EU AI法は日本の中小企業に影響する？対象になる企業と対応を解説

「EU AI法が本格的に始まったと聞いたが、日本の中小企業も対応が必要なのか」。ニュースで規制の話題を目にして、不安に感じている経営者は少なくありません。結論から言えば、多くの日本の中小企業は、EU AI法の直接の規制対象にはなりません。ただし、EUと一定の関わりを持つ場合には、日本国内の企業でも対象になり得ます。この記事では、EU AI法の全体像と2026年8月に実際に始まったこと、そして自社が対象になるケース・ならないケースの切り分けを整理します。読み終えるころには、「うちは何をどこまで気にすればよいのか」を落ち着いて判断できるようになります。

EU AI法とは？世界初の包括的なAI規制

EU AI法（EU AI Act）とは、EUが定めた世界初の包括的なAI規制の枠組みです。AIがもたらすリスクの大きさに応じてルールの強さを変えるリスクベースの考え方を採用しているのが特徴で、AIシステムを大きく4つに分類しています（LRM）。

• 許容できないリスク（禁止）：人の行動を不当に操作するAIや、政府による社会的スコアリングなど。原則として使用が禁止されます。
• 高リスク：採用選考、人事評価、重要インフラ、教育など、人の権利や安全に大きく関わる用途。厳格な義務が課されます。
• 限定的リスク：チャットボットや生成AIなど。「AIが応対している」「これはAIが生成したコンテンツだ」と明示する透明性の義務が中心です。
• 最小リスク：迷惑メールフィルタなど。大多数のAIはここに含まれ、追加の義務はありません。

日本国内で事業をするだけの会社に、なぜEUの法律が関係するのでしょうか。理由は、EU AI法が**EU域外の企業にも適用される（域外適用）**仕組みを持っているからです。EUの厳しい基準が、市場を通じて世界の企業行動に影響を及ぼすことは「ブリュッセル効果」とも呼ばれ、GDPR（EU一般データ保護規則）でも同じ現象が起きました。つまりEU AI法は、EUと取引や接点のある日本企業にとっても、無関係とは言い切れないルールなのです（在欧日本政府代表部・仮訳）。

施行スケジュール｜2026年8月に「何が」始まったのか

EU AI法は一度にすべてが動き出すのではなく、段階的に適用されます。この点を誤解すると、対応の優先順位を見誤ります。主なスケジュールは次のとおりです（ニュートン・コンサルティング）。

• 2025年2月：許容できないリスクにあたるAIの禁止と、AIリテラシー確保の義務が適用開始。
• 2025年8月：汎用目的AI（GPAI）モデルに関する規則と、関連するガバナンス・罰則が適用開始。
• 2026年8月：EUのAI監督当局（AI Office）の執行権限が本格化し、チャットボットや生成コンテンツに関する透明性義務が焦点となる時期。

ここで注意したいのが、「2026年8月に高リスクAIの規制がすべて始まる」わけではないという点です。当初は2026年8月に予定されていた高リスクAIの中核的な義務は、規制を簡素化・調整する「Digital Omnibus」と呼ばれるパッケージにより、2027年12月以降へ延期される見通しとなりました（TIMEWELL）。したがって2026年8月時点で日本企業がまず意識すべきなのは、高リスクの重い義務そのものよりも、透明性義務と、罰則を伴う執行体制が整い始めたという事実です。

なお、違反した場合の制裁金は最大で**3,500万ユーロ、または全世界の年間売上高の7%**のいずれか高い方とされ、決して小さくない金額です（PwC Japan）。ただしこれは対象になる企業の話であり、次章で見るように、多くの中小企業はそもそも対象の外にいます。

日本企業が対象になるケース・ならないケース

もっとも知りたいのは、「結局うちは対象なのか」という点でしょう。EU AI法の域外適用は、EU域内との具体的な接点があるかどうかで判断されます。以下のケースに一つも当てはまらなければ、直接の規制対象になる可能性は低いと考えられます。

対象になり得る主なケース

• EU域内に支社・拠点がある：現地でAIシステムを利用・提供している場合。
• EU域内の企業や市民に向けてサービスを提供している：AIを使った製品・サービスの提供先や利用者がEU域内にいる場合。
• EU向けのAIシステムや生成物を供給している：自社が開発したAIや、そのアウトプットがEU市場で使われる場合。

たとえば、EUの消費者向けにAIチャット機能を備えたサービスを展開している、あるいはEUの取引先にAIを組み込んだ製品を納入している、といった場合は対象になり得ます（thebrief）。

対象になりにくい主なケース

• 国内の顧客だけを相手に事業をしている。
• EU域内に拠点や取引先がない。
• 社内の効率化のためだけに、ChatGPTなどの生成AIを日本国内で使っている。

多くの中小企業はこの「対象になりにくい」側に位置します。ただし注意したいのは、取引先を通じて間接的に関わる可能性です。EUと取引のある国内の大企業から、「自社が使うAIについて説明してほしい」と求められる形で、対応を迫られることは十分にあり得ます。「自社が直接の名宛人か」だけでなく、「取引網の中で説明を求められる立場か」という視点も持っておくと安心です。

リスク分類で変わる義務｜自社のAIはどの区分か

仮に対象になり得る場合でも、課される義務はAIの使い方（リスク分類）によって大きく異なります。同じ会社の中でも、用途ごとに区分が変わる点がポイントです。

中小企業の実務で特に関わりが深いのが、高リスクに分類される用途です。代表例が採用・人事の領域で、応募者を選別するAI、面接を評価するAI、昇進や配置の判断を支援するAIなどが該当するとされています。これらに該当する場合は、リスク管理体制の整備や記録の保持、人による監督など、厳格な義務が求められます（LRM）。

一方、社内文書の要約や議事録作成、アイデア出しといった一般的な生成AIの業務利用は、多くの場合限定的リスクにとどまります。この区分で中心となるのは、「AIが応対していること」や「AIが生成したコンテンツであること」を利用者に伝える透明性の確保です。過剰に身構える必要はなく、まずは自社のAI利用が「どの区分にあたるか」を把握することが出発点になります。

自社のAIを棚卸しし、用途ごとに区分を仮置きしてみると、「重い義務がかかるのは採用AIのこの部分だけで、他はほぼ透明性の話だ」といった具合に、対応すべき範囲が具体的に見えてきます。すべてを一律に警戒するのではなく、区分ごとにメリハリをつけることが、限られたリソースで対応する鍵です。

中小企業が今からやるべき準備

最後に、対象になり得る場合もそうでない場合も、共通して有効な準備を3つ紹介します。いずれも大がかりな投資は不要で、今の業務を整理することから始められるものです。

**1つ目は、自社で使っているAIの棚卸し（AIマッピング）**です。どの部門が、どの業務で、どんなAIを使っているかを一覧にします。これはEU AI法対応に限らず、後述の情報漏洩リスクや社内ガバナンスの見直しにもそのまま役立つ基礎資料になります。

2つ目は、取引先・ベンダーとの契約や利用条件の確認です。自社が使うAIサービスがどのようにデータを扱うか、EU向けの提供に関する取り決めがどうなっているかを把握しておきます。EUと取引のある取引先から説明を求められた際に、慌てず答えられる状態を作っておくことが目的です。

3つ目は、社内ルール（ガイドライン）の整備です。「どの業務でAIを使ってよいか」「何を入力してはいけないか」「AIの出力を誰が確認するか」といった基本ルールを決めておけば、法規制の変化にも柔軟に対応できます。EU AI法は今後も段階的に適用が進み、内容が調整される可能性もあります。だからこそ、特定の条文を追いかけるより、変化に耐えられるガバナンスの土台を作るほうが現実的です。

大切なのは、規制の話に振り回されて過度に萎縮しないことです。多くの中小企業にとって、EU AI法は「今すぐ重い義務が発生するもの」ではなく、自社のAI活用を一度整理し、健全に育てるためのきっかけと捉えるのが建設的です。

まとめ

EU AI法は世界初の包括的なAI規制で、リスクの大きさに応じて4段階の義務を課す仕組みです。EU域外の企業にも適用される「域外適用」があるため、日本企業にとっても完全に無関係とは言えません。ただし、EU域内に拠点や取引先がなく、国内向けに事業をしている多くの中小企業は、直接の規制対象になりにくいのが実情です。2026年8月に本格化したのは主に透明性義務と執行体制であり、採用AIなどの高リスク義務は延期される見通しです。まずは自社のAI利用を棚卸しし、EUとの接点の有無を確認したうえで、変化に耐えられる社内ルールを整えておく。この順序で臨めば、必要以上に恐れることなく、冷静に備えられます。

AI Navigator では、中小企業がAIの利用状況を棚卸しし、リスクに応じた社内ルールやガバナンスを無理なく整えていくための伴走支援を行っています。「自社が規制と関わるのか整理したい」「安全にAI活用を進める体制を作りたい」といった段階でも構いません。まずはサービス紹介をご覧いただき、お気軽にお問い合わせください。