EU AI法のチャットボット開示義務、API利用企業にも8月2日から適用へ

ChatGPTやClaudeなどのAPIを利用してEUのユーザーにサービスを提供する企業は、2026年8月2日（日）よりEU AI法に基づく罰則の対象となる。多くの企業は基盤モデルのベンダーがコンプライアンス対応を済ませていると誤解しているが、チャットボットがAIであることを明示するなどの義務は、APIを利用する「デプロイヤー（展開者）」自身が負う。対応を怠れば巨額の罰金を科される可能性があり、早急なUI改修や監査が求められている。

■デプロイヤーとプロバイダーの違い

EU AI法の第3条は、根本的に異なる義務を伴う2つの法的な役割の境界線を引いている。

デプロイヤー（展開者）とは、自らの権限の下で業務目的のためにAIシステムを使用する企業や専門家を指す。Claude、GPT-4、GeminiのAPIにアクセスし、自社のプロダクトを通じてその結果をユーザーに提示している場合、その企業はデプロイヤーとなる。基盤となるモデルを構築したり、再配布したりするわけではなく、単に使用している状態だ。第50条に基づくデプロイヤーとしてのステータスは、日曜日（8月2日）から即時かつ強制力のある義務を伴う。具体的には、チャットボットがAIであることを明示すること、AIが生成した画像や合成メディアに機械可読なマークを付けること、ディープフェイクにラベルを付けることなどが求められる。

対照的に、汎用AI（GPAI）モデルのプロバイダー（提供者）とは、汎用AIモデルを開発し市場に投入する事業者を指し、OpenAI、Anthropic、Mistral AI、Metaなどが該当する。第53条に基づく彼らの義務には、技術文書の公開、著作権遵守ポリシーの維持、学習データの要約の提供、最大規模のモデルに対するシステミックリスク評価の実施が含まれる。これらの義務に対する罰則の執行も日曜日に開始される。

複雑なのは、同法第25条が「下流プロバイダー（downstream providers）」と呼ぶグレーゾーンの存在だ。オープンソースモデルをファインチューニングする企業（Llama 3やMistralを特定の業界向けに適応させ、その適応モデルへのAPIアクセスを販売する企業など）は、デプロイヤーからプロバイダーの領域へと足を踏み入れることになる。オープンソースのベースモデルを利用し、自社のAIサービスとしてリブランディングして独自のプロダクトとして市場に出すスタートアップは、自社の名前でGPAIモデルを市場に投入したことになる。EU AI法コンプライアンスに関するsota.ioのプロバイダー/デプロイヤー向けガイドによると、第3条の「プロバイダー」の定義はこれを直接捉えており、AIシステムを開発する、あるいは開発させて自社の名前や商標で市場に投入する者はすべてプロバイダーとされる。

この分類を誤ると、具体的な財務リスクを伴う。第50条の違反には、EU加盟27カ国の各国家市場監視当局の下で、最大1500万ユーロ（約1700万ドル、約27億円、1ドル=159円換算）または全世界の年間売上高の3%のいずれか高い方の罰金が科される。AIオフィス（AI Office）は、文書化の不備に対してGPAIプロバイダーに同額の上限で罰金を科すことができる。第5条の禁止行為（ソーシャルスコアリング、サブリミナル操作、または無許可のリアルタイム生体認証のためのAI展開）の違反は、3500万ユーロ（約4000万ドル、約64億円）または全世界の売上高の7%に達する。これらはプロダクトごとの数字ではなく、各違反が独立した罰金の根拠となる。

■第50条がデプロイヤーに実際に要求すること

第50条は、デプロイヤーに即時のコンプライアンス義務を課す条項であり、4つの運用カテゴリーがある。

最も広く適用されるのが第50条(a)である。自然人と会話するように設計されたAIシステム（チャットボットなど）は、対話の前または開始時に、相手がAIと話していることをその人物に通知しなければならない。この開示は明確かつタイムリーでなければならない。利用規約の中に埋もれた一文では不十分だ。アカウント登録時にのみ表示され、対話の時点では表示されない開示も不十分である。この要件は文書上のものではなく、運用上のものだ。

同法に関して蓄積されてきたデプロイヤー向けコンプライアンスガイダンスによれば、これが実際に意味するのは、チャットインターフェースにおける永続的なUIインジケーター（視覚的なバッジやラベル）と、会話がAIによるものであることを明示する最初のメッセージまたは対話前の開示である。人間の名前（「サラと話す」など）でAIアシスタントを提示し、AIであることを示す識別情報がないプロダクトは、企業のプライバシーポリシーに何が書かれていようとコンプライアンス違反となる。

第50条(b)は、実在の人物や出来事を描写する合成画像、動画、音声を生成するAIシステムに対し、それらの出力に機械可読な形式でマークを付けることを要求している。この義務は、APIを提供する基盤モデルのプロバイダーではなく、システムを運用するデプロイヤーに課される。ChatGPTにおけるOpenAIのC2PAおよびSynthIDの実装は、OpenAI自身の義務を満たすものだ。もし企業がDALL-EのAPIを利用して独自の画像生成プロダクトを構築した場合、その企業は自社の出力パイプラインがそれらの機械可読マークを保持しているか、あるいは同等のマーキングを実装しているかを独自に確認しなければならない。

第50条(c)は感情認識がアクティブな場合の開示を要求し、第50条(d)は政治的意見に影響を与える文脈で使用されるAI生成テキストにおける開示を要求している。これら2つは、ほとんどの商用アプリケーションにおいて適用範囲が狭い。

オープンソースAIの開発者も例外ではない。フリーライセンスの基盤モデル上に構築されたプロダクトであっても、展開する企業には第50条の義務が伴う。2026年8月2日より前に生成・公開されたコンテンツに遡及してマークを付ける必要はないが、8月2日以降に稼働しているシステムによって生成されたすべてのものにはマークが必要となる。

■オムニバス法による延期は猶予を与えない

文書化されたコンプライアンス上の誤解が、フロンティアラボ（最先端のAI研究機関）ではないエンタープライズチームにリスクをもたらしている。7月27日に発効したAIに関するEUデジタルオムニバス法（規則 (EU) 2026/1744）が2026年5月に最終的な政治合意に達した際、主要なニュース報道は、高リスクAIの期限が2026年8月2日から2027年12月2日に延長されたことに集中した。採用ツール、信用スコアリング、教育評価、法執行AI、国境管理などの附属書III（Annex III）システムは、さらに16カ月の猶予を得た。

その報道は正確だった。しかし、それは広範な二次的な誤読を生み出した。多くの企業のコンプライアンスチームはそれ以降、オムニバス法による延期が規制全体に適用されるかのように扱い、EU AI法の準備をすべて一時停止してしまったのだ。しかし、それは適用されない。Lumenova.aiの2026年7月のコンプライアンス分析によると、第50条のチャットボット開示義務はオムニバス法による延期の対象に一度も含まれていなかった。GPAIの罰則執行も延期の対象ではなかった。どちらもオムニバス法によって変更されることなく、予定通り日曜日に発効する。

現実的な結果として、チャットボット、AIカスタマーサービスツール、AIを活用した社内アシスタント、AIコンテンツ生成パイプラインを持つ企業で、2027年まで猶予があると信じてコンプライアンスの優先順位を下げた企業は、規制を一度も確認しなかった企業よりも8月2日の時点で悪い状況に置かれている。彼らは、どの期限が延長されたのかという誤読に基づいて、行動しないという積極的な決定を下してしまったのだ。

■誰が執行するのか：AIオフィスと各国当局の違い

EU AI法の執行体制は、法的な分類そのものを反映する形で、プロバイダーとデプロイヤーの境界線に沿って責任を分割している。

欧州委員会内に設立され、ルシラ・シオリ（Lucilla Sioli）ディレクターが率いる欧州AIオフィスは、GPAIモデルのプロバイダーに対して独占的な権限を持つ。日曜日以降、同オフィスはEU内で事業を展開するあらゆるGPAIプロバイダーに文書の提出を求め、モデルの技術的評価を実施し、コンプライアンスとリスク軽減措置を要求し、EU市場からのモデルの制限や撤退を命じ、最大1500万ユーロ（約1700万ドル、約27億円）または全世界の年間売上高の3%の罰金を科すことができる。デジタルオムニバス法はこの範囲を拡大し、AIオフィスは現在、モデルとシステムが同一の企業グループ内で開発されている場合、GPAIモデル上に構築されたAIシステムも監督するようになり、OpenAI、Google、Metaのような垂直統合型プロバイダーに直接及ぶようになった。

対照的に、デプロイヤーに対する第50条のコンプライアンスは、EU加盟27カ国の各国家市場監視当局によって執行される。この分散型の構造は現実的な緊張を生み出している。国家の執行準備のギャップに関する報道で文書化されているように、2026年中頃の時点で、フランスはまだ欧州委員会に国家管轄当局を正式に通知しておらず、ドイツの実施法案はまだ議会での審議中であった。執行能力は2026年末までEU圏内で不均一な状態が続くとみられる。

その不均一さは法的義務を軽減するものではない。accuroai.coの2026年8月のコンプライアンスガイドが指摘しているように、実務家たちは一貫して、国家当局からの文書提出要求は送付コストが低く、規制当局が最初に尋ねるのは、企業が対象となるAIシステムのインベントリ（目録）とそれぞれの責任者を数日以内に提示できるかどうかであると観察している。執行が遅れるという賭けに基づいて構築されたコンプライアンス体制は、コンプライアンス体制ではなく、単なるギャンブルである。

AIオフィスは最初の1年間を、GPAI行動規範（Code of Practice）の策定、実施ガイドラインの公開、プロバイダーやステークホルダーとの協力といった協調的なモードに費やしてきた。そのフェーズは日曜日に終了する。同オフィスが初日から積極的に動くのか、それともGDPR執行の初期に見られたようなより慎重なペースに従うのかによって、コンプライアンス違反のデプロイヤーが是正のために実質的にどれだけの時間を持てるかが決まる。しかし、法的時計は、そして2025年8月に遡るGPAI違反をカバーする遡及的な適用範囲は、それに関係なく動き始める。

■署名企業が得たもの、得られなかったもの

署名者リストに関する報道によると、2026年6月時点で、Amazon、Anthropic、Google、IBM、Microsoft、Mistral AI、Aleph Alphaを含む約24の組織がGPAI行動規範に署名している。Metaは署名を拒否した。MetaとxAIの署名状況に関する以前の報道で取り上げられたように、xAIは「安全性とセキュリティ」の章にのみ署名し、「透明性」と「著作権」の章については他の手段で証明することにした。

規範に署名することで「適合の推定」が得られる。つまり、規制当局は移行期間中、署名者が誠実に行動しているとみなし、ゼロから新たな調査を開始するのではなく、規範の遵守状況の監視に執行の焦点を当てることが期待される。GPAIモデル全体の文書化の質を調査した2026年のベンチマーク調査によると、学習データの文書化の質において、規範の署名者は非署名者よりもわずかに良いスコアを出しているに過ぎず、その優位性は規制が主にターゲットとしている上流の開示ではなく、下流向けの文書化に集中していることがわかった。

デプロイヤーにとって、モデルベンダーが規範の署名者であるというステータスは、デューデリジェンス（適正評価）の一要素であって、コンプライアンスの盾ではない。OpenAIやAnthropicがGPAI行動規範の署名者であるという理由でそれらのAPIを使用しているデプロイヤーは、ベンダーに対するデューデリジェンスの一部を行ったに過ぎない。それによって自らの第50条の義務を果たしたことにはならないのだ。

■日曜日までにデプロイヤーがすべきこと

EUのユーザーを持つあらゆる企業にとって最も時間的制約のある行動は、チャットボットの開示監査である。第50条(a)のデプロイヤー向けコンプライアンスチェックリストに従い、カスタマーサービスボット、AIアシスタント、AIを活用した検索インターフェース、AIコールセンターツール、AIによるコンテンツ作成パイプラインなど、ユーザーと対話するすべてのAI機能を特定し、それぞれにユーザーがAIと話していることを示す永続的で視覚的な対話前の開示が含まれていることを確認する必要がある。

第二に、附属書IIIの分類チェックである。企業がHRテクノロジー、教育評価、消費者ローン、ヘルスケアの意思決定支援、法執行、または移民処理の分野で事業を展開している場合、附属書IIIの高リスクAIシステムを展開している可能性がある。これらのシステムは、デジタルオムニバス法の下で2027年12月2日までの期限延長を得た。しかし、この延長は義務をなくすものではなく、タイムラインを延ばすだけだ。附属書IIIの分野の企業は、この追加時間を適合性評価の完了とガバナンス基盤の構築に使うべきであり、作業を無期限に延期するために使うべきではない。

第三に、役割の決定、すなわちプロバイダーかデプロイヤーかの判断である。オープンソースモデルをファインチューニングし、自社のブランドでその結果へのアクセスを販売する企業は、EU AI法のプロバイダー対デプロイヤーの役割決定ガイドを参照し、自社がGPAIプロバイダーの領域に入り、第50条の開示要件に加えて第53条の文書化義務を引き起こしているかどうかを判断すべきである。

プロダクトが附属書IIIに全く該当しないデプロイヤーにとって、当面のコンプライアンス要件は第50条の開示であり、これはUIの変更と最初のメッセージのプロンプト更新によって数時間で実装可能である。それがまだ実装されていないという事実自体が、プロバイダーとデプロイヤーの義務の分割がどれほど広く誤解されてきたかを示す指標となっている。

※通貨換算は概算であり、原文に記載された2026年7月31日時点の約1ユーロ＝1.15ドルの為替レートに基づいている。

■注目ポイントQ&A

●OpenAIやAnthropicのAPIを呼び出しているだけの場合でも、EU AI法を遵守する必要がありますか？

はい、プロダクトがEUのユーザーに提供されている場合は必要です。GDPRと同じ論理に従う同法の域外適用の範囲の下では、重要なのはユーザーがどこにいるかであり、企業がどこで設立されたかではありません。基盤モデルのAPIを呼び出し、AIが生成した出力をEUの人々に提示する場合、第3条第4号に基づくデプロイヤーとなり、2026年8月2日から独立した第50条の透明性義務を負うことになります。モデルプロバイダーのコンプライアンス文書は、第53条に基づくGPAIモデルプロバイダーとしての彼らの義務をカバーするものです。それは、第50条(a)に基づく、ユーザーにAIと話していることを伝えるというあなたの義務をカバーするものではありません。その開示はあなたのプロダクトから行われなければなりません。

●EU AI法におけるGPAIプロバイダーとデプロイヤーの違いは何ですか？

GPAIモデルプロバイダーとは、OpenAI、Anthropic、Google、Mistralなどの基盤モデル作成者のように、自社の名前で汎用AIモデルを開発し市場に投入する企業のことです。彼らは第53条の文書化および著作権に関する義務を負い、これは2025年8月2日から強制力を持ち、罰則の権限は2026年8月2日に発動します。デプロイヤーとは、GPAIモデルやシステムをプロダクトに統合し、そのプロダクトをユーザーに提供するあらゆる企業のことです。基盤モデルのAPIを呼び出すSaaS企業は、ほぼ常にデプロイヤーに該当します。デプロイヤーは、チャットボットの開示、合成メディアのマーキング、ディープフェイクのラベル付けなど、第50条の透明性義務を負います。第3のカテゴリーである第25条に基づく「下流プロバイダー」は、オープンソースモデルをファインチューニングして商業的に再配布する企業を指し、これらの企業はデプロイヤーからプロバイダーの領域へと移行し、両方の義務を負うことになります。

●デジタルオムニバス法によるEU AI法の高リスクAIの期限延長は、チャットボットの開示も遅らせるのですか？

いいえ。2026年7月27日に発効した規則 (EU) 2026/1744は、採用ツール、信用スコアリング、教育評価、法執行AIなどの附属書IIIの高リスクAIシステムのコンプライアンス期限を2026年8月2日から2027年12月2日に延長しました。第50条のチャットボット開示義務とGPAIの罰則執行権限は、その延長の一部ではありませんでした。どちらも変更なく、2026年8月2日（日）に発効します。オムニバス法による延期がEU AI法のすべての義務をカバーしていると信じて第50条のコンプライアンス作業を一時停止した企業は、日曜日以降リスクにさらされます。この2つの期限のトラックは法的に別個のものです。

●コンプライアンスを満たすチャットボットの開示とは、実際にはどのようなものですか？

最低限、第50条(a)に準拠した開示には、チャットインターフェースにおいてシステムがAIであることを示す永続的な視覚的インジケーターと、利用規約に埋もれた一文ではなく、新しい会話の開始時にユーザーがAIシステムと対話していることを示す開示が必要です。AIであることを示さずに人間の名前でAIアシスタントを提示することはコンプライアンス違反です。ユーザーがプライバシーポリシーを読んでいることに依存することもコンプライアンス違反です。開示は、対話の時点、すなわち会話の前または開始時に提供されなければなりません。インターフェースのヘッダーにある明確な「AIアシスタント」バッジと最初のメッセージでの開示というシンプルな実装で要件を満たします。ここでの失敗率が高いのは、多くのチャットボットプロダクトがEUの開示要件を念頭に置かずに構築されたためです。修正自体は簡単ですが、プロダクト内のユーザーが直面するすべてのAI対話ポイントを監査するには意図的な努力が必要です。

元記事: EU AI Act Chatbot Disclosure Reaches API Builders Sunday: Vendors Cannot Comply for You