EU AI Act 完全ガイド—リスク分類の4段階とシステム開発者に課される義務

2026年8月2日、EU AI Act の大半の規定（High-Risk AI の義務を含む）が適用開始となる予定だった（2026年3月の記事公開時点。その後の改正で High-Risk 義務は延期された。冒頭の追記参照）。「日本企業だから関係ない」では済まない。EU 市場向けに AI を提供する場合、また EU 域外の事業者でも AI の出力が EU 域内で利用される場合、適用対象となる。本記事ではリスクベースの 4 段階分類、High-Risk AI に該当するか否かの判定フロー、開発者・運用者に課される具体的な義務、対応に必要な文書テンプレート、そして日本企業が取るべき準備のタイムラインまでを整理する。

注意：本記事は規制動向の整理であり、特定案件の合法性判断や法的助言ではありません。具体的な適用判断は弁護士等の専門家にご相談ください。AITB は技術・ガバナンス側の対応範囲整理を支援します。

2026年10月1日追記（適用日の変更）：本記事は 2026年3月18日時点の情報に基づく。その後、AI Act を改正する Regulation (EU) 2026/1744（Digital Omnibus on AI）が 2026年7月24日に EU 官報に掲載され、7月27日に発効した。これにより、High-Risk AI の分類・要件・事業者義務（第 III 章第 1〜3 節）の適用開始日は、Annex III 型が 2027年12月2日、Annex I（製品組み込み）型が 2028年8月2日 に延期された。あわせて、本人の同意なく実在の人物の性的画像等を生成する AI と、児童性的虐待コンテンツを生成する AI の禁止（第5条1項(ba)(bb)）が追加され 2026年12月2日から適用されるほか、2026年8月2日より前に市場投入された生成 AI システムの出力表示義務（第50条2項）には 2026年12月2日までの猶予が設けられた。本文中の日付は改正後の内容に合わせて修正している。

1. なぜ EU AI Act が日本企業にも関わるのか

EU AI Act は GDPR と同様の 域外適用（extraterritorial application） を持つ。次のいずれかに該当する日本企業は対象になる：

• EU 域内に AI システム・モデルを提供している（API・SaaS・組み込み）
• AI システムの出力が EU 域内で利用されることを意図している
• EU 域内の拠点（子会社・支店等）で AI システムを利用している（Deployer として）

なお、GDPR と異なり、適用の基準は「EU 域内の個人（データ主体）のデータを処理しているか」ではなく、AI を EU 市場に提供するか・AI の出力が EU 域内で利用されるか・EU 域内で AI を利用するか、である（第2条1項）。EU に拠点を持たない企業でも、グローバル展開している場合は該当しうる。

2. リスクベースの 4 段階分類

補足として、感情認識システムは職場・教育現場での利用が（医療・安全目的を除き）「禁止」に該当し、それ以外の用途でも High-Risk ＋透明性義務の対象となるため、Limited Risk の代表例には含めていない。また GPAI（汎用 AI モデル）への義務（後述）は 2025 年 8 月 2 日からすでに適用されている。

最大の論点は High-Risk に該当するか否か。罰則・対応コストが桁違いに変わる。

3. High-Risk 該当性の判定フロー

簡略化したディシジョンツリー：

Q1. 自社 AI システムは Annex III に列挙された分野で使われるか？
    （生体認証 / 重要インフラ / 教育・職業訓練 / 雇用・労務管理 /
     必須サービスへのアクセス / 法執行 / 移民・難民管理 /
     司法・民主プロセス）
    │
    ├─ いいえ → High-Risk ではない可能性が高い（個別検証は必要）
    │
    └─ はい → Q2 へ
              │
              ▼
       Q2. その用途で「重大な影響」を持つか？
           （個人の権利・安全・健康・基本的人権に影響）
              │
              ├─ いいえ → 限定的免除の可能性あり
              │
              └─ はい → ★ High-Risk 該当 ★
                       │
                       ▼
               Q3. 自社の役割は何か？
                   - Provider（提供者）：技術文書 + 適合性評価 + CE マーキング
                   - Deployer（利用者）：影響評価 + 透明性 + ログ管理
                   - Importer / Distributor：軽量だが文書確認義務あり

なお、上記は Annex III（用途ベース）の判定フローである。これとは別に、機械・医療機器・玩具など EU の製品安全規制（Annex I）の対象製品に安全コンポーネントとして AI を組み込む場合も High-Risk に該当する経路があるため、ハードウェア製品を扱う企業は併せて確認が必要だ。

Annex III の要注意分野（日本企業に多い）

• 雇用・労務管理：採用スクリーニング AI、勤怠評価 AI、業績評価 AI
• 必須サービスへのアクセス：与信判定、生命保険・健康保険の査定、公的給付の判定支援
• 教育・職業訓練：受験者評価、学習成果評価
• 重要インフラ：重要デジタルインフラ、道路交通、水・ガス・暖房・電気の供給の管理・運用における安全コンポーネント

「社内採用支援に LLM を使っているだけ」も雇用領域として該当しうる。

4. High-Risk AI に課される義務（Provider 視点）

Deployer（利用者）にも義務がある

High-Risk AI を利用する側にも、次の義務が課される：

• 提供者の指示書に従った運用
• 基本権影響評価（FRIA：Fundamental Rights Impact Assessment）の実施（公的機関、公共サービスを提供する民間事業者、与信・生命/健康保険査定の Deployer 等が対象）
• 入力データの妥当性確認
• 自動生成ログの保管
• 重大インシデント発生時の提供者・規制当局への通知

「ベンダー任せ」では済まない。利用側の責任分担を明文化する必要がある。

5. GPAI（汎用 AI モデル）への規制

Llama・GPT・Claude・Gemini 等の GPAI モデル提供者には、別枠で次の義務がある（2025 年 8 月 2 日から適用済み）：

• 学習データの透明性：使用した学習データの十分詳細なサマリー公開
• 著作権ポリシー開示：EU 著作権法への準拠方針の文書化
• モデルカード：能力・限界・推奨/非推奨用途の文書化
• セキュリティ対策：システミック・リスクモデル（学習計算量 10^25 FLOPs 超で推定）には追加義務

GPAI を組み込んでサービス提供する事業者にも波及する：自社が High-Risk AI の Provider となる場合は、提供元から受け取った情報（第53条1項(b)）も踏まえ、Deployer 向けの使用説明書（第13条）を整備する必要がある。

6. 罰則

違反時の制裁金は GDPR 級 に厳しい：

数字が物語るとおり、リスクマネジメントの観点でも無視できない。

7. 必要な文書テンプレート（最低限）

High-Risk に該当する場合、最低でも次の文書セットを整備する：

docs/eu-ai-act/
├─ 01_system-description.md       # システム概要（用途・アーキテクチャ）
├─ 02_risk-management-plan.md     # リスク評価・緩和措置の継続計画
├─ 03_data-governance.md          # データセット説明・バイアス分析
├─ 04_technical-documentation.md  # Annex IV 準拠の技術文書
├─ 05_instructions-for-use.md     # Deployer 向け使用指示書
├─ 06_human-oversight-design.md   # 人間監視機構の設計
├─ 07_logging-design.md           # 自動ログの仕様・保管方針
├─ 08_conformity-assessment.md    # 適合性評価の結果
├─ 09_post-market-monitoring.md   # 市販後監視計画
└─ 10_eu-declaration-of-conformity.md  # 適合宣言

GitHub などでバージョン管理し、規制当局・パートナーに対する開示を即時にできる体制が望ましい。

8. 準備タイムライン（記事公開時点の想定）

以下は記事公開時点（2026年3月）に、当初の High-Risk 義務適用日（2026年8月）から逆算した計画である。改正により適用日は延期されたため、延期後の日付から逆算して読み替えてほしい。

[当初の適用日まで残り約 4 ヶ月（2026年3月時点）]
Week 1-2:   Annex III 該当性の自社プロダクト棚卸し
Week 3-4:   High-Risk 該当製品の特定、Provider/Deployer 役割整理
Month 2:    技術文書の骨子作成、データガバナンス文書、ログ仕様策定
Month 3:    人間監視機構の実装レビュー、適合性評価手順の決定
Month 4:    内部監査、CE マーキング準備、Deployer 向け文書配布
[2026/08]   当初の High-Risk 義務適用日（改正後は 2027/12/02、Annex I 型は 2028/08/02）

「8 月から準備」では完全に間に合わない。今すぐ Annex III 該当性の確認から始めるべき段階にある。

9. 日本企業の準備チェックリスト

• 自社 AI 利用が High-Risk 該当か（Annex III 分野での使用有無）を判定済みか
• EU 市場向けの提供有無、域外適用該当性を確認済みか
• Provider / Deployer / Importer のいずれの立場かを整理したか
• 技術文書（Annex IV 項目）の作成体制を構築したか
• 自動ログの生成・保管（最低 6 ヶ月）が設計されているか
• 人間監視機構（停止・上書き）が実装されているか
• 適合性評価フロー（第三者 or 自己）を決定したか
• GPAI を内蔵するサービスについて、提供者からの透明性情報を入手しているか
• EU 域内の認定代理人（authorised representative：EU 域外の High-Risk AI 提供者に必要、第22条）の任命を検討したか
• 重大インシデント発生時の規制当局報告フローを準備したか

10. 他規制との接続

EU AI Act は単独で動くものではなく、次の規制群と連携運用が想定される：

• GDPR：個人データの処理全般に加え、もっぱら自動化された処理による法的効果等を伴う決定の対象とされない権利（人間の介入を求め、決定に異議を述べる権利を含む。第22条）
• NIS2：Annex I・II のセクターの必須・重要事業体（essential / important entities）に該当する場合のサイバーセキュリティリスク管理措置（第21条）とインシデント報告義務（第23条）
• DSA / DMA：DSA はオンラインプラットフォーム等の仲介サービスの義務、DMA はゲートキーパーに指定された事業者のコアプラットフォームサービスに対する義務
• NIST AI RMF：任意利用（voluntary use）の枠組みだが、EU AI Act 対応の実務でも参考にできる
• ISO/IEC 42001：AI マネジメントシステムの国際規格。AI Act 上の適合推定は官報で参照された整合規格への適合によって生じる（第40条）ため、認証取得がそのまま適合性評価の根拠になるわけではないが、品質マネジメントシステム（第17条）整備の土台として活用できる

これらをマッピングしたガバナンスフレームワークを内製するのが、長期的には最も効率的。

個別案件の判定・準備支援、社内体制構築のご相談は 無料相談 よりお問い合わせください。AITB は法的判断には踏み込みませんが、技術・ガバナンス側の対応範囲整理を承ります。