EU AI Act 高リスク義務が延期合意か｜公布前の今、日本の輸出企業がやめてはいけない準備

EUは「Digital Omnibus」と呼ばれる規制簡素化パッケージで、AI Actの高リスクAIに対する義務適用を延期する方向だと二次情報で解説されている。報じられている内容では、スタンドアロンの高リスクAI（Annex III）と製品組込型の高リスクAI（Annex I）で適用時期を後ろ倒しする案が示されている。だがこれは正式採択・EU官報公布の前の話であり、現行法上の期日と最終文言をEU公式で確認する必要がある。さらに、AI Act 第50条の透明性義務（AI生成物の開示など）は高リスクAI義務とは別建てで準備が必要になる。つまり「延期で安心」ではなく、公布前提の準備と透明性対応はむしろ止めてはならない。

この記事の要点

• 高リスクAI義務の延期は「暫定合意」段階で、EUの正式公布前である（法律事務所の分析＝二次情報）。

• 報道ベースでは Annex III（スタンドアロン）と Annex I（製品組込型）の適用時期を後ろ倒しする案が示されている。

• 公布が確定するまでは現行法とEU公式の最新情報を基準に準備を続けるべきである。

• 第50条の透明性義務（AI生成物の開示等）は高リスクAI義務とは別建てで確認が必要であり、延期報道だけで対応を止めるべきではない。

• 日本のメーカー／SaaS／自動車／医療機器企業は、自社AIの高リスク該当性の棚卸し・透明性開示・監査証跡の整備を今すぐ進めるべき。

まず事実関係を正確に押さえる（すべて二次・公布待ち）

本記事の延期日程は二次情報に基づくものである。EUの一次情報としての最終確定（官報公布）を確認できるまでは、確定情報として扱わず、自社の法務・外部顧問と必ず原文ベースで確認してほしい。

報じられている延期合意の骨子は次のとおりである。

区分	内容（報道ベース・二次）	適用時期（報道ベース）
暫定合意の時期	「Digital Omnibus」での暫定合意	2026年5月上旬（解説により5月6〜7日と表記が割れる）
高リスクAI（Annex III／スタンドアロン）	単体で提供される高リスクAIシステムの義務	適用を（原則2026年8月2日から）2027年12月2日へ延期とされる
高リスクAI（Annex I／製品組込型）	製品に組み込まれる高リスクAIの義務	適用を（原則2027年8月2日から）2028年8月2日へ延期とされる
現在の法的状態	正式採択・官報公布の前	2026年8月2日の期日が依然有効
第50条 透明性義務	AI生成物の開示等	高リスクAI義務とは別建てで確認が必要。現行法本文とEU公式の最新情報を確認する

ここで最も重要なのは、最後の2行である。延期が確定するまで、企業が依拠できるのは現行法とEU公式の最新情報だけだ。公布が遅れたり内容が変わったりするリスクを織り込めば、準備を止める合理性はない。

なぜ「延期報道」で気を緩めると危険なのか

延期のニュースは現場で「では2026年8月は気にしなくてよい」という空気を生みやすい。しかし次の3点で、その判断は経営リスクになりうる。

• 公布前は現行スケジュールが生きている。 暫定合意は立法プロセスの途中であり、欧州議会・理事会での正式採択と官報公布を経て初めて効力を持つ。確定までに数か月単位の時間差が生じうるため、その間も2026年8月2日の期日に備える必要がある。

• 延期の中身が変わりうる。 暫定合意の段階では、対象範囲・条件・経過措置が最終文言で修正される可能性がある。報道された日付をそのまま社内基準にするのは早計だ。

• 透明性義務は別建てで確認が必要になる。 第50条のAI生成物開示などの透明性義務は、高リスクAI義務とは対象も実装も異なる。生成AIをプロダクトやカスタマー接点に組み込んでいる企業は、高リスク該当・非該当にかかわらず開示対応の検討が必要になる。

延期はあくまで「準備の猶予が増えるかもしれない」話であって、「準備をしなくてよい」話ではない。むしろ確定までの不確実性に備えるガバナンス整備こそ、今の仕事である。

日本企業に効くのはなぜか（域外適用）

AI Actは、EU域内に製品・サービスを提供する、あるいはAIシステムの出力がEU域内で利用される場合に、EU外の事業者にも及びうる域外適用の枠組みを持つと一般に解説されている。これは、自社がEUに法人を持っているかどうかではなく「EU市場に向けてAIを提供しているか」で判断される点が、日本企業にとって見落としやすい。

具体的に影響を受けやすいのは次のような立場である。

• メーカー：EUに出荷する製品に画像認識・異常検知・制御などのAIを組み込んでいる（Annex Iの製品組込型に該当しうる）。

• SaaS／プロダクト企業：EUの顧客にAI機能付きのサービスを提供している（スタンドアロンの高リスク該当の可能性、加えて生成AI機能があれば透明性義務）。

• 自動車：先進運転支援・車載AIなど、型式認証と重なる領域でAI Actの製品組込型に関わりうる。

• 医療機器：診断・トリアージ支援などの医療AIは、既存の医療機器規制とAI Actの双方の対象になりうる。

これらに該当する企業は、サプライチェーンの中で「提供者（プロバイダ）」なのか「利用者（デプロイヤ）」なのか、自社の立場の整理から始める必要がある。立場が変われば負う義務も変わるためだ。AIをめぐる法務・運用の整理を体系的に進める枠組みは、AIエージェント導入時の法務・運用チェックリストが実務の出発点として使える。

自社AIがEU AI Actの「高リスク」に当たるか、棚卸しから始めたい

製品組込型かスタンドアロンか、提供者か利用者か。立場の整理と該当性の一次仕分けは、技術仕様と法令要件の両面から見る必要があります。GXOはAI開発・プロダクト実装の知見をもとに、コンプライアンス要件を満たすAIの設計・改修をご支援します。

AIガバナンス対応の相談をする → GXO お問い合わせ

※ 営業電話はしません ｜ オンライン対応可 ｜ 構想段階の相談だけでもOK

今すぐ着手すべき3つの準備

延期が確定するか否かにかかわらず、無駄にならない準備が3つある。いずれも「公布前の今」やっておくほど、確定後の対応が軽くなる。

1. 自社AIの高リスク該当性の棚卸し

社内・製品で稼働しているAI機能を洗い出し、用途別に分類する。特に「EU市場に提供しているか」「製品に組み込まれているか／単体で提供しているか」「人の権利・安全に影響する判断を担うか」の3軸でラベリングしておくと、延期対象（Annex I/III）かどうかの仕分けが後で効く。棚卸しは一度きりではなく、新機能リリースのたびに更新する運用にする。

2. 透明性・開示対応（延期されない領域）

第50条の透明性義務は、高リスクAI義務とは別建てで確認が必要になる。生成AIで作成したコンテンツの開示、AIとの対話であることの明示、ディープフェイク等の表示といった対応は、高リスク該当・非該当に関係なく検討しておく。プロダクトのUI・利用規約・顧客向け説明への反映は、実装リードタイムが読みにくいため早めに着手したい。

3. 監査証跡（ログ・記録）の整備

高リスクAIの義務には、技術文書・ログ・記録保持が含まれると一般に解説されている。延期されても求められる内容そのものが消えるわけではない。学習データの出所、モデルのバージョン管理、入出力ログ、人手レビューの記録などを「後から再構成できる」形で残す仕組みを、開発・運用の標準に組み込む。AIエージェントを業務に使っている場合は、人手承認の記録設計も含めてAIエージェント導入時の法務・運用チェックリストが参考になる。

なお、AIガバナンスはEUのAI Act単独で完結しない。国内でも能動的サイバー防御をはじめとする規制・制度が動いており、能動的サイバー防御法が中小・大企業に与える影響とあわせて、自社のセキュリティ・コンプライアンス体制を横断的に点検しておきたい。

この記事を読むべき人

立場	この記事から得られること
法務・コンプライアンス責任者	延期報道の正確な位置づけ（暫定・公布前）と、今動くべき根拠
プロダクト・開発責任者	高リスク該当性の棚卸し軸、透明性・監査証跡の実装観点
経営・事業責任者	「延期＝対応不要」ではないことの判断材料とリスクの所在
品質・規制対応（医療機器・自動車）	既存規制とAI Actの二重対象になりうる領域の確認ポイント

着手チェックリスト

• EU市場に提供しているAI機能・製品を一覧化した

• 各AIを「製品組込型（Annex I）／スタンドアロン（Annex III）／対象外」で仮分類した

• サプライチェーン上の自社の立場（提供者／利用者）を整理した

• 第50条の透明性義務（生成物開示・AI対話の明示等）の対象機能を特定した

• 技術文書・ログ・人手レビュー記録の保持方針を決めた

• 暫定合意の最終文言・公布動向を法務／外部顧問とウォッチする体制を作った

• 2026年8月2日の期日を「依然有効」として社内計画に残した

  EU AI Act対応を、技術と法令の両面から整理しませんか

該当性の棚卸し、透明性開示のプロダクト実装、監査証跡を残すログ設計まで、AIを「使い続けられる形」に設計し直すのがGXOの役割です。構想段階・棚卸しの相談からお受けします。

EU AI Act対応の相談をする → GXO お問い合わせ

※ 営業電話はしません ｜ オンライン対応可 ｜ 構想段階の相談だけでもOK

よくある質問（FAQ）

Q1. 高リスクAIの義務はもう延期が確定したのですか？

確定していません。複数の法律事務所の解説（二次情報）では「Digital Omnibus」での暫定合意（2026年5月7日と報じられている）として伝えられていますが、EUの正式採択・官報公布の前段階です。公布が確定するまでは、現行の2026年8月2日の期日が法的に有効である点に注意してください。

Q2. 延期されるなら、今は何もしなくてよいのでは？

そうとは言えません。公布前は現行スケジュールが生きており、延期内容が最終文言で変わる可能性もあります。さらに第50条の透明性義務は高リスクAI義務とは別建てで確認が必要です。該当性の棚卸し・透明性開示・監査証跡の整備は、延期の有無にかかわらず無駄になりません。

Q3. 日本にしか拠点がなくても対象になりますか？

なりうると一般に解説されています。AI Actは、EU市場に製品・サービスを提供する場合や出力がEU域内で利用される場合に域外適用が及ぶ枠組みとされます。EU法人の有無ではなく「EU市場に向けてAIを提供しているか」で判断される点を、自社の状況に照らして法務・外部顧問と確認してください。

Q4. 報じられている延期の日付をそのまま社内基準にしてよいですか？

推奨しません。報道ベースの日付（Annex III＝2027年12月2日、Annex I＝2028年8月2日）はあくまで二次情報であり、最終文言で変わりうるためです。社内計画には「2026年8月2日が依然有効」を残しつつ、確定動向をウォッチする運用が安全です。

まとめ

EU AI Actの高リスク義務をめぐる延期は、二次情報に基づく暫定合意の段階であり、EUの正式公布前である。報道ベースでは Annex III と Annex I の適用時期を後ろ倒しする案が示されているが、確定するまでは現行法とEU公式の最新情報を基準に準備すべきである。しかも第50条の透明性義務は高リスクAI義務とは別建てで確認が必要になる。延期報道で気を緩めるのではなく、(1) 高リスク該当性の棚卸し、(2) 透明性・開示対応、(3) 監査証跡の整備の3点を、公布前の今こそ進めておきたい。

自社AIが要件を満たす形になっているか不安なら、まずはAIシステム導入レディネス診断で現状を可視化し、AI開発・実装の支援サービスやセキュリティ・コンプライアンス対応とあわせて体制を点検してほしい。具体的な進め方はAI開発・導入の無料相談で個別に整理できる。

一次情報と社内実装に落とす確認表

EU AI Act対応で避けるべきなのは、延期報道だけを根拠に社内計画を止めることだ。公布前の二次情報は重要なウォッチ対象だが、稟議・RFP・プロダクト改修の基準はEU公式の法令本文と最新情報に置く必要がある。法務だけでなく、プロダクト、AI開発、セキュリティ、データ管理が同じ表を見て判断できる状態を作りたい。

確認領域	参照先	稟議・RFPで確認すること
法令本文	EUR-Lex Regulation (EU) 2024/1689	現行条文、適用時期、定義、義務を確認する
EU公式情報	European Commission AI Act	最新の制度説明、実施状況、公式更新を確認する
AIリスク管理	NIST AI Risk Management Framework	リスク分類、評価、監視、改善責任者を決める
LLMセキュリティ	OWASP Top 10 for LLM Applications	生成AI機能の悪用、情報漏えい、過剰権限を点検する
個人情報	個人情報保護委員会	日本側の個人情報・委託先管理・国外移転も確認する

準備は30日・60日・90日の3段階で置く。30日以内にEU市場向けのAI機能を棚卸しし、60日以内に高リスク該当性・第50条透明性義務・データ利用の3表を作る。90日以内に監査証跡、ログ、利用者向け表示、問い合わせ対応をプロダクト要件へ落とす。延期が正式化した場合でも、この棚卸しと透明性対応は無駄にならない。

指標	初期値の置き方	90日後に見る状態
対象製品	1〜5件	EU提供有無を分類
AI機能	機能単位で10件以内に分解	高リスク・透明性・非該当を分類
表示・説明	1画面ずつ確認	第50条対応の実装要否を整理
監査証跡	月1回レビュー	ログ保全と責任者を明確化
外部レビュー	1回以上	法務・技術・セキュリティの差分を解消

GXOに相談する場合は、対象製品、EU向け提供状況、AI機能一覧、利用データ、モデル/ベンダー、ログ設計、表示文言、既存のセキュリティ要件を共有してほしい。要件定義、RFP、ベンダー選定、AI開発、RAG、SaaS、セキュリティ、監査ログ、プロダクト改修を一体で見ることで、法務メモで終わらない実装可能なAIコンプライアンスにできる。

参考情報

• EUR-Lex「Regulation (EU) 2024/1689（Artificial Intelligence Act）」公式法令本文: https://eur-lex.europa.eu/eli/reg/2024/1689/oj

• European Commission「AI Act」公式情報ページ: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

• Digital Omnibus／AI Act高リスク義務延期に関する各種法律事務所・専門メディア解説（二次情報。最終確定はEU公式の法令本文・官報で確認）

実装後に追うKPIとベンダー比較軸

対策を始める前に、導入後の測定方法を決めておく。AI開発、業務システム、セキュリティ、補助金活用、レガシー刷新のいずれでも、成果が測れない投資は次の改善につながらない。特に経営説明では「導入したか」ではなく「どの数字がどう変わったか」が問われる。最低限、次の5項目を月次で追える状態にしたい。

KPI	測定単位	初期目標
処理時間	1件あたり分数	30日で現状把握
手戻り件数	月間件数	60日で原因分類
例外対応	月間件数	90日で削減策を決定
セキュリティ確認	月1回	権限・ログ・脆弱性を確認
費用対効果	月次	削減時間と運用費を比較

ベンダー比較では、金額だけでなく、要件定義、RFP回答、PoC、保守、セキュリティ、データ移行、教育、運用改善を同じ表で見る。見積りが安くても、要件定義が薄い、ログが残らない、引き継ぎ資料がない、保守範囲が曖昧であれば、90日後に追加費用が発生しやすい。

比較軸	確認する質問	赤信号
要件定義	現行業務をどこまで聞くか	ヒアリング1回だけで見積る
セキュリティ	権限・ログ・脆弱性をどう扱うか	管理者権限を広く要求する
PoC	成功条件を数字で置くか	「使いやすさ」だけで判断する
保守	障害時の初動とSLAは何か	連絡先と責任者が曖昧
改善	30日・60日・90日の見直しはあるか	納品後の改善が別料金で不明

問い合わせ前に整理する情報は7点でよい。対象業務、月間件数、担当人数、既存システム、希望時期、予算レンジ、制約条件。この7点があれば、GXO側で要件定義、RFP、ベンダー選定、AI開発、RAG、セキュリティ、補助金、レガシー刷新のどこから着手すべきかを切り分けられる。未整理のまま相談しても構わないが、1時間の初回相談でこの7点を埋めるだけでも、次のアクションはかなり明確になる。

失敗を早く見つけるレビュー運用

導入後のレビューは「最後に品質を見る場」ではなく、30日ごとに前提を直す運用にする。初月は対象を1業務に絞り、2ヶ月目に例外処理を増やし、3ヶ月目に本番運用の責任分界を確定する。AI開発やRAGであれば回答ログ、業務システムであれば操作ログ、セキュリティであれば検知ログ、補助金案件であれば効果測定の根拠を残す。ログがない案件は、効果も事故も説明できない。

レビュー項目	30日	60日	90日
対象範囲	1業務	2業務	本番候補を確定
評価件数	30件	60件	100件
例外分類	5分類	10分類	改善担当を決定
ログ確認	週1回	週1回	月次運用へ移行
経営報告	1回	1回	投資判断を更新

GXOでは、このレビュー表を起点に、要件定義、RFP、ベンダー選定、AI開発、RAG、セキュリティ、レガシー刷新、補助金活用の優先順位を整理する。初回相談では、現状の課題を完璧にまとめる必要はない。業務フロー、画面、帳票、Excel、ログ、既存見積りのうち1つでもあれば、そこから不足情報を洗い出せる。

相談前にそろえる7つの材料

最後に、社内相談・外部相談の前にそろえる材料を明確にしておく。完璧な資料は不要だが、次の7点があると、初回の1時間で論点をかなり絞れる。1. 対象業務、2. 月間件数、3. 現在の担当人数、4. 利用中システム、5. 既存の課題、6. 希望時期、7. 予算レンジ。この7点がないまま製品比較に入ると、要件定義もRFPも曖昧になり、ベンダー選定が価格比較に寄りやすい。

材料	例	使い道
対象業務	受注処理、問い合わせ、申請審査	スコープを1〜3件に絞る
月間件数	100件、1,000件、10,000件	効果測定と費用対効果を見る
担当人数	2人、5人、10人	削減時間と教育計画を見る
利用中システム	SaaS、Excel、基幹システム	連携・移行・権限を確認する
課題	手戻り、待ち時間、属人化	優先順位を決める
希望時期	30日、60日、90日	PoCと本番化の計画を分ける
予算レンジ	初期費用、月額費用	過剰投資を防ぐ

この材料は、AI開発、RAG、AIエージェント、セキュリティ、業務システム、レガシー刷新、補助金のどの相談でも共通して使える。GXOに相談する場合も、この7点から始めれば、要件定義、RFP、ベンダー選定、開発費用、運用体制、セキュリティ要件を同じ土俵で整理できる。

関連記事

• AIエージェント導入時の法務・運用チェックリスト

• 能動的サイバー防御法が中小・大企業に与える影響

• AI開発発注の失敗図鑑（特集）

• AIエージェント導入前チェックリスト（特集）