EU AI法の“二段階施行”とは何か ― API利用企業も負う開示義務と、日本の“罰則なし”をどう捌くか

INDEX目次

EU AI法の二段階施行とは何か。2026年8月2日に先行適用が始まった透明性義務と、高リスク規定の延期の実像を解説。API利用企業(デプロイヤー)が負う開示義務、罰則なしの日本との“二層規制”への対応など、経営者が押さえる3つのステップを提示します。

【この記事の要点】

EU AI法は2026年8月2日に“二段階施行”入り。透明性義務が先行し、高リスクAI規定は最長16ヶ月延期
ChatGPT・Claude等のAPI利用企業(デプロイヤー)も開示義務を負う。域外適用で日本企業も対象になりうる
日本はAI推進法=罰則なし。EU×日本の“二層規制”は、EU水準へのガバナンス一本化で捌く
最初の一歩は、自社のAIサービスが「EUの個人に届いているか」の棚卸しから

「うちはEUに拠点がないから、EU AI法は関係ない」 ― もしそう考えているなら、2026年8月2日を境に、その前提は崩れました。

EU AI法(EU AI Act)は、世界初の包括的なAI規制です。その主要な義務の適用が、8月2日に始まりました。ただし「全面施行」ではありません。実際に起きたのは“二段階施行” ― 透明性義務が先行し、高リスクAI規定は延期されるという、切り分けられたスタートです。そしてこの透明性義務は、ChatGPTやClaudeのAPIを使ってサービスを提供する“利用企業”自身にも及びます。本記事では、EU AI法の二段階施行とは何か、日本企業は何を、どの順番で捌くべきかを解説します。

EU AI法の“二段階施行”とは何か ― 始まったものと、延期されたもの

【EU AI法の二段階施行とは、2026年8月2日にAI生成コンテンツの開示などの透明性義務(第50条)が先行して適用され、採用・与信などに関わる高リスクAI規定は最長16ヶ月延期された、切り分け型の施行を指す。「全面施行」でも「延期」でもなく、義務は選別されて始まっている。】

8月2日に始まったこと、延期されたことを正確に分けて押さえましょう。

開始: AIと対話していることの通知義務(チャットボット等)
開始: AI生成・加工コンテンツへの機械可読なマーキング、ディープフェイクの表示義務
開始: 公共的事項に関するAI生成テキストの表示、新規GPAIモデルへのEU AIオフィスの執行・市場監視
延期: 高リスクAI(採用・与信・教育等)の重い義務 ― 欧州委が2025年11月に最長16ヶ月の延期方針を発表

重要なのは、延期を「時間ができた」と読まないことです。高リスク規定の延期は「準備期間を与えられた」というメッセージであり、先行して始まった透明性義務は、いま現在、生きている義務です。

なぜ“API利用企業”も対象なのか ― デプロイヤー責任

EU AI法の要注意ポイントは、義務を負うのがAI開発企業だけではないことです。

EU AI法は、AIを開発する「プロバイダー」だけでなく、AIを業務に組み込んで使う「デプロイヤー(展開者)」にも義務を課します。ChatGPTやClaudeのAPIを利用してEU域内の個人にサービスを提供していれば、チャットボットがAIであることの明示などの義務は、API利用企業自身が負います。しかもEU AI法は域外適用 ― EUに拠点がなくても、EU域内の個人にサービスが届いていれば対象になりえます。「モデルを作っていないから無関係」は、通用しません。

図解1: EU AI法の“二段階施行” ― 2026年8月2日に始まったものと、延期されたもの
(出典: EU AI Act / 欧州委員会発表2025/11 / 各種解説2026)

日本の“罰則なし”とどう違うのか ― 二層規制の構図

EU AI法と対照的に、日本のAI規制は別の道を歩んでいます。AI推進法は罰則も禁止規定も持たない、ガイドラインベースのイノベーションファースト設計です。

日本: AI推進法(罰則なし)+AI事業者ガイドライン第1.2版(2026/3)。人工知能基本計画第Ⅱ期が2026年7月14日に閣議決定
日本: 個人情報保護法の見直しでは、AI開発目的のデータ活用の緩和が閣議決定(2026/4)され、活用を後押しする方向
EU: 義務化と罰則で規律。違反には巨額の制裁金がありうる

観点	EU AI法	日本(AI推進法ほか)
性格	義務化・罰則あり	罰則なし・ガイドラインベース
直近の動き	透明性義務が先行適用 (2026/8/2)	人工知能基本計画第Ⅱ期 (2026/7/14閣議決定)
日本企業への効き方	域外適用で対象になりうる	自主ガバナンスが前提
経営の含意	開示・表示の実装が急務	ガバナンス水準は経営者自身が決める

表1: EU AI法と日本のAI規制の比較(2026年8月時点)

つまり、グローバルに事業を展開する日本企業は、「義務と罰則のEU」と「自主性に委ねる日本」という二層の規制環境を同時に生きることになります。これがEU AI法時代の経営の前提条件です。二層を別々のルールで運用すると、コストは二重になり、抜け漏れが生まれます。だからこそ、対応の設計が経営の論点になるのです。

経営者はEU AI法にどう対応すべきか ― 3つのステップ

EU AI法への対応は、法務部門に丸投げする話ではありません。AIをどの業務で、誰に向けて使うかという経営判断そのものです。次の3つのステップで捌くのが現実的です。なお、個別の法的判断は弁護士等の専門家確認を前提としてください。

ステップ1: 適用の棚卸し ― 自社のAIがEUの個人に届いていないか

まず、自社のAIサービス・チャットボット・生成コンテンツが、EU域内の個人に届いているかを棚卸しします。ECサイト・グローバルサイト・多言語チャットボットは要注意です。「対象になっているか分からない」こと自体が、EU AI法時代の経営リスクです。

ステップ2: 開示・表示の実装 ― 透明性義務に応える

対象になりうるなら、AIと対話していることの通知、AI生成コンテンツへのマーキングなど、先行適用された透明性義務への対応を実装します。これは重い高リスク対応に比べれば、実装可能な範囲の義務です。だからこそ先行適用されている ― まずここから着手するのが順序です。

ステップ3: ガバナンスの一本化 ― EU水準で日本も運用する

EU向けと日本向けでルールを二重管理するのは、コストも漏れも増やします。現実解は、より厳しいEU水準にガバナンスを合わせ、日本国内も同じ基盤で運用する一本化です。日本の“罰則なし”は「やらなくていい」ではなく「自分で設計する」という意味です。EU AI法対応を、自社のAIガバナンスを整える機会に転換する ― これが攻めの読み方です。

図解2: EU×日本の“二層規制”と経営者の対応3ステップ
(出典: Sam分析 / 2026年 AI規制動向)

二層規制の効き方の違い

EU AI法と二層規制の効き方は、業界によって異なります。金融業界は与信・審査など高リスク区分に近い業務が多く、延期された高リスク規定の準備を先取りする価値が最も高い業界です。国内でも金融庁がAIガバナンスの論点整理を進めており、EU水準との整合を取りやすい下地があります。小売・サービスは越境EC・多言語チャットボットがEUの個人に届きやすく、透明性義務(AI対話の通知・生成物の表示)への対応が最初の実務になります。基幹産業は重要インフラとして、AIの安全性・監査可能性への要求が国内外で高まる方向にあり、ログと人の監督を含む運用設計を先に整えることが効きます。自社の業界で「どの業務が、どちらの層の規制に触れるか」を仕分けることが出発点です。

まとめ ― “罰則なし”の日本でこそ、ガバナンスは経営の仕事になる

EU AI法の二段階施行とは、透明性義務が先行し、高リスク規定が延期された切り分け型のスタートです。API利用企業(デプロイヤー)も開示義務を負い、域外適用で日本企業も対象になりえます。一方の日本は罰則なし ― つまり、AIガバナンスの水準を決めるのは規制ではなく、経営者自身です。二層規制の時代、ガバナンスの一本化こそが、コストを抑えつつ信頼を作る現実解になります。

自社のAIサービス・チャットボット・AI生成コンテンツを一覧にし、「EUの個人に届いているか」に○×をつけること。○が一つでもあれば、透明性義務への対応は今日の課題です。×ばかりでも、その一覧はそのまま自社のAIガバナンスの土台図になります。それが、EU AI法時代の経営の第一歩です。

次回は、Opus 5・GPT-5.6と続くAIモデルの世代交代を、経営計画と投資判断にどう組み込むかを解説します。