AI法規制に企業はどう対応する？EU AI法・AI推進法の要点と実務手順

AI法規制で企業が押さえるべき全体像は？

世界のAI法規制は、リスクの高さに応じて義務を変える設計が共通している。義務は開発企業だけでなく、AIを使う企業にも及ぶ。

AX（AI Transformation）を進める企業にとって、法規制は「導入を妨げるもの」というより「導入の前提条件」になってきた。2024年から2026年にかけて、EU（欧州連合）のAI法、日本のAI推進法とAI事業者ガイドライン、国際規格ISO/IEC 42001が出そろった。企業はいま、「どのAIを、どの粒度で、誰が管理するか」を説明できることを求められている。

逆に言えば、この3点を説明できる企業は、規制を理由に生成AIの活用を止める必要はない。規制対応と活用推進はどちらかを選ぶものではない。同じ台帳で一緒に管理するものと考えたほうが、実務の感覚に近い。

規制の骨格は「リスクベース・アプローチ」

リスクの大きさに応じて義務の重さを変えるのが各国共通の考え方だ。EU AI法はこれを禁止・高リスク・限定・最小の4区分で定めている。

EU AI法（規則(EU) 2024/1689）は、この区分を明文化した最初の包括的な法律である。

実務でつまずきやすいのは、区分が「技術」ではなく「用途」で決まる点だ。同じ大規模言語モデル（LLM）でも、社内FAQ検索に使えば最小リスクになり、採用候補者のスクリーニングに使えば高リスクになりうる。そのため、ツール単位ではなくユースケース単位で台帳を作らないと分類が回らない。この課題は現場でよく指摘される。

「全社でLLMを1つに統一しているので管理は簡単だ」という説明は、規制の観点ではほとんど意味がない。問われるのは、そのLLMが誰のどの判断に影響しているかである。

対象は開発者だけでなく「使う側」にも及ぶ

生成AIを購入して業務に組み込む企業も、EU AI法では「デプロイヤー（利用者）」と呼ばれ、利用者としての義務を負う。

日本企業の多くは、OpenAI・Anthropic・Microsoft・Googleといったベンダーが提供するAIを調達して使う立場にある。「自社では開発していないから関係ない」という理解は正確ではない。利用者には、たとえば次のような義務がある。

• 提供者の使用説明書に沿った運用
• 入力データの適切性の確保
• 人による監視（ヒューマン・オーバーサイト）の実装
• ログの保存

さらに、EU AI法第4条のAIリテラシー義務（2025年2月2日適用開始）は、提供者と利用者の両方に対し、AIを扱う従業員が十分な知識を身につけられるようにすることを求めている。

この「使う側の義務」は、社内のAI活用が現場主導で広がるほど見えにくくなる。RAG（検索拡張生成）で社内文書を参照させる構成や、AIエージェントに業務システムを操作させる構成がその例だ。ベンダー製品をそのまま使っているつもりでも、実際に用途を設計しているのは自社である。義務がどこにあるかは、契約書の文言よりも「誰が用途を決めたか」で考えたほうが実態に合う。

主要な規制・ガイドラインの位置づけ

法的拘束力の有無で「制裁があるもの」と「説明責任に関わるもの」に分けると、どれから対応するか決めやすい。

社内で優先順位をつけるなら、次の順に確認すると混乱が少ない。

1. 既存法：すでに適用されているため、最初に確認する
2. EU AI法：域外適用を受けるかどうかを判定する
3. ソフトローと国際規格：社外に説明する資料のひな形として使う

ISO/IEC 42001やNIST AI RMFは義務ではない。ただ、社内の統制を外部に説明するときの共通言語として役に立つ。

EU AI法は日本企業にどう適用される？

AIの出力がEU域内で使われれば、日本国内の企業にもEU AI法が域外適用される。日本企業が最も注意すべき点だ。

域外適用のきっかけは「EU市場での提供」と「出力の域内利用」

EUに拠点がなくても、AIシステムをEU市場に提供するか、その出力がEU域内で使われれば、EU AI法の適用対象になる。

EU AI法第2条は、EU域外の提供者・デプロイヤーであっても、AIシステムの出力がEU域内で使われる場合は適用範囲に含めている。たとえば次のケースは、いずれも検討が必要になる。

• 日本本社が開発した与信スコアリングを欧州子会社が使う
• AIを搭載した日本製品をEUに輸出する
• EU居住者向けにAIチャットサービスを提供する

EU向けの売上がある製造業やSaaS企業は、まず「EUに届いている出力があるか」を洗い出すのが現実的だ。

判定の単位は法人ではなく、AIの出力である。「EU法人がないから対象外」と判断するのは危険だ。海外拠点の従業員が日本本社の社内AIを使っている場合も、出力がどこで使われるかという観点で確認対象になる。

適用は2025年から2027年にかけて段階的に始まる

EU AI法は2024年8月1日に発効した。義務は区分ごとに適用日がずらされ、2027年までに順次適用される。

なお、欧州委員会は2025年11月、高リスク義務の適用時期の見直しなどを含む改正案を「デジタルオムニバス」として提出した。本稿の執筆時点で立法手続きが進んでおり、最終的な期日は変わる可能性がある。社内の対応計画では日付を固定せず、マイルストーンを更新できる形にしておくのが安全だ。期日が後ろにずれても、棚卸しと分類という土台の作業は無駄にならない。

高リスクAIとGPAIでは義務の中身が異なる

高リスクAIの提供者には適合性評価と品質管理が、汎用AI（GPAI）モデルの提供者には文書化と著作権方針が求められる。

利用企業から見ると、これらの義務の多くはベンダー側にある。そのため、自社の義務を果たすにはベンダーからの情報提供が欠かせない。調達契約に「規制対応に必要な技術文書・ログ・変更通知を提供する」という条項があるかどうかで、数年後の負担は大きく変わる。契約更新のタイミングでこの条項を入れられるかどうかが、法務と調達の実務上のポイントになる。

日本のAI法規制と国内ガイドラインの要点は？

日本は罰則付きの法律で規制するのではなく、推進法とソフトローで枠組みを作る「イノベーション重視型」をとっている。

AI推進法は罰則のない基本法である

2025年5月に成立したAI推進法は、理念と国の体制整備が中心だ。企業に対する直接の罰則は定めていない。

正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、2025年5月28日に成立し、同年6月に公布された。内閣にAI戦略本部を置き、AI基本計画を作ることを定めたうえで、事業者には国の施策への協力を求めている。EU AI法のような禁止類型や制裁金はなく、性格はまったく異なる。

とはいえ、罰則がないから何もしなくてよいわけではない。悪質な事案は国が調査し、事業者名を含めて公表することが想定されている。評判への影響によって抑止する仕組みだ。制裁金を前提にしたEU型の対応をそのまま国内に持ち込むと、過剰になりやすい。国内では「説明できる記録を残す」ことに重点を置いたほうが、費用対効果が高い。

AI事業者ガイドラインが実務の基準線になる

総務省・経済産業省の「AI事業者ガイドライン」に法的拘束力はない。ただ、社内規程を作るときの事実上の参照点になっている。

第1.0版は2024年4月に公表され、その後も改訂が続いている。開発者・提供者・利用者という3つの立場ごとに、次の10項目の指針を示す構成だ。

1. 人間中心
2. 安全性
3. 公平性
4. プライバシー保護
5. セキュリティ確保
6. 透明性
7. アカウンタビリティ
8. 教育・リテラシー
9. 公正競争確保
10. イノベーション

実務では、この10項目をそのまま社内AI利用ポリシーの章立てにし、各項目に自社の具体的な統制を対応させる進め方が使いやすい。

章立てを国のガイドラインにそろえる効果は、社内よりも社外に対して大きい。取引先や監査から「どの原則に、どの統制で対応しているか」と聞かれたとき、対応表をそのまま回答に使えるからだ。

実際に企業を縛っているのは既存法である

現時点で日本企業を最も強く縛っているのは、AI固有の法律ではない。個人情報保護法・著作権法・不正競争防止法などの既存法だ。

AI法規制への対応を新しいプロジェクトとして立ち上げる前に、既存の個人情報保護体制や知財管理にAIのユースケースを組み込めないかを検討したい。そのほうが早く動き出せる。

既存の委員会・審査フロー・記録様式を使い回せれば、新しく作るのは「AI固有の判断基準」だけで済む。ゼロから体制を作ろうとして半年を費やすより、既存の枠組みに1行を書き足すほうが確実に進む。

AI法規制違反の罰則とリスクはどれくらい？

EU AI法は、全世界売上高に連動した高額の制裁金を科す。日本では行政・契約・評判に関わるリスクが中心になる。

EU AI法の制裁金は最大で全世界売上高の7%

禁止されるAI慣行に違反した場合、制裁金の上限は3,500万ユーロと全世界年間売上高の7%のうち、高い方の額になる。

中小企業・スタートアップには、上の表のうち低い方の額を上限とする緩和措置がある。金額が大きいので、経営層の関心は集めやすい。一方で実務の現場では、制裁金の話ばかりが先に進み、肝心の台帳整備が進まないという副作用も起きやすい。金額は動機づけに使い、議論の中心は分類と統制に置きたい。

日本では制裁金より「事業が止まるリスク」が大きい

国内では、直接の罰則よりも行政指導・取引先からの要求・サービス停止といった事業継続上のリスクが先に表面化する。

• 個人情報保護委員会からの指導や勧告
• 取引先の調達審査で、AIガバナンスの要件を満たせない
• 生成物の権利侵害を理由としたコンテンツの取り下げ

どれも売上や納期に直接響く。特にBtoBでは、顧客企業のセキュリティ・AIアセスメントシートにAI法規制対応の項目が加わる例が増えている。回答できなければ商談が進まないため、法令とは別の実質的な強制力が生まれている。この「調達経由の規制」は、法令の適用時期より早く来ることがある点に注意したい。

経営に説明するときはリスクを3層に分ける

リスクを制裁金・事業継続・評判の3層に分けて示すと、経営層との投資判断の議論が具体的になる。

自社が実際にどの層のリスクを抱えているかを先に確定させないと、ずれが生じる。たとえば、EU向けの売上がほとんどない企業がEU AI法対応に過剰に投資する、といったことだ。層ごとに担当部門を決めておけば、誰が対応するのかが曖昧にならない。

企業はAI法規制対応を何から始めるべき？

最初にやるべきなのは棚卸しとリスク分類だ。ガバナンス体制と規程の整備は、その結果をもとに進めるのが定石である。

全体の流れは、次の3ステップに整理できる。

ステップ1：AIユースケースの棚卸しと分類

社内で使われているAIを用途単位で洗い出し、EU AI法のリスク区分に仮に当てはめるところから始める。

1. 収集：部門へのヒアリングとSaaSの利用状況から、AI機能を含むツールとユースケースを一覧にする
2. 単位の統一：ツール名ではなく、「誰の、どの意思決定を、どう支援するか」で1行を定義する
3. 仮分類：禁止／高リスク／限定リスク／最小リスクのいずれかに割り当て、判断の根拠を1〜2行で記録する
4. 域外判定：出力がEU域内で使われるか、EU向け製品に組み込まれるかを個別に確認する
5. 優先順位づけ：高リスク候補と、個人データを扱うものから着手する

この棚卸しで予想以上に多く見つかるのが、業務部門が個別に契約したSaaSに後から追加されたAI機能だ。IT部門が把握していないことが多いため、最初の一巡では作業の大半が「見つける」ことに費やされると考えておいたほうがよい。初回から完璧な網羅を目指すより、四半期ごとに棚卸しを繰り返して精度を上げるほうが、結果的に早く形になる。

ステップ2：ガバナンス体制と規程の整備

責任者・審査プロセス・記録の3点を先に決めておくと、案件ごとに判断がばらつくのを防げる。

AIガバナンスは、次の3点を最小構成として設計すると扱いやすい。

1. AI利用の承認権限を持つ責任者または委員会
2. 新しいユースケースのリスク審査フロー
3. 判断と運用の記録

この構成はISO/IEC 42001:2023（AIマネジメントシステム）の要求事項とも相性がよく、将来の第三者認証や取引先への説明にもそのまま使える。NIST AI RMF 1.0が定めるGovern／Map／Measure／Manageの4機能を、社内プロセスを分解する軸として使う方法もある。

規程は、ゼロから書き起こすより、AI事業者ガイドラインの指針を章立てにして各章に自社の統制を書き込むほうが短期間でまとまる。審査フローを設計するときは、最小リスクのユースケースまで委員会にかけずに済む「軽量パス」を最初から用意しておくことが大切だ。すべてを重い審査に通す設計にすると、現場は審査を避けて申告しなくなり、台帳の網羅性そのものが崩れてしまう。

ステップ3：契約・調達とモニタリングへの落とし込み

ベンダー契約に情報提供義務と変更通知の条項を入れ、運用開始後に定期的に再評価するルールを決めておく。

高リスクに該当しうるユースケースでは、ベンダーから技術文書・想定用途・既知の限界・ログ仕様を受け取れなければ、自社の義務を果たせない。また、モデルのバージョン更新で挙動が変わることを前提に、モデル変更時に再評価するルールを運用に組み込んでおきたい。AIエージェントのように自分でツールを呼び出す構成では、権限の範囲と操作ログの設計によって、後から説明できるかどうかが決まる。

再評価のきっかけ（トリガー）は、次の4つに絞って定義しておくと運用が続きやすい。

規制対応は一度作れば終わりではない。ユースケースの追加やモデルの更新に合わせて続けていく運用の問題だ。台帳と再評価のサイクルが回っていれば、EU AI法の適用時期が前後しても、国内ガイドラインが改訂されても、変わった部分への対応だけで済む。

主な参照元：規則(EU) 2024/1689（EU AI法、2024年7月12日EU官報公布・2024年8月1日発効）／人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）／総務省・経済産業省「AI事業者ガイドライン」／文化庁「AIと著作権に関する考え方について」（2024年3月）／ISO/IEC 42001:2023／NIST AI Risk Management Framework 1.0

本稿は一般的な情報提供を目的としたものであり、個別事案への法的助言ではありません。具体的な適用判断は、社内法務部門または専門家にご確認ください。

姉妹メディアの関連記事