生成AI規制を日米欧で比較【2026年版】AI推進法・EU AI Act・米国の違いと企業の対応

生成AI規制は日米欧で「重さ」が三者三様だ。EUは世界唯一の包括的ハードロー「EU AI Act」でリスクを4段階に分類し、違反は最大3,500万ユーロまたは全世界売上高7%の制裁金を科す——ただし2026年6月29日にEU理事会が最終承認したDigital Omnibusで、高リスクAIの義務は2027年12月へ延期された。

日本は「AI推進法」（2025年9月全面施行）とAI事業者ガイドラインを軸にしたソフトロー中心で、罰則はない。米国は連邦の統一AI規制法が存在せず州法が乱立し、2025年12月の大統領令で連邦が州法を抑制する動きも出ている。

日本企業がまず確認すべきはEU AI Actの域外適用だ。自社は国内で使っているだけ、という認識でも、EU向けの提供や取引先経由で規制の射程に入り得る。本記事は3極を規制形態・リスク分類・罰則・適用時期・域外適用の統一軸で1枚の早見表に整理し、企業が最初に確認すべき点までをたどる。

当メディアは日米欧いずれの制度・特定ベンダー・特定コンサルとも利害関係を持たず、どの国の規制が優れているといった評価はしません。各制度の狙いと、その裏返しの制約を同じ粒度で併記し、自社サービスへの送客や特定の対応商品への誘導は行いません。数値・日付・罰則額はすべて一次出典を明記し、「延期＝規制緩和」といった誤読を招かないよう補足します。

要点サマリ（2026-07-18時点・各国一次情報より）

• EU＝罰則付きハードロー（4段階リスク分類・最大売上7%）、日本＝罰則なしソフトロー（努力義務）、米国＝連邦統一法なし・州法分権、という三者三様。
• EU AI Actは高リスク義務がDigital Omnibus（2026-06-29最終承認）で2027-12へ延期。ただし透明性義務や禁止行為は延期されていない。
• 日本のAI推進法は罰則なしでも、EUの域外適用・米州法・取引先要求を通じて日本企業が射程に入り得る。
• 規制形態が違っても企業対応の土台は共通で、社内ルール・セキュリティ・著作権・リテラシー教育に集約される。

【早見表】日米欧の生成AI規制を1枚で比較（2026年7月時点）

3極を分ける7つの軸と統一比較表

生成AI規制とは、生成AIの開発・提供・利用に関する法律やガイドラインの総称です。まず全体像を1枚の早見表で押さえます。日米欧を「規制形態」「専門AI法の有無」「リスク分類」「罰則上限」「適用開始」「域外適用」「日本企業への影響度」の7軸で横断すると、重さの違いが一目で分かります。

軸	日本	EU	米国
規制形態	ソフトロー中心	包括ハードロー	連邦なし・州法分権
専門AI法	あり（AI推進法・基本法）	あり（EU AI Act）	連邦なし・州単位
リスク分類	なし（ガイドラインで推奨）	4段階を明示	州法で部分的
罰則上限	なし	最大3,500万ユーロ／全世界売上7%	州法で例: California SB53は1件100万ドル
適用開始	2025-09全面施行	禁止2025-02／GPAI2025-08／高リスク2027-12（延期後）	州法ごと
域外適用	基本は国内	あり	州法による
日本企業への影響度	中（努力義務）	高（域外適用）	中（EU・取引先経由）

出典: EU理事会プレスリリース・総務省/経済産業省公表資料・各州法一次情報（参照2026-07-18）。数値と日付は変動し得るため、契約や設計の前に各一次情報で最新を確認してください。

各セルは断片で抜き出しても意味が通るように短文化しています。ポイントは、罰則の有無だけを見て軽重を判断しないことです。日本は罰則がなくても、EUの域外適用や取引先の要求を通じて実務上の負担が生じ得ます。

3極の規制スタンスの違い（推進・権利保護・分権）

同じ「AI規制」でも設計思想は異なります。EUはリスクベースの包括ハードローで基本権の保護を重視し、危険な用途を強く規制する代わりに、事業者の適合義務は重くなります。日本はイノベーション推進を前面に置いたソフトロー（基本法＋非拘束のガイドライン）で、負担は軽い一方、拘束力の弱さから実効性の担保が課題になります。

米国は連邦が規制を最小化し、州が個別に規制する分権構造です。柔軟である半面、州ごとに義務がばらつき、事業者にとっては予見可能性が下がる不確実性を抱えます。どの国が優れているかではなく、狙い（推進／権利保護／柔軟性）と、その裏返しの制約（実効性／負担／不確実性）を同じ粒度で捉えるのが実務的です。

日本：AI推進法とAI事業者ガイドライン（罰則なし・ソフトロー）

AI推進法とは—2025年9月全面施行・罰則なしの努力義務

AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、日本で初めてのAIに関する基本法です。2025年5月28日に成立、6月4日に公布・一部施行され、9月1日に全面施行されました。国の推進責務と事業者の努力義務を定める一方で、違反した場合の直接の罰則規定は置かれていません。

重要なのは、これが取り締まり型の規制法ではなく、AIの活用推進を軸にリスク対応を織り込む基本法だという点です。罰則がない＝軽い、と即断するのは早計です。後述するEUの域外適用や、取引先からの信用リスクを通じて、日本企業も実質的な対応を迫られる場面があります。

AI事業者ガイドライン第1.2版（2026-03-31・AIエージェントの新設点）

総務省と経済産業省は2026年3月31日に「AI事業者ガイドライン」第1.2版を公表しました。位置づけは非拘束のソフトローで、法的拘束力や罰則はありません。第1.2版で強化されたのは、AIエージェントに関するリスク分類と、人間による監視（ヒューマン・オーバーサイト）の設計に関する記述です。自律的に動くAIエージェントの普及を踏まえた追記といえます。

守らなくても罰則はありませんが、ガイドラインは事実上の期待水準を示すものです。逸脱すれば、取引先の信用低下やレピュテーション低下という実務リスクに直結します。日本企業にとっては「罰則の有無」ではなく「取引や評判に効くか」で捉えるほうが実態に合っています。

EU：EU AI Actとリスクベース規制（Digital Omnibusで延期）

リスク4分類と罰則（最大3,500万ユーロ／売上7%）

EU AI Actは世界初の包括的なAI法で、用途のリスクに応じて義務の重さを変える「リスクベース」の設計が特徴です。リスクは4段階に分類されます。許容できないリスク（禁止・ソーシャルスコアリング等）、高リスク（適合性評価などの義務）、限定リスク（透明性義務）、最小リスク（規制なし）の4層です。用途で重さが変わるため、同じ生成AIでも使い方次第で義務が大きく異なります。

罰則も違反類型ごとに3層で設計されています。金額はいずれも「定額」または「全世界売上高比率」の高い方が上限です。

違反類型	制裁金の上限（高い方を適用）
禁止行為の違反	3,500万ユーロ ／ 全世界売上高7%
高リスク要件の違反	1,500万ユーロ ／ 全世界売上高3%
虚偽・誤情報の提供	750万ユーロ ／ 全世界売上高1%

出典: EU AI Act（罰則規定）・参照2026-07-18。金額は改定され得るため、対応判断の前にEUの一次情報で最新を確認してください。

適用スケジュールとDigital Omnibus（高リスク2027-12へ延期）

EU AI Actは一括ではなく段階的に適用されます。禁止行為は2025年2月2日、GPAI（汎用AIモデル）の義務は2025年8月2日から適用され、当初は高リスクが2026年8月2日に始まる予定でした。ここが2026年に大きく動きました。

2026年6月29日、EU理事会は「Digital Omnibus」を最終承認し、スタンドアロン型の高リスク（Annex III）の適用を2027年12月2日へ、製品組込み型を2028年8月2日へ延期しました。背景には、整合規格や適合性評価ツールの整備の遅れがあります。ただし注意すべきは、透明性義務は2026年8月2日のまま維持され、既存展開システムのウォーターマーキングのみ2026年12月2日まで猶予される点です。「延期＝規制緩和」ではなく、準備期間の調整である、と理解するのが正確です（出典: EU理事会プレスリリース・参照2026-07-18）。

域外適用—日本企業が対象になる条件

EU AI Actには域外適用があります。EU域外の事業者であっても、EU市場に製品・サービスを提供する場合や、AIシステムの出力がEU域内で利用される場合などは、規制の対象になり得ます。GDPRと同様に「EU市場に関わるなら域外でも射程に入る」という構造です。

日本企業がまず確認すべきは、自社が「提供者（provider）」なのか「展開者（deployer）」なのか、という立場の切り分けです。役割によって課される義務が変わるためです。ここは特定の対応サービスに頼る前に、自社のAI利用実態を棚卸しして判断すべき出発点になります。

米国：連邦統一法なしと州法の乱立

連邦の動き—2025年12月の大統領令とプリエンプション

米国には、包括的な連邦AI規制法がありません。2025年12月11日、トランプ政権は大統領令「Ensuring a National Policy Framework for Artificial Intelligence」を発令し、訴訟タスクフォースや連邦資金の条件付けを通じて州法を抑制し、統一的な枠組みを志向しました。2026年3月20日には、National Policy Frameworkに関する立法勧告も公表されています。

ただし大統領令それ自体に、州法を無効化する（プリエンプション）法的効力はありません。連邦議会も包括的なプリエンプションを繰り返し否決しており（One Big Beautiful Bill Actの審議過程など）、連邦と州の綱引きは決着していません。米国の動向は流動的である、という温度感を保って見る必要があります。

主要州法—California SB 53とColorado法の撤廃・置換

連邦が動かないぶん、州単位で義務が乱立しています。代表例がCaliforniaのSB 53（Transparency in Frontier Artificial Intelligence Act）で、2025年9月29日に署名、2026年1月1日に施行されました。一定規模（訓練計算量が10の26乗FLOPS超）のフロンティアモデル開発者に、安全フレームワークの公表、重大インシデントの15日以内の報告、内部告発者の保護などを義務づけ、違反は1件あたり最大100万ドルの制裁金を科します。

一方、ColoradoのAI Act（SB24-205）は施行が2026年6月30日へ延期された後、2026年5月にSB26-189で撤廃・置換され、自動意思決定技術（ADMT）の規制として2027年1月1日施行へと組み替えられる流れになりました。このように州ごとに対象・義務・時期が異なり、しかも改廃が続く点が米国の特徴です。米国向けに事業を展開する企業は、対象となる州とその最新状況を個別に確認する必要があります。

3極比較から見える企業の対応ポイント（中立・課題認識）

域外適用で日本企業もEU・米州法の射程に入る

日本のAI推進法が罰則なしだからといって、規制と無縁でいられるわけではありません。EU AI Actの域外適用、米国の州法、そして取引先からの要求を通じて、日本企業も各国規制の射程に入り得ます。特にEU向けの提供や、グローバルな取引先を持つ企業ほど、この影響を受けやすくなります。

実務としてまず必要なのは、自社のAI利用が「どの制度の対象か」を棚卸しすることです。EU市場への提供の有無、高リスク用途に該当するか、米州法の対象規模に達するか、という観点で洗い出します。どこを見るべきかを中立に示すのが本記事の趣旨で、特定のコンサルや製品へ誘導するものではありません。

3極共通の土台＝社内ルール・セキュリティ・著作権・リテラシー

規制形態は国ごとに違っても、企業が整えるべき土台は驚くほど共通しています。生成AIの社内利用ルールの策定、情報漏洩・セキュリティ対策、業務利用における著作権への配慮、そして従業員のAIリテラシー教育の4点です。どの国の制度に対応する場合でも、この土台が抜けていれば実効性は伴いません。

逆に言えば、まずこの共通土台を固めておけば、EU・日本・米国のどの制度が自社に効いてくる場面でも、応用が利きます。各極の詳細な深掘り（EU AI Actの日本企業への影響、国内ガイドラインの読み解き、個人情報保護法の改正動向）は、governanceクラスタの個別記事で順次扱っていきます。

まとめ

生成AI規制は、EU＝罰則付きハードロー、日本＝罰則なしソフトロー、米国＝連邦統一法なし・州法分権という三者三様の構造です。罰則の有無だけで軽重を判断すると、EU AI Actの域外適用や米州法、取引先要求を通じた実質的な負担を見落とします。日本企業がまず取り組むべきは、自社のAI利用がどの制度の対象かの棚卸しと、社内ルール・セキュリティ・著作権・リテラシーという共通土台の整備です。数値や日付・罰則額は各国の一次情報で変わり得るため、対応判断の前に最新を確認してください。

---

規制対応の土台づくりは個別テーマで深掘りできます。生成AIの社内利用ルール、情報漏洩・セキュリティ対策、業務での著作権配慮、AIリテラシー教育と続けて確認すると、規制形態を問わず効く実務の型が見えてきます。