禁止行為
Art 5 · 2025年2月からソーシャルスコアリング顔画像のスクレイピング職場での感情認識高リスク
Annex III · 2027年12月からAnnex I · 2028年8月から履歴書スクリーニング信用スコアリング保険料の算定透明性
Art 50チャットボットディープフェイクAI生成コンテンツ最小リスク
新たな義務なしスパムフィルターゲームAI
所在地にかかわらず、EUで提供または使用している場合、またはその出力がEUで使用される場合
AIシステムまたは汎用AIモデルを開発（または開発を委託）し、自社の名称で提供または使用している場合
EU域内に拠点がある場合、またはシステムの出力がEUで使用される場合
採用ツールや購入したチャットボットなど、業務で自らの権限のもとにAIシステムを使用している場合
義務の対象は高リスクAIです。まずCEマーキングと文書を確認してください
EU域外の提供者のAIシステムをEU市場に投入する場合、またはサプライチェーンの下流でAIシステムを販売する場合
その場合、第25条によりそのシステムの提供者とみなされ、提供者の義務を負います
高リスクシステムに自社の名称を付す場合、実質的な変更を加える場合、または目的を変更してAIが高リスクに該当するようになった場合
第9条、第10条 · AIを開発する場合
高リスクシステムについては、設計から使用まで定期的な見直しを伴うリスク管理プロセスを運用し、学習・検証・テストに使うデータを管理します。
第11条〜第15条 · AIを開発する場合
技術文書を整備し、イベントをログに記録するようシステムを設計し、導入者向けの明確な使用説明書を作成したうえで、人による監視、正確性、サイバーセキュリティを組み込みます。
第17条、第43条、第48条、第49条 · AIを開発する場合
品質マネジメントシステムを運用し、適合性評価を完了してCEマーキングを貼付します。附属書IIIの用途では、EUデータベースへのシステム登録も必要です。
第50条第1項、第2項 · AIを開発する場合
人と対話するAIは、相手がAIだと分かるように設計し、生成した音声、画像、動画、テキストにはAI生成であることを表示します。2026年8月2日より前に市場に出ている生成システムは、2026年12月2日まで猶予があります。
第53条、第55条 · AIを開発する場合
技術文書を整備し、著作権ポリシーを策定し、学習に使用したコンテンツの概要を公開します。システミックリスクを伴うモデルには、評価、敵対的テスト、インシデント報告も求められます。
第4条 · AIを利用する場合
従業員や自社に代わってAIを運用する人のAIリテラシーを支援する措置を、役割に応じて講じます。2026年7月以降、十分な水準を確保する義務はなくなりました。提供者にも同じ義務があります。
第5条 · AIを利用する場合
一部の用途は2025年2月2日から、提供者と導入者の双方に対して禁止されています。2026年12月2日からは、同意のない性的ディープフェイクや児童性的虐待コンテンツを生成するAIも禁止されます。
第26条 · AIを利用する場合
提供者の使用説明書に従い、行動する権限を持つ訓練を受けた人に監視を任せ、自社が管理する入力データを確認し、運用を監視し、リスクを報告し、ログを少なくとも6か月間保存します。
主に変わったのは高リスクの期限です。禁止行為とAIリテラシーは2025年2月から、汎用AIの義務は2025年8月から、第50条は2026年8月から適用されています。[1]
高リスクAIの導入者には、訓練を受けた人による監視から、少なくとも6か月間のログ保存まで、第26条に基づく独自の義務があります。また、どの導入者も第5条が禁止する行為を行うことはできません。[2]
対象は、実在の人物の同意のない性的ディープフェイクを生成するAIと、児童性的虐待コンテンツです。AI生成コンテンツへの表示は第50条第2項に基づく別の義務で、既存の生成システムの期限は2026年12月2日です。[1]
EU AI Actは米国企業にも適用されますか？
適用される可能性があります。同法は、所在地にかかわらず、AIシステムや汎用AIモデルをEU市場に投入する提供者を対象とします。また、AIの出力がEUで使用されるEU域外の提供者と導入者も対象です。EUの顧客にAIを販売する米国企業は対象となる可能性が高く、AIの出力がEUで使用される企業も対象となる場合があります。システムごとに第2条第1項に照らして確認してください。
EU AI Actは延期されましたか？
一部延期されました。デジタル・オムニバス（規則（EU）2026/1744）は2026年7月27日に発効しました。これにより高リスクの義務は、採用や信用スコアリングなど附属書IIIに列挙された用途では2027年12月2日に、EUの安全法令の対象製品に組み込まれたAI（附属書I）では2028年8月2日に変更されました。その他の日程はおおむね変わっていません。どのシステムが高リスクに該当するかに関する欧州委員会のガイドラインはまだ草案段階で、最終版は2026年末までに公表される予定です。
EU AI Actにおいて、導入者が提供者とみなされるのはどのような場合ですか？
第25条は3つのケースを定めています。すでに市場に出ている高リスクシステムに自社の名称や商標を付す場合。高リスクのままとなる実質的な変更を加える場合。あるいは、汎用AIシステムを含むAIシステムの意図された目的を変更し、高リスクに該当させる場合です。その場合、提供者の義務を負います。元の提供者には協力義務があり、オムニバス以降は、技術文書、既知の制約、テストのためのアクセスの提供が明記されています。ただし、元の提供者がそのシステムを高リスク化してはならないと明示していた場合は除きます。
EU AI Actのもとで、AIリテラシーは今も義務ですか？
はい。ただし緩和された形です。2026年7月にデジタル・オムニバスが発効して以降、第4条は提供者と導入者に対し、従業員や自社に代わってAIを運用する人のAIリテラシーを支援する措置を講じるよう求めています。十分な水準の確保はもはや求められておらず、個人ごとに特定の水準を保証する必要もないと明記されています。欧州委員会と加盟国は、特に中小規模の企業を支援しなければなりません。役割に応じた研修を実施し、その記録を残すことは、取り組みを示す方法として今も有効です。
2026年12月から適用されるEU AI Actの新たな禁止事項は何ですか？
2026年12月2日から、第5条は、特定可能な人物の写実的な性的または親密な画像、動画、音声を、本人の明示的な同意なく生成または改変するAIと、児童性的虐待コンテンツを生成するAIも禁止します。それが目的である場合、または合理的な安全対策がなくそうしたコンテンツを生成することが予見できる場合、そのシステムの市場投入は禁止されます。導入者が禁止に違反するのは、その目的でAIを使用した場合に限られます。
EnzaiはEU AI Actへの対応をどのように支援しますか？
インベントリからAIシステムを選び、EU AI Actに基づく評価を実施します。システムの分類によって、表示されるコントロールが決まります。各コントロールには担当者、期日、エビデンスが設定され、すべてのコントロールが承認されて初めて評価が完了します。リスクは対応前と対応後でスコア化されます。フレームワークが更新されると通知が届き、移行のタイミングはご自身で選べます。コンプライアンスを判断するのは監査人と規制当局です。Enzaiはその記録を残します。
