自社のAI活用はEU AI Actの「高リスク」に該当するのか

著者: Tracy N · 更新日: 2026年1月12日

EU AI Actについて耳にしたことのある経営者の多くは、これはAIを開発する企業の問題であり、AIツールを購入して使うだけの企業には関係ないと考えています。しかし、多くの企業にとってこの認識は誤りです。欧州で製品を一度も販売したことのない企業も例外ではありません。

本当に重要な問いは、報道から受ける印象よりもシンプルです。そもそもこの法律が自社に適用されるのか、そして適用される場合、自社のどのAI活用が高リスクに該当するのか。本記事では、この2つの問いにわかりやすくお答えし、今週中に実施できるセルフチェックもご紹介します。期限がどう変わっても揺るがないコンプライアンスの土台づくりについては、規制変更に左右されないAIコンプライアンスに関する関連記事をご覧ください。

先にお断りしておきますが、本記事は一般的なビジネス情報であり、法的助言ではありません。自社の具体的なリスクについては、資格を持つ専門家にご確認ください。

EU AI Actは自社に適用されるのか：本社の所在地だけでは決まりません

最もよくある誤解は、EU AI Actを欧州企業のための欧州の問題だと考えることです。実際にはそうではありません。この法律の適用範囲は、AIシステムを所有する企業がどこで設立されたかではなく、AIシステムがどこで使われるか、あるいはその出力がどこの人々に影響を与えるかによって決まります。

同法の第2条は、適用対象となる3つの経路を定めています。所在地を問わずEU市場にAIシステムを投入するプロバイダー、EU域内に設立または所在するデプロイヤー（たとえば欧州拠点でAI採用ツールを運用している場合が該当します）、そしてAIシステムの出力がEU域内で使用されるEU域外のプロバイダーおよびデプロイヤーです。本社の所在地は適用除外の理由にはならず、同法の対象となる基準は、多くの経営陣が想定しているよりも低いのです。

事業の一部でもEUに販売している、EUで人を雇用している、あるいはEU在住の顧客や従業員に影響するAI主導の判断を行っているのであれば、同法を外国の規制にまつわる遠い話ではなく、自社の現実的な課題として扱ってください。

プロバイダーかデプロイヤーか：すべてを左右する区別

同法が適用される可能性があるとわかったら、次の問いは自社がどの役割を担うかです。答えによって義務の内容が大きく異なるためです。

プロバイダーとは、AIシステムを開発して市場に投入する者です。OpenAI、Anthropic、御社が利用しているATSベンダー、信用スコアリングソフトウェアの提供企業などがこれにあたります。デプロイヤーとは、事業の中で自らの権限のもとにAIシステムを使用する者です。御社がAI搭載の採用ツール、AIによるスコアリング機能を備えた人事評価プラットフォーム、あるいは与信判断ツールを購入し、自社で開発していないのであれば、御社はプロバイダーではなくデプロイヤーです。

本記事をお読みのB2B企業の多くはデプロイヤーに該当します。これが重要なのは、デプロイヤーの義務はプロバイダーの義務より軽いものの、ゼロではないからです。高リスクAIシステムのデプロイヤーには、重大な判断に対する人による監督の維持、システム運用の監視、利用状況の記録の保管が引き続き求められます。仕様どおりにシステムを構築する責任はベンダーにあり、それをどう運用するかの責任は御社にあります。これらは別々の義務であり、「コンプライアンスはベンダーが対応してくれる」というSaaS調達でよくある前提は、全体の半分しかカバーしていません。ベンダーにはコンプライアンス関連の資料を求めるべきですが、「対応済み」という回答をもって自社の責任が終わったとは考えないでください。

「高リスク」に該当するものをわかりやすく解説

EU AI Actは、AIシステムがどれほど高度かによって高リスクかどうかを分類するわけではありません。そのAIがどのような判断に関わるかによって分類します。応募者をランク付けするだけのシンプルなツールは高リスクです。一方、マーケティング文章を作成するはるかに高度なAIシステムは、通常は高リスクに該当しません。

同法の附属書IIIに基づくカテゴリーのうち、一般的なB2B企業に特に関係するものは次のとおりです。

雇用および労働者の管理。 応募者を選別またはランク付けする採用ツール、人事評価や昇進判断に使われるAI機能、懲戒や解雇の判断材料となるモニタリングツールなどです。御社の応募者追跡システムにAIスコアリング機能があるなら（現在の製品の多くには搭載されています）、高リスクのユースケースを運用している可能性が高いといえます。

与信および必須サービスへのアクセス。 個人の信用力を評価するAI、個人向けの生命保険や医療保険の保険料を算定するAI、その他の必須サービスへのアクセスを判断するAIです。個人事業主や個人保証人など、企業がAIを使って個人の信用を判断する場合には、銀行以外にも適用が及ぶことがあります。他の企業を対象とする与信判断は通常このカテゴリーの対象外であり、それがB2Bのリードスコアリングや売上予測のリスクが一般にはるかに低い理由です。

教育および職業訓練。 学生の評価、試験の採点、研修や教育プログラムへのアクセスの決定に使われるAIシステムです。

法執行や移民・国境管理も同法における高リスクのカテゴリーですが、一般的なB2B企業に関係することはほとんどありません。

高リスクに「該当しない」もの

文章で確認すると、多くの経営者が安心する部分です。日常的な職場のAIの大半、つまり文章作成アシスタント、会議の要約ツール、社内検索、コード補完ツール、そしてReworkのようなツールに備わる一般的な生産性向上機能は、高リスクのカテゴリーには該当しません。高リスクとされるのは、特定の個人に関する重大な判断を下す、またはその判断に実質的な影響を与えるAIです。チームの文章作成や業務整理を効率化するだけのツールは、それだけではこの基準を満たしません。

クイックセルフチェック

期限の現状（2026年10月時点）

上記のコンプライアンス上の問いは時期によって変わりませんが、それぞれが執行対象となる時期は変わりました。Orrickによる最終条文の分析によると、2026年7月下旬に発効したEUの「AIに関するデジタル・オムニバス」によって、高リスクシステムの執行スケジュールが改められました。

雇用、与信、教育などを含む上記の附属書IIIのカテゴリーに関する義務は、2026年8月2日には発効しなくなりました。Jones Walkerによる延期の解説とMorgan Lewisのクライアント向けアラートはいずれも、新たな期限が2027年12月2日であることを確認しています。附属書Iに基づく医療機器や機械などの規制対象製品に組み込まれたAIに関する高リスクの義務は、さらに先の2028年8月2日に延期されました。

すべてが延期されたわけではありません。AIと対話していること、AI生成コンテンツを閲覧していること、感情認識や生体情報によるスコアリングを受けていることの開示を求める第50条の透明性ルールは、引き続き2026年8月から適用されます。限定的な例外として、2026年8月2日より前に市場に投入されていたシステムのプロバイダーには、技術的な電子透かしの実装について2026年12月2日までの猶予が与えられています。

重要なポイント

• 附属書IIIに基づく高リスクの義務（雇用、与信、教育などの用途）は、2026年8月2日から2027年12月2日に延期されました。
• 附属書Iに基づく製品組み込み型AIの高リスクの義務は、2028年8月2日に延期されました。
• 第50条に基づく透明性の義務（AIとの対話の開示、ディープフェイクの表示）は、延期の影響をほとんど受けず、2026年8月から引き続き適用されます。
• より限定的な猶予期間として、2026年8月より前に市場に投入されていたシステムの技術的な電子透かしへの対応期限は、2026年12月2日まで延長されました。
• Morgan Lewisは、今回の延期を、基礎となる義務の実質的な緩和ではなく、AI Actへのコンプライアンス対応を完了するための期間延長と位置づけています。

期限は動きました。しかし、高リスクに該当するカテゴリーは変わっていません。自社が対象となるかどうか、そして自社のどのAI活用が該当するかという答えは、デジタル・オムニバス以前と同じです。

今後30日間で取り組むべきこと

最初の3つのステップは、外部の弁護士に頼らなくても完了できます。ただし、そこから導いた結論に依拠する前には、専門家の確認が必要です。

1. チームが実際に使っているすべてのAIツールを洗い出します。 AI目的で購入したわけではないソフトウェアに組み込まれた機能も含めてください。人事、営業、財務、カスタマーサクセスの各責任者は、法務部門が把握していないツールをそれぞれ知っています。
2. 各ツールを上記のセルフチェック表に照らして確認します。 EUの人々や市場に関わるか。自社開発ではなく購入したものか。特定の個人の雇用、与信、教育へのアクセスについてスコア付けや判断を行うか。
3. 高リスクのカテゴリーに該当するものをすべて洗い出します。 期限が2027年12月に延期されていても同様です。雇用や与信の判断ツールに関する文書化と監督プロセスの構築には、数週間ではなく数か月かかります。
4. 透明性の義務を今すぐ確認します。 第50条はすでに適用されています。AIが生成した顧客向けのコミュニケーションには、すべてAIによるものであることが明示されていますか。
5. 正式な分類の判断には法律の専門家を交えます。 棚卸しと事前のセルフチェックが済んでいれば、一般論ではなく具体的な回答を得るために必要な材料がそろっています。

御社のAIを活用した営業ツールやリードスコアリングツールがEUの顧客に関わる場合は、EU AI Act下でのAIリードスコアリングに関するRevOpsコンプライアンスチェックリストで、この棚卸しの機能別バージョンを解説しています。対象範囲が判明した後の文書化については、部門向けAIガバナンスポリシーの作成ガイドとAI導入準備度の評価テンプレートをご覧ください。EUでのリスクと、より緩やかな米国の姿勢を比較検討している場合は、規制緩和を進める米国の大統領令に関する記事で、ある法域の規制緩和が別の法域の義務を打ち消すわけではない理由を解説しています。また、AIエージェントが多くの企業の保護範囲を超えるシステムアクセス権を持つようになった理由についての記事では、関連するセキュリティの観点を取り上げています。

出典： Orrick「EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes」（2026年7月） | Jones Walker「Yes, August 2 Still Matters: The EU Approved a High-Risk AI Delay, but Most Transparency Obligations Remain」（2026年7月） | Morgan Lewis「EU Approves Delays and Other Amendments to Certain EU AI Act Obligations: What Businesses Should Know」（2026年6月）

本記事は一般的なビジネス情報であり、法的助言ではありません。AI規制は急速に変化し、法域によっても異なります。コンプライアンスに関する判断を行う前に、資格を持つ法律の専門家に自社の具体的な義務をご確認ください。