EU AI法の執行開始｜透明性義務が8月2日適用、行動規範に約190組織が署名

EUのAI法が8月2日、執行段階に入りました。チャットボットの表示義務やディープフェイクのラベルが動き出しただけではありません。欧州委員会がGPAIモデルの提供者に制裁金を科せる条文と、利用者や従業員が違反を申し立てる3つの経路が、同じ日にそろいました。

欧州委員会は2026年7月31日、AI法（Regulation (EU) 2024/1689）の執行を8月2日から開始すると発表した。同日から第50条の透明性義務が適用され、対話型AIは原則として利用者にAIであることを伝え、ディープフェイクにはラベルを、AI生成・改変コンテンツには機械可読なマークを付す必要がある。

第113条により適用が先送りされていた第101条も同日から適用され、欧州委員会は汎用AIモデルの提供者へ制裁金を科せるようになった。執行はAI事務局、各国所管当局、欧州データ保護監察官の三者で分担し、独立専門家60人の科学パネルが助言する。

同日、AI生成コンテンツの透明性に関する行動規範の署名組織リストも公表され、7月末時点で180を超える組織が署名した。

From: Commission starts enforcing AI Act rules and new transparency requirements on 2 August

【編集部解説】

まず前提から。8月2日は「全面施行日」ではありません

2026年8月2日は、EU AI Actの全面施行日ではありません。この法律は2024年8月1日にすでに発効しており、禁止されるAI利用は2025年2月から、汎用AIモデルへの義務は2025年8月から、順番に適用されてきました。8月2日に始まったのは、生成AIの透明性義務（第50条）と、欧州委員会が制裁金を含む執行権限を実際に行使できる段階です。一方、高リスクAIの中核的な義務は2027年12月2日と2028年8月2日へ延期されました。この組み替えを定めたDigital Omnibusは、7月24日にEU官報へ掲載され、27日に発効しています（Regulation (EU) 2026/1744）。適用開始のわずか6日前という、異例の駆け込みでした。

制度の全体像と、なぜ延期が起きたのかについては、本稿末尾の【関連記事】で紹介する解説記事で詳しく整理しています。ここでは、執行が始まった日に何が動き出したのかを扱います。

執行の道具と、情報の入口

8月2日に起きたことを一言でまとめるなら、執行の道具が当局の手に渡り、同時に情報の入口を支える条文もそろった、となります。

道具の側から見ます。汎用AIモデルの提供者への義務自体は、2025年8月2日から適用されていました。これに対し、欧州委員会による調査・執行の権限が適用段階に入ったのが2026年8月2日です。第91条では技術文書や情報の提出を求め、第92条ではモデルへのアクセスを求めて評価を行い、第93条では是正やリスク軽減、市場での提供制限、撤回、回収といった措置を求められます。

制裁金を定める第101条も、同じ日に適用されました。第113条は、罰則を定める第12章を2025年8月2日から早期に適用する一方、第101条だけを除外していました。その結果、2026年8月2日には、調査と措置要求の権限と、違反や不応答に対して制裁金を科す権限がそろって使えるようになりました。制裁金は最大1500万ユーロ、または前年度の全世界年間売上高の3%のいずれか高い方です。

ここで押さえておきたいのは、これらがいずれも申立てを待たない職権の権限だという点です。AI事務局は、誰かの通報がなくても自ら調査を始められます。

そのうえで、現場から情報を受け取る3つの経路についても、根拠となる条文が同じ日に適用されました。窓口の一部は先行して設けられていましたが、第85条、第87条、第89条2項が8月2日から適用されたことで、法定の申立て経路として位置づけられたことになります。

経路	使える人	対象	匿名
苦情申立てツール第85条	自然人・法人。誰でも	AI事務局が監督するAIシステムの違反	不可
内部告発ツール第87条	AI提供者・GPAI提供者と職務上つながる個人	法違反の可能性	可
下流提供者向けチャネル第89条2項	他社のGPAIモデルを組み込んでシステムを作る事業者	第53条から第55条に関する違反	不可

AI事務局への申立て経路（欧州委員会の案内をもとに編集部作成）

このうち内部告発ツールは、実は2025年11月24日から稼働していました。今あらためて意味を持つのは、AI法違反の通報を正面から対象に据えた第87条が、8月2日に適用開始を迎えたからです。同条は、内部告発者保護指令（Directive (EU) 2019/1937）をAI法違反の通報に適用すると定めています。なお、製品安全や消費者保護、個人データ、ネットワークと情報システムの安全に関わる通報は、AI法を待たずとも同指令の対象になりえます。保護がまったくなかったわけではありません。

3つの経路は性格が違います。3経路のうち、匿名で通報できるよう設計されているのは、職務上の関係がある個人を対象とする内部告発ツールです。第87条は、その対象となる通報について内部告発者保護指令を適用します。第85条の苦情申立権や第89条2項の下流提供者の申立権に、同じ人的保護が自動的に及ぶわけではありません。

それでも、3つ目のチャネルは日本の事業者にとって実務的です。他社のGPAIモデルを組み込んでサービスを作る事業者が、モデル提供者の技術文書や著作権方針、学習データ概要に問題があると考えたとき、欧州委員会へ直接申し立てられる。取引先との交渉の外側に、規制当局というルートができました。

システミックリスクを持つモデルへの追加義務

執行の対象には、システミックリスクを持つとされる最先端のGPAIモデルも含まれます。提供者は第55条に基づき、モデルの評価、システミックリスクの評価と軽減、重大インシデントの報告、サイバーセキュリティーの確保を求められます。

欧州委員会が今回挙げたリスクの例は、CBRN（化学・生物・放射性物質・核）事案、制御の喪失、サイバー攻撃、有害な操作、そして基本的権利への脅威です。加えて、欧州のサイバーセキュリティーへのリスクと、人間の制御外で動作するAIのリスクにも言及しました。8月2日以降は、これらの義務についても、第91条から第93条による調査・措置要求と、第101条による制裁が結び付くことになります。

約190組織が署名し、日本勢はいない

同じ日に公表された、AI生成コンテンツの透明性行動規範の署名組織リストも見ておく価値があります。

7月末時点の署名数は、プレスリリース本体では「180を超える組織」、同日の別ページでは「約190組織」とされています。内訳はセクション1（提供者向け）が82、セクション2（導入者向け）が152。両方に署名した組織が多いため、単純に足すことはできません。リストは8月に入ってからも更新されており、署名は今後も受け付けられます。

顔ぶれはこうです。提供者側にAnthropic、Black Forest Labs、Cohere、Google、Meta、Microsoft、Mistral、OpenAI、Aleph Alpha、Synthesia。導入者側にBulgari、Fastweb、Getty Images、Iberdrola、Lenovo、Lufthansa。ルーマニア国立銀行や欧州会計検査院、バルセロナ県議会といった公的機関も並びます。署名者の約半数は小規模で設立間もない企業だと欧州委員会は説明しており、大手だけの枠組みにはなっていません。

一方、本稿執筆時点のリストに、日本の主要なAI・IT企業の名前は見当たりません。未署名の理由は公表されておらず、EU市場への展開状況や署名の実務的な必要性は企業ごとに異なります。ただ、この行動規範は署名者に「所在地や監督当局を問わず適合を実証できる」道を用意した文書でもあります。将来EU向けに展開する、あるいはEU企業を顧客に持つ段階になったとき、先に署名して実装を進めた企業と、そうでない企業のあいだに、順守の説明コストの差が生まれる可能性はあります。

Adobe、Amazon、Apple、xAI、Stability AIといった名前も、現時点のリストにはありません。署名は任意であり、署名しないこと自体が違反になるわけでもありません。ただ欧州委員会は、非署名者はマーキングやラベルの実務について、より多くの情報要求やアクセス要求を受ける可能性があると述べています。「署名するか、自力で説明するか」の二択になったと言えます。

執行は三者に割れている

もう一点、実務で効いてくるのが執行主体の分担です。

AI事務局が担うのは、基盤となるGPAIモデルと同じ提供者、または同一の企業体に属する提供者が出しているAIシステムと、DSA上のVLOP／VLOSEを構成するか、そこに組み込まれたシステムです。ただしすべてが対象になるわけではありません。製品安全法制の対象製品に組み込まれるもの、重要インフラで使われるもの、司法運営に関わるもの、そして法執行機関・国境管理当局・金融機関が使う一定のシステムは、AI事務局の専属管轄から外れ、各国の当局が担当します。

自前のGPAIモデルを基盤に自社のAIシステムを提供している垂直統合型の事業者は、原則としてAI事務局が相手になります。ただし、いま挙げた除外カテゴリーに該当する場合は各国当局です。他社のGPAIモデルを使う一般的な事業者は、原則として加盟国当局の管轄ですが、VLOP／VLOSEを構成するか、そこに組み込まれたシステムには別の扱いがあります。自社のサービスがどこに当たるかで、話す相手が変わります。

留保しておきたいこと

実効性は加盟国次第だと、委員会自身が書いています。プレスリリースには、効果的な執行は各国が所管当局を適切に指定し、十分な資源を配分するかにかかっている、という一文があります。これは自賛の文書に入れる必要のない記述で、裏を返せば現時点で体制が整っていない国があることを示唆しています。高リスクAI規制の延期理由の一つが加盟国間の体制格差だったことを踏まえると、透明性義務についても同じ懸念が残ります。

行動規範の署名は、適合の保証ではありません。署名すれば第50条2項・4項・5項への適合を実証する手段として使えますが、これは法的な適合推定ではありません。9月には署名者が参加する2つのタスクフォースが立ち上がる予定で、実装の質が問われるのはこれからです。

制度全体が機能しているかは、まだ外から測れません。申立人自身は、照会番号や匿名の受信箱を通じて自分の案件を追えます。しかし、年間何件を受け付けて何件が調査に移り、平均どれくらいで処理されるのかを公表する方針は、現時点の案内ページに示されていません。個別案件の追跡と、制度の稼働状況の可視化は別の話です。

では、透明性義務そのものに違反した場合はどうなるのか。制裁金は最大1500万ユーロ、または全世界年間売上高の3%のいずれか高い方です。1ユーロ182円換算（2026年8月5日時点）で約27億円にあたります。EUの機関や組織が違反した場合は最大75万ユーロで、中小企業と小規模ミッドキャップには比例原則が適用されます。

禁止規定への違反はさらに重く、最大3500万ユーロ、または全世界年間売上高の7%のいずれか高い方。同じレートで約64億円です。ただし中小企業とスタートアップについては、金額と売上高比率のうち低い方が上限になります。先に挙げた汎用AIモデル提供者への制裁金も、1500万ユーロまたは3%で、円換算では約27億円です。

日本にとっての意味

日本には、EU AI Actのように事業者へリスク別の義務や適合性評価を課す包括的な規制はありません。2025年6月に一部施行され、9月に全面施行されたAI推進法は、理念と推進の枠組みが中心で、実務ではAI事業者ガイドラインなどのソフトローが大きな役割を担っています。

だからこそ、EUが今回そろえた「調べる権限」と「情報が集まる経路」の組み合わせは、日本の議論にとっても示唆的です。当局の職権調査だけに頼らず、利用者・従業員・取引先という現場の三方向からも情報が上がる設計を、制裁金の発動と同じ日に整えた。この二本立てが実際に機能するのか、それとも通報が滞留して形骸化するのかは、これから1年ほどで見えてくるはずです。

実務でひとつ安心できる線引きもあります。8月2日より前に生成され、すでに公開されていたディープフェイクについて、遡ってラベルを付ける義務はありません。欧州委員会は推奨するにとどめています。既存のコンテンツを大量に抱える事業者にとっては、対応の範囲を切り分けられる材料になります。

そして、非同意の性的コンテンツとCSAMを生成するAIへの新たな禁止は、2026年12月2日から適用されます。既存の生成AIシステムに対する機械可読マーキングの猶予期限も同じ12月2日です。8月2日で一区切りついたわけではなく、次の期日はもう4か月先に来ています。

欧州委員会のサイトには、AI生成コンテンツの透明性行動規範に署名した約190組織の一覧が公開されています。提供者向けと導入者向けで欄が分かれ、社名を追うと、生成AIの表示責任を誰が引き受けたのかが見えてきます。Anthropic、Google、Meta、Mistral、OpenAIが並ぶ一方、本稿執筆時点で日本の主要企業の名前はありません。未署名の理由は公表されておらず、EU市場への展開状況も企業ごとに異なります。

【関連記事】

【解説】EU AI Act発効からまもなく2年｜「AIを規制する」から「規制を実装する」へ
EU AI Actの2年間を時系列で整理し、Digital Omnibusによる延期と強化が同時に起きた理由を解説した一本。

【解説】AIのルールは誰が決めるのか｜EU AI Act・Pax Silica・WAICOと国連の間で
EU AI Act、Pax Silica、WAICO、国連の対話を並べ、AIのルールを誰が決めるのかを4つの力学から読み解いた記事。

FLUX 3公開、Black Forest Labsが動画生成の基盤をロボット行動予測へ拡張
FLUX 3の公開を機に、第50条2項の機械可読マーキングと第50条4項の開示義務の線引きを整理した記事。

【編集部後記】

気になったのは順番です。AI法の内部告発ツールは2025年11月24日から動いていました。ところが、AI法違反の通報を正面から対象にした第87条が適用されたのは、2026年8月2日です。製品安全や個人データに関わる通報は以前から指令の対象になりえたとはいえ、窓口を先に開け、法固有の保護を後から付けた形にはなりました。

まず受け皿を作ってしまう判断は、日本の相談窓口づくりにも通じます。では、その8か月あまりのあいだ、届いた声は誰がどう扱っていたのでしょうか。

【用語解説】

第50条（Article 50）
EU AI法の透明性義務を定めた条項。AIとの対話であることの通知、AI生成・改変コンテンツの機械可読なマーキング、ディープフェイクの開示などを求める。高リスクに分類されないAIにも広く及ぶ。ただし、AIとの対話であることが状況から明白な場合や、通常の編集補助にとどまる場合など、条文上の例外がある。2026年8月2日から適用。

第85条（Article 85）
AI法違反があると考える自然人・法人が、市場監視当局へ苦情を申し立てられる権利を定めた条項。申立ては市場監視活動において考慮されなければならない。

第87条（Article 87）
AI法違反の通報と通報者の保護について、内部告発者保護指令（Directive (EU) 2019/1937）を適用すると定めた条項。解雇や不利益取扱いといった報復から通報者を守る。ただしこの保護は同条の対象となる通報に関するものであり、第85条や第89条2項の申立てに自動的に及ぶわけではない。

第101条（Article 101）
汎用AIモデルの提供者に対する制裁金を定めた条項。最大1500万ユーロ、または前年度の全世界年間売上高の3%のいずれか高い方。第113条により、罰則を定める第12章のうちこの条文だけが2026年8月2日まで適用を先送りされていた。

GPAI（汎用AIモデル）
特定用途に限定されず幅広いタスクをこなし、多様な下流システムに組み込めるモデル。ChatGPTのようなサービスの土台にあたる部分を指す。

システミックリスク
GPAIのうち、大規模な被害をもたらしうる能力を持つものに紐づくリスク区分。該当するモデルの提供者は、第55条に基づきモデルの評価、リスクの評価と軽減、重大インシデントの報告、サイバーセキュリティーの確保を求められる。

機械可読なマーキング
AIが生成・改変したコンテンツに、機械が自動的に検出できる形で付す印。デジタル署名付きメタデータや不可視の電子透かしなどが用いられる。人間の目に見えるラベル表示とは別の仕組みである。

Digital Omnibus（デジタル・オムニバス）
EU AI法の適用時期などを調整した一括改正。Regulation (EU) 2026/1744として2026年7月24日にEU官報へ掲載され、掲載の3日後にあたる7月27日に発効した。通常の20日ではなく3日後の発効という異例の扱いは、8月2日の適用開始に間に合わせるためのものである。

VLOP／VLOSE
デジタルサービス法（DSA）が指定する超大規模オンラインプラットフォームおよび超大規模オンライン検索エンジン。これらを構成するか、これらに組み込まれたAIシステムは、AI事務局が執行を担当する。

CSAM
Child Sexual Abuse Materialの略。児童性的虐待コンテンツ。これを生成するAIシステムへの禁止規定は2026年12月2日から適用される。

【参考リンク】

AI Act – European Commission（外部）
欧州委員会によるEU AI法の公式解説ページ。リスク分類と適用スケジュール、実施状況の更新がまとまっており、制度の全体像をつかめる。

The enforcement framework of the AI Act（外部）
AI事務局、各国所管当局、欧州データ保護監察官の分担を整理した公式ページ。どの当局がどのシステムを担当するかを確認できる。

AI Act complaints tool – European Commission（外部）
第85条に基づく苦情申立ての公式窓口。対象範囲や提出方法、受理後に照会番号が発行され各国当局へ移送される流れまで説明されている。

AI Act Whistleblower Tool – European Commission（外部）
AI提供者と職務上つながる個人が匿名で通報できる窓口。2025年11月24日から稼働し、認証済みの暗号化で秘匿性を確保すると説明される。

Complaints channel for downstream providers using general-purpose AI models（外部）
他社のGPAIモデルを組み込む事業者が、第53条から第55条に関する違反を欧州委員会へ申し立てるための専用チャネル。匿名申立てはできない。

Strong backing for the Code of Practice on Transparency of AI-generated Content（外部）
透明性行動規範の署名組織リスト。提供者向けと導入者向けにセクションが分かれ、社名が随時更新される。9月発足のタスクフォースにも触れる。

Signing the Code of Practice on transparency of AI-generated content（外部）
署名の対象者、手続き、署名しない場合に何が起きるかをまとめた公式FAQ。非署名者への情報要求が増えうる点にも触れている。

Quick Facts: Transparency rules for AI systems（外部）
第50条の義務と例外、違反時の制裁金の水準、既存システムへの猶予期間を1ページに集約した欧州委員会の公式ファクトページ。

AI Act Scientific Panel – European Commission（外部）
独立専門家60人で構成される助言機関の公式ページ。第68条と施行規則(EU)2025/454を根拠とし、任期は24か月で更新できる。

AI Act Service Desk（外部）
AI法の条文を全文検索できる公式の情報提供窓口。条番号やリサイタル単位で原文を参照でき、実務向けのFAQも併設されている。

Regulation (EU) 2024/1689 – EUR-Lex（外部）
EU AI法の条文そのもの。適用日を定める第113条、制裁金の第99条と第101条、苦情申立ての第85条などを確認できる。