株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
ChatGPTに代表される生成AIの急速な普及を受け、各国政府はAIに関する法規制やガイドラインの整備を加速させています。2024年にEUが世界初の包括的AI規制法「EU AI法（EU AI Act）」を成立させ、2025年から段階的に施行が始まりました。日本の「AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）」は2025年5月28日に成立し、6月4日に公布・一部施行、9月1日に全面施行されました（成立時の内閣府会見、施行日の内閣府資料）。
本記事では、EU AI法の概要と適用スケジュール、日本のAI法整備の現状、そして企業が今から取り組むべき具体的な対応ポイントをわかりやすく解説します。
目次
EU AI法（EU AI Act）とは？
EU AI法は、2024年5月にEU理事会で採択され、2024年8月1日に発効した世界初の包括的なAI規制法です。正式名称は「Regulation on Artificial Intelligence（AI規制法）」であり、EU域内で利用されるAIシステム全般を対象とした横断的な規制枠組みです。
EU AI法の最大の特徴は「リスクベースアプローチ」を採用している点です。AIシステムが人々の権利や安全に与えるリスクの大きさに応じて、規制の厳しさを4段階に分類しています。規制の対象はEU域内の事業者だけでなく、EU市場にAIシステムを提供する域外企業（日本企業を含む）にも適用される「域外適用」があります。
違反した場合の制裁は非常に厳しく、内容に応じて750万ユーロから3,500万ユーロ、または全世界年間売上高の一定割合（最大7%）の制裁金が課される可能性があります。
EU AI法のリスク分類と規制内容
EU AI法は、AIシステムを以下の4つのリスクカテゴリに分類しています。
1. 受け入れられないリスク（禁止）
人の基本的権利を著しく侵害する可能性があるとして、法第5条の条件に該当する場合に禁止されるAIの利用行為です。以下は主な例で、各項目の要件や例外を確認する必要があります。2025年2月2日から適用が開始されました。
- 人の潜在意識を操作する認知的行動操作システム：意思決定能力を著しく損ない、本人や他者に重大な害を生じさせる、又はその可能性がある場合
- 脆弱なグループ（子供・高齢者等）を悪用するシステム：年齢・障害・社会的又は経済的状況の脆弱性を利用し、行動を著しく歪め、重大な害を生じさせる、又はその可能性がある場合
- 社会的スコアリング（信用スコア等）：公的機関に限らず、社会的行動等に基づく評価が、データ収集時と無関係な場面での不利益な扱い、又は不当・不釣り合いな不利益な扱いをもたらす場合
- リアルタイムの遠隔生体認証（公共空間での顔認識等）：法執行目的で公共空間に用いる場合は原則禁止。特定被害者・行方不明者の捜索、重大な差し迫った脅威等の防止、一定の犯罪の容疑者特定について、必要性・比例性・許可等の条件を満たす例外あり
2. 高リスク（厳格な規制）
重要インフラ、教育、雇用、医療、司法など、人の権利や安全に大きな影響を与える分野のAIシステムです。使用前の適合性評価、リスク管理システムの整備、高品質なデータ利用、透明性確保などが義務付けられます。
- 重要インフラの管理・運営
- 採用・人事管理システム
- 信用スコアリング・保険引受
- 医療診断支援システム
- 司法・法執行への利用
3. 限定リスク（透明性義務）
チャットボットやディープフェイク生成など、利用者が相手をAIと認識できない可能性があるシステムが対象です。AIであることを明示するなどの透明性確保が義務となります。
4. 最小リスク（規制対象外）
スパムフィルターやAIを活用したゲームなど、リスクが低いシステムには通常、高リスクAI固有の追加義務は課されません。ただし、AIリテラシーに関する取組や、用途に応じた透明性義務、個人情報保護などの他法令まで一律に対象外になるわけではありません。任意の行動規範に沿った対応も推奨されます。
EU AI法の施行スケジュール
EU AI法は段階的に施行が進んでいます。主要なマイルストーンは以下の通りです。
| 時期 | 内容 |
|---|---|
| 2024年8月1日 | EU AI法 発効 |
| 2025年2月2日 | 禁止AIの利用行為に関する規制 適用開始 |
| 2025年8月2日 | 汎用AIモデル（GPAI）に関する規制 適用開始 |
| 2026年8月2日 | 透明性義務等、大部分の規定 適用開始。高リスクAIの主要義務は、2026年改正により附属書IIIの区分が2027年12月2日、附属書Iの製品関連区分が2028年8月2日から適用 |
| 2027年8月2日 | 2025年8月2日より前に市場投入された汎用AIモデル（GPAI）の提供者の遵守期限（すべての既存AIシステムに共通する猶予期限ではない） |
2026年8月2日からは、欧州委員会の汎用AIモデルに関する執行権限と違反への制裁金規定が適用されます。日本企業がEU向けにAIシステムやサービスを提供している場合は、役割とリスク区分ごとの適用日を、欧州委員会の最新スケジュールと2026年改正反映後のAI法第111・113条で確認してください。
汎用AIモデル（GPAI）への義務
生成AIの中核となる大規模言語モデル（LLM）等は「汎用AIモデル（GPAI: General Purpose AI Model）」として2025年8月2日から規制対象となっています。ただし、同日より前に市場投入された汎用AIモデルの提供者の遵守期限は2027年8月2日です。GPAIプロバイダーには以下の義務が課されます。
- 技術文書の作成・維持：モデルの能力・限界・訓練内容に関する詳細な技術文書の整備
- 著作権対応方針：EU著作権法・知的財産権に関するコンプライアンスポリシーの策定
- 訓練データサマリーの開示：モデル学習に使用したコンテンツの概要の公開
- システミックリスクモデルへの追加義務：学習計算量が10²⁵ FLOPsを超える場合は高インパクト能力が推定され、欧州委員会の指定による分類もあります。システミックリスクに分類されるモデルの提供者には安全評価や重大事故の報告等の追加義務があります。ChatGPT等の個別モデルが該当するかは、モデルごとの能力・計算量・指定等により確認します
欧州委員会は2025年7月、GPAIプロバイダー向けのガイドラインと「行動規範（Code of Practice）」を公表しており、これらへの準拠が実務上の対応方針となっています。
日本のAI法整備：AI推進法とガイドライン
AI推進法（2025年全面施行）
日本では2025年6月4日に「人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法）」が公布・一部施行され、同年9月1日にAI戦略本部の設置規定を含めて全面施行されました。成立・公布・施行はそれぞれ別の時点です（内閣府の施行日説明）。
AI推進法は、AIの研究開発と活用の推進に関する基本理念や関係者の責務、国の施策を定める法律です。同法自体にEU AI法のような制裁金はありませんが、事業者の国等への施策協力などの責務も定めています。個人情報保護法、著作権法など、用途に応じて適用される既存法は別に確認します。
AI事業者ガイドライン（総務省・経済産業省）
総務省・経済産業省は、2026年3月31日にAI事業者ガイドライン第1.2版を公表しています。AI開発者・提供者・利用者という3類型に応じた取組を整理する指針で、AI推進法が定める国・地方公共団体・研究開発機関・事業者・国民の責務とは区別します。
AI事業者ガイドラインは、対象となるAIの用途とリスクに応じた取組を検討する資料です。法令上の義務とガイドラインの推奨事項を分け、自社の開発・提供・利用の役割に沿って確認してください。
著作権・個人情報保護
生成AIに特有の課題として、著作権法・個人情報保護法への対応も重要です。文化庁は生成AIと著作権の関係について継続的に指針を更新しており、生成AIの学習・出力に関する著作権上の考え方の明確化が進んでいます。個人情報保護委員会もAIによる個人データの利用について留意点を公表しています。入力時の利用目的・機械学習利用の確認については、個人情報保護委員会の生成AI注意喚起を参照してください。
EU AI法と日本のアプローチの違い
| 比較項目 | EU AI法 | 日本（AI推進法） |
|---|---|---|
| 性格 | 規制法（ハードロー） | 研究開発・活用を推進する法律 |
| 罰則 | あり（最大3,500万ユーロ等） | 同法自体の罰則なし。法定の責務と別のガイドラインを区別 |
| アプローチ | リスクベース・義務的対応 | 推進優先・自主的ガバナンス |
| 対象 | EU市場のAI提供者、EU域内のデプロイヤー、出力がEUで使用される域外の提供者・デプロイヤー等（域外適用あり） | 国内のAI研究開発・利活用事業者 |
| 施行状況 | 2024年発効・段階的施行中 | 2025年全面施行 |
日本は「イノベーション推進」を優先したアプローチを取っており、EUのような厳格な事前規制ではなく、ガイドラインと自主的なガバナンスによって適切なAI利用を促す方針です。ただし、EU市場向けのAIシステム・モデル提供やEU域内での出力使用等、EU AI法の適用条件に該当する日本企業には同法が適用されるため、グローバルに事業を展開する企業は双方への対応が必要です。
米国・英国・中国の規制動向
米国
米国の2023年10月の大統領令14110は、その後撤回されています。2025年1月23日の大統領令は、撤回された旧令に基づく措置の見直しとAI行動計画の策定を指示しました。大統領令、連邦機関の規則、州法は別の制度であり、対象となる分野・州・施行日を確認します。
英国
英国はEUとは異なり、既存の規制機関（競争・市場庁、情報コミッショナー室等）がそれぞれの権限範囲でAIを監督する「原則ベース・分野横断型」のアプローチを採用しています。2025年2月14日の政府発表で、AI Safety InstituteはAI Security Instituteへ改称されています。研究機関の評価活動と法令上の義務は分けて確認します。
中国
中国では、生成AIサービスに関する2023年の管理暫定弁法に加え、AI生成・合成コンテンツの標識弁法が2025年9月1日から施行されています。対象サービスの生成・配信やコンテンツの種類に応じ、利用者向けの表示とメタデータ等による標識の要件を確認します。
企業の対応ポイント
EU AI法・日本のAI推進法・各国規制の動向を踏まえ、企業が今すぐ取り組むべき対応ポイントを解説します。
1. AIインベントリの作成（AI利用状況の棚卸し）
自社でどのようなAIシステムを開発・利用しているかを洗い出し、EU AI法のリスク分類（禁止・高リスク・限定リスク・最小リスク）に当てはめる作業が第一歩です。EU向けサービスを提供している場合は特に優先度を高める必要があります。
2. AIガバナンス体制の整備
AI利用に関する社内ポリシー・倫理規程の策定、リスク管理プロセスの構築が不可欠です。AI戦略本部やAI推進委員会のような専任組織を設け、責任者を明確にすることが重要です。総務省・経産省のAI事業者ガイドラインは国内企業向けの実践的なフレームワークとして参考になります。
3. リスクアセスメントの実施
高リスクAIに分類されるシステムを開発・利用する場合、適合性評価やリスクアセスメントの実施が必要です。リスクの高い用途（採用・信用評価・医療支援等）では特に慎重な対応が求められます。
4. 透明性・説明責任の確保
AIシステムを利用したサービスでは、ユーザーに対してAIを使用していることを明示することが基本です。チャットボットやAI生成コンテンツには「AI生成」である旨を表示する透明性確保が、EU AI法でも日本のガイドラインでも求められています。
5. 著作権・個人情報対応
生成AIを業務に活用する際は、著作権侵害リスク（AIの学習データ・出力結果の著作権）と個人情報保護法上のリスク（個人情報を含むプロンプト入力等）を事前に整理しておく必要があります。社内向けの利用ルールを整備し、従業員教育を行うことが重要です。
6. サプライチェーン（ベンダー）管理
OpenAIやGoogleなど外部AIサービスのAPIを利用している企業は、そのサービスがEU AI法の要件を満たしているか確認することも重要です。EU AI法はAIシステムの「デプロイヤー（利用者）」にも一定の義務を課しているため、利用するAIサービスのコンプライアンス状況を把握しておく必要があります。
7. 継続的なモニタリング
AI規制は急速に変化しており、EU AI法の施行ガイドライン更新や日本のAI推進法に基づく詳細規定の策定など、今後も新たな動向が続きます。法務・IT・事業部門が連携して定期的に規制動向をモニタリングする体制を整えることが不可欠です。
生成AI活用・AI規制対応のご相談はrenueへ
相談前には、対象のAIシステム・モデルと用途、自社の開発・提供・利用の役割、提供先と出力が利用される国・地域、扱う個人データ、現在の社内ルール・審査体制を整理してください。
無料相談・お問い合わせはこちらよくある質問（FAQ）
Q1. EU AI法は日本企業にも適用されますか？
はい、EU AI法には「域外適用」があります。日本企業にも域外適用があり、EU市場へのAIシステム・汎用AIモデルの提供者、EU域内のデプロイヤー、又は域外の提供者・デプロイヤーでもAI出力がEU域内で使用される場合等が対象になります。グローバルにサービスを展開している企業は、EU AI法への対応が必要かどうかを早急に確認することが重要です。
Q2. EU AI法に違反した場合、どのような罰則がありますか？
EU AI法第99条は、禁止行為違反で最大3,500万ユーロまたは全世界年間売上高7%、一定の義務違反で最大1,500万ユーロまたは3%、不正確な情報提供等で最大750万ユーロまたは1%を定めています。企業には原則として高い方を用い、中小企業等には特例があります。GPAI提供者の義務違反は第101条の別の対象で、最大1,500万ユーロまたは3%です。役割、違反類型、適用日を合わせて確認してください。
Q3. 日本のAI推進法と、EUのAI法は何が違いますか？
EU AI法は厳格な「規制法（ハードロー）」であり、義務違反には高額の制裁金が科されます。一方、日本のAI推進法はAIの研究開発・利活用を推進するための「基本法」的な性格を持ち、企業への直接的な罰則規定はありません。日本は自主的なガバナンスとガイドラインを通じた対応を基本としており、イノベーション推進と安全性確保のバランスを重視したアプローチです。
Q4. 生成AIを社内業務に使う場合、どのような点に注意すべきですか？
主に4つの点に注意が必要です。①個人情報・機密情報をAIに入力しないルール作り、②AIが生成したコンテンツの著作権リスク（出力を無断でそのまま使用しない）、③AI出力の事実確認（ハルシネーション対策）、④業務利用に適したAIツールの選定と利用規約の確認です。社内向けの生成AI利用ガイドラインを整備し、従業員に周知することが重要です。
Q5. 汎用AIモデル（GPAI）の規制は、OpenAIやGoogleのAPIを利用する企業にも影響しますか？
GPAI規制の主な義務はOpenAIやGoogleなどのAIモデルプロバイダー（開発者）に課されます。ただし、これらのサービスをAPIで利用してAIシステムを構築・提供する企業も、自社名義で開発・市場提供等を行えばプロバイダー、自らの権限下で業務利用すればデプロイヤーに該当し得ます。役割とシステムのリスク分類・用途に応じて、透明性確保・リスク管理等の義務の有無を判断します。利用するAIサービスがEU AI法の要件を満たしているか確認した上で、自社サービスに組み込む際の追加対応が必要かどうかを検討してください。
Q6. AI規制対応で、まず最初に何をすればよいですか？
まず「自社のAI利用状況の棚卸し（AIインベントリ作成）」から始めることをおすすめします。社内外でどのようなAIシステムを開発・利用しているかをリスト化し、EU AI法のリスク分類に照らし合わせます。次に、法務・情報システム・事業部門が連携してAIガバナンスの担当体制を構築し、社内AI利用ポリシーを策定する流れが一般的な進め方です。
