【解説】EU AI Act発効からまもなく2年｜「AIを規制する」から「規制を実装する」へ

【追記：2026年7月21日】EUは、AIの透明性義務（第50条）の適用開始（8月2日）を前に、実装を支える「透明性行動規範」とガイドラインを確定・公表しました。本記事の「2026年8月2日、実際に何が変わるのか」の章に反映しています。

EU AI Actは、2024年8月1日に発効した世界初の包括的なAI規制である。ただし、すべての規則が一斉に始まったわけではない。禁止されるAI利用は2025年2月から、汎用AI（GPAI）モデルへの義務は2025年8月から、段階的に適用されてきた。当初、独立型の高リスクAIには2026年8月から、規制製品に組み込まれる高リスクAIには2027年8月から主要義務が適用される予定だった。しかし、技術標準や監督体制の整備が間に合わず、2026年6月にEU理事会が正式採択し、7月に署名された「Digital Omnibus（デジタル・オムニバス）」の最終文書では、適用日はそれぞれ2027年12月、2028年8月へと延期された。

2026年7月20日時点では、改正規則はEU官報への掲載を待つ段階にある。一方で、2026年8月2日には生成AIの透明性義務と、GPAIモデルへの執行権限が予定どおり始動する。EUはAI規制を撤回したのではなく、規制の対象と適用の順序を選び直したといえる。

EU AI Actは「これから施行される法律」ではありません

まず、多くの読者がつまずきやすい「時制」を整理します。EU AI Actは、これから始まる法律ではなく、すでに動いている法律です。2024年8月1日に発効し、2025年から対象ごとに順番に適用が進んできました。

2024年8月1日：発効済み
2025年2月2日：禁止されるAI利用などが適用開始
2025年8月2日：GPAI（汎用AI）モデルへの義務が適用
2026年8月2日：全面施行日ではない
高リスクAIの中核は2027年12月・2028年8月へ延期

ここで押さえておきたいのは、EU AI Actは一つの日付で一斉に始まる法律ではなく、対象ごとに順番に適用される制度であるという点です。この前提を持っておくと、このあとの時系列がぐっと理解しやすくなります。

そもそもEU AI Actとは何か

EU AI Actは、AIという技術そのものを一律に規制する法律ではありません。主に「用途」と「リスクの大きさ」に応じて、課す義務を変えるという考え方に立っています。欧州委員会の一般向け解説では、リスクは大きく四つに区分されます。

許容できないリスク（禁止されるAI利用）
高リスクAI
限定的なリスク（透明性義務の対象）
最小または無リスク

さらに、このリスク区分とは別枠で、GPAIモデルにも独自の義務が課されます。ChatGPTのような目に見えるサービスだけでなく、その背後にある基盤モデルそのものを規制の対象に含めた点が特徴です。つまりEU AI Actは、「AIシステムのリスク分類」と「GPAIモデル規制」という二層構造になっています。

発効からまもなく2年、論点はこう動いた

ここがこの記事の中心です。単なる年表ではなく、各段階で議論の焦点がどう移ってきたかを併せて追います。

2024年8月：発効と体制づくり

法律が正式に発効しました。監督を担うAI Officeは、これに先立つ同年5月にすでに設置されており、発効後は監督・人員体制の拡充が進みます。企業に早期の自主対応を促す枠組み「AI Pact」も、9月に最初の署名式が行われました。当時の焦点は「誰が監督し、加盟国間でどう足並みをそろえるのか」でした。

2024年秋〜2025年初頭：「何がAIなのか」が争点に

意外に思えるかもしれませんが、規制が厳しいかどうか以前に、どこまでを「AI」として規制の対象にするのかという境界が問題になりました。法律上のAIの定義はすでに存在したものの、通常のソフトウェアとの線引きを実務でどう行うかが不明確で、欧州委員会は2025年2月にAIの定義に関するガイドラインを公表しています。

2025年2月2日：最初の実体規制が適用

禁止されるAI利用、AIリテラシーの確保、AIの定義に関する規定が適用されました。禁止対象には、次のようなものが含まれます。

一定の条件を満たすソーシャルスコアリング（公的機関に限られません）
顔認識データベースの作成を目的とした、インターネットや監視カメラからの顔画像の無差別な収集
職場や学校での一定の感情認識（医療・安全目的などの例外あり）
個人のプロファイリングだけに基づく犯罪予測

企業の場合、これらの違反には、最大3500万ユーロ（約65億円）、または前年度の全世界年間売上高の7%のうち、いずれか高い方の制裁金が科され得ます（円換算は2026年7月時点のレート、以下同）。当時の焦点は「禁止規定を実際の現場にどう当てはめるか」でした。

2025年8月2日：GPAI規制が適用

技術文書の整備、著作権順守方針、学習コンテンツの概要公表、そしてシステミックリスクを持つ高性能モデルへの追加義務が始まりました。直前の7月には、欧州委員会がGPAI行動規範（Code of Practice、自主的な順守手段）や学習データ概要のテンプレートを公表し、道具立ても整えています。なお、同日以前に市場投入された既存モデルには、2027年8月2日までの経過措置が設けられました。ここで重要なのは、規制の対象がAIサービスだけでなく、モデルそのものにまで及んだ点です。

2025年夏：「時計を止めるか」が政治争点に

欧州企業からは、必要なガイドラインや技術標準がそろわないまま義務だけが始まれば、順守の方法を判断できない、という声が上がりました。いわゆる「stop the clock（時計を止めろ）」論です。一方、市民社会は「準備の遅れを理由に、合意済みの権利保護を弱めるべきではない」と警戒します。ここで議論の質が変わりました。「AIを規制すべきか」から、「この規制を現実に実装できるか」へと焦点が移ったのです。

2025年11月〜2026年6月：Digital Omnibusによる組み替え

2025年11月19日、欧州委員会は簡素化パッケージ「Digital Omnibus on AI」を提案しました。高リスクAIの適用時期の見直し、事務負担の軽減、中小企業への配慮を柱とするものです。2026年4月末の協議ではいったん合意に至りませんでしたが、5月7日に暫定的な政治合意に達し、6月16日には欧州議会が賛成423・反対57・棄権174で承認しました。EU理事会（欧州連合理事会）は6月29日にこれを正式採択し、7月8日に欧州議会議長とEU理事会議長が署名しました。2026年7月20日時点では、EU官報への掲載を待つ段階にあります。改正規則は官報掲載の3日後に発効します。

2026年8月2日、実際に何が変わるのか

ここで現在のニュースに戻ります。2026年8月2日は「全面施行日」ではありません。延期される部分と、予定どおり始まる部分に分かれる転換点です。

始まるもの①：生成AIの透明性義務（第50条）

AIとの対話であることの通知、感情認識・生体分類の通知、AI生成・加工コンテンツのマーキング、ディープフェイクの開示などが始まります。これは高リスクに分類されないAIにも広く及び、生成AIサービスの提供者や、ディープフェイクなどを公開する導入者に幅広く関係します。ただし、提供者・導入者という役割やコンテンツの種類、例外規定によって適用は異なり、生成AIを使うすべての事業者に一律の義務が課されるわけではありません。また、2026年8月2日より前に市場投入された既存のAIシステムに限り、機械可読なマーキングを求める第50条2項への適合期限は2026年12月2日まで猶予されます。8月2日以降に投入する新規システムへの一律の猶予ではない点に注意が必要です。

実装の道具立ても、適用開始を前に出そろいました。AI Officeは2026年6月10日、第50条の順守を実務でどう示すかをまとめた「AI生成コンテンツの透明性に関する行動規範（Code of Practice）」の最終版を公表しています。これは署名すると規制適合が推定される自主的な文書で、初回署名の締め切りは7月22日でした。あわせて、第50条全体の解釈を示すガイドライン（AI表示の標準ラベルや、「完全AI生成」と「AI支援」の区別などを含む）も、適用開始を前に最終化が進みました。義務の”守り方”が具体化した、まさに「規制を実装する」段階の動きです。(7/21追記)

始まるもの②：GPAIモデルへの執行の本格化

GPAIモデルへの義務や監督枠組みは2025年8月からすでに適用されていますが、欧州委員会が罰金を含む執行権限を実際に行使できるようになるのが2026年8月2日です。情報や文書の要求、モデルの評価、是正・制限・回収などの措置、そして制裁金の賦課が可能になります。GPAIモデル提供者への制裁金は、最大1500万ユーロ（約28億円）、または前年度の全世界年間売上高の3%のうち、いずれか高い方です。

始まらないもの：高リスクAIの全面適用

当初は2026年8月2日から適用予定だった附属書IIIの独立型の高リスクAIは2027年12月2日へ、当初2027年8月2日予定だった規制製品組込み型の高リスクAIは2028年8月2日へ延期されました。この延期は規制の撤回ではなく、実装の基盤を整えるための猶予と理解するのが正確です。

むしろ加わったもの：新たな禁止とAI Officeの権限拡張

今回の改正は、規制を緩める方向だけではありません。児童性的虐待コンテンツ（CSAM）を生成するAIシステムや、識別可能な人物の親密な部位、性的な行為を、本人の同意なく画像・動画・音声として生成・加工するAIシステムについて、新たな禁止規定が設けられました。性的ディープフェイクを生成する、いわゆる「ヌーディファイア（nudifier）」も対象になり得ます。

提供者は2026年12月2日までに、こうしたコンテンツの生成を防ぐための適切な技術的安全策を講じる必要があります。拒否学習、出力制御、フィルタリングなどは、最終文書が安全策の例として挙げる手法であり、特定の手法が一律に義務付けられたわけではありません。あわせて、一定のGPAIモデルを基礎とするAIシステムについて、AI Officeによる監督・執行の枠組みも拡張されました。緩和と強化が同時に進んでいるのです。

なぜ高リスクAI規制は延期されたのか

延期の理由は一つではありません。複数の要因が重なりました。

技術標準（整合規格）が間に合わなかった。法律上の要件はあっても、どの方法で順守を証明するのかが定まっていませんでした。最終文書も、これを明示的な理由として挙げています。
加盟国間で、監督当局や適合性評価体制の整備状況に差がありました。
GDPR、医療機器規則、製品安全、サイバーセキュリティーなど、既存法との重複や事務負担も、簡素化を求める背景の一つでした。
米国や中国とのAI開発競争のなかで、規制負担が欧州企業の不利になるとの懸念が、政治的な背景として指摘されました。
中小企業に大手と同じ文書化・監査を求めることの現実性が問われ、「小規模ミッドキャップ（SMC）」という区分への軽減措置が導入されました。

興味深いのは、当初案が「標準が整い次第、適用する」という条件付きだったのに対し、最終合意ではその条件を外し、固定した日付に切り替えたことです。企業に予見可能性を与えることを優先した判断だといえます。

日本企業にも関係するのか

結論から言えば、EUに法人がなくても、EU市場との接点があれば無関係とは限りません。EU AI Actには域外適用の考え方があるためです。次のようなケースは対象になり得ます。

EU向けにAIサービスを提供している
EU企業にAIモデルを提供している
EU拠点で人事・採用AIを利用している
EU市場向けの製品にAIを搭載している
出力がEU内で利用される形で、生成AIコンテンツを提供している

もっとも、単にEUから閲覧できるというだけで直ちに全義務が適用されるわけではなく、提供者・導入者という役割や、EU市場への投入、出力の利用場所などによって判断されます。また、直接規制されない場合でも、取引を通じた影響は想定されます。EU企業から技術文書の提出を求められる、契約に監査条項が加わる、学習データや著作権対応の説明を求められる、AI生成物の表示対応を迫られる——といった形で、サプライチェーンの上流にも影響が及ぶことが考えられます。まずは、自社が提供者・導入者・輸入者・販売業者（ディストリビューター）のどれに当たるのか、利用中のAIをどう棚卸しするのか、というところから確認するのが現実的です。

EUは規制を後退させたのか

この2年間をどう評価するか。私は、「EUが規制を弱めた」という単純な見立ては、あまり正確ではないと考えています。

たしかに、高リスクAIの適用時期、一部の事務負担、中小企業への要求は緩和・延期されました。しかしその一方で、GPAIモデルへの義務、生成AIコンテンツの透明性、性的ディープフェイクやCSAM生成AIへの新たな禁止、そしてAI Officeの権限拡張は、むしろ具体化され、強化されています。緩めた部分と締めた部分が同時に存在するのです。だとすれば、EUはAI規制を放棄したのではなく、規制の対象と適用の順序を選び直している——これが最も公平な見方だと思います。

そして、この2年が私たちに示したのは、AIを法律で分類する難しさだけではありません。技術の進歩に法律が追いつけるのか。詳細なルールづくりを、事実上、民間の標準化団体に委ねてよいのか。表示義務だけで偽情報を防げるのか。これらは、EUだけの問題ではなく、日本を含むAI社会全体に投げかけられた問いです。日本でも2025年にAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）が施行されましたが、EU AI Actのように事業者へ詳細なリスク別の義務や適合性評価を課す包括的な規制ではなく、実務では引き続きAI事業者ガイドラインなどのソフトローが大きな役割を担っています。制度の形が異なるからこそ、EUが「規制を実装する」フェーズでどの義務が現実に機能し、どこでつまずくのかは、日本の政策議論にとっても参考になると考えられます。「AIを規制する」段階から「規制を実装する」段階へ。EU AI Actの現在地は、そのまま、これから同じ道を通る国々への予告編でもあります。

【関連記事】

AI無法地帯の終焉：欧州新標準『ETSI EN 304 223』が日本企業に迫る「2026年の決断」（内部）
ブリュッセル効果と域外適用を軸に、EU規制が日本企業の契約や供給網へ及ぶ道筋を読み解く一本。

EU AI法に延期案、トランプ政権と大手テック企業の圧力で欧州委員会が方針転換を検討（内部）
本記事の時系列でたどった「stop the clock」論の起点。延期に至る攻防の前史を伝える。

WAICO発足、習近平氏がWAIC 2026で初講演｜中国主導のAI連合29カ国の狙いとは（内部）
供給網・ルール・規制へ分かれる世界のAIガバナンス。EU規制を地政学の中に位置づけ直せる。

【編集部後記】

「EU AI Act、また延期されたらしい」——そんな一言で片づけられてしまうことが、私は少しもったいないと感じています。

延期という言葉だけを見ると、後退のように聞こえます。けれど中身を開けてみると、生成AIの表示義務やモデルへの監督、そして性的ディープフェイクへの新たな禁止は、むしろ前に進んでいる。緩めた場所と締めた場所が同居している。この「ねじれ」こそが、新しい技術を社会に迎え入れるときの、リアルな手つきなのだと思います。

未来技術には「期待」と「不安」の両方がつきまといます。ルールは、その不安を減らして、安心して一歩を踏み出すためにあるはずです。EUが今まさに通っている「実装」という難所を、遠くの出来事としてではなく、いずれ私たちも通る道の予習として眺めておく。そんな読み方で、この記事がみなさんの「最初の窓口」になれたら嬉しいです。

【用語解説】

GPAI（汎用AIモデル）
特定用途に限定されず、幅広い異なるタスクを実行でき、さまざまな下流システムに統合できる一般性の高いモデル。欧州委員会のガイドラインは、10の23乗FLOPを超える計算量で訓練され、言語生成能力を持つモデルを実務上の目安とするが、これは法的定義そのものではなく、目安を下回ってもGPAIに該当し得る。

システミックリスクモデル
GPAIのうち、重大な影響を及ぼす能力を持つもの。10の25乗FLOPを超えるモデルは該当すると推定されるが、欧州委員会は閾値未満でも指定でき、提供者は閾値を超えても反証を提出できる。追加の安全性・セキュリティー義務などを負う。

附属書III（Annex III）
独立型の高リスクAIの用途を列挙したリスト。採用・人事評価、教育、信用評価、保険、重要インフラ、法執行、司法、移民・国境管理などが含まれる（各項目には細かな限定・例外がある）。

第50条（Article 50）
透明性に関する義務。AIとの対話であることの通知、感情認識・生体分類の通知、AI生成・加工コンテンツの表示、ディープフェイクの開示などを定める。高リスクでないAIにも広く及ぶ。

Digital Omnibus（デジタル・オムニバス）
2025年11月に欧州委員会が提案した簡素化パッケージ。複数の立法提案からなり、AI Actに関する提案は2026年6月に正式採択され、7月に署名された。2026年7月20日時点ではEU官報への掲載を待つ段階にある。これとは別に、GDPRやデータ関連法などを扱う提案も含まれる。

整合規格（harmonised standards）
法律の要件を実務でどう満たすかを具体化した技術標準。欧州委員会の要請に基づきCEN、CENELECなどが策定する。規格への準拠そのものは通常は任意だが、これを用いると要件への適合が推定される。整備の遅れが、高リスクAIの適用延期を決める主要因の一つとなった。