Digital Omnibusが延期したのは、EU AI Actの中でも最も重い部分であり、大半の企業が直面する部分ではありません。高リスクシステムへの厳格な規則は2027年末から、規制対象製品に組み込まれたAIについては2028年から始まります。一方、AIリテラシー、禁止事項、汎用AIモデルの規則、新しい表示義務は2026年に適用されており、規制当局も今年から執行を始めました。
この差が重要なのは、多くの企業が「一時停止」という見出しだけを読んで、この問題を棚上げにしてしまったからです。改正案を議会で取りまとめた2人の欧州議会議員のうち1人は、これを「AI Actの一時停止ボタンを押すこと」と表現しました（European Parliament）。しかし、この一時停止が及ぶのは履歴書スクリーニングや与信スコアリングなど、限られた用途だけです。AI動画を公開するマーケティングチーム、サポートボットをリリースするスタートアップ、スタッフが一日中ChatGPTを使っている小さな会社には、今日から果たすべき義務があります。EUで販売または運用している限り、会社の所在地がどこであっても同じです。
このガイドでは、現在施行されている内容、Omnibusによる変更点、AI Actにおける自社の役割の見極め方、そしてこれから90日間でやるべきことを解説します。規則本文と欧州委員会のガイダンスをわかりやすく読み解いたもので、法的助言ではありません。採用、与信、教育、公共サービスに関わるものを開発・導入している場合は、必ず弁護士に個別の状況を確認してください。
現在すでに適用されているもの、そしてその開始時期
AI Actは2024年に発効し、それ以来、段階的に適用が始まっています（European Commission）。今年より前に、3つの規則群がすでに有効になっていました。ソーシャルスコアリング、職場や学校での感情認識、顔認識データベース用の顔画像の無差別収集といった行為の禁止は、2025年初めから適用されています。第4条のAIリテラシー義務も同様です。汎用AI（GPAI）モデルのプロバイダーに対する義務は、2025年の後半に続きました。
このタイムラインは2つの波として捉えてください。2026年を通じた第1の波は、AIを使うほぼすべての企業に及びます。2027年末からの第2の波は、高リスクシステムを開発または導入する、はるかに少数の企業が対象です。
今年は、この法律が実効性を持った年です。AI Actの大部分が2026年に適用可能となり、第50条の透明性義務もこれに含まれます。欧州委員会のAI Officeは、各国当局とともに執行を開始しました（European Commission）。AI OfficeはGPAIモデルのプロバイダーを監督します。Omnibusの施行後は、ラボが自社モデル上に構築するAIシステムの大半と、最大級のオンラインプラットフォームに組み込まれたAIについても、専属的に管轄します（EUR-Lex）。AIリテラシーや禁止事項を含むそれ以外はすべて、各国の市場監視当局の管轄で、第4条の監督も今年始まりました（Commission AI literacy Q&A）。
Digital Omnibusで何が変わったか
欧州委員会は昨年末、EUのデジタル関連法を整理する大きな取り組みの一環として、AIに関するDigital Omnibusを提案しました。議会と理事会は今年前半に合意に達し、議会は賛成423、反対57、棄権174で承認、Regulation (EU) 2026/1744が今年発効しました（European Parliament Legislative Train）。AI Actを置き換えるものではなく、改正するものです。リスク区分、各役割、罰金の上限はそのまま残っています。
一般的な企業にとって重要な変更は6つあります。
- 採用、与信スコアリング、教育など、Annex IIIに列挙された単独用途の高リスク規則は、今年ではなく2027年末から適用されます。エレベーターや玩具のような規制対象製品に組み込まれた高リスクAIは、2028年に続きます。
- 第4条はAIリテラシー義務を維持しつつ、従来の「十分なレベル」という要件を削除しました。企業は「AIリテラシーの向上を支援する措置を講じる」ことが求められ、新しい条文は、これが「個々人の特定のAIリテラシーレベル」を保証することを意味しないとしています。
- 透明性規則の適用前にすでに販売されていた生成AIシステムには、出力に機械可読なマーキングを付ける期限として、2026年末までの4か月の猶予が与えられます。
- 新たな禁止の対象は、同意なく実在の人物の性的な画像を生成するいわゆるヌーディファイアプリと、AIが生成した児童虐待コンテンツです。2026年末から適用されます。
- SMEの定義を超えて成長した小規模ミッドキャップ企業にも、SME向け救済措置の一部が適用されます。簡素化された技術文書の様式と、大半の違反に対する罰金上限の引き下げです。
- プロバイダーとデプロイヤーは、厳格な条件の下で、バイアスの検出と是正のために機微な個人データを処理できます。また、プロバイダーが高リスクではないと判断したAnnex IIIシステムの登録は、簡素化された形で存続します。
変更されなかった点を知っておくことも同じくらい役に立ちます。Omnibusは、第26条のデプロイヤー義務、第50条の中核的な透明性義務、大企業向けの罰金上限を改正していません（EUR-Lex）。高リスクの延期には明示された理由もあります。規則自体の前文は、技術標準の策定の遅れと、各国当局の体制整備の遅れを理由に挙げています。
2人の主導的な議員は、この結果を異なる形で語りました。Arba Kokalariは一時停止ボタンと規制の簡素化に言及しました。Michael McNamaraは、目的は「AI Actの骨格を維持しながら一部の期限を延長することで、法的確実性を確立すること」だと述べています（European Parliament）。計画を立てるうえでは、McNamaraの見方を基準にするのが適切です。
まずリスク区分を確認する
AI Actが規制するのはブランドではなく用途です。同じモデルでも、どう使うかによって3つの区分のどれにも該当しえます。ベンダーを並べる前に、まず自社の用途を洗い出してください。
ビジネスで使われるAIの大半は最下層に入ります。欧州委員会は、最小リスクのAIに対する規則はAI Actでは新設されず、「現在EUで使われているAIシステムの大多数はこの区分に該当する」としています（European Commission）。Claudeでメールを下書きする、Microsoft Copilotで会議メモを要約する、GitHub Copilotでコードを書くといった使い方で、高リスクのデプロイヤーになることはありません。ただし、第4条はリスク区分を問わずすべてのAIシステムに適用されるため、AIリテラシーの義務は引き続き発生します。
Omnibusによる延期が効いてくるのは高リスクです。欧州委員会が挙げる例には、履歴書の仕分けソフト、与信スコアリング、教育・移民・司法で使われるAIなどがあります。応募者をふるい分けるツールを使っているなら（AI採用ツールのランキングにある製品の多くが何らかの形でそうした機能を備えています）、高リスクシステムをデプロイしていることになります。規則の開始が2027年末であっても、今から備えておくべきケースです。AI採用ツールのまとめ記事では、このカテゴリのベンダーがスクリーニング機能をどう説明しているかを確認できます。
透明性の区分は、危険性ではなく開示がテーマです。対象は、チャットボット、ディープフェイク、公共に情報を伝えるために公開されるAI生成テキストです。最小リスクのシステムでも、表示義務を負うことがあります。
禁止の区分は項目が少なく、一般的な企業にはほとんど関係しませんが、1つ落とし穴があります。職場での感情認識は、限定的な医療・安全目的を除いて禁止されており、2025年からそうなっています。通話中の音声や顔から従業員の感情を推測するツールは、2027年ではなく今日すでに問題になります。
プロバイダーかデプロイヤーか：役割で義務が決まる
義務の大半は、1つの問いから決まります。そのAIシステムを自社で作った（あるいは自社ブランドにした）のか、他社が作ったものを使っているのか。欧州委員会自身の例では、履歴書スクリーニングツールの開発者（プロバイダー）と、それを利用する銀行（デプロイヤー）が対になっています。AI Actは、EU域内の市場にAIシステムを投入する者、またはEU域内でAIシステムを使用する者を対象とするため、EU域外の企業にも及びます（Commission AI Act FAQ）。
高リスクシステムのデプロイヤーにとって、押さえるべきは第26条のリストです。プロバイダーの指示に従ってシステムを使い、「必要な能力、訓練、権限」を持つ担当者に人による監督を任せます。システムを監視し、問題があればプロバイダーに報告し、ログを少なくとも6か月間保管します。雇用主はさらに、システムを従業員に対して使う前に、労働者の代表と対象となる従業員へ通知しなければなりません（AI Act）。プロバイダーの負担はより重く、リスク管理、技術文書、適合性評価、登録が求められます。
図の中央にある役割の入れ替わりは、見落とされがちです。第25条により、高リスクシステムに自社の名称や商標を付けた場合、実質的な変更を加えた場合、または通常のシステムの意図された目的を変更して高リスクになった場合は、自社がそのプロバイダーになります。ベンダーのスクリーニングツールを自社ブランドでホワイトラベル提供するのは、気づかないうちにプロバイダーの義務を負ってしまう典型的なパターンです。
他社のモデルの上に構築する場合
前の2つの役割の上に、第3の役割があります。自社プロダクトがOpenAI、Anthropic、Google Gemini、Mistral AIのモデルをAPI経由で呼び出しているなら、自社はAIシステムのプロバイダーですが、モデルのプロバイダーではありません。欧州委員会のガイドラインによれば、下流の企業がモデルプロバイダーになるのは、改変やファインチューニングに元モデルの学習計算量の3分の1超を使った場合に限られます（Commission GPAI guidelines Q&A）。技術文書、下流の開発者向け情報、著作権ポリシー、学習データの公開要約といったモデルに関する義務は、ラボ側に残ります。
つまり、ベンダーに求められるものがあるということです。欧州委員会は2026年以降、GPAIモデルのプロバイダーに罰金を科すことができ、OpenAI、Anthropic、Google、Microsoft、Mistral AIはいずれも任意のGPAI行動規範に署名しています（European Commission）。モデルのベンダーには、下流向けのドキュメントと、学習データの要約をどこで公開しているかを確認しましょう。必要な情報を提供してくれない場合は、下流のプロバイダー向けに欧州委員会が設けた苦情窓口を利用できます。
自分の立ち位置がわからない場合は、以下のツリーで3問以内に判定できます。
複数の答えが出た場合（たとえば採用ツールを使いつつ、サポートボットも提供している場合）、義務は積み重なります。ツリーは会社ごとではなく、用途ごとに1回ずつ実行してください。
AIコンテンツの表示：今年から始まったルール
第50条は、AI Actの中でも顧客の目に触れるものを最も変えやすい部分で、今年から適用されています。作業はプロバイダーとデプロイヤーで分担されます。
プロバイダーは、合理的に情報を得ている人にとって明らかな場合を除き、チャットボットなどの対話型システムを、相手がAIであるとわかるように設計しなければなりません。AIサポートチャットボットのランキングから選んだ顧客向けボットを運用しているなら、最初のやり取りの時点で開示が表示されているか確認してください。また生成AIツールのプロバイダーは、出力を「機械可読な形式で、人工的に生成または操作されたものと検出可能な形で」マーキングしなければなりません（AI Act）。これはMidjourney、ElevenLabs、Synthesiaといったツールを提供する企業の仕事であり、利用する顧客の仕事ではありません。規則の適用前にすでに販売されていたシステムには、2026年末までの猶予があります。
目に見える部分を担うのはデプロイヤーです。ディープフェイクの画像、音声、動画を公開する場合は、それが人工的に生成または操作されたものであることを開示しなければなりません。ただし、明らかに芸術的、風刺的、フィクションの作品であれば、作品を損なわない形での開示で足ります。公共の利益に関わる事柄について一般に情報を伝えるために公開されるAI生成テキストも、人が内容を確認し、編集責任を負う者がいる場合を除き、表示が必要です（European Commission）。感情認識や生体情報による分類を使う場合は、その対象となる人々に通知しなければなりません。
マーケティングチームにとっての実務上のルールは、聞こえるほど広くはありません。編集者が確認する広告コピーやブログの下書きは、テキストに関するルールの対象になる可能性は低いでしょう。一方、実在のスポークスパーソンが言っていないことを話す合成動画は、ディープフェイクのルールにまさに当てはまります。どのアセットが対象になるかを事前に決めて、それらには表示を付け、残りについては誰が確認したかの記録を残してください。
欧州委員会はこのルールを、第50条のガイドラインと、AI生成コンテンツに関する任意の行動規範で後押ししました。行動規範には、執行が始まる時点で180を超える組織が署名していました（European Commission）。
罰金と、執行が実際にどう感じられるか
上限額は、書面上は高額です。禁止事項に違反した場合は、最大3,500万ユーロまたは全世界年間売上高の7%のいずれか高い方が科される可能性があります。その他の違反の大半とGPAIモデルプロバイダーの不履行は、最大1,500万ユーロまたは3%です。規制当局に誤解を招く情報を提供した場合は、750万ユーロまたは1%となりえます（Commission AI Act FAQ）。
小規模な企業については、2つの点でこの数字が小さくなります。SMEとスタートアップには、高い方ではなく低い方の額が適用されます。Omnibusはこの「いずれか低い方」のルールを、通常の違反と誤解を招く情報の提供について小規模ミッドキャップ企業にも拡大しましたが、禁止事項は対象外です。また、加盟国に対し、罰則を決める際に企業の「経済的存続可能性」を考慮するよう求めています（EUR-Lex）。
AIリテラシーは各国で執行され、欧州委員会は、制裁は「個別の事案に基づき、比例的」でなければならないとしています（Commission AI literacy Q&A）。小さな会社にとって現実的なリスクは、リテラシー単独での罰金ではありません。記録が乏しいと、ほかのインシデント（顧客ファイルの漏えい、偏った判断、顧客への誤解を招くAIの回答など）で弁明しにくくなることです。
しばらくは、執行にもばらつきが出るでしょう。artificialintelligenceact.euの各国トラッカーは、最新の概況で、市場監視当局と届出当局の両方を指定済みで「明確」と評価した加盟国をわずか9か国としており、それ以外はまだ法案を作成中か、成立させている段階でした（artificialintelligenceact.eu）。国内の実施法を最初に整えたのはイタリアです。自社が受けるリスクは、EU域内の顧客や従業員がどこにいるかにも左右されると考えておきましょう。
役割別チェックリストと90日プラン
典型的なSMEの方針はシンプルです。リテラシーと透明性の対応は、すでに有効で費用も低いので今すぐ行います。高リスクの対応は、洗い出した用途に高リスクのものがある場合だけ行います。その場合は、2027年末が調達や文書作成のサイクルよりも近いため、書類の準備を今から始めてください。
| 自社の役割 | 今やること（2026年） | 2027年末までにやること |
|---|---|---|
| デプロイヤー（AIツールを利用） | ツールの棚卸し、スタッフ向けリスク説明、研修記録、ディープフェイクと公共性のあるテキストの表示、禁止用途のチェック | 高リスク用途：監督担当者の指名、ログの6か月保管、従業員への通知、ベンダーからの適合性の証拠 |
| プロバイダー（AIを開発またはブランド化） | チームのAIリテラシー、チャットボットの開示、機械可読なマーキング、高リスクではないと判断したAnnex III用途についての文書メモ | 高リスクシステム：リスク管理、技術文書（SMEと小規模ミッドキャップ向けは簡素化様式）、適合性評価、登録 |
| ラボのモデル上に構築する事業者 | モデルプロバイダーのドキュメントと学習データ要約を入手し、ファインチューニングが元の学習計算量の3分の1に近づいていないか確認 | モデルに関する情報を自社のプロバイダー文書に反映 |
| GPAIモデルのプロバイダー | ドキュメント、著作権ポリシー、学習データ要約、遵守を示す手段としてのGPAI行動規範 | 2025年の規則より前に市場に出たモデルは、2027年までに適合が必要 |
以下の90日プランは、AIコンプライアンスにまだ何も着手していない会社を想定しています。すでに進んでいる場合は、短縮してください。
- 1〜15日目：棚卸しを作る。ツール、担当者、用途、影響を受ける人、自社で作ったのか、ブランド化したのか、購入したのか、を1つのスプレッドシートにまとめます。シャドーAIが潜みやすい無料アカウントやブラウザ拡張機能も含めてください。
- 16〜30日目：各用途をリスク区分と役割で分類し、禁止行為に触れるものはすべて止めます。
- 31〜50日目：全スタッフと外部委託先向けに短いリスク説明を行い、AIの出力をもとに行動する人にはより踏み込んだセッションを実施します。欧州委員会自身の例では、広告コピーや翻訳にChatGPTを使う従業員には「ハルシネーションなど、具体的なリスクについて周知すべき」とされています。氏名と日付を記録してください。
- 51〜70日目：透明性の仕組みを整えます。チャットボットの開示、ディープフェイクと公共性のあるテキストの表示ルール、各生成AIベンダーに出力のマーキング方法を確認することが含まれます。
- 71〜90日目：1ページのAI利用ポリシーを書き、責任者を決めます。高リスクの用途がある場合は、文書ファイルを作成し、該当ベンダーに適合性に関する質問票を送ります。
従業員50人未満の会社なら、たいていスプレッドシートで十分です。数十のツールを扱う大きなチームなら、Credo AI、OneTrust AI Governance、Monitaurのようなガバナンスプラットフォームも検討に値します。ほかの製品はコンプライアンス・リスク管理ランキングで確認できます。何かを購入する前に、欧州委員会の無料のAI Act適合性チェッカーを10分ほど試してみてください。棚卸しで、顧客データを任せたくないツールが見つかった場合は、AIツールのプライバシーフレームワークでその面を解説しています。
AIリテラシーの取り組みが現在どの段階にあるかを確認するため、規制当局にすでに示せるものにチェックを入れてください。
スコアが低い場合、解決策はたいてい同じで、記録を残すことです。欧州委員会は、証明書も、決まった研修コースも、AI責任者も求めていませんが、何を行ったかを示せることは期待しており、その証拠として挙げているのが社内の研修ログです（Commission AI literacy Q&A）。
まだ不確かなこと
高リスクの日程は法律で確定しましたが、プロバイダーが適合性を示すために使う技術標準こそ、そもそも延期の理由でした。欧州委員会の提案では、開始時期はそれらの標準が整うことを条件にしていました。最終的な条文では、固定の日付が設定されました（European Parliament Legislative Train）。標準が再び遅れた場合、プロバイダーは自動的な延長のないまま、同じ窮地に立たされます。
AIリテラシーの変更には異論があります。IAPPが公表した分析は、この義務をまだ策定されていない欧州委員会の例示やAI Board（AI委員会）の勧告に結びつけると、遵守の判断が容易になるどころか、難しくなる恐れがあると主張しています（IAPP）。同記事は、高リスクのデプロイヤーには第26条のもとで、実質的な能力を持つ監督担当者が引き続き必要だとも指摘しています。欧州委員会は、この義務は以前より簡素になったという立場で、改正後の第4条は、実務的な遵守例の公表を義務づけています。企業にとってはどちらの解釈でも結論は同じで、自社なりの「十分」の定義を文書化しておくことです。
ガイダンスは今後も出てきます。改正後のAI Actは、欧州委員会に対し、AI Actと分野別の製品法との関係に関するガイドラインを2027年の期限までに公表すること、そしてSMEと小規模ミッドキャップ企業向けの簡素化された文書様式を提供することを義務づけています。新しい禁止規定も、実際の運用で試される必要があります。汎用の画像ツールが対象になるのは、悪用が予見可能で、かつ安全対策が不十分な場合に限られますが、その線引きをどこに置くかは規制当局と裁判所が決めることです。規制の厳しい分野で働いているなら、法務業務でのAI活用ガイドで、事務所がこうした不確実性に日常的にどう対処しているかを紹介しています。
よくある質問
EU AI Actは、EU域外の企業にも適用されますか？
はい。拠点がどこにあっても、EU市場にAIシステムやGPAIモデルを投入する者、またはEU域内でそれらを使用する者が対象です。ドイツの雇用主にAI採用ツールを販売する米国のソフトウェア企業は、AI Actにおけるプロバイダーです。
EU AI Actは2026年に延期されましたか？
部分的にだけです。Omnibusにより、高リスク規則はAnnex III用途が2027年末、規制対象製品に組み込まれたAIが2028年に移りました。禁止事項、AIリテラシー、GPAI規則、透明性義務は延期されていません。例外は、旧来の生成AIシステム向けの短いマーキング猶予期間です。
AIリテラシーの証明書やAI責任者は必要ですか？
いいえ。欧州委員会は、どちらも必須ではなく、義務的な研修形式もないとしています。必要なのは、スタッフや外部委託先に対する相応の措置と、何を行ったかを示す記録です。
仕事でChatGPTを使うのは高リスクですか？
文書作成、リサーチ、翻訳であれば高リスクではありません。リスクは用途によって決まるため、同じアシスタントでも、求職者のランク付けや与信判断に使えば、高リスクのプロセスの一部になります。選択肢を比較している場合は、ChatGPTの代替ツールガイドで主要なアシスタントを比較しています。
大手モデルメーカーに罰金が科されるのはいつからですか？
欧州委員会は2026年から、GPAIモデルのプロバイダーに罰金を科すことができます。欧州委員会のGPAIガイドラインによれば、2025年にGPAI規則が発効する前にすでに市場に出ていたモデルは、完全な遵守まで2027年までの猶予があります。