EU AI法の適用スケジュールが確定、8月2日に透明性義務、12月に「裸体化」アプリ禁止へ

EUの4億5000万人の単一市場でAIシステムを展開するすべての企業は、6日後に迫る最初の透明性義務の適用に向けて対応を迫られている。また、12月2日までにAI製品から「裸体化（nudifier）」や児童性的虐待素材（CSAM）の生成機能を排除しなければ、EU法に基づく厳格な禁止措置に直面することになる。AI法の一部要件を修正する「AIに関するデジタル包括法」が2026年7月27日に発効し、企業が対応すべきコンプライアンスの期限が法的に確定した。

■確定したコンプライアンスカレンダー

今回の進展により、EUの最も厳しいAI規制がいつ適用されるのかという、企業のコンプライアンス計画に約1年間つきまとっていた疑問が決着した。その答えは法的拘束力を持つものとなり、適用スケジュールは分割されることになった。第1波は来週日曜日（8月2日）に到来する。第2波は、AIが生成する性的危害に関する2つの新たな禁止事項を対象とし、12月2日に適用される。第3波は、多くの企業が「AI法」として認識している高リスクAIの義務全般を対象とし、2027年12月2日に適用される。第4波は、規制対象製品に組み込まれたAIを対象とし、2028年8月2日に適用される。

しかし、このカレンダーが保証できないこと、そして多くのコンプライアンスガイドが明確に述べていないのは、期限が到来した際に、企業が要件を満たすために必要なインフラが整っているかどうかである。標準化プロセスを追跡しているMorrison Foersterなどの法律事務所の分析によれば、CEN-CENELECの合同技術委員会21（JTC 21）による整合規格は、当初の2025年4月の目標から継続的な延期状態にあり、2026年12月まで完全に準備が整わない可能性がある。2027年12月の期限は無条件だが、Cloud Security Allianceの企業準備状況分析が示すように、その基盤となる適合性評価の仕組みはまだ構築中である。

■法律成立までの経緯

AIに関するデジタル包括法は、2025年11月19日に欧州委員会によって初めて提案された。これは、AI法の管理負担、分野別規制との要件の重複、法律の採択から施行までの期間の短さに対する業界の不満を受けた、より広範な簡素化アジェンダの一環であった。

批判は多方面から寄せられた。ドイツやフランスの製造業者を代表する業界団体は、コンプライアンスを証明するために必要な技術標準よりも早く、高リスク義務が適用されると主張した。Cloud CaptainsのEU AI法コンプライアンスガイドが記録しているように、中小企業（SME）は、高リスク製品1つあたり約40万ユーロ（約45万6000ドル、約7478万円、1ドル=164円換算）のコンプライアンスコストがかかるとする欧州委員会の影響評価を指摘した。市民社会の研究者たちはより厳しい見方を示しており、Jacques Delors Centreが発表した分析では、包括法は「潜在的な影響の適切な評価なしに実質的な変更を提案している」と指摘された。また、TechPolicy Pressが引用した研究者は、修正案に関する委員会の協議が業界参加者に大きく支配されていたことを挙げ、このパッケージを「企業のロビー団体のウィッシュリスト」の産物であると表現している。

交渉は2回のトリローグ（三者協議）を経て行われた。DLA Piperのデジタル包括法に関する最新情報が確認しているように、2026年3月26日に最初のトリローグが開始され、4月28日の2回目は合意に至らず終了した。ブリュッセル時間の5月7日午前4時30分に暫定合意に達した。欧州議会の立法手続きスケジュールによれば、欧州議会は6月16日にこの合意を正式に承認し、理事会は6月29日に最終的な承認を与え、7月8日に署名され、7月24日に官報で公布された。

■変更点：高リスクAIの適用延期

最も重要な変更は、AI法第113条第3項の書き換えであり、高リスクAI義務の適用日を2026年8月2日から2つの新たな固定日に置き換えたことである。

規則（EU）2026/1744の公式テキストによれば、採用審査、信用スコアリング、法執行の意思決定支援ツール、国境管理などのユースケースをカバーするスタンドアロンのAIアプリケーションである「附属書III」のシステムは、コンプライアンス期限が2027年12月2日となり、約16ヶ月の延期となった。

医療機器、機械、民間航空機器、エレベーターなどの規制対象製品に安全コンポーネントとして組み込まれたAIである「附属書I」のシステムは、2028年8月2日が期限となる。これも同規則の公式テキストで確認されている。

影響を受ける義務は、リスク管理システム、技術文書、データガバナンス基準、人間の監視メカニズム、第三者による適合性評価など、高リスクに関する一連の要件すべてである。

欧州委員会の2025年11月の当初提案からの構造的な変更点として、直接注目すべき点が1つある。委員会は当初、延期を条件付きのトリガーに結びつけることを提案していた。つまり、整合規格とサポートツールの準備が整ったと委員会が評価した時点で、高リスク規則が適用されるというものであった。最終的なテキストでは、この条件付きメカニズムが完全に削除されている。Modulos Blogの包括法成立に関する分析が説明しているように、これらの日付は無条件のカレンダー上のマイルストーンとなっている。

これは計画を立てる上では朗報だが、コンプライアンスにとっては必ずしも朗報ではない。aiactblog.nlのAI法ブログが観察しているように、当初の2026年8月の期限は「整合技術規格、適合性評価のための通知機関、および国家の監督インフラからなる機能的なエコシステムを前提としていた。2025年後半の時点で、そのエコシステムの準備が整っていないことは明らかだった」。2027年12月の期限は固定されたが、それまでにエコシステムの準備が整うことを保証するものではない。

■カレンダーの確実性とインフラの不確実性

附属書IIIの延期は、法的確実性の問題を解決するが、コンプライアンスインフラの問題を解決するものではない。

AI法への適合性を証明するために企業が必要とする約35の整合技術規格を開発しているCEN-CENELEC合同技術委員会21（JTC 21）は、2025年4月の完了目標を達成できなかった。Cloud Security Allianceの準備状況分析によると、最初の関連規格である品質管理システムを対象とするprEN 18286は、予定より8ヶ月遅れの2025年10月にようやく公開調査に入った。Morrison Foersterの分析によれば、JTC 21からの連絡は、規格の完全なスイートが2026年12月より前には利用できない可能性を示唆している。つまり、2027年12月の期限に対して、規格に裏付けられたコンプライアンスの準備期間は18ヶ月ではなく、わずか12ヶ月しかない可能性がある。

通知機関（ノーティファイド・ボディ）の不足がこの問題をさらに複雑にしている。通知機関とは、独立したレビューを必要とする高リスクAIシステムの適合性評価を実施する第三者機関である。EyreActが発表した分析によると、2026年3月の時点で「AI法の適合性評価に特化して完全に指定された機関はごくわずか」である。初期の契約から認証までの期間は、システムの複雑さに応じて9ヶ月から24ヶ月に及ぶ。つまり、2027年まで契約を待つ企業は、順番待ちの列がすでに埋まっていることに気づくかもしれない。

あるコンプライアンスガイドが表現しているように、「新しい日付を立ち止まる許可だとみなす組織は、立法者が先送りしたのと同じ準備不足の危機に2027年に直面する可能性が高い」。この点は、aiactblog.nlのAI法ブログも直接指摘している。

■8月2日：来週日曜日に実際に適用されるもの

デジタル包括法が「AI法を遅らせる」ものとして広く報道されているにもかかわらず、いくつかの主要なトラックは当初の2026年8月2日のスケジュールのまま進行する。

第5条の禁止事項（公的機関によるソーシャルスコアリング、サブリミナル操作、公共空間でのリアルタイム生体認証の厳格な禁止）は、2025年2月2日から施行されており、変更はない。

汎用AI（GPAI）モデルの義務（最大のフロンティアモデルに対する学習データ、エネルギー消費、システミックリスク評価に関する透明性要件）も既存のスケジュールのままであり、TechTimesが7月10日に報じたように、8月2日に罰則執行権限が発動する。

第50条の透明性義務は、消費者向けAIを展開するほとんどの企業が今すぐ理解しておくべき一連の規則である。これらは8月2日に施行され、3つの具体的な要件をカバーしている。第1に、自然人と対話するAIシステム（チャットボット、音声アシスタント、自動コールセンターなど）は、相手がAIと話していることを開示しなければならない。第2に、生成AIシステムのプロバイダーは、AIが生成した音声、画像、動画、テキストに機械可読なマーカーを埋め込み、出力が人工的に生成されたものであることを検出可能にしなければならない。第3に、ディープフェイク（本物に見える可能性のある方法で実在の人物を描写した、AI生成またはAI操作されたコンテンツ）を公開する展開者は、そのコンテンツがAI生成であることを視覚的にラベル付けしなければならない。

第50条の中で1つだけ対象を絞った延期が適用される。8月2日より前にすでにEU市場に出回っていた生成AIシステムについては、機械可読な透かし要件が2026年12月2日まで延長される。8月2日以降に立ち上げられたシステムは、初日から準拠しなければならない。TechTimesの7月21日の透かし義務に関するレポートが説明しているように、チャットボットの開示要件にもディープフェイクのラベル付け要件にも猶予期間は設けられていない。

透かしの義務化は、まだ単一の標準に収束していない技術環境に導入される。TechTimesが7月21日に報じたように、現在、4つの法的要件すべてを同時に満たす単一の透かし技術は存在しない。OpenAIとGoogle DeepMindは2026年5月、ChatGPTの画像出力にSynthIDのピクセルレベルの透かしとC2PAの暗号化メタデータの両方（EU AIオフィスの行動規範が必要と特定しているデュアルレイヤーアーキテクチャ）を搭載していると共同で発表した。しかし、同レポートによれば、小規模なプロバイダーやテキスト生成に特化した企業は、より困難なコンプライアンスの課題に直面している。

Ontrac Solutionsが発表した分析によると、今年の春の時点で約78%の組織が意味のあるコンプライアンス措置を講じておらず、半数以上が自社で稼働させているAIシステムの基本的なインベントリを作成できていなかった。

■12月2日：AIが生成する性的危害の新たな禁止

デジタル包括法は、AI法第5条に2つの新たな禁止事項を追加し、いずれも2026年12月2日に発効する。

1つ目は、同意のない親密な画像（NCII）を生成または操作するAIシステムを禁止するもので、特に実在の特定可能な個人のリアルなヌード描写を生成する「裸体化（nudifier）」アプリケーションを標的としている。最終的なデジタル包括法の修正に関するFreshfieldsの分析が詳述しているように、禁止された素材の生成がシステムの意図された目的であるか、または合理的に予見可能な結果である場合、適切な技術的保護措置（具体的には、拒否トレーニング、出力制御、コンテンツフィルタリング）が講じられていない限り、プロバイダーと展開者は責任を問われる。

2つ目の禁止事項は、児童性的虐待素材（CSAM）を生成するAIシステムを禁止するものである。

NCIIの禁止は、文書化された被害を背景に導入された。以前のTechTimesの調査では、この禁止措置のきっかけの一部として、xAIが開発したAIアシスタント「Grok」が11日間で推定300万枚の性的な同意のない画像を生成した特定の事件が挙げられている。同意のないディープフェイクに関する法律に関するDuckDuckGooseの分析によれば、この禁止措置は、研究者や被害者支援団体が一貫して「圧倒的に女性と女児を標的とし」、被害者に「深刻で永続的な影響」をもたらすと説明してきた被害に対する、EU初のAI特化型の立法的対応である。

AIの機能そのものに対する供給側の禁止というEUのアプローチは、米国の対応とは構造的に異なる。2025年5月にトランプ大統領が署名して成立したTAKE IT DOWN法は、同意のない親密なディープフェイクの配布を犯罪とし、対象となるプラットフォームに通知と削除のプロセスを実装することを義務付けている。これは生成機能ではなく、配布チャネルを標的としている。2026年6月18日に上院司法委員会が全会一致で承認したNO FAKES法は、第3のアプローチをとる。Holland & Knightの同法案の進展に関する分析が説明しているように、すべての個人にAI生成レプリカにおける自身の声と視覚的肖像を管理する連邦知的財産権を付与するというものである。

デジタル包括法の下では、適切な技術的保護措置を組み込んでいないNCII生成システムは、プロバイダーの法人設立地に関係なく、2026年12月2日以降、EUのユーザーに合法的に提供することはできない。

■EU AIオフィスが独占的な監督権限を獲得

この規制は第75条を大幅に書き換え、欧州委員会内に設立され、ルシラ・シオリ（Lucilla Sioli）ディレクターが率いるEU AIオフィスに、2つの新しいカテゴリーのAIシステムに対する独占的な監督権限を付与している。

1つ目は、汎用AIモデルに基づいて構築されたAIシステムであり、同一のプロバイダー、または同一の企業グループ内のプロバイダーが、基盤となるモデルとその上に展開されるAIシステムの両方を開発した場合を対象とする。2つ目は、デジタルサービス法（DSA）の下で超大型オンラインプラットフォーム（VLOP）または超大型オンライン検索エンジン（VLOSE）に指定されたプラットフォームに統合されたAIシステムを対象とする。

国家当局は、法執行システム、国境管理、司法当局、および特定の規制された状況における金融機関に対する権限を維持する。

この権限の集中化は、27の加盟国がAI法の要件について27の異なる解釈を生み出すという業界の懸念に応えたものである。Bloomsbury Intelligence and Security Instituteのアナリストは、この権限拡大により、AIオフィスが「スーパーレギュレーター」として位置づけられると説明している。

デジタル包括法はまた、AIオフィスが直接運営するEUレベルの専用の規制サンドボックスを設立し、中小企業、スタートアップ、小規模ミッドキャップ企業に優先的なアクセスを提供する。

■中小企業向けの簡素化

デジタル包括法の繰り返される構造的なテーマは、これまで中小企業（SME）のみが利用できたコンプライアンスの簡素化を、新たに定義された「小規模ミッドキャップ（small mid-cap）」カテゴリーに拡大することである。その規定には以下が含まれる。

通知機関が受け入れることを義務付けられる、簡素化された技術文書テンプレート。より比例的な品質管理システムの期待値。規制サンドボックスへの優先アクセス。罰金が科される前にコンプライアンス違反を是正するための30日間の警告期間を含む、より調整された罰金の上限。

第4条に基づくAIリテラシー要件も緩和された。プロバイダーと展開者に対し、スタッフの十分なレベルのAIリテラシーを確保する義務であったものが、そのリテラシーの開発を支援するための措置を講じる義務へと変更された。これは結果の義務からプロセスの義務への移行である。

■非高リスクシステムのデータベース登録変更

この規制は、プロバイダーが文書化された正当な理由とともに、自社のシステムが狭い範囲または手続き上の範囲であるため高リスク分類から外れると結論付けた場合、そのAIシステムをEUのデータベースに登録する要件を削除している。

■エージェントAIの新たな分類

デジタル包括法への構造的な追加の1つとして、企業のテクノロジーチームから注目を集めているのが、規制の技術的附属書における「エージェントAI（Agentic AI：AIH 0401）」という新たな分類カテゴリーの導入である。

元のEU AI法では、「AIエージェント」を明確な法的カテゴリーとして定義していなかった。第3条(1)における機能的で技術中立的な定義は、アーキテクチャの進化に伴う定義の更新を必要としないように正確に設計されていた。しかし、自律的に計画を立て、外部ツールを呼び出し、複数ステップのアクションチェーンを実行するAIシステム（実用的な意味でのエージェントシステム）の急増により、明確な経路を設けるよう規制上の圧力が生じたと、EU法下でのAIエージェントに関する研究は記録している。

新しいAIH 0401分類は、エージェントに対するAI法の既存の3層のコンプライアンスアーキテクチャ（施行中の第5条の禁止事項、8月2日からの第50条の透明性義務、およびエージェントが高リスク領域で動作する場合の第III章の高リスク義務）を維持しつつ、明確な経路を作成する。エージェントAI規制に関するDeeployの分析が説明しているように、コンプライアンス義務はGPAIモデルのプロバイダーから、その上でエージェントを展開する企業に移行するわけではなく、双方が並行して義務を負う。

AIH 0401フレームワークの下でのエージェントシステムの規制上の扱いは、今後数ヶ月間、AIオフィスのガイダンスの焦点となることが予想されている。

■今後の完全なコンプライアンスカレンダー

2026年8月2日まで（6日後）：第50条の透明性義務が、EUにおけるすべての新しいAIシステムの展開に適用される（チャットボットの開示、ディープフェイクのラベル付け、機械可読なコンテンツのマーキング）。GPAIの罰則執行権限が発動する。

2026年12月2日まで：NCIIおよびCSAMの生成に関する第5条の新たな禁止事項が発効する。そのような出力を生成できるAI製品は、適切な技術的保護措置を組み込むか、禁止の範囲から明確に外れるか、またはEUユーザーへの関連機能の提供を中止しなければならない。第50条(2)の機械可読な透かし義務は、8月2日より前にすでにEU市場に出回っていた生成AIシステムにも拡大される。

2027年12月2日まで：附属書IIIに基づく高リスク義務の完全なスイート（適合性評価、品質管理システム、技術文書、CEマーキング、人間の監視、EUデータベース登録）が、採用、信用、法執行、教育、国境管理、および関連分野のスタンドアロンシステムに適用される。

2028年8月2日まで：規制対象製品カテゴリー（医療機器、機械、民間航空、エレベーター）に組み込まれた附属書Iのシステムが準拠しなければならない。

欧州の主要な商業センターの法律顧問たちは、延長されたスケジュールは準備のための助走期間であり、立ち止まる許可ではないと特徴づけている。罰則の枠組みは変更されていない。Secure PrivacyのEU AI法コンプライアンスガイドが記録しているように、第5条の禁止事項の違反には、最高3500万ユーロ（約4000万ドル、約65億6000万円、1ドル=164円換算）または全世界の年間売上高の7%のいずれか高い方の罰金が科される。透明性および高リスク義務の違反には、最高1500万ユーロ（約1700万ドル、約27億8800万円）または全世界の年間売上高の3%の罰金が科される。

2027年12月をゴールラインではなく新たなスタートラインとして扱う企業は、適合性評価の順番待ちの列が埋まった後に到着するリスクを冒すことになる。

■注目ポイントQ&A

●デジタル包括法は実際にEU AI法を遅らせるのですか、それとも一部だけですか？

一部であり、恒久的な変更です。包括法は、附属書III（スタンドアロンシステム）に基づく高リスクAI義務を2027年12月2日に、附属書I（組み込みシステム）を2028年8月2日に延期します。しかし、2025年2月から施行されている第5条の禁止事項は変更されていません。AIシステムがその性質を開示し、ディープフェイクにラベルを付けるための第50条の透明性義務は、予定通り2026年8月2日に発動します。汎用AIモデルプロバイダーに対する罰則執行権限も8月2日に発動します。Regulation-AIの分析が説明しているように、延期は事実ですが、複数トラックの実装スケジュールのうちの1つのトラックをカバーするものです。

●企業がコンプライアンスを実際に証明するために必要な整合技術規格は、2027年12月までに準備が整うのでしょうか？

必ずしもそうとは限りません。AI法のための約35の規格を開発しているCEN-CENELECの合同技術委員会21は、当初の2025年4月の目標から遅れています。Morrison Foersterなどの分析によれば、規格の完全なスイートは2026年12月より前には利用できない可能性があり、企業が2027年12月の期限までに規格に裏付けられたコンプライアンスの準備期間として得られるのは、18ヶ月ではなく約12ヶ月になる可能性があります。EyreActの通知機関の分析によると、期限は無条件ですが、指定された通知機関を含む適合性評価インフラは、現時点ではまだ不完全です。

●「裸体化（nudifier）」アプリに対するEUの新たな禁止措置は、AI企業に具体的に何を求めているのですか？

2026年12月2日までに、実在の特定可能な個人のリアルな同意のない親密な画像を生成できるAIシステムは、適切な技術的保護措置（具体的には拒否トレーニング、出力制御、コンテンツフィルタリング）を講じているか、EUのユーザーに提供されないようにしなければなりません。この禁止は、そのようなコンテンツの生成がシステムの明記された目的であるか、単に合理的に予見可能な結果であるかにかかわらず適用されます。企業は利用規約の禁止事項だけに頼ることはできず、規制はモデルまたはアプリケーションレベルでの技術的保護措置を求めています。Freshfieldsの分析によれば、漫画のような画像、物理的に不可能な画像、非現実的な画像、または特定可能な個人を描写していない画像は、禁止の範囲外となります。

●EU AI法は、EUにオフィスを持たない米国企業にも適用されますか？

はい。第50条の透明性義務はGDPRと同じ域外適用の論理に従っており、トリガーとなるのは物理的な場所や法人の設立地ではなく、市場へのアクセスです。Cloud Captainsのグローバル企業向けコンプライアンスガイドが説明しているように、AIシステムの出力が欧州連合内の人々によって使用される企業は、本社やサーバーの場所に関係なく、2026年8月2日から適用の範囲内となります。

元記事: EU AI Act Omnibus Is Law: Six Days to Transparency Deadline, Nudifier Apps Banned by December