8月5日、Information Ageが「What the EU AI Act means for your organisation」と題した記事を公開した。2026年8月2日に完全施行されたEU AI Actは、「EU域内の企業だけが対象」という誤解が根強いが、実態はEUのユーザーにサービスを提供するすべての組織に適用される。チャットボット・画像生成・音声合成など、AIを使った製品・コンテンツをEU向けに提供している日本企業も例外ではない。何をすべきか、何が問題になるか——実務担当者が即座に動けるよう、同記事の内容を整理する。
まず「自分たちが対象か」を確認せよ
EUのユーザーにモデルの出力が届いていれば、適用範囲内とみなされる——法律事務所A&O ShearmanのパートナーPeter Van Dyckはそう明言している。拠点がEU外であっても関係ない。
自社が規制対象かどうかを確認するには、EU公式のEU AI Act Compliance Checkerを使うのが早道だ。
Article 50：AI生成コンテンツの表示義務と制裁
記事が「最も直近の実務影響」として強調するのがArticle 50だ。すでに施行済みであり、猶予期間を除けば今すぐ対応が必要な条項である。
具体的な義務は以下の通りだ：
- AIが生成した画像・音声・テキストで「本物らしく見えるもの」にはラベル表示が必須
- チャットボットと対話していることをユーザーに知らせなければならない
- メディアコンテンツには機械可読なウォーターマークを付与する必要がある（既存のAIシステムは2026年12月2日まで猶予あり）
- 人間の編集監督を経ていない公共の利益に関するテキストにはAIラベルが必要
Van Dyckは「最も直近の義務は、AI生成コンテンツ（テキスト・画像・音声・動画）すべてにラベルを付けることだ」と述べており、対応の優先順位は明確だ。
Article 50違反を含むGPAIモデル関連の違反に対する制裁は、最大1,500万ユーロ（約25億円）または全世界売上高の3%のいずれか高い方が上限とされている。なお、EU AI Actでは違反の種別によって制裁上限が異なり、高リスクAIシステムに関する違反（例：Article 13〜17等）では**最大3,000万ユーロまたは売上高の6%**と、より高い上限が設定されている点にも注意が必要だ。
汎用AI（GPAI）モデルへの要件が広範に影響する
エンジニアにとって特に重要なのがGeneral Purpose AI（GPAI）モデルへの規制だ。ChatGPTやGeminiのような大規模データで学習した汎用モデルをAPIとして組み込んでいるサービスも対象となる。リリース前の研究・開発・プロトタイピング段階は適用外だが、市場提供後は以下の義務が生じる：
- 学習・テストプロセスや評価結果を含む技術文書の作成
- 自社モデルをダウンストリーム（下流）プロバイダーが統合できるよう、できること・できないことを明示した文書の提供
- 著作権指令（Copyright Directive）を尊重するポリシーの策定
- 学習データの内容に関する詳細サマリーの公開
「ダウンストリームプロバイダー」とは、GPAIモデルを自社サービスに組み込む事業者のことだ。外部のAI APIを使って製品を作っている開発者も、このチェーンの中に位置する。
何が禁止されているか
Actが明示的に禁止するAIシステムの用途は以下の通りだ：
- サブリミナル・操作的・欺瞞的な手法で人の行動を歪め、「重大な損害」を与える行為
- 年齢・障害・社会経済的状況の脆弱性を悪用して行動を歪める行為
- 人種・政治的意見・宗教・性的指向などのセンシティブな属性を推測する生体認証カテゴリ化システム（合法的に取得したデータセットのフィルタリングや法執行目的の例外あり）
- ソーシャルスコアリング（社会的行動や人格特性で個人を評価・分類し、不利な扱いをする）
- 犯罪リスクをプロファイルや人格特性のみで予測すること
- インターネットやCCTVから無差別に顔画像を収集して顔認識データベースを構築する行為
- 職場・教育機関での感情推測（医療・安全目的を除く）
- 法執行目的での公共空間におけるリアルタイム生体認証識別
専門家が語る「今すぐやるべきこと」
WiproのグローバルCPO・AIガバナンスオフィサーIvana Bartoletti氏はより踏み込んだ指摘をしている：
「これを書類仕事として扱うのをやめ、設計の問題として扱い始めるべきだ。AIシステムとコンテンツのワークフローをマッピングし、ディープフェイクへの明確な開示と機械可読マーキングを組み込み、実質的なアカウンタビリティを持つレビュープロセスを構築すること。ガバナンス・バイ・デザインが、イノベーションをスケーラブルで持続可能なものにする。」
CommvaultのフィールドCTOであるMark Molyneux氏はエンジニア・CISOに向けて具体的な指針を示した：
「すべてのAIエージェントは特権を持つデジタルアイデンティティとして扱うべきだ。AIエージェントが何にアクセスできるかを継続的に見直し、信頼は継続的に検証しなければならない。」
施行の仕組み
Actの執行機関は欧州AI Officeだ。GPAIモデルプロバイダーのコンプライアンス監視を担い、必要に応じてモデルの立入検査も行う。ダウンストリームプロバイダーはアップストリームプロバイダーの違反についてAI Officeに苦情を申し立てることができる。
詳細はWhat the EU AI Act means for your organisationを参照していただきたい。
