改正内容について

欧州連合（EU）のAIに関するデジタル・オムニバス法案は、もはや単なる提案ではありません。EU AI Actを改正する規則 (EU) 2026/1744は、2026年7月8日に欧州議会および理事会によって採択され、7月24日に官報に掲載、そしてAI規則の本来の一般適用日である2026年8月2日の3日前である2026年7月27日に発効しました。欧州委員会は同週内に、発効を確認しました。ヘンナ・ヴィルックネン執行副委員長は、この法案パッケージについて、企業に「安全性に関する基準を下げることなく」、「よりシンプルでイノベーションを促進するルール」を提供するものであると述べています。

企業でAIガバナンスを担当するチームにとって、今回の決定は、2025年11月にオムニバス法案が最初に提案されて以来、計画に影響を与えていた不確実性が払拭されたという点で重要です。先週までは、この延期期間を不測の事態に備えるためのバッファーとして扱い、当初の期限である2026年8月に向けて構築を続けるのが賢明なアドバイスでした。しかし、この延期は期限が確定した正式な法律として確定したため、そのアドバイスは変わりました。

高リスクAIシステムに関する新たな期限

核心となる変更点は、時期についてです。AI規則において、高リスクAIシステムは2つのグループに分類されており、それぞれに対して従来よりも後ろ倒しされた、異なる新たな期限が適用されます。

• 附属書IIIに基づくスタンドアロン型高リスクシステム（採用および従業者管理、与信スコアリングおよび信用調査、バイオメトリック識別および分類、教育および職業訓練、不可欠なサービスへのアクセス、法執行などの分野を網羅）は、高リスク要件を満たす期限が 2027年12月2日 となりました。これは、当初の予定から約16カ月の猶予となります。

• 規制対象製品に組み込まれたAIシステム（附属書Iに基づくシステム。例えば、機械、医療機器、または航空システムの安全構成部品など）は、期限が 2028年8月2日 となり、12カ月の猶予となります。

これらはいずれも、固定の最終期限（バックストップ）と位置付けられています。つまり、AIプロバイダーが当初依拠することになっていた調和技術規格の策定が完了しているかどうかにかかわらず、これらの期限が適用されます。この規格の策定スケジュールとの切り離しは、オムニバス法案における技術的でありながら極めて大きな影響を持つ修正の1つでした。多くのプロバイダーや導入者が実用的ではないと指摘していた依存関係が排除されたためです。

AIが生成する親密な画像に対する新たな禁止事項

オムニバス法案による変更は、期限の延期だけに留まりません。AI規則第5条に新たに2つの禁止行為が追加されました。児童性的虐待コンテンツを生成するように設計された、または生成することが合理的に予見可能なAIシステム、およびいわゆる「画像脱衣（ヌード化）」ツールを含む、特定可能な人物の同意のない親密な画像を生成するAIシステムの上市または使用です。この禁止規定は 2026年12月2日 から適用されます。

その適用範囲は、専用のヌード画像生成アプリに留まりません。実効性のある保護措置がない場合に、そのような出力が合理的に予見可能であるならば、汎用生成AIのプロバイダーもその範囲に含まれる可能性があります。合理的かつ適切、そして実効性のある予防措置を講じているプロバイダーに対してはセーフハーバー（免責条項）が適用されるため、これは単なる法的問題ではなく、画像や動画の生成ツールを導入または調達しているすべての組織が取り組むべき、設計および文書化に関する実質的な課題です。この禁止事項に違反した場合の罰則は最高水準に設定されており、最大3,500万ユーロ、または全世界の年間売上高の7%のいずれか高い方が科されます。

その他の注目すべき簡素化措置

その他、いくつかの小規模な変更がこのパッケージを補完しています。欧州委員会は、プロバイダーに対し、市販後監視計画に義務付けられていたテンプレートの使用要求を撤廃しました。規制サンドボックス制度が拡大され、新しいEUレベルのサンドボックスの設置や、一部の附属書I高リスクシステムへの適用が含まれるようになりました。従来は中小企業（SME）に限定されていた簡素化措置が、小規模中堅企業（Small Mid-caps）にも拡大されます。また、AIオフィスの監督範囲が広がり、モデルプロバイダーと同一の企業グループ内における汎用AIモデルを基盤としたAIシステム、およびデジタルサービス法の下での「超大規模オンラインプラットフォーム（VLOP）」または「超大規模検索エンジン（VLOSE）」に組み込まれた、またはこれらを構成するAIシステムにまで適用されることになりました。

変更されなかった内容について

今回のニュースについて最もよくある誤解は、「AI規則が全面的に延期された」というものです。実際には延期されていません。いくつかの義務は一切変更されておらず、当初予定されていた日にそのまま適用されます。

第50条の透明性ルールは、依然として2026年8月2日から適用

AI規則第50条に基づく透明性の義務は、オムニバス法案の延期の対象外であり、本規則の発効から3日後の2026年8月2日に発効します。これにより、今週末から以下が適用されます。

• チャットボットや人間とのやり取りを目的としたその他のシステムのプロバイダーは、ユーザーがAIと話していることを認識できるようにシステムを設計しなければなりません。

• AIを使用してディープフェイクを作成する導入者は、コンテンツが人工的に生成または操作されたものであることを開示しなければなりません。

• 公共の利益に関わる事項についてAIが生成したテキストを公開する導入者は、説明責任を負う自然人または法人が編集上の責任を持ち、人間によるレビューを経ている場合を除き、それがAIによって生成されたものであることを開示しなければなりません。

欧州委員会は、これらの義務が適用される2週間足らず前の2026年7月20日に最終ガイドラインを採択しました。違反した場合の罰則は、最大1,500万ユーロ、または全世界の年間売上高の3%に達します。「期限が延びた」ことを理由に透明性対応の作業を遅らせていたチームは、すぐに作業を再開する必要があります。この部分は当初のタイムラインから一切変わっていません。

禁止事項、GPAI（汎用AI）に関する義務、およびAIオフィスの法的強制権限への影響はなし

2025年2月から施行されている第5条の禁止行為リストは変更されていません。また、2025年8月から施行されている、透明性、著作権、システムリスク文書に関する汎用AIモデルの義務も変更されていません。さらに極めて重要な点として、情報提供の要請、モデルの評価、是正措置、およびEU市場からのモデルの制限や撤回を行う権利を含む、GPAIプロバイダーに対する欧州委員会の執行権限は、予定通り2026年8月2日に有効化されます。今回の高リスクに関する延期は、あくまで高リスクシステムに対するものです。多くの企業がその上でアプリケーションを構築しているGPAIモデルや、透明性に関する義務は延期されません。

罰則構成の緩和はなし

オムニバス法案はプロセスと時期を簡素化するものです。制裁金を減額するものではありません。最も深刻な違反に対しては最大3,500万ユーロまたは全世界の年間売上高の7%、その他の違反に対しては最大1,500万ユーロまたは3%という二段階の罰則構成はそのまま維持され、新たにCSAM/NCII（児童性的虐待コンテンツおよび同意のない親密な画像）の禁止規定にも適用されます。

今週行うべき5つの対応

1. コンプライアンス・カレンダーと取締役会向け資料の修正

前回の取締役会へのブリーフィングで「高リスクシステムについては、延期の可能性を考慮しつつ、2026年8月2日に向けて取り組んでいる」と説明していた場合、その内容は2つの点で誤りとなりました。まず、延期が確定したこと、そして新しい具体的な日程が設定されたことです（附属書IIIは2027年12月2日、附属書Iは2028年8月2日）。今週中にカレンダーを更新し、ブリーフィング資料を再発行してください。これにより、存在しない期限に基づいて計画が立てられたり、透明性の義務まで猶予されたと誤解されるのを防ぎます。

2. 延期にかかわらず第50条の対応を完了させる

チャットボットの開示、ディープフェイクのラベリング、およびAI生成テキストのラベリングは、予定通り2026年8月2日から適用されます。もし組織内のいずれかの部門が「AI規則が延期された」ことを理由に対応の優先順位を下げていた場合、すぐに軌道修正してください。正確なAIインベントリを作成することが、今週末までに開示メカニズムを必要とするすべてのチャットボット、画像ジェネレーター、コンテンツ作成ツールを迅速に特定するための最も有効な手段です。

3. 12月に向け、ジェネレーティブAIツールのCSAM/NCII露出度を検証する

2026年12月2日に新たな禁止規定が適用されるまで、4週間ではなく4カ月の猶予があります。しかし、セーフハーバーの適用を受けるためには、「合理的、適切、かつ効果的な」予防的セーフガードを、苦情が申し立てられた後に追加するのではなく、あらかじめシステムに組み込んでおく必要があります。自社開発か調達品かを問わず、画像や動画の生成機能を対象に今すぐ検証を開始し、その対策プロセスを文書化してください。これは、多くのチームがすでに進めている既存のディープフェイクガバナンスの取り組みとも重複する領域です。

4. 高リスクAIシステムへの取り組みを中止せず、方向性を再調整する

16カ月の期間延長は大きな猶予となりますが、これは時期についての猶予であり、適用範囲が縮小されたわけではありません。附属書IIIに該当するシステムにおける分類、文書化、適合性評価、および人間による監視体制の構築作業は、引き続き対応が必要です。今回は期限に追われることなく、適切に準備を進める余裕ができました。この準備期間を利用して、プロジェクトを一時凍結するのではなく、信頼性の高いEU AI Actの分類およびコントロールの枠組みを構築（または完成）させてください。

5. 8月2日までにGPAIベンダーの文書を再確認する

汎用AI（GPAI）プロバイダーに対するAIオフィスの執行権限は2026年8月2日に有効となり、その監督範囲は同一企業グループ内でGPAIモデルに基づいて構築されたシステム、および大規模プラットフォーム上のGPAI組み込みシステムにも拡大されました。組織がサードパーティの基盤モデルに依存している場合、今週中に現在のモデル文書を収集し、ベンダーリスク管理ファイルが最新であることを確認してください。欧州委員会から調査が入った後に慌てて対応するのを防ぐためです。

Enzaiが提供する支援について

今回のような期限の変更こそ、AIガバナンスをスプレッドシートやカレンダーの通知機能などで個別に管理するのではなく、一元管理されたプラットフォームで行うべき理由です。Enzaiのコンプライアンス・フレームワークは、実際に適用される日程に沿って義務を追跡するため、今回のように規制の期限が変更された場合でも、メールのスレッドで情報を追うことなく、管理ライブラリ全体に自動で変更が反映されます。AIインベントリ製品は、数日後に迫った第50条の対応と、2027年に期限を迎える附属書IIIの対応の両方において、実践的なスタート地点となります。カタログ化されていないシステムを分類したり統制したりすることはできないからです。また、EUだけでなく、複数の法域にわたって義務を追跡しているチーム向けに、当社のEU AI Actハブは、新たな高リスクの期限や変更のない第50条の日程を含む、最新の全体像を提供しています。