EU AI Act 日本企業への影響【2026年最新】Digital Omnibusで高リスク義務は2027年12月へ延期

EU AI Actは日本国内の企業にも「域外適用」される。EUに子会社・拠点がある、EU市場向けにAI製品・サービスを提供する、AIの出力がEU域内で使われる、のいずれかに該当すれば、設立地がEU外でも規制対象になりうります（第2条）。「EUの話だから自社には関係ない」という前提は、2026年時点では成り立ちません。

適用日程は2026年に大きく動きました。2025年11月提案のDigital Omnibusが2026年6月に欧州議会（16日）とEU理事会（29日）で最終承認され、独立型の高リスクAI義務は2026年8月2日から2027年12月2日へ、製品組込型は2028年8月2日へ延期されています。一方で禁止AI（2025年2月）・GPAI義務（2025年8月）・透明性義務（原則2026年8月2日）は据え置きで、最大で全世界年間売上高7%（または3,500万ユーロ）の制裁金も変わっていません。

多くの日本語記事は「2026年8月2日に高リスクが全面適用」という延期前の情報を残しています。本記事は、EU一次情報で確定した適用日程と、日本企業が域外適用に該当する条件を、旧予定と対比しながら整理します。読者が自社の該当有無を自己判定できる形にすることを目的とします。

当メディアは特定のベンダーや規制当局と利害関係を持たず、規制対応サービスへの送客も行いません。延期を「規制緩和・義務の消滅」と誇張せず、据え置きの義務や継続する制裁金リスクも同じ粒度で併記します。個別の該当判定・高リスク判定は最終的に法務確認が必要であり、本記事は一般的な整理にとどめる点をあらかじめお断りします。

要点サマリ（2026-07-18時点・EU一次情報）

• EU AI Actは域外適用があり、日本企業でも「EU子会社」「EU向け提供」「出力がEUで使用」のいずれかで対象になりうる（第2条）。
• Digital Omnibus（2026-06最終承認）で独立型高リスク義務は2027-12-02へ、組込型は2028-08-02へ延期。
• 禁止AI（2025-02-02）・GPAI義務（2025-08-02）・透明性義務（原則2026-08-02）は据え置きで延期されない（透明性のうち、既存システムへのマーキング義務＝第50条2項のみ2026-12-02まで猶予）。
• 制裁金は最大で全世界売上高7%（または3,500万ユーロ）と据え置き。延期は準備期間であり、義務の消滅ではない。

EU AI Actと日本企業：まず結論

EU AI Actとは何か（4段階リスク分類の早見表）

EU AI Actは、EUが2024年に発効させた世界初の包括的なAI規制です。AIシステムをリスクの大きさで4段階に分類し、段階ごとに義務の重さを変える「リスクベース・アプローチ」を採ります。冒頭で全体像を早見表として押さえておくと、以降のタイムラインや判定が読み解きやすくなります。

リスク区分	扱い	代表例
許容できないリスク	原則禁止（第5条）	サブリミナル操作・社会的スコアリング等
高リスク	適合性評価等の重い義務	採用・与信・重要インフラ・教育等（Annex III）／規制製品組込（Annex I）
限定リスク	透明性義務（第50条）	チャットボット・ディープフェイクの開示
最小リスク	追加義務なし	一般的な業務アプリ等

出典: AI Act本文 第5条・第50条・Annex（参照2026-07-18）

この4区分のうち、日本企業がまず確認すべきは自社のAIが「高リスク」か「限定リスク」かの切り分けです。区分が変われば負う義務も適用時期も変わります。

なぜ日本企業も無関係でないのか＝域外適用の基本

EU AI Actの適用範囲は第2条で定められ、EU域内に設立された事業者だけを対象にしていません。EU市場にAIシステムを提供するプロバイダー、EU域内でAIを業務利用するデプロイヤー、そしてAIシステムの出力がEU域内で使用される場合まで対象に含みます。この「出力がEUで使用される」という基準は、GDPRよりも広く域外に及びうる点で注意が必要です。

たとえば日本で開発したAIをEUの顧客向けに提供する、EUの子会社が業務でAIツールを使う、日本で生成した分析結果をEU拠点が意思決定に使う、といったケースは域外適用の検討対象になります。物理的にEUに拠点がなくても対象になりうるという前提で自社を点検することが出発点です。生成AIの社内利用そのものの整理は生成AIの社内ルール、日米欧の規制全体像は生成AI規制の各国比較で補完できます。

Digital Omnibusで2026年8月の全面適用はどうなったか

結論から言えば、「2026年8月2日に高リスクAIが全面適用される」という説明は最新ではありません。2025年11月19日に欧州委員会が提案した簡素化パッケージ「Digital Omnibus」により、高リスクAI義務の適用開始が後ろ倒しされたためです。

この提案は2026年6月16日に欧州議会本会議で、6月29日にEU理事会で最終承認されました。これにより、独立型（Annex III）の高リスクAI義務は2026年8月2日から2027年12月2日へ、製品組込型（Annex I）は2027年8月2日から2028年8月2日へ延期されています（出典: EU理事会プレスリリース2026-06-29）。旧日程のまま準備計画を組んでいる場合は、確定した最新日程で見直す必要があります。

適用タイムライン：旧予定 vs Digital Omnibus後の確定日程

確定した適用スケジュール独自比較表（禁止AI〜組込型高リスク）

義務の種類ごとに、旧予定とDigital Omnibus後の確定日程を一覧に整理しました。延期されたのは高リスク義務であり、それ以外の据え置き義務と混同しないことがこの表の要点です。

義務の種類	旧予定	Digital Omnibus後の確定日程
禁止AI（第5条）	2025-02-02	2025-02-02（変更なし）
GPAI義務・罰則・ガバナンス	2025-08-02	2025-08-02（変更なし）
透明性義務（第50条）	2026-08-02	2026-08-02（変更なし。既存システムのマーキング義務＝第50条2項のみ2026-12-02まで猶予）
独立型 高リスク（Annex III）	2026-08-02	2027-12-02
組込型 高リスク（Annex I）	2027-08-02	2028-08-02
新禁止（非同意性的画像・児童性的虐待素材）	新設	2026-12-02

出典: EU理事会プレスリリース2026-06-29・AI Act本文（参照2026-07-18）

延期されたのは主に高リスク義務であり、禁止AI・GPAI義務・透明性義務（原則2026年8月2日）は据え置きです。透明性義務はむしろ高リスクより早く効きます。「一律で全面延期された」という理解は誤りです。

高リスク義務が2027年12月へ延期された背景と『条件』

延期の背景は、規制を支える標準規格（ハーモナイズド・スタンダード）や適合性評価の支援ツールの整備が間に合っていないことにあります。義務だけ先行させても事業者が準拠する手段が揃わないため、実施環境が整うまで適用開始を後ろ倒しする、というのがDigital Omnibusの趣旨です。

ここで誤解しやすいのは、延期を「EUが規制を緩めた」と受け取ることです。延期の対象は独立型（2027-12-02）と組込型（2028-08-02）の高リスク義務に限られ、義務の内容そのものが軽くなったわけではありません。制裁金の水準も変わっていません。したがって、この期間は「規制がなくなった猶予」ではなく「準拠準備の後ろ倒し」と位置づけるのが中立的な理解です。

延期されない義務（禁止AI・GPAI・透明性第50条）

延期に安心してよいわけではない範囲を、自己完結で押さえておきます。第5条の禁止AI（サブリミナルな操作、脆弱性の悪用、社会的スコアリング等）は2025年2月2日から適用済みで、Digital Omnibus後も変わりません。GPAI（汎用AIモデル）の義務・罰則・ガバナンス関連は2025年8月2日から適用されています。

透明性義務（第50条）は、AIが生成・操作したコンテンツの開示やディープフェイクの明示などを求めるもので、原則2026年8月2日から適用されます。ただし2026年8月2日より前に市場投入済みのAIシステムへのマーキング義務（第50条2項）のみ、2026年12月2日まで猶予されます。加えて、非同意の性的画像や児童性的虐待素材を生成するAIの新たな禁止が2026年12月2日から適用されます。つまり高リスク義務の延期とは別に、2026年8月に効く義務がある点を見落とさないことが実務上重要です。

日本企業が域外適用に該当するケース判定

該当3類型の判定表（EU子会社／EU向け提供／出力がEUで使用）

自社が域外適用に該当するかは、大きく3類型で自己点検できます。どの立場（プロバイダーかデプロイヤーか）に立つかで負う義務が変わるため、まず自社がどの類型に当たるかを確認します。

類型	該当例	主な立場・義務の方向
1. EU域内に子会社・拠点がある	EU子会社が業務でAIを利用	デプロイヤー（利用側）＝監視・利用管理等
2. EU市場向けにAIを提供する	日本開発のAI製品・SaaSをEUへ提供	プロバイダー（提供側）＝適合性評価・文書等
3. AIの出力がEU域内で使用される	日本で生成した出力をEU拠点が使用	立場に応じ判断（プロバイダー／デプロイヤー）

出典: AI Act本文 第2条（参照2026-07-18）

この3類型は排他ではなく、複数に同時該当することもあります。まず「自社はどの類型か」「その立場は提供側か利用側か」を切り分けることが、義務を見積もる出発点になります。

プロバイダーとデプロイヤーで異なる義務

同じ日本企業でも、AIを「作って提供する側」か「業務で使う側」かで義務の中身が変わります。プロバイダー（提供側）は、高リスクAIであれば適合性評価、技術文書の整備、リスク管理体制、EUデータベースへの登録といった重い義務を負う方向です。デプロイヤー（利用側）は、人間による監視、利用状況のログ管理、影響を受ける人への情報提供などが中心になります。

実務では、外部のAIを業務利用しつつ自社でも改変・提供している場合など、両方の立場に当たりうるケースがあります。立場が重なるほど整理は複雑になるため、自社のAI利用・提供の全体像を棚卸ししたうえで、どの義務がどの立場から発生するかを分けて考えると見通しが立ちます。判断が難しい領域であり、最終的な適用可否は専門家への確認を前提とすべき点も併記します。

自社のAIが『高リスク』に当たるかの見極め

高リスクに該当するかは、大きく2系統で見極めます。1つは採用・与信・重要インフラ・教育などAnnex IIIに列挙された分野で使われるAI、もう1つは機械や医療機器などAnnex Iの規制製品に組み込まれるAIです。いずれにも当たらなければ、原則として高リスク義務は発生しません。

ただし、高リスクでなくても透明性義務（第50条）は別途残る点に注意が必要です。チャットボットである旨の開示や、AI生成コンテンツの明示などは、リスク区分が「限定リスク」でも求められます。「高リスクではない＝何もしなくてよい」ではないという切り分けが実務のポイントです。該当分野の解釈は個別性が高いため、最終判断は法務・専門家の確認を前提にしてください。セキュリティ観点の整理は生成AIのセキュリティリスクも参考になります。

違反時の罰則と、日本企業が今から準備すべきこと

制裁金の3段階（最大3,500万ユーロ／全世界売上7%）

制裁金は違反の重さで3段階に分かれます（第99条）。いずれも「定額」と「売上比率」のうち高い方が上限になる点が特徴です。GDPRの上限（全世界売上高の4%）を上回る水準が設定されており、EUが本規制を重く位置づけていることがうかがえます。

違反区分	制裁金の上限（高い方）
禁止AI（第5条）違反	3,500万ユーロ または 全世界年間売上高の7%
高リスク等の義務違反	1,500万ユーロ または 全世界年間売上高の3%
当局への虚偽・不完全情報	750万ユーロ または 全世界年間売上高の1%

出典: AI Act本文 第99条（参照2026-07-18）

高リスク義務の適用は延期されましたが、この制裁金の枠組みは変わっていません。適用時期が先送りされても、対象になった時点で負うリスクの大きさは同じであるという前提で準備を進めるのが妥当です。

延期分の期間を『猶予』でなく準備期間に使う実務ポイント

延期された期間をリスクの先送りにしないために、着手を検討したい観点を挙げます。第一に、自社が使う・提供するAIの棚卸し（AIインベントリ）です。どのAIを、どの立場で、どの市場向けに扱っているかを把握しなければ、域外適用の該当判定も高リスク判定も始まりません。

第二に、前述の3類型と立場（プロバイダー／デプロイヤー）の判定です。第三に、社内利用ルールの整備で、これは国内の他規制対応とも重なります。国内の社内対応は生成AIの社内ルール、生成物の権利関係は生成AIと著作権が参考になります。いずれも「こう進めれば適法」という手順の断定ではなく、自社の状況に応じて検討すべき観点として捉えてください。個別の適用判断は法務・専門家の確認を前提とします。

まとめ

EU AI Actは域外適用があり、日本企業でも「EU子会社」「EU向け提供」「出力がEUで使用」のいずれかで対象になりうる規制です。Digital Omnibus（2026年6月最終承認）で独立型高リスク義務は2027年12月2日へ、組込型は2028年8月2日へ延期されましたが、禁止AI・GPAI義務・透明性義務は据え置きで、最大で全世界売上高7%の制裁金も変わっていません。延期は義務の消滅ではなく準備期間と捉え、まずは自社のAI棚卸しと立場・類型の判定から着手するのが現実的です。適用日程や解釈は今後も更新されうるため、最終的な判断は最新の一次情報と専門家の確認を前提にしてください。

---

関連する論点は次の記事で続けて確認できます。規制の全体像は生成AI規制の各国比較、国内の社内対応は生成AIの社内ルール、生成物の権利は生成AIと著作権、リスク管理は生成AIのセキュリティリスクで整理しています。