EUのAI法は、海の向こうの話では終わらない

海外の取引先から、長い質問票が届いたことがある。自社の情報管理について、何十項目も答えさせられる類のものだ。当時はデータ保護の話だったが、答えながら思った。向こうの法律が、こちらの会社の中まで入ってくる。直接の名宛人ではないのに、取引を続けるには、向こうの基準で自分を説明しなければならない。法律は国境で止まるが、取引は止まらないからだ。

AIでも、同じことが起きようとしている。欧州連合のAI法、いわゆるEU AI Actだ。日本の会社には関係ない、と思われがちだが、関係の有無を決めるのは会社の所在地ではなく、作ったAIがどこで使われるかだ。今日は、この法律の何が日本企業に届くのかを、実務の順に整理する。

所在地ではなく、使われる場所で決まる

EU AI法は2024年に発効し、段階的に適用が始まっている。この法律の特徴は、域外適用にある。EUの域内で提供されたり、EUの域内で利用されたりするAIであれば、それを作った会社がどこにあっても対象になる。日本の会社が日本で開発したAIでも、欧州の顧客がそれを使えば、法の射程に入る。私が受け取ったあの質問票と、構造は同じだ。相手の市場に触れた瞬間、相手の法律が自分の基準になる。

だから、日本企業がまず確かめるべきは、自社のAIが欧州に触れているかどうかだ。欧州に拠点がある。欧州の顧客に製品やサービスを売っている。欧州の人のデータを扱っている。どれか一つでも当てはまれば、この法律は海の向こうの話ではなくなる。

義務の重さは、「リスクの段階」で決まる

この法律は、AIを使い方のリスクで段階に分け、段階ごとに義務の重さを変えている。人の安全や権利に深く関わる「高リスク」のAIには、適合性の評価、技術文書の整備、人間による監視の仕組み、登録といった重い義務がかかる。一方、一般的な業務効率化のためのAIは、多くが軽い義務か、義務なしの側に入る。つまり、日本企業の大半にとって、この法律は「全部が義務になる」話ではなく、「自社のAIがどの段階に入るか」を見極める話だ。

見極めの起点は、用途だ。採用や人事評価、与信、教育や試験の判定、重要なインフラの制御——こうした領域に使われるAIは、高リスクの側に入りやすい。社内の文書作成や要約、顧客対応の下書きは、通常その側には入らない。自社のAIを用途で並べ、欧州に触れるものがあれば、その用途が高リスクの領域に入っていないかを確かめる。それが最初の一歩だ。

期日は一度動いた——だからこそ、確かめ方を持つ

ここで、期日について、経緯ごと書いておく。高リスクAIへの本格的な義務のうち、雇用や教育や与信のような単体の高リスク——附属書IIIと呼ばれる区分——は、当初、2026年8月2日から適用される予定だった。ところが、欧州の側で企業の準備期間を延ばす見直しが進み、2026年5月に政治合意、6月に欧州議会が承認し、7月24日に官報に掲載された規則（Regulation (EU) 2026/1744）が7月27日に発効した。これで延期は確定し、附属書IIIの義務は2027年12月2日から、製品に組み込まれるAIを扱う附属書Iの義務は、2027年8月2日から2028年8月2日へ、それぞれ後ろに動いた。

期日は、一度決まったうえで、動いた。こうした見直しは、この先も起きる。だから実務家がやるべきは、日付を暗記することではなく、日付を確かめる場所を持つことだ。欧州委員会の公式情報、あるいは国内の法律事務所が出す解説の最新版。担当者を決め、四半期に一度、期日を確かめる。確かめた日付と出典を一行で残しておけば、次に確かめる人は、前回との差分だけを見れば済む。この習慣があれば、期日が再び動いても慌てない。私が受け取った質問票も、結局は相手の法律が何をいつ求めるかを、こちらが追い続ける体制を作ったことで、二回目からは楽になった。

欧州の取引先から質問票が届く前に、自社の側で一覧を作っておくことも勧めたい。自社のAIが欧州に触れる経路、その用途、リスクの段階の自己評価。質問票は、たいてい相手の都合の順番で、相手の用語で書かれている。こちらに一覧があれば、相手の用語に翻訳して返すだけで済む。私があの質問票で苦労したのは、聞かれてから社内を走り回ったからだった。

日本のガイドラインとの関係

日本には、法的拘束力のないAI事業者ガイドラインがある。EUの法律は拘束力があり、違反には制裁がある。性格は違うが、求めている中身は、かなり重なる。リスクに応じた対応、人間の関与、文書と記録。日本のガイドラインに沿って自社のAIを整理してきた会社は、EU法の準備の大半を、すでに済ませていることになる。逆に、ガイドラインは任意だからと何もしてこなかった会社は、欧州に触れた瞬間に、任意ではない義務として同じ内容を求められる。

私はAIを使うことに賛成で、法律を理由に萎縮する必要はないと思っている。だが、自社のAIが欧州に触れているかどうかを知らないまま使い続けるのは、萎縮の反対の、無防備だ。触れているか。触れているなら、どの用途か。その用途は高リスクの側か。期日はいまどこにあるか。この四つを、年に数回確かめる。海の向こうの法律は、この四つの問いの形で、日本の会社の机の上まで届いている。

アイキャッチ画像はAI生成です。