

中小企業が2026年8月までにやるべき5ステップ

「やることが多すぎて何から手をつけていいかわからない」。顧問先でこう言われることが本当に多いです。

なので、中小企業が最低限やるべき5ステップを優先順位付きでまとめました。リソースが限られている会社でも、この順番でやれば大丈夫です。

ステップ1：AIシステムの棚卸し（所要時間：1〜2日）

まず最初にやるべきは、自社が開発・導入・利用しているAIシステムの全量把握です。「うちはAI使ってないよ」って言う社長さんがいるんですが、よく聞くとCRM（顧客管理システム）にAI機能が組み込まれてたり、翻訳ツールを使ってたりする。そういうのも含めて棚卸しが必要です。

以下のプロンプトを使って、棚卸しシートを作成しましょう：

あなたは企業のAIガバナンス専門家です。
当社のAIシステム棚卸しシートを作成してください。

以下の情報を一覧化するExcelシート（マークダウン表形式で出力）を作ってください：

【列の構成】
1. No.
2. システム名/サービス名
3. 提供者（自社開発 / 外部SaaS / OEM）
4. AI技術の種類（機械学習 / 深層学習 / 生成AI / ルールベース）
5. 用途の概要
6. 利用部門
7. EU域内での利用有無（あり / なし / 不明）
8. 対象データの種類（個人データ含む / 含まない）
9. EU AI Actリスク分類（禁止 / ハイリスク / 限定リスク / 最小リスク / 未判定）
10. 対応優先度（高 / 中 / 低）
11. 備考

【入力支援】
以下の一般的なAIツールも含めて検討してください：
- CRM/SFAのAI機能（Salesforce Einstein等）
- チャットボット（Zendesk AI、Intercom等）
- 翻訳ツール（DeepL、Google翻訳）
- 文書作成AI（ChatGPT、Copilot）
- 画像・動画生成AI
- 人事系AIツール（適性検査、勤怠予測等）
- 会計・経理AIツール
- マーケティングAI（レコメンド、広告最適化等）

まず空のテンプレートを出力し、次に入力例を3行示してください。

ステップ2：リスク分類の判定（所要時間：1〜3日）

棚卸しが終わったら、各AIシステムがEU AI Actの4つのリスク分類のどれに該当するかを判定します。

判定のフローはこんな感じ：

Article 5の禁止リストに該当するか？ → 該当したら即座に使用停止
Annex III（附属書III）の8分野に該当するか？ → ハイリスク
Article 6(1)のEU製品安全法に基づく製品のAI安全部品か？ → ハイリスク
チャットボット、ディープフェイク生成、テキスト生成で公共の情報提供目的か？ → 限定リスク
上記いずれにも該当しない → 最小リスク

判定に迷ったら、欧州委員会が公開しているEU AI Act Compliance Checkerも活用してみてください。英語ですが、質問に答えていくと自社AIの分類がわかります。

ステップ3：ギャップ分析（所要時間：3〜5日）

リスク分類がわかったら、「今の自社の体制」と「EU AI Actが求める水準」のギャップを分析します。

あなたはEU AI Actコンプライアンスのコンサルタントです。
以下のハイリスクAIシステムについて、EU AI Actの要件とのギャップ分析を行ってください。

【対象AIシステム】
・システム名：（記入してください）
・リスク分類：ハイリスク（Annex III 第○分野）
・現状の管理体制：

【ギャップ分析の項目】
以下の各要件について、「現状」「EU AI Act要件」「ギャップ」「対応策」「工数見込み」を表形式で出力してください：

1. リスク管理システム（Article 9）
   - リスクアセスメントを実施しているか
   - リスク軽減策を文書化しているか
   - 継続的なモニタリング体制があるか

2. データガバナンス（Article 10）
   - 学習データの品質管理プロセスがあるか
   - バイアスの検出・軽減策があるか
   - データの出所を記録しているか

3. テクニカルドキュメンテーション（Article 11）
   - システムアーキテクチャの文書があるか
   - アルゴリズムの説明文書があるか
   - テスト結果の記録があるか

4. ログ記録（Article 12）
   - 自動ログ記録機能があるか
   - ログの保存期間は適切か

5. 透明性（Article 13）
   - 利用者への情報提供は十分か
   - AIの能力と限界を明示しているか

6. ヒューマンオーバーサイト（Article 14）
   - 人間による監視体制があるか
   - AIの判断を無効にできる仕組みがあるか

7. 精度・堅牢性（Article 15）
   - 精度の測定・報告をしているか
   - セキュリティ対策は十分か

各ギャップの「対応工数」を、中小企業（従業員50名規模）の場合で見積もってください。

ステップ4：対応計画の策定と実行（所要時間：1〜3カ月）

ギャップ分析の結果をもとに、2026年8月2日までの対応計画を策定します。

ここで大事なのは、「完璧を目指さない」こと。中小企業が大企業と同じレベルの体制を構築する必要はありません。EU AI Actは中小企業への配慮措置を設けています：

簡易テクニカルドキュメンテーション：零細企業は簡略化した文書が認められる
品質管理システムの簡素化：零細企業は簡易な方法での準拠が認められる
適合性評価の手数料配慮：中小企業の規模に応じた手数料設定
AIレギュラトリーサンドボックス：中小企業・スタートアップは優先的にアクセスできる

研修先の企業でよく言うんですが、「80点の体制を8月までに作る」方が、「100点を目指して間に合わない」よりずっと良い。まずは最低限の文書と体制を整えて、そこから改善していく形で全然OKです。

ステップ5：EU代理人の選任とEUデータベース登録（所要時間：2〜4週間）

EU域内に拠点がない日本企業がハイリスクAIを提供する場合、EU域内に「認定代理人」を選任する義務があります（Article 22）。

認定代理人は以下の役割を担います：

EU当局との連絡窓口
適合宣言書と技術文書のコピー保管
当局からの情報提供要請への対応

また、ハイリスクAIシステムはEUの公開データベースに登録する義務があります。システムの概要、用途、リスク評価結果などを登録します。

EU代理人の選任は、現地の法律事務所やコンプライアンスサービス会社に依頼するのが一般的です。費用は年間50万円〜200万円程度が相場です。

実践チェックリスト ── 印刷して壁に貼ってください

ここまでの内容を、チェックリスト形式でまとめました。経営会議の資料にそのまま使えます。

EU AI Act対応チェックリスト（2026年8月2日期限）

フェーズ1：現状把握（〜2026年3月）

□ 自社のAIシステムを全量棚卸しした
□ 各AIシステムのリスク分類を判定した
□ 禁止AIに該当するシステムがないか確認した
□ EU域内での利用有無を確認した
□ サプライチェーン経由の影響を確認した

フェーズ2：ギャップ分析と計画策定（〜2026年4月）

□ ハイリスクAIの各要件とのギャップを分析した
□ 対応計画（ロードマップ）を策定した
□ 予算を確保した
□ 担当者を任命した
□ 経営層の承認を得た

フェーズ3：体制構築と文書整備（〜2026年6月）

□ リスク管理システムを構築した
□ データガバナンスポリシーを策定した
□ テクニカルドキュメンテーションを作成した
□ 自動ログ記録機能を実装した
□ ヒューマンオーバーサイト体制を構築した
□ 利用者向けの透明性情報を準備した

フェーズ4：適合性評価と登録（〜2026年7月）

□ 適合性評価（内部統制 or 第三者評価）を実施した
□ CEマーキングを取得した
□ EU代理人を選任した（EU拠点なしの場合）
□ EUデータベースに登録した
□ 適合宣言書を作成・保管した

フェーズ5：運用と継続的改善（2026年8月〜）

□ 市販後モニタリング体制を構築した
□ インシデント報告体制を整備した
□ 定期的なリスク再評価の仕組みを構築した
□ 社内教育・研修プログラムを開始した

社内体制の構築 ── 誰が何をやるか

EU AI Act対応は、法務部だけの仕事じゃありません。開発、事業、経営の全部門が関わる「全社プロジェクト」です。

推奨体制（中小企業向け）

大企業のように専任チームを作れなくても大丈夫。中小企業なら、既存の体制に役割を追加する形で対応できます。

AI統括責任者（1名）：経営層または執行役員から任命。全体の意思決定と予算承認
法務・コンプライアンス担当（1名）：規制要件の解釈、文書レビュー、当局対応
技術担当（1〜2名）：テクニカルドキュメンテーション作成、ログ機能実装、適合性評価対応
事業担当（1名）：EU顧客との連携、透明性情報の利用者向け整備

定例会議は月1回で十分です。最初のキックオフだけしっかりやって、あとはSlackやTeamsで日常的に情報共有する形がベスト。

社内教育の進め方

EU AI Actは「AIリテラシーの確保」を全てのプロバイダー・導入者に求めています（Article 4）。これは2025年2月から施行済みなので、まだやっていない企業は早急に対応が必要です。

あなたは企業のAI研修担当者です。
EU AI Act対応のための社内研修プログラムを設計してください。

【条件】
・対象：全社員（役員含む、約50名）
・研修時間：全3回、各60分
・形式：オンライン可

【研修プログラム】
第1回：EU AI Actの基礎知識（全社員向け）
- EU AI Actとは何か
- なぜ当社に関係があるか
- 4段階リスク分類の概要
- 日常業務で気をつけること

第2回：リスク分類と義務（管理職・開発者向け）
- ハイリスクAIの判定方法
- 各義務の概要と対応方法
- 自社システムのケーススタディ

第3回：実務対応（担当者向け）
- テクニカルドキュメンテーションの書き方
- リスク管理システムの運用
- インシデント報告の手順

各回の「スライド構成案」「確認テスト（5問）」「配布資料の項目リスト」を作成してください。

【要注意】よくある失敗パターン4選

100社以上の企業でAI導入・ガバナンス支援をしてきた中で、EU AI Act対応で「やりがちな失敗」をよく見てきました。先に知っておけば回避できるので、ぜひチェックしてください。

失敗パターン1：「うちはAI使ってないから関係ない」

❌ SaaSの裏側にAI機能が組み込まれていることに気づいていない
❌ 社員が個人的にChatGPTを業務利用していることを把握していない
⭕ まず全社的なAIシステム棚卸しを実施する。SaaS契約書のAI機能条項もチェック
⭕ シャドーIT（許可なく使われているAIツール）の把握も含めて調査する

失敗パターン2：「GDPRに対応してるから大丈夫」

❌ GDPRはデータ保護の規制、EU AI ActはAIシステム自体の規制。カバー範囲が違う
❌ GDPRのDPO（データ保護責任者）がそのままAI Act対応もできるわけではない
⭕ GDPRで構築した体制やプロセスは「ベース」として活用しつつ、AI固有の要件（リスク管理、テクニカルドキュメンテーション、適合性評価等）は別途対応する
⭕ ただし、GDPR対応の経験は確実にプラスになる。データガバナンスのノウハウは再利用できる

失敗パターン3：「法務部に任せておけば大丈夫」

❌ テクニカルドキュメンテーションは開発チームしか書けない
❌ リスク管理システムの構築には技術的知見が必須
⭕ 法務 × 開発 × 事業の三位一体チームを組成する
⭕ 少なくとも「月1回の定例ミーティング」で部門横断の情報共有をする

失敗パターン4：「2026年8月までまだ時間がある」

❌ テクニカルドキュメンテーションの作成だけで数カ月かかることがある
❌ EU代理人の選任には契約交渉が必要で、2〜3カ月は見込む
❌ 適合性評価で不備が見つかった場合、修正に時間がかかる
⭕ 「今日から始める」が正解。まずはステップ1のAI棚卸しから
⭕ 8月2日は「ゴール」ではなく「スタートライン」。施行後も継続的なモニタリングが必要

透明性義務（Article 50）── チャットボットやAI生成コンテンツへの対応

2026年8月2日からは、「限定リスク」に該当するAIにも透明性義務が課されます。これ、実は多くの日本企業に直接影響する話なんです。

チャットボットを運用している企業

EU域内のユーザーがアクセスできるチャットボットを運用している場合、「AIとやり取りしていること」をユーザーに明確に通知する義務があります。

具体的な対応例：

チャット画面の冒頭に「このチャットはAIが対応しています」と表示
AIから人間のオペレーターに切り替わるタイミングを明示
AIの回答の限界について注意書きを表示

AI生成コンテンツを公開している企業

マーケティング用の画像や動画、ブログ記事などをAIで生成している場合：

機械可読形式でのマーキング：AI生成コンテンツであることを、メタデータレベルで埋め込む
ディープフェイクの開示義務：AI生成・加工された画像・動画・音声は、その旨を開示する
AI生成テキストの開示：公共の情報提供目的で公開するテキストがAI生成の場合、開示が必要

現在、欧州委員会のAIオフィスが「透明性に関する実務規範（Code of Practice）」のドラフトを策定中です。2026年1月に初稿が公開され、3月に改訂版、6月に最終版が公表される予定です。最終版が出たら、それに合わせた対応が必要になります。

中小企業・スタートアップへの配慮措置 ── 知らないと損する支援策

「中小企業にこんな負担を課すなんて無理じゃない？」って声、本当によく聞きます。でも実は、EU AI Actには中小企業向けの配慮措置がちゃんと用意されているんです。

規制サンドボックス（Regulatory Sandbox）

各EU加盟国は、2026年8月2日までに少なくとも1つの「AIレギュラトリーサンドボックス」を設置する義務があります。このサンドボックス内でAIシステムを開発・テストする場合：

サンドボックスの計画と条件を遵守し、当局の指導に誠実に従っている限り、EU AI Act違反による行政罰金が免除される
中小企業・EUベースのスタートアップは優先的にアクセスできる
認知啓発活動やデジタルスキル開発プログラムが提供される

簡易対応の認容

テクニカルドキュメンテーション：零細企業は欧州委員会が策定する「簡易フォーム」での提出が認められる
品質管理システム：零細企業は簡易な方法での準拠が認められる
適合性評価の手数料：中小企業の規模と市場規模に応じた手数料設定が義務づけられている

各加盟国の支援義務

中小企業向けの啓発・研修活動の実施
開発プロセスを通じた専用のコミュニケーションチャネルの設置
中小企業の具体的なニーズを考慮したガイダンスの提供

これらの措置をうまく活用すれば、中小企業でも現実的なコストでEU AI Act対応が可能です。

日本企業が今すぐ使えるプロンプト集

ここまでの内容をふまえて、実務でそのまま使えるプロンプトをもう2つ紹介します。

プロンプト4：テクニカルドキュメンテーションのドラフト作成

あなたはEU AI Actのテクニカルドキュメンテーション専門家です。
以下のハイリスクAIシステムについて、Article 11とAnnex IVに基づくテクニカルドキュメンテーションのドラフトを作成してください。

【AIシステム情報】
・システム名：（記入）
・バージョン：（記入）
・開発者/プロバイダー：（記入）
・意図された目的（Intended Purpose）：（記入）
・EU AI Actリスク分類：ハイリスク（Annex III 第○分野）

【出力する文書構成】
1. 一般的説明
   - システムの意図された目的
   - プロバイダーの名称・連絡先
   - AIシステムとのインタラクション方法

2. システムアーキテクチャ
   - 全体構成図の説明
   - 使用アルゴリズム・モデルの種類と概要
   - 入力データと出力データの説明

3. 開発プロセス
   - 設計仕様
   - 開発手法とツール
   - テスト手法と検証結果

4. リスク管理
   - 特定されたリスク一覧
   - リスク軽減策
   - 残存リスクと対処方針

5. データガバナンス
   - 学習データの概要（データソース、量、特性）
   - データ品質管理措置
   - バイアス検出・軽減策

6. 性能指標
   - 精度、堅牢性、セキュリティの指標
   - テスト結果のサマリー
   - 既知の制限事項

7. ヒューマンオーバーサイト
   - 人間による監視の方法
   - 介入・無効化の手順

各セクションについて、「中小企業が最低限記載すべき内容」と「記載例」を提示してください。

プロンプト5：EU取引先への対応状況報告メールの作成

あなたはグローバルビジネスのコミュニケーション専門家です。
EU取引先から「EU AI Act準拠状況」の問い合わせを受けました。
以下の条件で返信メール（英文）を作成してください。

【条件】
・自社の立場：日本のAIプロバイダー（EU域内に直接拠点なし）
・取引先：（例：ドイツの製造業企業）
・対象AIシステム：（例：AI品質検査システム）
・リスク分類：（例：ハイリスク）
・現在の対応状況：（例：棚卸し完了、ギャップ分析中）

【メールに含める内容】
1. 問い合わせへの感謝
2. EU AI Actへの認識と対応方針の表明
3. 現在の対応状況の報告
   - 完了済みの対応
   - 進行中の対応
   - 今後の対応予定とタイムライン
4. EU代理人の選任予定
5. 定期的な進捗報告の申し出
6. 質問への対応窓口

トーンはプロフェッショナルかつ誠実。「対応中です」だけでなく、具体的なアクションと期限を示してください。

日本語訳も併記してください。

2026年8月以降に変わること ── 施行後の運用を見据えて

2026年8月2日は「ゴール」ではなく「スタートライン」です。施行後も以下の対応が継続的に必要です。

市販後モニタリング（Post-Market Monitoring）

ハイリスクAIのプロバイダーは、市場に出した後も継続的にAIシステムの性能とリスクを監視する義務があります。具体的には：

AIシステムの性能データの継続的な収集・分析
新たなリスクの検出と対応
市販後モニタリング計画の策定と実行
監視結果に基づくシステムの更新

重大インシデントの報告義務

ハイリスクAIが関わる重大なインシデント（死亡、重傷、基本的権利の侵害など）が発生した場合、発覚から15日以内にEU当局に報告する義務があります。

2027年8月2日の完全施行

2027年8月2日には残りの全規定が施行され、EU AI Actが完全に適用されます。具体的には、Annex I（EU法に基づく製品に組み込まれたAI）に該当するハイリスクAIの規制が追加で施行されます。

AI導入戦略とEU AI Act ── 規制をチャンスに変える視点

ここまで読んで「規制ばっかりで大変だ…」と思った方もいるかもしれません。でも、僕は研修でいつもこう言ってます。「EU AI Act対応は、AIガバナンスを強化する絶好のチャンスです」と。

なぜかというと：

信頼性の向上：EU AI Act準拠は、取引先や顧客に対する「信頼の証」になる。特にEU企業との取引では大きな差別化要因
リスクの可視化：棚卸しとギャップ分析を通じて、自社のAI利用のリスクが初めて「見える化」される
他地域への波及：日本でも2026年にAI基本法案が提出される見込み。EU対応をしておけば、日本の規制にも先行して対応できる
グローバル展開の基盤：EU市場へのアクセスを維持・拡大する基盤になる

AI導入を検討中の企業は、最初からEU AI Actを意識した設計をすることで、後からの対応コストを大幅に削減できます。「AI導入戦略」と「AI規制対応」はセットで考えるべきです。

AI導入戦略の全体像については、AI導入戦略の完全ガイドで詳しく解説していますので、合わせて読んでみてください。

FAQ ── よくある質問

Q. 自社はEU域内に拠点がありません。それでもEU AI Actは適用されますか？

A. はい、適用される可能性があります。EU域内でAIシステムを上市している場合、またはAIのアウトプットがEU域内で利用される場合は、域外適用の対象です。EU企業にAIを組み込んだ製品を納品している場合も同様です。

Q. ChatGPTやClaudeなどの汎用AIツールを社内で使っているだけの場合は？

A. 社内利用のみでEU域内のユーザーに影響しない場合は、基本的に対象外です。ただし、AIリテラシーの確保義務（Article 4）は全てのAI利用者に適用されるため、社員研修は実施しておくべきです。

Q. 対応にかかるコスト感は？

A. 会社の規模とAIシステムの数・リスク分類によりますが、中小企業の場合の目安は：

社内体制構築：50〜200万円（外部コンサル利用の場合）
テクニカルドキュメンテーション作成：100〜500万円
適合性評価：50〜300万円
EU代理人選任：年間50〜200万円
合計：250〜1,200万円（初年度）

罰金（最大56億円）と比較すれば、投資として十分合理的です。

Q. GDPRのDPOがEU AI Act対応も兼任できますか？

A. DPOの知見はベースとして有用ですが、EU AI Actは技術的な要件（テクニカルドキュメンテーション、リスク管理システム、適合性評価など）が多いため、DPOだけでは対応困難です。技術チームとの連携が必須です。

Q. 2026年8月2日に間に合わない場合、猶予期間はありますか？

A. 法的な猶予期間はありません。ただし、施行直後から全企業に対して厳格な取り締まりが行われるかは各国の執行方針次第です。とはいえ、「対応中である」ことを示せる状態にはしておくべきです。何もしていない状態は最もリスクが高い。

コスト削減のヒント：AI導入・研修にかかる費用は、デジタル化・AI導入補助金（最大450万円）や人材開発支援助成金（最大75%補助）を活用することで大幅に抑えられます。

まとめ ── 今日から始める3つのアクション

EU AI Actは、AIを活用する全ての企業にとって「対岸の火事」ではありません。特に、EU企業との取引がある日本企業は、2026年8月2日の本格施行に向けて、今すぐ動き出す必要があります。

この記事のポイントをおさらいすると：

EU AI Actは世界初の包括的AI規制法。日本企業にも域外適用あり
4段階のリスク分類（禁止・ハイリスク・限定リスク・最小リスク）で義務が異なる
違反時の罰金は最大3,500万ユーロ（約56億円）or 全世界売上高の7%
中小企業向けの配慮措置あり。完璧を目指さなくても「80点の対応」でOK
2026年8月は「ゴール」ではなく「スタートライン」

今日やるべき3つのアクション

この記事の「5分即効プロンプト」をChatGPTに投げる ── まずは自社AIのリスク分類を把握（所要時間：5分）
経営層に「EU AI Act対応の必要性」を報告する ── この記事のチェックリストを添えて（所要時間：30分）
AIシステムの棚卸しを開始する ── プロンプト4のテンプレートを使って全社調査をスタート（所要時間：1〜2日）

次回の記事では、「EU AI Actテクニカルドキュメンテーション ── 中小企業が最速で書くためのテンプレート」をお届けする予定です。テクニカルドキュメンテーションの実際の書き方を、コピペ可能なテンプレート付きで解説します。

EU AI Act対応についてのご相談は、こちらのお問い合わせフォームからお気軽にどうぞ。AI導入支援の一環として、EU AI Act対応のアドバイスも行っています。

著者プロフィール

佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー約10万人。
100社以上の企業向けAI研修・導入支援。著書『AIエージェント仕事術』（SBクリエイティブ）。
SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

参考・出典

AIの導入・活用についてのご相談は、Uravationのサービス一覧をご覧ください。

この記事を書いた人佐藤傑

株式会社Uravation代表取締役。早稲田大学法学部在学中に生成AIの可能性に魅了され、X（旧Twitter）で活用法を発信（@SuguruKun_ai、フォロワー10万人超）。100社以上の企業向けAI研修・導入支援を展開。著書累計3万部突破。SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

@SuguruKun_ai SoftBank IT連載詳しいプロフィール

media AI活用の最前線