1. 背景：EU AI Act はなぜ日本企業にも関係するのか
EU AI Act（EU 人工知能規則）は、AI システムのリスクに応じた規制を定めた世界初の包括的な AI 法令として、2024 年に成立し、2026 年にかけて段階的に適用が進んでいます。GDPR と同様に域外適用条項を備えているため、EU 域内に拠点を持たない日本企業であっても、EU 市場向けに AI システムを提供したり、EU 域内のユーザー・従業員が AI の出力結果を利用する場合は規制対象となりえます。
中堅企業（従業員 300〜1,000 名規模）であっても、EU 子会社を持つ製造業、越境 EC、SaaS 輸出、グローバル HR システム導入企業など、該当する可能性があるケースは想定より広範です。特に、生成 AI を業務に組み込み、その結果が EU 域内の個人に影響を及ぼすワークフローを運用している場合、リスク評価は欠かせません。
本記事は一般的な情報提供を目的としたものであり、個別案件の法的判断は必ず欧州委員会の公式ガイドライン（digital-strategy.ec.europa.eu）および顧問弁護士・法務部門へご相談ください。
2. 選択肢／分類比較：リスク階層と該当判定
EU AI Act は AI システムを 4 つのリスク階層に分類します。
(1) Unacceptable Risk（禁止）：社会的スコアリング、サブリミナル操作、公共空間の無差別な生体識別などが該当し、原則として提供・利用が禁止されます。
(2) High-Risk AI（高リスク）：重要インフラ、教育、雇用・人事、信用スコアリング、法執行、移民、司法などに用いられる AI が該当します。採用選考で書類スクリーニングに AI を使う、与信判断に機械学習モデルを使うといったケースは高リスクに分類される可能性があり、適合性評価、リスクマネジメントシステム、データガバナンス、技術文書、ログ記録、人的監督、精度・堅牢性・サイバーセキュリティの確保など、重い義務が課されます。
(3) Limited Risk（限定リスク）：チャットボット、ディープフェイク、感情認識などが該当し、透明性義務（AI であることの明示、生成コンテンツであることのラベリング等）が課されます。
(4) Minimal Risk：スパムフィルタなど、規制対象外のカテゴリです。
加えて、ChatGPT や Claude、Gemini といった汎用目的 AI（General-Purpose AI：GPAI）には別途の義務が設定されており、特に計算量閾値（FLOPs）を超える基盤モデル提供者には、システムリスク評価、重大インシデント報告、サイバーセキュリティ対策、著作権遵守などが求められます。
該当判定は「誰が提供者（Provider）か」「誰が利用者（Deployer）か」で義務範囲が変わります。日本企業は自社でモデル開発をしていなくても、Deployer（利用者）として義務を負うケースが多く、ユースケース単位で棚卸しすることが現実的です。
3. ロードマップ／実装：12 か月で進める 5 ステップ
中堅企業が現実的に進められる実装ロードマップの一例を示します。
ステップ 1（〜3 か月）：AI ユースケース棚卸し。社内で利用されている AI システム（SaaS の AI 機能を含む）を一覧化し、データフロー、対象ユーザー、EU 域内接点の有無を整理します。シャドー AI の可視化がここで重要です。
ステップ 2（〜6 か月）：リスク分類と Gap 分析。各ユースケースを Unacceptable / High / Limited / Minimal にマッピングし、公式ガイドラインを参照して該当義務を洗い出します。High-Risk 該当の疑いがあるものは顧問弁護士・法務と協議します。
ステップ 3（〜9 か月）：ガバナンス体制構築。AI ガバナンス委員会、ポリシー整備、モデルカード、データシート、ログ保管、インシデント対応フローを設計します。GDPR の DPIA（データ保護影響評価）と統合すると重複作業を避けられます。
ステップ 4（〜11 か月）：技術的実装。ログ記録、バイアス検証、モニタリング、人的監督の組み込みを行います。High-Risk 該当の場合は適合性評価と CE マーキングに相当する手続きも検討対象です。
ステップ 5（継続）：運用・監査。定期的なリスク再評価、従業員への AI リテラシー研修（AI Act は従業員リテラシー確保義務も規定）、第三者監査の受け入れ態勢などを継続運用します。
罰則は重大違反で最大 3,500 万ユーロまたは全世界年間売上高の 7% のいずれか高い方と、GDPR を上回る水準が設定されているため、早期の体制整備が投資効果として合理的です。
4. FAQ 3 問
Q1. 日本国内のみでサービスを提供している場合も対象ですか？ A. 原則として対象外ですが、「EU 域内のユーザーが利用する」「EU 域内に出力結果が到達する」場合は対象となり得ます。越境 EC、グローバル SaaS、多国籍 HR ツールなどは特に精査が必要です。最終判断は顧問弁護士・法務にご相談ください。
Q2. SaaS の AI 機能を利用するだけでも義務が発生しますか？ A. Deployer（利用者）として、利用目的、透明性確保、人的監督、ログ保管などの義務を負う可能性があります。ベンダーとの責任分界点を契約上で明確化することが重要です。
Q3. 中堅企業向けの簡易適用はありますか？ A. 中小企業・スタートアップ向けには Regulatory Sandbox や一部軽減措置が設けられていますが、義務自体の免除ではありません。最新の公式ガイドラインをご確認ください。
5. まとめ
EU AI Act は日本企業にとっても、GDPR と同様に域外適用の観点から無視できない法令となっています。リスク分類と義務は複雑ですが、ユースケース棚卸し → リスク分類 → ガバナンス整備 → 技術実装 → 継続運用のステップで進めれば、中堅企業でも 12 か月程度で一次対応が可能です。AI ガバナンスは単なるコンプライアンス対応ではなく、AI 活用の責任あるスケール基盤として経営アジェンダに組み込む価値があります。
GXO では、EU AI Act 対応を含む AI ガバナンス体制構築の無料相談を受け付けております。
GXO実務追記: AI開発・生成AI導入で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、業務選定、データ整備、セキュリティ、PoCから本番化までの条件を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- [ ] AIで置き換える業務ではなく、成果が測れる業務を選んだか
- [ ] 参照データの所有者、更新頻度、権限、機密区分を整理したか
- [ ] PoC成功条件を精度、時間削減、CV改善、問い合わせ削減などで数値化したか
- [ ] プロンプトインジェクション、個人情報、ログ保存、モデル選定のルールを決めたか
- [ ] RAG/エージェントの回答を人が監査する運用を設計したか
- [ ] 本番化後の費用上限、API使用量、障害時フォールバックを決めたか
参考にすべき一次情報・公的情報
- 経済産業省 AI事業者ガイドライン関連情報
- デジタル庁 AI関連情報
- OpenAI Platform Documentation
- Anthropic Claude Documentation
- OWASP Top 10 for LLM Applications
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
EU AI Act 2026｜日本企業の域外適用リスクと対応ロードマップ（High-Risk AI 分類 + 罰則 + 実装）を自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。