ヨーロッパの画期的な AI 規制について知るべきすべて。リスク分類から技術要件まで、本ガイドは2026年8月の施行期限を前に貴組織が把握すべき事項を解説する。
EU Artificial Intelligence Act（Regulation (EU) 2024/1689）は、人工知能に関する世界初の包括的な法的枠組みである。2024年6月に採択され、欧州連合域内における AI システムの開発、市場投入、利用について調和のとれた規則を定める。
本規制はリスクベースのアプローチを採用し、AI システムを4つのリスクレベルに分類し、比例的な要件を課す。これは、健康、安全、または基本的権利により大きなリスクをもたらす AI システムには、より厳格な義務が適用されることを意味する。
AI Act は以下に適用される：
域外適用の範囲は、EU 域外の組織であっても、その AI システムが EU 加盟国内の個人に影響を及ぼす場合には準拠しなければならないことを意味する — GDPR がデータ処理に適用されるのと同様である。
EU AI Act は段階的な実施アプローチを採用しており、組織が準備できるよう、異なる規定が異なる時期に適用される。
EU AI Act が正式に発効した
許容できないリスクの AI システムの禁止が発効する
汎用 AI モデルに関する規則が適用される
high-risk AI 要件を含むすべての規定が適用される
既存の high-risk AI システムは準拠状態にしなければならない
2026年8月2日 は、high-risk AI システムに対する全面的な執行が開始される時点である。組織はこの期限に間に合わせるため、今すぐ準拠への取り組みを開始すべきである。ほとんどの準拠プログラムは、適切な実装に6〜12か月を要する。
EU AI Act は、AI システムが引き起こしうる潜在的な損害に比例した要件を伴うリスクレベルのピラミッドを確立する。自社システムの分類を理解することが、準拠への第一歩である。
安全、生計、または権利に対する明白な脅威となる AI システム
人々に重大な影響を及ぼしうる重要分野で利用される AI システム
特定の透明性義務を伴う AI システム
特定の規制要件のない AI システム
AI Act は、基本的権利に対して許容できないリスクをもたらすとみなされる特定の AI 慣行を完全に禁止する。これらの禁止は2025年2月2日に発効した。
注： 一部の禁止には、事前の司法承認を得た法執行および特定の重大犯罪のシナリオに関する限定的な例外がある。組織は境界事例について法的助言を求めるべきである。
high-risk AI システムは、AI Act の下で最も包括的な要件の対象となる。これらは規制の Annexes I および III で定義されている。
遠隔生体認証、分類
エネルギー、輸送、水、デジタルインフラ
学生の評価、アクセス判断、不正検知
採用、人事判断、パフォーマンス監視
信用スコアリング、緊急サービス、給付資格
リスク評価、証拠評価、犯罪分析
渡航文書の検証、ビザ処理
法律調査支援、司法支援
EU 調和法令（Annex I）の対象となる製品において安全コンポーネントとして利用される AI システムは、自動的に high-risk に分類される。これには機械、玩具、医療機器、車両、航空、船舶機器などにおける AI が含まれる。
AI Act は、AI バリューチェーンにおける役割に応じて異なる義務を割り当てる。ほとんどの組織はプロバイダー（AI を開発する者）またはデプロイヤー（AI を利用する者）のいずれかである。
AI システムを開発する、または市場に投入する組織
職務上の立場で AI システムを利用する組織
EU 域外の AI システムを市場に持ち込む組織
サプライチェーンにおける組織（プロバイダーでも輸入業者でもない）
high-risk AI システムは、そのライフサイクル全体を通じて特定の技術要件を満たさなければならない。これらの要件は、プロバイダーが実装すべき事項の中核を成す。
AI システムのライフサイクル全体を通じた継続的かつ反復的なプロセス
訓練、検証、テスト用データセットが品質基準を満たすことを確保する
準拠を証明する包括的な文書
運用中のイベントの自動ログ記録
デプロイヤーが出力を適切に解釈し利用できるようにする
運用中の効果的な人間の介入を可能にする
適切な性能レベルを達成する
EU AI Act は、GDPR と同様の段階的な構造に従い、不準拠に対して相当額の行政制裁金を定める。
最大3,500万 € または全世界年間売上高の7%
禁止される AI 慣行に関わる違反に対して（いずれか高い方）
最大1,500万 € または全世界年間売上高の3%
high-risk AI 要件または GPAI 義務の違反に対して（いずれか高い方）
最大750万 € または全世界年間売上高の1.5%
当局への不正確または誤解を招く情報の提供に対して（いずれか高い方）
本規制は中小企業向けの規定を含む。中小企業およびスタートアップについては、制裁金は割合または固定額のいずれか低い方に基づいて算定される。加盟国は規制サンドボックスおよび支援メカニズムの提供も義務づけられている。
EU AI Act 準拠への体系的なアプローチは、通常これらのフェーズに従う。組織は2026年8月までに準備を整えるため、今すぐ着手すべきである。
全事業部門にわたるすべての AI システムを棚卸しする
Annex III のカテゴリーに従いリスクレベルを評価する
要件に対する準拠ギャップを特定する
技術的措置およびガバナンス措置を実施する
ほとんどの組織は、high-risk AI システムについて監査対応可能な準拠を達成するために6〜12か月を要する。これには以下が含まれる：