EU AI法2026：企業のAI自動化コンプライアンス確認表

判断の要約： 2026年8月2日以降の実務ガイド。役割、リスク、透明性、人の監督、ベンダー管理、安全なパイロットを確認します。

· · 7 分で読了

結論：ツール名ではなく用途を分類する

EU AI 法への対応で最初に確認するのは、購入したモデルの名前ではなく、システムの用途と自社の役割です。同じチャットツールでも、文章の下書きだけなら影響は小さく、顧客に代わって判断したり、機微な業務に接続したりすれば、リスクが高くなる場合があります。使用目的、影響を受ける人、使用するデータ、自動実行する操作、人が介入する箇所を記録してください。

本稿は法律相談ではありません。適用される義務は、国、業界、システムのリスク分類、提供者か導入者かという役割によって異なります。取り消し可能で、効果を測定でき、人が承認するパイロットから始め、判断の記録を残してください。重要な判断の前には、EU の最新の公式文書と専門家の見解を確認してください。

2026年8月2日に何が変わったか

欧州委員会によると、EU AI Office（欧州 AI オフィス）と各国当局が特定の規定の執行を開始しました。特定の対話型AIや合成コンテンツには第50条の透明性要件も適用され、AIとの対話の通知や、特定のディープフェイクや生成コンテンツへの表示が必要な場合があります。高リスクシステムの日程は用途により後になります。

用途ごとに目的、役割、市場、データ、対象者、出力、適用日を記録し、調達や法的判断の前に公式日程を再確認します。

役割マップ

システムを開発し、自社の名前で市場に提供する場合は、提供者（provider）に該当する可能性があります。従業員や顧客のために利用する場合は、導入者（deployer）に該当する可能性があります。汎用 AI モデルを自社製品に組み込む場合は、バリューチェーンの下流の提供者（downstream provider）となることもあります。同じプロジェクトで複数の役割を担う場合もあります。契約上の呼び名だけでなく、誰が目的を決め、モデルを変更し、データを選び、利用者への責任を負うのか、実際の管理状況を確認してください。

用途ごとに、業務責任者、技術責任者、ベンダーとモデルのバージョン、目的、入出力データ、自動実行する操作、人の承認箇所、利用者への通知、保存期間、エラー時の停止方法、最終確認日を記録します。ベンダーが変わったときや、モデルに新たな権限を与えたときは、再評価してください。

4つのリスク区分

一、禁止行為の可能性があれば停止して専門確認。二、雇用、信用、教育、重要インフラ、必須サービスなら高リスク評価。三、チャットボットや合成メディアなら透明性を確認。四、社内の低影響ツールでもデータ、安全性、精度、人の監督を維持します。

接続先、取り消し可能性、人数、個人データ、誤りの損失、介入時間を合わせて評価します。不明なら自動実行を止め、提案モードにします。

第50条の透明性チェック

利用者が AI システムと直接やり取りする場合は、必要な通知を最初のやり取りの時点で、明確で理解しやすく、誰もが利用できる形で示します。通知をプライバシーポリシーの中だけに置かず、相手が人なのか AI なのかを利用者が理解できるタイミングで表示してください。画像、音声、動画、公共の利益に関する文章を生成するフローでは、可視ラベルや機械可読の印が必要かを、役割と例外に照らして確認します。

通知の言語が適切か、スクリーンリーダーで読めるか、出力をエクスポートした後も印が残るか、人のサポートへ切り替えられるかを確認してください。どのバージョンでどの通知を表示したか、ログで証明できることも確認します。2026年8月2日より前に市場に提供したシステムには、限定的な移行措置が適用される場合があります。適用を決めつけず、第50条の公式ガイダンスで確認してください。

技術・運用コントロール

NIST AI RMFを、統治、状況把握、測定、管理の循環にします。開始前に成功、許容誤差、停止条件を定義し、欠落文書、矛盾指示、別言語、不正データ要求、障害を試験します。

AIエージェントにはOWASPの考え方を適用します。必要機能のみ、初期は読取専用、送信・支払・削除は人が承認、秘密はモデル外、全動作を記録。プロンプトインジェクション（不正な指示の埋め込み）、漏えい、誤出力、ベンダー障害の復旧も準備します。

30日実装計画

1〜5日目：AI の利用状況を一覧化し、用途ごとに業務責任者を割り当てます。6〜10日目：役割とリスクを一次評価し、不明な点や影響の大きい用途は、法務、セキュリティ、担当部門に確認します。11〜15日目：利用者への通知、人への引き継ぎ、アクセス権限、データの保存、ベンダーとの契約条件を整えます。16〜23日目：通常ケースと異常ケースのテストを行います。24〜30日目：限定的なパイロットを開始し、エラーと人の介入を測定して、継続するか中止するかを記録します。

この日程は、法令への適合を証明するものではありません。必要な証拠がそろわない用途を本番に移さないことは、適切な判断です。取り消し可能で、必要なデータにアクセスでき、頻繁に発生し、誤りの損失が限定され、責任を持つ人が明確な業務を選んでください。業務の選び方はプロセスマッピング、費用はRPA対AIも参照してください。

ベンダー・パイロット判断表

ベンダーにはデモだけでなく、モデルと再委託先の一覧、データの保管場所と保存期間、顧客データの学習利用、セキュリティ報告書、事故の通知期限、バージョン変更方針、出力への表示対応、ログへのアクセス、データ移行、契約終了の方法を文書で求めます。「AI Act 準拠」という表示だけでは証拠になりません。どの役割と義務に対して、どの管理策が用意されているかを確認してください。

想定例として、中小企業が受信メールを分類し、返信案を作成するケースを考えます。最初は AI の役割を分類と下書きに限定し、送信は担当者が承認します。機微な内容は人に引き継ぎ、AI には CRM のデータ削除や支払いの権限を与えません。速度だけでなく、誤った振り分け、人による修正率、データに関する事故、復旧時間を測定します。これは仮定の例であり、顧客の実績ではありません。

方法論

実現性、費用、リスク、測定可能性の観点で主張を評価します。例示計算は仮定であり、法務・安全・投資判断では一次資料の確認が必要です。

出典注記

本文のリンクと記載された規制・技術文書が出発点です。未検証の顧客成果は公開しません。

最終更新：

よくある質問

すべてのAIシステムが高リスクですか？

いいえ。目的、分野、実際の機能によります。低影響でも透明性、個人情報、安全、契約上の義務はあり得ます。

チャットボットはAIだと表示すべきですか？

第50条は特定の対話型システムに通知を求めます。役割、用途、例外を最新の公式ガイドで確認します。

EU域外企業にも関係しますか？

EU市場への提供、EUの人を対象とする利用、価値連鎖の役割は適用範囲の分析を要する場合があります。

どの文書を残しますか？

目的、責任者、役割/リスク、データフロー、人の監督、試験、版/ベンダー、通知、事故、変更履歴です。

評価完了前に試験できますか？

取り消し可能で限定的、人が承認する試験は可能な場合があります。不明なまま重大な本番動作を有効にしません。