【タイトル】
【2026年版】EU AI法（EU AI Act）実務対応ガイド——「2026年8月にハイリスク義務」はDigital Omnibusで延期された、しかしArticle 50透明性義務は待ったなし｜ハイリスク分類・適合性評価・AI利用規程の実務手順と、ISO 42001・NIST AI RMFとの整合設計
【スラッグ】
eu-ai-act-compliance-guide-2026
【タグ（半角カンマ区切り）】
EU AI法,EU AI Act,ハイリスクAI,適合性評価,Article 50,Digital Omnibus,ISO 42001,NIST AI RMF,AI利用規程,プロバイダーとデプロイヤー
【カテゴリ】
AI（企業向け）
============================================================
以下、本文（WordPressのHTML編集画面にそのままペースト可能なHTMLです）
2026年に入ってから、「EU AI法のハイリスクAI義務が今年8月から本格適用される」という情報を前提に、対応を急いでいる日本企業の情シス・法務担当者は少なくないはずです。しかし、その前提はすでに古くなっています。2026年5月7日、欧州理事会と欧州議会は「Digital Omnibus on AI」と呼ばれる簡素化パッケージで政治合意に達し、6月16日に欧州議会が、6月29日に欧州理事会が最終承認しました。この改正により、ハイリスクAIシステムの義務適用は、Annex III（単体のハイリスクシステム）で2027年12月2日、Annex I（規制対象製品に組み込まれるAI）で2028年8月2日まで延期されています。
一方で、「延期されたから2026年は何もしなくていい」というのも誤りです。Article 50の透明性義務（チャットボット開示・ディープフェイク表示など）は、当初の予定通り2026年8月2日から適用されます。禁止AI慣行（Article 5）とAIリテラシー義務（Article 4）は2025年2月2日から、汎用AIモデル（GPAI）プロバイダーの義務は2025年8月2日から、すでに施行済みです。つまり2026年後半は「ハイリスク対応を焦る局面」ではなく、「延期の実態を正確に把握したうえで、期限が動いていない義務に確実に対応する局面」です。
本記事は、この情報の非対称性——多くの解説記事がまだ「2026年8月＝ハイリスク本番適用」という旧情報のまま止まっている状況——を踏まえ、2026年6月末時点の最新の法的状況を整理したうえで、CISO・法務・経営の3者が同時に使える実務対応ガイドとしてまとめたものです。想定読者は、欧州向け製品・サービスを持つ日本企業、外資系クライアントと取引がある企業、そしてすでにNIST AI RMFやISO 42001での体制整備を進めている企業の担当者です。
目次
- 全体像——EU AI法のこれまでの適用状況と、今回の延期で何が変わったか
- Digital Omnibusの中身——何が、いつまで延びたのか
- 今すぐ対応が必要なもの——Article 50 透明性義務の実務
- 延期後も今から準備すべき理由——ハイリスクAI分類の実務
- プロバイダーとデプロイヤーの責任分界
- 適合性評価の具体的手順
- AI利用規程（社内AIガバナンスポリシー）の設計
- ISO 42001・NIST AI RMFとの整合設計
- 罰則構造——「知らなかった」では済まない金額感
- 実務対応ロードマップ
- よくある質問（Q&A）
- まとめ——「延期」ではなく「再設計」の機会として使う
- 参考リンク
全体像——EU AI法のこれまでの適用状況と、今回の延期で何が変わったか
EU AI法はリスクベースの階層構造を持ち、義務は段階的に発効してきました。まず現時点（2026年6月末）での適用状況を時系列で整理します。
| 適用開始日 | 義務 | 状況 |
|---|---|---|
| 2025年2月2日 | 禁止AI慣行（Article 5）、AIリテラシー義務（Article 4） | 施行済み・変更なし |
| 2025年8月2日 | 汎用AIモデル（GPAI）プロバイダーの義務、ガバナンス体制（AI Office・加盟国当局の設置） | 施行済み・Digital Omnibusの影響なし |
| 2026年8月2日 | Article 50 透明性義務（チャットボット開示・ディープフェイク表示など） | 予定通り適用（一部のみ延期、後述） |
| 2026年8月2日（当初予定）→2027年12月2日 | Annex III 単体ハイリスクAIシステムの義務 | Digital Omnibusにより延期 |
| 2026年8月2日（当初予定）→2028年8月2日 | Annex I 規制対象製品組み込み型ハイリスクAIシステムの義務 | Digital Omnibusにより延期 |
要するに、「AI法が骨抜きになった」わけではありません。禁止事項・AIリテラシー・GPAI規制・透明性義務という、実務上インパクトの大きい部分はそのまま生きています。動いたのは「ハイリスクAIシステム」というカテゴリの義務適用時期だけです。ここを混同すると、社内での説明や経営報告で不正確な情報を流してしまうリスクがあるため、まず正確な線引きを共有することが実務対応の出発点になります。
Digital Omnibusの中身——何が、いつまで延びたのか
Digital Omnibus on AIは、2025年11月に欧州委員会が提案し、2026年5月7日に欧州理事会・欧州議会間で政治合意に至った、AI法の的を絞った簡素化パッケージです。2026年6月16日に欧州議会が、6月29日に欧州理事会が最終承認しており、官報公布は2026年7月末までに行われ、8月2日に発効する見込みです。
延期された義務
- Annex III 単体ハイリスクAIシステムの義務： 生体認証、重要インフラ、教育、雇用、必須の民間・公共サービス、法執行、出入国管理・亡命・国境管理、司法・民主的プロセスなど、Annex IIIに列挙された用途のAIシステムの義務適用が、2026年8月2日から2027年12月2日に延期。
- Annex I 規制対象製品組み込み型ハイリスクAIシステムの義務： エレベーター、玩具、医療機器などに組み込まれるAIの義務適用が2028年8月2日に延期。
- Article 50(2) 機械可読な電子透かし義務： 生成AIシステムが出力するコンテンツへの機械可読マーキング義務は、2026年8月2日から2026年12月2日に延期（ただしチャットボット開示など他のArticle 50義務は8月2日のまま）。
- 各国の規制サンドボックス整備義務： 2027年8月2日に延期。
延期されなかった義務
- 禁止AI慣行（Article 5）とAIリテラシー義務（Article 4）——2025年2月から施行済みで変更なし。
- GPAI（汎用AIモデル）プロバイダーの義務——2025年8月から施行済みで変更なし。
- Article 50のうち、チャットボット・AIエージェントの開示義務、ディープフェイクの視覚的ラベリング義務、感情認識・生体分類システムの通知義務——2026年8月2日のまま。
新設・追加された事項
- 新たな禁止事項の追加： AIによる「ヌード化（nudification）」ツールと、AI生成の児童性的虐待コンテンツ（CSAM）がArticle 5の禁止リストに追加され、2026年12月2日から適用。
- SME（中小企業）向け簡素化措置の対象拡大： 従業員750人・年間売上高1億5,000万ユーロまでの「小規模中堅企業（SMC）」にも、簡素化されたガイダンス、罰金の軽減、規制サンドボックスへのアクセス、標準化された文書テンプレートなどの恩恵が拡大。
- AI Officeの権限強化とガバナンスの一元化： 加盟国間の実施のばらつきを減らす目的で、AI Officeの監督権限が強化され、プロバイダーとシステム提供者が同一事業者である場合のGPAI関連システムの監督権限の所在が明確化。
注記： 上記は2026年6月末時点の政治合意・議会承認・理事会承認を踏まえた内容です。官報への正式公布と発効日（2026年8月2日を想定）は本記事執筆時点で確定していません。実際の適用にあたっては、必ず欧州委員会の公式ページ（Shaping Europe’s digital future）およびAI Act Service Deskの最新情報でご確認ください。
今すぐ対応が必要なもの——Article 50 透明性義務の実務
ハイリスク義務が延期された今、2026年後半に向けて実務上もっとも優先度が高いのはArticle 50の透明性義務です。適用開始は2026年8月2日で変わっていません。
チャットボット・AIエージェントの開示義務
人と直接対話するように設計されたAIシステム（チャットボット、バーチャルアシスタント、自律的なAIエージェントを含む）のプロバイダーは、最初の接触時点で、ユーザーがAIと対話していることを明確に認識できるようにする義務を負います。欧州委員会が公表した草案ガイドライン（2026年5月8日公表）では、「AIであることが自明」として例外扱いされる範囲は狭く定義されており、「合理的に情報を持ち、注意深い人物が自明にAIの関与を認識できる」場合に限られます。単に利用規約の片隅に記載するだけでは不十分と解釈される可能性が高い点に注意が必要です。
ディープフェイク・AI生成コンテンツの表示義務
AIが生成・加工した音声・画像・映像（ディープフェイク）については、コンテンツ内またはその周辺に「AIで作成」等の視覚的に分かるラベルを表示する義務があります（隠したメタデータのみでは不十分）。加えて、生成AIシステムが出力するコンテンツに機械可読な電子透かしを埋め込む義務（Article 50(2)）は、Digital Omnibusにより2026年12月2日まで猶予されています。C2PA（Coalition for Content Provenance and Authenticity）やISO/IEC 22376が有力な技術標準として位置づけられています。
感情認識・生体分類システムの通知義務
感情認識システムや生体分類システムを導入するデプロイヤーは、そのシステムに晒される個人に対して通知を行う義務を負います。職場や教育機関でこれらのシステムを使う場合は、労働者代表や本人への事前説明も併せて検討する必要があります。
延期後も今から準備すべき理由——ハイリスクAI分類の実務
Annex IIIのハイリスク領域
Annex IIIは、生体認証・識別、重要インフラの管理・運用、教育・職業訓練、雇用・労働者管理、必須の民間・公共サービスへのアクセス、法執行、出入国管理・亡命・国境管理、司法運営・民主的プロセスなど、複数の領域を列挙しています。この分類ルール自体（Article 6）はDigital Omnibusで変わっておらず、変わったのは義務の適用時期だけです。
「延期＝先送りしてよい」ではない3つの理由
- 2027年12月・2028年8月は、決して遠い先ではない。 リスク管理システム構築、技術文書の整備、適合性評価の準備には、通常半年〜1年以上を要します。今から着手しないと、期限直前に駆け込みで対応する2024年のGDPR対応の二の舞になりかねません。
- GPAIと透明性義務は先に動いている。 自社が汎用AIモデルを提供している、あるいはチャットボット・生成AI機能を欧州向けに提供している場合、ハイリスク分類とは独立して、すでに義務が発生しています。「AI法対応」を一括りにせず、義務ごとに管理する必要があります。
- 取引先からの要求が先行する可能性が高い。 欧州の大企業・公共部門は、法定義務の適用前から、サプライヤーに対してAI法準拠の証跡（技術文書、リスク管理プロセスの説明）を求め始める可能性があります。法的義務の発生タイミングと、商取引上求められるタイミングは別物です。
プロバイダーとデプロイヤーの責任分界
EU AI法は、AIシステムを「開発して市場に出す者（プロバイダー）」と「業務で使用する者（デプロイヤー）」とで、負う義務を明確に分けています。自社が欧州の生成AIツールを社内利用するだけの場合でも、多くのケースで「デプロイヤー」としての義務を負う点に注意してください。
| 区分 | 該当する義務（根拠条文） | 実務上のポイント |
|---|---|---|
| プロバイダー（Article 16） | リスク管理システム（Art.9）、データガバナンス（Art.10）、技術文書（Art.11）、ログ記録の設計（Art.12）、デプロイヤーへの情報提供（Art.13）、人間の監視設計（Art.14）、正確性・サイバーセキュリティ（Art.15）、品質マネジメントシステム（Art.17）、適合性評価・EU適合宣言・CEマーキング・EUデータベース登録 | ハイリスクAIシステムを開発・販売する場合の義務。自社開発の業務用AIをグループ会社や外部に提供する場合も対象になり得る。 |
| デプロイヤー（Article 26） | 取扱説明書に従った使用、適切な人的監視の配置（能力・訓練・権限を持つ者）、入力データの妥当性確認（管理下にある場合）、稼働状況の監視、自動生成ログの保存（原則6ヶ月以上）、職場導入時の労働者代表・本人への事前説明 | 他社が開発したハイリスクAIシステムを業務で「使う」側の義務。SaaS型AIツールの導入企業の多くはここに該当。 |
実務上の落とし穴は、「うちはAIを作っていないから関係ない」という思い込みです。海外ベンダーのAI搭載SaaSを人事評価や与信審査に使っている場合、自社はデプロイヤーとして独自の義務を負います。まず自社が関わるAIシステムを棚卸しし、それぞれについて「自社はプロバイダーかデプロイヤーか、あるいは双方か」を整理することが最初のステップです。
適合性評価の具体的手順
ハイリスクAIシステムをプロバイダーとして市場に出す前に必要となる適合性評価の流れは、次の通りです（適用は延期後の期限からですが、手順自体は変わりません）。
- 該当性の判定： Article 6・Annex IIIに照らして自社システムがハイリスクに該当するかを判定する。委員会が公表予定の高リスク分類ガイドラインも参照する。
- リスク管理システムの構築（Article 9）： 既知・予見可能なリスクの特定、評価、緩和策の実装をライフサイクル全体で継続するプロセスを設計する。
- データガバナンス（Article 10）： 学習・検証・テストに用いるデータセットの関連性、代表性、誤り、完全性を確認する体制を整える。
- 技術文書の作成（Article 11）： システムの設計、開発プロセス、性能指標、リスク管理の内容を記した文書一式（Annex IVに準拠）を整備する。
- 整合規格の活用可否を判断： 該当する整合規格（harmonised standards）を採用している場合は、内部統制に基づく適合性評価（Annex VI）を選択できる。整合規格を採用していない、または一部のみの場合は、通知機関（Notified Body）が関与する評価手続（Annex VII）が必要になる。
- EU適合宣言書の作成とCEマーキングの表示： 評価結果に基づき適合宣言書を作成し、製品にCEマーキングを付す。
- EUデータベースへの登録： 市場投入前にEUの公開データベースにシステムを登録する。
- 実質的な変更時の再評価： システムに実質的な変更（substantial modification）を加えた場合、たとえ現行のデプロイヤーが継続使用するだけであっても、原則として新たな適合性評価が必要になる。
AI利用規程（社内AIガバナンスポリシー）の設計
法定義務への対応と並行して、多くの企業で実務上のボトルネックになるのが「現場が生成AIツールを勝手に使い始めてしまう」問題です。AIリテラシー義務（Article 4）はすでに施行済みであり、社内向けのAI利用規程は法対応と現場のガバナンスを両立させる要になります。最低限、次の項目を規程に含めることを推奨します。
- 利用範囲の定義： 業務利用が許可されるAIツールのリストと、機密情報・個人データ・顧客データの入力可否。
- 役割別の教育（AIリテラシー義務対応）： AIを扱う従業員の職務内容に応じた教育プログラムの提供と記録の保持。
- 禁止用途の明示： Article 5で禁止されるサブリミナル操作、脆弱性の悪用、社会的スコアリング、感情推定（職場・教育機関での一部利用）などに該当し得る用途を、具体例つきで社内周知する。
- ハイリスクAI判定プロセス： 新規AI導入時に、Annex IIIへの該当性を確認するチェックリストと、該当した場合のエスカレーションフローを定める。
- 透明性義務のオーナーシップ： チャットボット導入・生成AIコンテンツ配信を行う部門に対し、Article 50対応（開示文言・ラベリング）の実装責任を明確に割り当てる。
- ベンダー管理： 外部AIベンダーとの契約に、プロバイダー側の情報提供義務（Article 13）の履行確認や、技術文書の提供を求める条項を盛り込む。
- インシデント対応： 重大インシデントの報告義務（該当する場合）に備えた社内エスカレーションと当局報告のフローを整備する。
ISO 42001・NIST AI RMFとの整合設計
EU AI法、NIST AI RMF、ISO/IEC 42001は目的が異なるため、いずれか一つで足りるものではなく、組み合わせて設計するのが実務的です。それぞれの役割を一言で言えば、NIST AI RMFは「リスク管理の方法論」、ISO 42001は「マネジメントシステムとしての認証可能な証明」、EU AI法は「欧州市場で活動する限り従わざるを得ない法的要求」です。
| NIST AI RMFの機能 | 対応するISO 42001の主な条項 | EU AI法との接続点 |
|---|---|---|
| Govern（統治） | Clause 5〜6（リーダーシップ・計画） | 品質マネジメントシステム（Article 17）、AIガバナンス体制 |
| Map（識別・分類） | Annex A のリスクアセスメント関連管理策 | ハイリスク該当性判定（Article 6）、影響評価 |
| Measure（測定） | Clause 9（パフォーマンス評価） | 正確性・堅牢性・サイバーセキュリティ（Article 15） |
| Manage（対応） | Clause 8・10（運用・継続的改善） | リスク管理システム（Article 9）、インシデント対応 |
実務的な進め方としては、まずNIST AI RMFのフレームワークでリスク管理プロセスの土台を作り、それをISO 42001のマネジメントシステム要件（第三者認証を見据えた文書化・継続的改善プロセス）に落とし込み、その上で欧州市場に接点がある事業についてはEU AI法固有の要求（適合性評価、CEマーキング、EUデータベース登録、Article 50の開示義務など）を追加で積み上げる、という三層構造が効率的です。ISO 42001の認証取得は、EU AI法上の適合性評価要件そのものを免除するものではありませんが、品質マネジメントシステム（Article 17）やリスク管理プロセスの構築・運用の証跡として、監査対応や取引先への説明の負荷を大きく下げます。
罰則構造——「知らなかった」では済まない金額感
| 違反区分 | 上限額 | 根拠条文 |
|---|---|---|
| 禁止AI慣行（Article 5）違反 | 3,500万ユーロ、または全世界年間売上高の7%のいずれか高い方 | Article 99 |
| ハイリスクAI・その他の義務違反 | 1,500万ユーロ、または全世界年間売上高の3%のいずれか高い方 | Article 99 |
| 当局への誤った・誤解を招く情報提供 | 750万ユーロ、または全世界年間売上高の1%のいずれか高い方 | Article 99 |
| GPAIプロバイダーの義務違反 | 1,500万ユーロ、または全世界年間売上高の3%のいずれか高い方 | Article 101 |
SME（中小企業、Digital Omnibusにより一部SMCも含む）については、各上限のうち低い方の金額が適用される緩和措置があります。いずれにしても、GDPR同様、全世界売上高を基準にした制裁金である点は変わらず、欧州事業の規模が小さくても、グループ全体の売上高が算定基準になり得る点には注意が必要です。
実務対応ロードマップ
| 優先度 | タスク | 目安の期限 |
|---|---|---|
| 最優先 | Article 50透明性義務の対応（チャットボット開示文言、ディープフェイクラベリング） | 2026年8月2日まで |
| 最優先 | 生成AIコンテンツへの機械可読透かし対応 | 2026年12月2日まで |
| 高 | 社内AIシステムの棚卸しとプロバイダー／デプロイヤーの分類 | 2026年内 |
| 高 | AI利用規程の策定・改訂とAIリテラシー教育の実施記録整備 | 2026年内（Article 4は施行済みのため未対応の場合は早急に） |
| 中 | 新設の禁止事項（ヌード化ツール・AI生成CSAM）への該当性確認 | 2026年12月2日まで |
| 中 | NIST AI RMF／ISO 42001を軸にしたガバナンス体制の構築着手 | 2027年前半をめど |
| 中〜低 | Annex III該当システムのリスク管理システム・技術文書の整備 | 2027年12月2日までに完了 |
| 低（該当社のみ） | Annex I規制対象製品組み込み型AIの適合性評価準備 | 2028年8月2日までに完了 |
よくある質問（Q&A）
Q1. ハイリスクAI義務が延期されたなら、2026年は何もしなくていいのでは？
いいえ。延期されたのはAnnex III・Annex Iのハイリスクシステムに関する義務だけです。禁止AI慣行、AIリテラシー義務、GPAIプロバイダーの義務はすでに施行されており、Article 50の透明性義務（チャットボット開示、ディープフェイク表示）は2026年8月2日から予定通り適用されます。「AI法対応＝延期」という単純化は誤りです。
Q2. 自社は欧州に拠点がないのですが、それでもEU AI法の対象になりますか？
域外適用の可能性があります。EU域内の利用者にAIシステムの出力を提供している場合や、EU域内で使用されることを想定してAIシステムを市場に出している場合は、拠点の所在地に関わらず対象となり得ます。欧州向け製品・サービスがある、あるいは欧州企業と取引がある場合は、個別に該当性を確認する必要があります。
Q3. Digital Omnibusはまだ「政治合意」の段階で、正式な法律ではないのでは？
2026年6月末時点で、欧州議会（6月16日）と欧州理事会（6月29日）の双方の最終承認が完了しており、官報公布と発効（2026年8月2日を想定）を待つ段階です。制度上、覆る可能性は極めて低い状況ですが、正式な法的効力は官報公布をもって発生するため、実務対応の最終確認は欧州委員会の公式情報で行ってください。
Q4. NIST AI RMFやISO 42001に対応していれば、EU AI法にも自動的に準拠したことになりますか？
なりません。NIST AI RMFはリスク管理の方法論、ISO 42001はマネジメントシステムの認証規格であり、いずれもEU AI法が要求する適合性評価・CEマーキング・EUデータベース登録といった法定手続を代替するものではありません。ただし、両フレームワークで構築したリスク管理プロセスや文書体系は、EU AI法対応の土台として活用でき、対応工数を大きく削減できます。
Q5. 生成AIチャットボットを自社サイトに設置しているだけでも、Article 50の対象になりますか？
対象になる可能性が高いです。人と直接対話するよう設計されたAIシステムのプロバイダーは、ユーザーが最初に接触する時点でAIとの対話であることを明確に知らせる義務を負います。「AIであることが自明」として例外になる範囲は狭く解釈される見込みのため、既存のチャットボットに開示文言がない場合は、2026年8月2日までの対応が必要です。
まとめ——「延期」ではなく「再設計」の機会として使う
Digital Omnibusによるハイリスク義務の延期は、EU AI法対応を「不要にした」のではなく、「順序を組み直す猶予を与えた」と捉えるのが実務的に正確です。要点は3つです。
1. 「2026年8月＝ハイリスク本番適用」という前提を、社内の共通認識からまず修正する。 経営報告や取引先への説明で古い情報を使い続けると、かえって信頼を損ないます。
2. 期限が動いていない義務（Article 50透明性義務、AIリテラシー、GPAI規制）を先に片付ける。 特にチャットボット開示とディープフェイクラベリングは2026年8月2日が目前です。
3. 猶予期間（2027年12月・2028年8月）を、NIST AI RMF・ISO 42001を軸にしたガバナンス体制の構築期間として使う。 期限直前の駆け込み対応ではなく、リスク管理システムと技術文書を計画的に積み上げることで、適合性評価をスムーズに通過できる体制を作れます。
EU AI法は今後も改正が続く可能性が高い分野です。本記事の内容は2026年6月末時点の情報に基づいており、最終的な判断は必ず一次情報と専門家の助言に基づいて行ってください。
参考リンク
- European Commission「AI Act | Shaping Europe’s digital future」
- AI Act Service Desk「Timeline for the Implementation of the EU AI Act」
- Council of the EU「Artificial Intelligence: Council and Parliament agree to simplify and streamline rules」（2026年5月7日）
- EU Artificial Intelligence Act「Article 99: Penalties」
- EU Artificial Intelligence Act「Article 50: Transparency Obligations」
- EU Artificial Intelligence Act「Article 16: Obligations of Providers of High-Risk AI Systems」
- EU Artificial Intelligence Act「Article 26: Obligations of Deployers of High-Risk AI Systems」
- European Commission「General-purpose AI obligations under the AI Act」
免責事項： 本記事は2026年6月末時点の公開情報（政治合意・議会および理事会の承認状況を含む）に基づく一般的な情報提供であり、特定の企業・製品における法的準拠を保証するものではありません。また、法的助言ではありません。Digital Omnibusは本記事執筆時点で官報への正式公布前であり、内容が変更される可能性があります。実際の対応は自社の事業内容・欧州との接点・関連法令に照らして検討し、必要に応じてEU法務の専門家や弁護士にご相談ください。
コメント