EU AI Act（EU AI規則）の概要と日本企業への影響｜リスク分類と対応の基礎
生徒海外向けのサービスでAIを使おうと思ってるんですけど、『EUのAI規制』が厳しいって聞いて不安で…。うちみたいな小さい会社にも関係あるんですか？何から見ればいいのか全然わからなくて。
ペン博士いい着眼点だね。EU AI Act（EU AI規則）は、EU域内でAIを売ったり使ったりする会社に広く効く法律で、日本の中小企業でも“EUに関わる”なら無関係じゃないんだ。この記事で、4段階のリスク分類・いつ何が始まるか・罰則の額まで、一次情報をもとに順番に整理するね！
「EUのAI規制が厳しいらしい」「でも自社に関係あるのか分からない」——海外展開やインバウンド対応でAIを使おうとすると、必ずぶつかるのがEU AI Act（EU AI規則 / 正式名称 Regulation (EU) 2024/1689）です。これは世界で初めての包括的なAI規制法とされ、EU域内に影響するAIシステムを「リスクの高さ」で4段階に分け、段階に応じた義務を課す仕組みになっています。
この記事では、海外展開を考える中小事業者やWeb制作者の方に向けて、EU AI Actの全体像・4つのリスク分類・施行スケジュール・罰則・日本企業への影響と最初の対応を、欧州委員会やEUR-Lexの一次情報にもとづいて、できるだけ平易に解説します。専門用語は都度かみくだき、表と箇条書きで整理しますので、法律にくわしくない方でも自社に何が求められるかを判断する土台が得られるはずです。
※本記事は2026年7月1日時点の公開情報にもとづく解説であり、法的助言ではありません。実際の対応にあたっては、必ず最新の一次情報（後掲）と専門家の確認を併用してください。施行スケジュールは追加の立法（例：簡素化に向けた「Digital Omnibus」案）によって今後変わる可能性があります。
この記事の結論
- EU AI Actは「リスクが高いほど義務が重い」という考え方で、AIを①許容できないリスク（禁止）②高リスク③限定的リスク（透明性）④最小リスクの4段階に分ける。
- 2024年8月1日に発効し、義務は段階的に適用される。禁止事項は2025年2月2日から、汎用AI（GPAI）の規定は2025年8月2日から、原則の本格適用は2026年8月2日から。
- 罰則は重く、禁止事項違反は最大3,500万ユーロまたは全世界売上高の7％（高い方）。EUR-Lex本文・欧州委員会で確認できる。
- 日本企業でも、EU域内にAIの結果を提供する・EUの顧客に使わせるなら対象になり得る（域外適用）。まずは「自社のAI利用がどのリスク段階か」を棚卸しすることが第一歩。
- 中小・スタートアップには罰金の上限を低い方にする等の配慮規定もあるが、対象外という意味ではない。
目次
EU AI Actとは何か（まず全体像）
最初に要点だけ。EU AI ActはEU域内で関わるAIを「リスクの高さ」で4段階に分け、段階ごとに義務を課す“リスクベース”の法律です。2024年8月1日に発効し、義務は2025年〜2027年にかけて段階的に効いてきます。製品安全のルールに近い発想で、危険度が高いAIほど事前の検証や管理を厳しく求めるのが特徴です。
正式名称と位置づけ
EU AI Actの正式名称は、欧州議会・理事会による「Regulation (EU) 2024/1689（2024年6月13日、AIに関する調和的規則を定める規則）」です。EUの「規則（Regulation）」は、加盟国が個別に国内法へ置き換えなくてもEU全域に直接適用される強い効力を持つ点が、「指令（Directive）」との大きな違いです。条文の一次情報はEUR-Lex（Regulation (EU) 2024/1689）で全文を確認できます。
なぜ作られたのか
欧州委員会は、AIの便益を活かしつつ「人々の安全・基本的権利を守る」ことを目的に掲げています。欧州委員会のAI Act解説ページでは、「安全・暮らし・権利に明白な脅威となるAIは禁止する」一方で、大多数のAIは最小リスクとして特段の規制を課さない、というメリハリのある設計が説明されています。
対象になるのは誰か（役割の整理）
AI Actは、AIに関わる人を役割で分けて義務を割り当てます。自社がどの立場かを意識すると、求められることが見えやすくなります。
| 役割（英語） | 意味 | イメージ |
|---|---|---|
| 提供者 / Provider | AIシステムやモデルを開発し市場に出す者 | AIを作って売る・公開する会社 |
| 利用者 / Deployer | 自らの権限のもとでAIを業務利用する者 | 既製のAIを使って業務を回す会社 |
| 輸入者 / Importer | EU域外の提供者のAIをEUに持ち込む者 | 海外AIをEUで取り扱う事業者 |
| 販売者 / Distributor | サプライチェーンでAIを流通させる者 | AI製品を再販・卸す事業者 |
多くの中小事業者やWeb制作者は、まず「利用者（Deployer）」の立場で関わることが多いはずです。ただし自社でAI機能を組み込んだサービスを提供すれば「提供者」になり得るなど、立場は固定ではありません。重要なのは「役割は重なることもある」という点で、たとえば既製の生成AIを自社サイトに組み込んで顧客に使わせる場合、あなたは利用者であると同時に、その組み込みサービスの提供者にもなり得ます。義務は役割ごとに紐づくため、自社が複数の役割を兼ねていないかを最初に確認しておくと、後の仕分けがスムーズになります。
「AIシステム」と「AIモデル」の違い
条文を読むと「AIシステム」と「AIモデル（特にGPAIモデル）」という二つの言葉が出てきます。ざっくり言うと、「モデル」は中核となる頭脳の部分、「システム」はそのモデルを組み込んで具体的な用途に使えるようにしたものというイメージです。たとえば大規模言語モデルそのものは「モデル」、それを使ったカスタマーサポートの自動応答機能は「システム」と捉えると分かりやすいでしょう。AI Actは両方を対象にしつつ、リスク分類は主に“システム”に、GPAI特有の義務は“モデル”の提供者にという形で整理されています。
EU AI Actの核心：4つのリスク分類
AI Actの最大のポイントは、AIを4段階のリスクに分け、段階に応じて義務の重さを変えることです。欧州委員会は、許容できないリスク（禁止）・高リスク・透明性リスク（限定的リスク）・最小リスクの4区分で説明しています。まずは全体を表で俯瞰しましょう。
| リスク段階 | 扱い | 代表例 | 主な義務 |
|---|---|---|---|
| ① 許容できないリスク | 禁止（市場に出せない） | 社会的スコアリング、操作的AI 等 | そもそも提供・利用が禁止 |
| ② 高リスク | 厳格な義務つきで許容 | 採用・与信・重要インフラ等で使うAI | リスク管理・文書・人間の監督・適合性評価 等 |
| ③ 限定的リスク（透明性） | 情報開示義務つきで許容 | チャットボット、ディープフェイク等 | AIと分かるよう明示・生成物の表示 |
| ④ 最小リスク | 原則自由（特段の規制なし） | スパムフィルタ、ゲームのAI等 | 義務なし（任意の行動規範を推奨） |
以下、それぞれを少しくわしく見ていきます。
① 許容できないリスク（禁止されるAI）
人々の安全や基本的権利に明白な脅威となるAIはそもそも禁止され、コンプライアンスで対応する余地がありません。禁止事項は第5条（Article 5）に列挙されており、2025年2月2日から適用が始まっています。代表的な禁止例は次の通りです（要約）。
- 人の行動を著しくゆがめる操作的・欺瞞的な手法を使うAI
- 年齢・障害などの脆弱性につけ込むAI
- 公的・私的主体による社会的スコアリング（行動や属性で人を格付けする）
- プロファイリングのみにもとづく犯罪予測（一定の例外を除く）
- ネット等からの無差別な顔画像スクレイピングによる顔認識データベース構築
- 職場・教育機関での感情認識（安全・医療目的等の例外を除く）
- 公共空間でのリアルタイム遠隔生体認証（法執行目的、ごく限られた例外を除き原則禁止）
これらは「リスク管理をすればOK」ではなく利用そのものが不可という点が重要です。自社のサービスがうっかりこれらに該当しないか、最初に確認すべき領域です。
中小事業者やWeb制作の現場で特に注意したいのは、「便利だから」と安易に実装しがちな機能が禁止に触れ得るケースです。たとえば、来店者の表情から感情を読み取ってスタッフ評価に使う、ユーザーの行動履歴で“信用度”をスコア化して扱いを変える、といった発想は、文脈によっては禁止事項に近づきます。「人をAIで格付け・選別する」方向の機能は、実装前に必ず立ち止まって確認するのが安全です。判断に迷う場合は、その機能を入れない設計に倒すのが、リスクの観点では最も確実です。
② 高リスク（最も義務が重い領域）
AI Actの条文の多くを占めるのが高リスクAIです。人の健康・安全・基本的権利に重大な影響を与え得る用途が対象で、たとえば重要インフラ、教育、雇用・採用、必須サービスへのアクセス、法執行などの分野で使われるAIが含まれ得ます。高リスクに該当すると、提供者には次のような義務が課されます。
- リスク管理システムの構築・運用
- 高品質なデータの利用と、差別的な結果の最小化
- 技術文書・記録の整備（トレーサビリティの確保）
- 人間による監督（ヒューマン・オーバーサイト）の仕組み
- 正確性・頑健性・サイバーセキュリティの確保
- 適合性評価とEUデータベースへの登録 等
高リスク分類のルール（第6条）と対応義務の本格適用は段階的で、後述のとおり一部は2027年8月2日から適用とされています（適用日は第113条に規定）。
高リスクは大きく分けて二つの入り口があります。一つは製品安全に関わる既存の法令でカバーされる製品（機械・医療機器など）の安全部品としてAIが使われるケース、もう一つは附属書III（Annex III）に列挙された分野で使われるケースです。附属書IIIには、生体認証、重要インフラ、教育・職業訓練、雇用・労務管理、必須の民間・公共サービスへのアクセス、法執行、移民・国境管理、司法・民主的プロセスといった領域が含まれ得ます。自社のAIがこれらの“判断や選別”に関わるかどうかが、高リスク該当性を考える際の最初のチェックポイントになります。
なお、附属書IIIに当てはまりそうでも、「人の意思決定に重大な影響を与えない補助的な用途」など、一定の条件で高リスクから外れる場合があるとされています。ただしこの判断は繊細で、外れると考えた場合でもその根拠を記録しておくことが望ましいとされています。「高リスクかもしれない」と思ったら、自己判断で軽く扱わず慎重に検討するのが安全です。
③ 限定的リスク（透明性義務）
人に重大な危害を及ぼすほどではないが、「AIだと知らされるべき」場面には透明性の義務がかかります。欧州委員会は「信頼を保つために必要なとき、人にAIだと知らせる」ことが目的だと説明します。具体的には次のような開示です。
- チャットボットなど、AIと対話していると分かるように明示する
- ディープフェイクや合成コンテンツに、AI生成であると分かる表示・ラベルを付ける
Web制作の現場では、サイトにAIチャットや生成コンテンツを載せる場合に「これはAIです／AI生成です」と分かる表示を入れる、といった対応が関係してきます。コストや工数の負担は高リスクに比べて軽く、UIの一文・ラベル・注記で対応できることが多いのが特徴です。たとえばチャットウィンドウの冒頭に「このチャットはAIが応答しています」と添える、AI生成の画像に小さな表記を付ける、といった対応が考えられます。透明性は“信頼づくり”の側面もあるため、規制対応であると同時にユーザー体験の質を高める投資とも捉えられます。
④ 最小リスク（大多数のAI）
現在EU市場にあるAIの大多数はこの最小リスクに分類され、特段の義務はありません。スパムフィルタやゲーム内のAIなどが典型例です。規制対象ではないものの、任意の行動規範（コード・オブ・コンダクト）に沿うことは推奨されています。
施行スケジュール：いつ何が始まるのか
要点を先に。EU AI Actは2024年8月1日に発効し、義務は一度に全部ではなく段階的に適用されます。禁止事項が先行し、汎用AI（GPAI）、本格適用、高リスクの一部と続きます。適用日は第113条に規定され、欧州委員会も同様のタイムラインを示しています。
| 時期 | 適用される主な内容 | 根拠 |
|---|---|---|
| 2024年8月1日 | 規則の発効（Entry into force） | EUR-Lex / 欧州委員会 |
| 2025年2月2日 | 禁止事項（第5条）・AIリテラシー（第4条）等 | 第113条 |
| 2025年8月2日 | 汎用AI（GPAI）規定・ガバナンス・罰則の枠組み | 第113条 |
| 2026年8月2日 | 規則の本格適用（原則の一般適用日） | 第113条 |
| 2027年8月2日 | 高リスク分類（第6条1項）の対応義務など | 第113条 |
注意点として、施行スケジュールは今後の追加立法で変わる可能性があります。たとえば2026年には簡素化に向けた「Digital Omnibus」案が議論されており、附属書III（Annex III）に基づく高リスクAIの一部義務について適用時期の見直しが取り沙汰されています。最終的な適用日は必ず最新の一次情報で確認してください（2026年7月1日時点では上表が基本線です）。
「AIリテラシー」義務（第4条）も忘れずに
見落としやすいのが、2025年2月2日から効いている「AIリテラシー」の義務（第4条）です。これは、AIシステムを扱う自社のスタッフや関係者が、AIを十分に理解して扱えるよう努めるという趣旨の義務です。高リスクでなくても関わるため、社内教育の観点で押さえておく価値があります。
具体的にどこまでやればよいかは、組織の規模やAIの使い方に応じた“合理的な範囲”で考えるのが基本です。難しい資格取得を全員に課す、という話ではありません。たとえば「AIの出力は必ずしも正しくないこと（ハルシネーション）を理解する」「個人データや機密をAIに不用意に入力しない」「AIに任せてよい判断と人が確認すべき判断の線引きを共有する」といった、実務に直結する基本リテラシーをチームで揃えることが第一歩になります。Web制作のように少人数で動くチームでも、簡単な社内ガイドラインを一枚作るだけで実態は大きく変わります。
汎用AI（GPAI）モデルの規定
要点。ChatGPTのような汎用AI（General-Purpose AI、GPAI）モデルには専用のルールがあり、2025年8月2日から適用が始まっています。すべてのGPAIに共通の義務（透明性・著作権）に加え、特に強力なモデルには追加の「システミックリスク」対応が求められます。
すべてのGPAI提供者に共通の義務
欧州委員会のGPAI規定の適用開始に関する公式発表によれば、GPAIモデルの提供者には透明性と著作権関連のルールが課されます。具体的には、技術文書の整備や、学習データに関する一定の情報の提供、EUの著作権法を尊重する方針などが含まれます。
システミックリスクのある強力なモデル
特に高い能力を持つモデルは「システミックリスクのあるGPAI」とされ、追加義務がかかります。判定の目安として、学習に用いた累積計算量が10の25乗（10^25）FLOPを超えるモデルは、高い影響力を持つと推定されます。該当する提供者にはリスク評価・緩和、重大インシデントの報告、サイバーセキュリティの確保などが求められます。
行動規範（Code of Practice）
提供者が義務への適合を示しやすくするため、GPAIモデル向けの行動規範（Code of Practice）が用意されています。これは任意のツールで、透明性・著作権の章はすべてのGPAI提供者向け、安全・セキュリティの章はシステミックリスクのあるモデルの提供者向け、という構成です。
罰則：違反するといくら払うのか
要点。AI Actの罰則は重く、最も重い禁止事項違反で最大3,500万ユーロまたは全世界年間売上高の7％（高い方）にのぼります。金額は第99条（Article 99）に規定され、EUR-Lex本文でも確認できます。違反の種類で上限が3段階に分かれます。
| 違反の種類 | 上限（高い方を採用） |
|---|---|
| 禁止事項（第5条）への違反 | 3,500万ユーロ または 全世界年間売上高の7％ |
| その他の義務違反（提供者・利用者の各種義務など） | 1,500万ユーロ または 全世界年間売上高の3％ |
| 当局への不正確・不完全・誤解を招く情報提供 | 750万ユーロ または 全世界年間売上高の1％ |
ここで言う「全世界年間売上高」は前会計年度の全世界ベースであり、EU域内の売上だけではない点に注意が必要です。GDPR（EU一般データ保護規則）と同様に、売上規模が大きいほど“率”で効く設計になっています。
中小・スタートアップへの配慮
第99条には、中小企業（SME）やスタートアップについては、定額と率のうち“低い方”を上限とする旨の配慮規定があります。とはいえ「対象外」ではなく「上限の取り方が緩い」という意味であり、義務そのものが免除されるわけではありません。
また、罰金の額は機械的に上限まで科されるわけではなく、違反の性質・深刻さ・期間、被害の程度、企業の規模や市場シェア、是正への協力姿勢など、複数の事情を考慮して決められます。逆に言えば、普段から記録を残し、問題に気づいたら速やかに是正・報告する姿勢が、結果的にリスクを抑えることにつながります。「上限額の大きさ」だけに目を奪われず、日常の運用で誠実に対応できる体制を整えることが、もっとも現実的な備えになります。
日本企業への影響：なぜ“EUの法律”が関係するのか
要点。EU AI ActはEU域外の事業者にも及ぶ（域外適用）可能性があります。日本に拠点があっても、AIの出力（アウトプット）をEU域内で使わせる・EUの顧客に提供するなら、対象になり得ます。GDPRと同じく「EUにいなくてもEUに関われば効く」発想です。
こんな日本企業は要チェック
- EU向けにAI機能つきのSaaS・アプリ・サイトを提供している（または計画中）
- EUの顧客・ユーザーにAIチャットや生成コンテンツを使わせている
- EU企業のサプライチェーンに組み込まれ、AIを使った成果物を納めている
- 採用・与信・教育などの領域でAIを使い、その対象にEU在住者が含まれる
逆に、日本国内だけで完結し、EUに一切関わらない利用であれば、AI Actが直接適用される場面は基本的に限定的です。ただし、国際的なルールメイキングの“事実上の標準（デファクト）”として、取引先や顧客から「AI Act相当の管理」を求められるケースは今後増える可能性があります。
GDPRとの関係（混同しない）
EU AI ActとGDPRは別の法律ですが、両方が同時にかかる場面は珍しくありません。AIが個人データを扱えばGDPRも適用されます。次のように役割が異なると整理すると分かりやすいです。
| 観点 | GDPR | EU AI Act |
|---|---|---|
| 守る対象 | 個人データ・プライバシー | 安全・基本的権利（AIのリスク） |
| 軸 | データの取扱い | AIシステムのリスクの高さ |
| 例 | 同意・データ最小化・越境移転 | リスク分類・適合性評価・透明性 |
「AIが個人データを使うなら、GDPRとAI Actの両方を意識する」——これが実務での基本姿勢になります。
最初の一歩：中小事業者・Web制作者の対応ステップ
要点。完璧を目指す前に、「自社のAI利用を棚卸しし、どのリスク段階かを仕分ける」ことが出発点です。難しく考えず、次の順で進めれば、何をどこまでやるべきかが見えてきます。
- AI利用の棚卸し：どこで・どんなAIを・誰に対して使っているかを一覧化する。
- リスク段階の仕分け：①禁止 ②高リスク ③透明性 ④最小 のどれに当たりそうか当てはめる。
- EU関連性の確認：そのAIの出力やサービスがEUに関わるか（域外適用の可能性）を確認する。
- 該当義務の特定：段階に応じた義務（表示・文書・人間の監督など）を洗い出す。
- 透明性の即着手：チャットボットや生成コンテンツの“AIだと分かる表示”は比較的すぐ着手できる。
- 記録と教育：AIの使い方を記録し、扱うスタッフのAIリテラシーを高める（第4条の趣旨）。
- 専門家・最新情報の併用：判断に迷う論点は専門家に相談し、一次情報で最新の適用日を確認する。
Web制作者がまず気をつけたいこと
- AIチャットの明示：サイトのチャットがAIなら、その旨を分かるように表示する。
- AI生成物のラベル：AIで作った画像・テキスト等は、必要に応じてAI生成と分かる表示を検討する。
- 禁止用途の回避：感情認識やスコアリングなど、禁止に触れ得る機能を安易に実装しない。
- 個人データはGDPRも：AIに個人データを渡す設計では、GDPRの観点も同時に確認する。
よくある誤解（先に潰しておく）
最後に、相談現場で頻出する誤解を整理します。「うちは関係ない」と早合点しないことが、結果的にリスク回避につながります。
- 誤解：「日本の会社だからEUの法律は関係ない」→ EUに関わるAI利用なら域外適用され得る。
- 誤解：「中小企業は対象外」→ 罰金の配慮はあるが、義務そのものは免除されない。
- 誤解：「AIを使うだけなら無関係」→ 利用者（Deployer）にも透明性などの義務が及ぶ場面がある。
- 誤解：「最小リスクなら何もしなくていい」→ 法的義務は薄くても、行動規範や顧客要請への対応は今後重要に。
- 誤解：「2026年8月までは何もしなくていい」→ 禁止事項とGPAI規定は既に適用中。先行義務がある。
よくある質問（FAQ）
Q1. EU AI Actはいつ発効しましたか？
A. 2024年8月1日に発効しました。ただし義務は一度に全部効くのではなく、禁止事項（2025年2月2日）、GPAI規定（2025年8月2日）、本格適用（2026年8月2日）、高リスク分類の一部（2027年8月2日）と段階的に適用されます。詳細は第113条および欧州委員会の解説で確認できます（2026年7月1日時点）。
Q2. リスク分類は何段階で、どう違いますか？
A. 4段階です。①許容できないリスク（禁止）②高リスク（厳格な義務）③限定的リスク（透明性の開示義務）④最小リスク（原則自由）。リスクが高いほど義務が重くなる“リスクベース”の設計で、欧州委員会が公式に説明しています。
Q3. 罰則はいくらですか？
A. 違反の種類で3段階です。禁止事項違反は最大3,500万ユーロまたは全世界年間売上高の7％、その他の義務違反は1,500万ユーロまたは3％、当局への不正確な情報提供は750万ユーロまたは1％（いずれも高い方）。根拠は第99条です。
Q4. 日本の中小企業にも関係しますか？
A. 関係し得ます。EU AI Actは域外適用があり、AIの出力やサービスをEU域内に提供する・EUの顧客に使わせる場合は対象になり得ます。一方で日本国内だけで完結しEUに無関係なら、直接適用は基本的に限定的です。まずは自社のAI利用がEUに関わるかを確認しましょう。
Q5. ChatGPTのような汎用AI（GPAI）を“使うだけ”でも義務がありますか？
A. GPAIの主な義務はモデルの“提供者”に課されます（2025年8月2日適用）。ただし、それを組み込んで自社サービスとして提供すれば自社が提供者になり得ますし、利用者（Deployer）としても透明性の表示などが関わる場面があります。「使うだけだから無関係」とは限らない点に注意してください。
Q6. GDPRに対応していればAI Actも大丈夫ですか？
A. 別物なので、GDPR対応だけでは足りません。GDPRは個人データの保護、AI ActはAIのリスク管理が軸です。AIが個人データを扱うなら両方が同時にかかります。両者を別々に確認するのが安全です。
Q7. 何から始めればいいですか？
A. まず自社のAI利用の棚卸しから。どこで・どんなAIを・誰に使っているかを一覧化し、4段階のどれに当たるか仕分け、EU関連性を確認します。透明性の表示（AIだと分かる明示）は比較的すぐ着手でき、効果も分かりやすい第一歩です。
Q8. このスケジュールは今後変わりますか？
A. 変わる可能性があります。2026年には簡素化に向けた追加立法（Digital Omnibus案など）が議論されており、一部義務の適用時期が見直される可能性があります。実務では必ず最新の一次情報で適用日を再確認してください（本記事は2026年7月1日時点）。
用語ミニ辞典
本文に出てきた用語を、ざっくり押さえておきましょう。
| 用語 | 意味 |
|---|---|
| Regulation（規則） | 国内法へ置き換えなくてもEU全域に直接適用される強い法形式。 |
| リスクベース | リスクの高さに応じて義務の重さを変える考え方。 |
| 提供者 / Provider | AIを開発し市場に出す者。義務が最も重くなりやすい。 |
| 利用者 / Deployer | 自らの権限のもとでAIを業務利用する者。 |
| 高リスクAI | 健康・安全・権利に重大な影響を与え得る用途のAI。厳格な義務つき。 |
| 透明性義務 | AIだと分かるよう明示する開示義務（チャットボット・ディープフェイク等）。 |
| GPAI | 汎用AI（General-Purpose AI）モデル。専用ルールがある。 |
| システミックリスク | 特に強力なGPAIに認められる、社会全体に及び得るリスク。追加義務の対象。 |
| 適合性評価 | 高リスクAIが要件を満たすか確認する手続き。 |
| 域外適用 | EU域外の事業者にも、一定条件下で法が及ぶこと。 |
まとめ
EU AI Act（Regulation (EU) 2024/1689）は、AIを4段階のリスクに分け、危険度が高いほど重い義務を課す世界初の包括的なAI規制です。2024年8月1日に発効し、禁止事項（2025年2月）→GPAI（2025年8月）→本格適用（2026年8月）→高リスクの一部（2027年8月）と段階的に効いてきます。罰則は重く、禁止事項違反は最大3,500万ユーロまたは全世界売上高の7％にのぼります。
日本企業でも、EUに関わるAI利用なら無関係ではありません。まずは自社のAI利用を棚卸しし、どのリスク段階かを仕分け、EU関連性と必要な義務を確認することが第一歩です。透明性の表示など、すぐ着手できるところから手をつけ、判断に迷う論点は専門家と最新の一次情報を併用しましょう。
・骨格：リスクが高いほど義務が重い4段階分類（禁止／高リスク／透明性／最小）
・時期：2024年8月発効、禁止事項とGPAIは既に適用中、本格適用は2026年8月
・罰則：禁止事項違反は最大3,500万ユーロまたは全世界売上高の7％
・日本企業：EUに関わるAI利用なら域外適用あり、まず棚卸しから
AI規制を“正しく読んで自社に当てはめる力”は、Webとサービスの基礎理解があってこそ。WithCodeで土台を固めれば、AIの活用とルール対応を両立し、海外も見据えた制作・運用を自分の判断で進められるようになります。
出典・参考（一次情報）
本記事は、以下の一次情報を中心に作成しました（いずれも2026年7月1日時点で参照）。最新の適用日・条文は必ず原典でご確認ください。
- European Commission｜AI Act（Regulatory framework on AI）（欧州委員会・公式解説）
- EUR-Lex｜Regulation (EU) 2024/1689（AI Act 本文・CELEX:32024R1689）（規則の全文）
- EU Artificial Intelligence Act｜Article 5（Prohibited AI Practices）（禁止事項の条文）
- EU Artificial Intelligence Act｜Article 99（Penalties）（罰則の条文）
- EU Artificial Intelligence Act｜Article 113（Entry into Force / Application）（適用日の条文）
- European Commission｜EU rules on general-purpose AI models start to apply（GPAI規定の適用開始に関する公式発表）
- EU Artificial Intelligence Act｜Introduction to the Code of Practice for GPAI（GPAI行動規範の解説）
免責：本記事は一般的な情報提供を目的とした解説であり、法的助言ではありません。個別の対応については、必ず最新の一次情報および弁護士等の専門家にご確認ください。
関連記事
- AI時代の働き方｜フリーランスが「使われる側」から「使う側」になるための極意を徹底解説
- OWASP Top 10 for LLM Applications 解説｜生成AIアプリの代表的リスクと対策
- Google Gemini 公式情報まとめ｜モデル・できること・料金をやさしく解説
- Claude公式ドキュメントで見るモデル仕様と料金｜業務活用の基礎ガイド
- OpenAI公式で学ぶモデル・料金・利用規約｜ChatGPT/API活用の基礎
参考リンク（公式・一次情報）
WithCodeを体験できる初級コース公開中！
初級コース(¥49,800)が完全無料に！
- 期間：1週間
- 学習内容：
ロードマップ/基礎知識/環境構築/HTML/CSS/LP・ポートフォリオ作成
→ 正しい学習方法で「確かな成長」を実感できるカリキュラム。
副業・フリーランスが主流になっている今こそ、自らのスキルで稼げる人材を目指してみませんか？
未経験でも心配することはありません。初級コースを受講される方の大多数はプログラミング未経験です。まずは無料カウンセリングで、悩みや不安をお聞かせください！
