EU AI法は自社に適用される？義務をわかりやすく解説

EU AI法に関する多くの解説は、AIを開発する企業向けです。本稿は、それ以外の企業にも向けています。チャットボットを使うオンラインショップ、ChatGPTで原稿を作成する代理店、AI機能を追加するソフトウェア会社、欧州の顧客に販売するEU域外国企業です。規則の主要適用日はすでに到来し、直前の改正によって全体像も固まりました。人工知能法が通常の企業に実際に何を求めるのかを説明します。

人工知能法とは何か、なぜ重要なのか

AI法、正式には規則（EU）2024/1689は、世界初の包括的なAI法です（現行の統合版テキストはEUR-Lexで確認できます）。EU規則であるため、国内法への移行を要せず全加盟国で直接適用されます。AI規則はリスクベースの考え方に基づきます。AIシステムが人の安全または基本的権利へ及ぼし得る影響が大きいほど、開発・利用する者の義務も厳しくなります。

AIに関するデジタル・オムニバス（規則（EU）2026/1744）は、主要適用日の直前に同法を改正しました。高リスクの期限を延期し、新たな禁止行為を2件追加し、高リスクの定義の一部を限定するとともに、小規模企業の事務負担を軽減しました。4段階のリスク区分と役割別の義務という基本構造は変わりません。

EU AI法は誰に適用されるか：4つの確認事項

1. そのツールは「AIシステム」か？人が定めた固定手順によるルールベースのアルゴリズムは該当しません。決め手は推論です。明示的にプログラムされていない方法で、データから予測、推奨、決定またはコンテンツを生成するシステムが該当します。チャットボット、生成ツール、スコアリング、推薦エンジンは該当しますが、表計算の数式は該当しません。

2. 業務で使われているか？私的かつ非業務的な利用は適用範囲外です。従業員が企業を代表してツールを使った時点で、その企業は適用対象となります。

3. EUと関係があるか？AIシステムがEU市場に投入される、EU内で利用される、またはその出力がEU内で利用される場合に適用されます。EU顧客にサービスを提供する域外国企業も対象です。小規模企業やスタートアップの免除はありません。AI法上の義務は従業員数ではなくリスクに応じて決まります。

4. 自社で開発したか、それとも利用しているか？これにより役割が決まり、役割によって義務が決まります。

ほとんどの企業はAI法上の導入者です。ChatGPT、Copilotまたはベンダー提供のチャットボットの利用は提供者にはなりませんが、以下の義務を負う導入者にはなります。システムを大幅に変更する、自社製品に統合する、または自社ブランドで販売する場合、意図せず提供者になることがあります。

EU域外国企業にはもう一つの規則があります。EU域外の提供者は、高リスクAIシステムまたは汎用AIモデルをEU内で提供する前に、EU域内に設立された認定代理人を指定しなければなりません（システミックリスクのないオープンソースモデルは免除されます）。

AI法のリスク区分：4段階

欧州委員会は法案作成時、AIシステムのおよそ85%が最小リスク区分に属すると見積もりました。大半のサービス、ソフトウェア、EC企業にとって、実務上重要なのは第1行と第3行だけです。

EU AI法のタイムライン：現在の適用事項と延期事項

現在、多くの企業が直面するEU AI法の要件

1. 禁止されたAI慣行を利用しない

自社のツールに禁止区分に該当するものがないか確認してください。一般企業にとって最も現実的な落とし穴は、従業員や顧客の感情認識、または民族性や政治的見解などの機微な特性を推測する生体分類です。欧州委員会は境界事例向けに禁止慣行のガイドラインを公表しています。

2. AIリテラシーを支援し、AI方針を文書化する

提供者と導入者は、自らに代わってAIを運用または利用する人々のAIリテラシーを支援する措置を講じなければなりません。オムニバス改正は文言を緩和しました。各人に特定水準の能力を保証する必要はなくなりましたが、対応は依然必要です。同法は文字どおり「AI方針を採用せよ」とは定めません。しかし、短い社内AI利用方針、文書化した研修、受講者記録は、コンプライアンスを証明する最も簡単な方法です。この義務は社内利用にも及ぶため、顧客に一切接しないAIだけを使う企業にも適用されます。

3. チャットボットの開示：機械と会話していることを伝える

透明性義務により、チャットボットや音声アシスタントなど人と直接対話するAIシステムは、文脈から明白でない限り、利用者がAIを相手にしていることを明確にしなければなりません。この義務はシステムを構築した提供者にあります。ウェブサイトでベンダーのチャットボットを使う場合、ベンダーは開示機能を実装しなければなりませんが、顧客に向き合うのは自社です。最初の対話時までに表示が見えることを確認してください。「あなたは当社のAIアシスタントとチャットしています」という一文で足ります。

AI生成コンテンツに表示は必要か？

これは企業が最もよく尋ね、最も誤って回答されるAIコンテンツ開示の問題です。ルールは、生成ツールの提供者が埋め込むべき不可視の機械可読な表示と、コンテンツを公開する企業である導入者が特定の場合にのみ追加すべき可視の開示を区別しています。

覚えておくべき点は2つです。第一に、意図は関係ありません。誰かを欺くつもりがなくても、写実的な画像には表示が必要です。第二に、AIツールが埋め込む上流の電子透かしは、自社の表示義務を果たすものではありません。技術的なツールなしに人が認識できる開示でなければなりません。

実務でのAI法コンプライアンス：よくある5つのケース

高リスクAIシステム：廃止ではなく延期

自社が附属書IIIの分野でAIを提供または導入する場合、延期後の日付から、はるかに厳しい高リスクAI要件が適用されます。提供者はリスク管理システムを運用し、技術文書とログを保持し、人による監督を考慮して設計し、市場投入前に適合性評価を通過しなければなりません。導入者は指示どおりにシステムを使い、訓練済みの担当者を監督に配置し、ログを保持しなければなりません。

小規模企業には実質的な負担軽減があります。SME、スタートアップ、新設の「小規模中堅企業」区分には簡素化された技術文書、全SMEには簡素化された品質管理、さらに制裁金は定額と売上高比率の低い方が上限となります。除外規定もあります。附属書IIIの分野にあるシステムでも、限定的な手続的または準備的作業のみを行い、決定に実質的な影響を与えないなら高リスクではありません。ただし、自然人をプロファイリングするシステムは常に高リスクであり、除外を利用する提供者は評価を文書化し、EUデータベースへの登録も必要です。

制裁、執行およびGDPRとの関係

執行は分担されます。欧州AIオフィスは汎用AIモデル提供者を監督し、各加盟国はAIシステムの市場監視当局を指定し、データ保護当局はAIが利用する個人データの監督を継続します。欧州委員会のAI法サービスデスクは、企業からの質問に英語で回答します。

不遵守への制裁金は段階的です。禁止慣行は最大€35 millionまたは世界年間売上高の7%、透明性を含むその他の大半の義務は最大€15 millionまたは3%、当局への不正確な情報提供は最大€7.5 millionまたは1%です。大企業は両額の高い方が上限で、SMEおよびスタートアップは低い方が上限です。

AI法はGDPRに取って代わるものではなく、GDPRと並行して適用されます。AI法はシステムとその利用を規制し、GDPRはそこを流れる個人データを規制します。一方に完全準拠していても、他方に違反し得ます。AI法が基本権影響評価を求める場合、重複して実施する代わりに既存のデータ保護影響評価を利用できます。

企業のための実践的AIコンプライアンス・チェックリスト

優れたAIガバナンスに法務部門は必要ありません。大半の企業では、次の9ステップで現在のAI法要件を満たし、将来の高リスク規則への基盤も整えられます。

• 棚卸し：利用中のすべてのAIツールを、SaaS製品に組み込まれた機能や従業員が使う汎用モデルを含めて一覧化する。
• 役割：ツールごとに、提供者、導入者、または両方かを判断する。
• 分類：各ツールを禁止リストと附属書IIIの分野に照らして確認し、結果を書き残す。
• チャットボット：顧客向けAIアシスタントがすべて自身を明示することを確認する。
• コンテンツ：公開する内容には上記の表示表を適用する。
• リテラシー：AI利用方針を採用し、研修記録を保管する。
• データ保護：AI利用を既存のGDPR文書に整合させる。
• EU拠点：EU域外で高リスクシステムまたは汎用モデルを提供する場合、認定代理人を指定する。
• ロードマップ：高リスクのものがあれば、延期日を待たずに対応計画を立てる。

Eesti FirmaによるAI法コンプライアンスとEU法人設立

人工知能法は、最初からコンプライアンスを組み込む企業に有利であり、EU域外国企業にとってEU拠点は実務上の必要性となります。Eesti FirmaはAI主導企業を両面から支援します。完全オンラインのエストニア法人設立（エストニアを訪問する必要のない創業者向けのe-Residencyによる設立を含む）を通じたEU法人の設立と、EU市場で事業を開始した後の義務履行です。

当社の弁護士は、特定のAIシステムが適用範囲に入るか、どの役割・リスク水準を生じさせるかについて法的意見書を作成します。また、法務サービスチームは、AIリテラシー、透明性、データ保護コンプライアンスの証拠として企業に必要なAI利用方針と開示文を作成します。

AIシステムの法的意見書を依頼する

よくある質問