「うちは EU に拠点が無いから関係ない」――そう判断する前に確認したい論点がある。 EU AI Act は EU 域外事業者でも、AI システムや出力が EU 域内で利用される場合に域外適用が生じうる枠組みで、国内中堅企業も EU 顧客向け AI 機能を持つ場合は対象範囲の確認が必要である。本記事はフェーズ 2 局面で押さえる論点を整理する。法的判断は弁護士・専門家相談前提とする。

目次

  1. EU AI Act の段階的施行と現在地
  2. フェーズ 2 で焦点になる規制領域
  3. 域外適用の判定フロー
  4. 対象企業タイプ別 義務サマリー
  5. 罰則と上限額
  6. 中堅企業が踏む実装チェックリスト
  7. 社内体制とドキュメント整備
  8. よくある質問（FAQ）

EU AI Act の段階的施行と現在地

EU AI Act は 2024 年に発効後、複数のフェーズに分けて段階的に適用が進む構造である。各フェーズの正確な施行日と対象は欧州委員会の公式情報を参照し、最終確認は法務・弁護士に依頼することを前提とする。

フェーズ主な対象（概要）確認方針
禁止用途サブリミナル操作・社会的スコアリング等の禁止既に発効、適用継続
汎用 AI モデル（GPAI）基盤モデル提供者・統合者の透明性義務等2025 年以降順次、フェーズ 2 で本格化
高リスク AI採用選考・与信・教育等の高リスク用途2026-2027 年で本格適用予定（要公式確認）
全面適用全条項公式スケジュール参照
施行日は条項ごとに異なり「2026 年○月」と一括で言えないため、自社該当条項を法務と特定する作業が出発点となる。

フェーズ 2 で焦点になる規制領域

領域概要中堅企業の典型該当例
汎用 AI モデル提供者の義務技術文書作成、著作権ポリシー、訓練データ要約自社で基盤モデル開発する企業（限定的）
汎用 AI モデル利用者・統合者提供者情報の入手・運用ログ整備OpenAI / Anthropic 等を業務に組み込む全企業
ガバナンス体制EU AI 事務局・各国当局との連携EU 拠点を持つ場合に重要度上昇
ガイドライン・行動規範業界自主規範への参加業界団体経由で確認
中堅企業の多くは「利用者・統合者」側の義務確認が主戦場となる。

域外適用の判定フロー

判定は単純化したフローであり、最終的な該当性判断は専門家相談を必須とする。

対象企業タイプ別 義務サマリー

企業タイプ主な義務（概要）中堅企業での想定対応
基盤モデル提供者技術文書、著作権ポリシー、訓練データ要約該当稀、該当時は専門法務必須
高リスク AI 提供者リスク管理、データガバナンス、人間監督、ログ採用選考・与信等の SaaS 開発企業
高リスク AI 利用者適切利用、ログ保存、影響評価採用 AI を導入する人事部門等
汎用 AI 統合者提供者情報入手、利用条件遵守多くの中堅企業が該当
限定リスク AI透明性表示（AI 利用の明示等）チャットボット等を運用する企業

罰則と上限額

罰則上限は条項違反の重大性に応じて段階的に設計されている。最新の正確な金額は欧州委員会の公式条文を確認のこと。

違反類型罰則上限の目安留意点
禁止用途違反最も重い水準全世界売上連動の上限あり
高リスク AI 重大違反中程度全世界売上連動の上限あり
情報提供義務違反比較的低い水準全世界売上連動の上限あり
「全世界売上の◯%」連動である点が特徴で、中堅企業でも金額影響は無視できない。

中堅企業が踏む実装チェックリスト

社内体制とドキュメント整備

役割想定担当主タスク
責任者CIO／法務担当役員全体統括・取締役会報告
法務社内法務／顧問弁護士条文解釈・契約レビュー
IT情報システム部AI 利用棚卸し・ログ整備
業務各部門利用申請・利用記録
監査内部監査年次レビュー
中堅企業では兼務になることが多いが、責任者と法務窓口は最低限明確にしておきたい。

「規制対応の社内体制を整えたいが、どこから手を付ければいいか分からない」

コンプライアンス対応の現状診断と移行ロードマップ策定を提供します。

規制対応の無料相談を予約する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

よくある質問（FAQ）

Q. EU に拠点が無くても対象になりますか？ A. EU 域内ユーザーに AI 出力を提供する場合は対象になりうる、というのが基本的な理解である。最終的な該当性判断は弁護士相談前提で進めたい。

Q. ChatGPT 等を社内利用するだけでも義務がありますか？ A. 利用形態と用途次第である。社内向け一般用途で EU 域内ユーザー対象でなければ規制負荷は限定的だが、棚卸しと利用記録は推奨される。

Q. 罰則金額の正確な数字を教えてください。 A. 条項により異なり随時更新されうるため、最新の公式条文と専門家見解を直接参照することを推奨する。

参考資料

  • 欧州委員会「Artificial Intelligence Act」公式ページ
  • 個人情報保護委員会「個人データの越境移転」関連資料
  • 業界団体（JEITA・JISA 等）のガイドライン

EU AI Act フェーズ 2 対応の現状診断、社内棚卸し、ガバナンス体制設計は GXO の補助金活用 DX 推進サービスでご相談を承ります。

GXO実務追記: AI開発・生成AI導入で発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、業務選定、データ整備、セキュリティ、PoCから本番化までの条件を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] AIで置き換える業務ではなく、成果が測れる業務を選んだか
  • [ ] 参照データの所有者、更新頻度、権限、機密区分を整理したか
  • [ ] PoC成功条件を精度、時間削減、CV改善、問い合わせ削減などで数値化したか
  • [ ] プロンプトインジェクション、個人情報、ログ保存、モデル選定のルールを決めたか
  • [ ] RAG/エージェントの回答を人が監査する運用を設計したか
  • [ ] 本番化後の費用上限、API使用量、障害時フォールバックを決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

EU AI Act フェーズ 2 施行（2026 年）国内中堅企業への影響｜汎用 AI モデル義務と高リスク AI 準備チェックを自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

AI/RAG導入診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。