EU AI Actの透明性義務（Article 50）が適用開始（後編）―透明性義務の内容と日本企業が進めるべき実務対応

Article 50の実務対応ポイント

Article 50は、対象となる場面、義務の主体、人に伝える情報、機械が読み取る情報を区別して定めています。そのため、同じAIシステムであっても複数の義務が重ねて適用される場合があります。

場面	主体	主な義務
人と直接やり取りするAI	Provider	遅くとも最初のやり取りまでに、AIとの相互作用であることを人へ知らせる
合成音声・画像・動画・テキストを生成するAI	Provider	出力を機械可読な形式でマーキングし、AI生成・操作として検出可能にする（実装手段の例：電子透かし、メタデータへのタグ埋め込み、C2PA等の来歴規格。条文は特定の技術を指定していない）
感情認識・生体カテゴリー分類	Deployer	対象となる人へ利用を知らせ、個人データ処理法令も満たす
ディープフェイク・一定の公益テキスト	Deployer	AI生成・操作であることを人が認識できる形で開示する

人と直接やり取りするAIに求められる表示義務

チャットボットや音声ボットなど、人と直接やり取りするAIを提供する事業者（Provider）は、ユーザーに対して相手がAIであることをあらかじめ伝える義務があります。

テキストチャットに限らず、音声案内やAIアバターなどでも、最初のやり取りが始まるまでに誰でもはっきり認識できる形（アクセシビリティへの配慮を含む）で通知を配置する必要があります。

ただし、利用状況や文脈から明らかにAIだと誰もが理解できる場合に限り、例外的にこの通知を省略することが認められています。

AI生成コンテンツに求められるマーキング義務

画像、音声、動画、テキストなどを生成するAIを提供する事業者（Provider）は、出力結果に電子透かしやメタデータ等の機械が読み取れるマーキングを付与し、AI生成コンテンツだと検出できるようにする義務があります。

このマーキングには、消去に強く他システムでも認識できる高い技術水準が求められます。ただし、次のいずれかに該当する場合は例外としてマーキング義務が免除されます。

• 画像のトリミングや色補正など標準的な編集補助の機能である場合
• ユーザーが与えた入力データの内容や意味を実質的に変更しない処理である場合

免除に当たるかどうかは機能名ではなく、実際のデータ処理（入力・変換・出力）の実態に基づいて判定します。

感情認識・生体カテゴリー分類AIの透明性義務

感情認識や生体カテゴリー分類AIを利用する事業者（Deployer）は、分析対象となる人に対して利用の事実をあらかじめ知らせる義務があります。また、顔画像等の個人データを処理する場合はGDPR等もクリアする必要があります。

ここで特に注意すべきは、職場や教育機関における感情推認は医療・安全上の理由を除き原則禁止されているという点です（Article 5）。透明性義務による利用の通知は、合法な利用場面で課されるものであり、通知を出したからといって禁止利用が許可されるわけではない点に留意が必要です。

ディープフェイクと公益目的コンテンツの開示義務

ディープフェイク動画や音声を公開・利用する事業者（Deployer）は、それがAIで生成・加工されたものであることを明示（開示）する義務があります。

ただし、映画やアート、風刺（パロディ）などの創作物については、作品鑑賞を妨げない適切な方法で開示すれば足ります。また、ニュースや社会問題など公益事項についてAI生成テキストで情報提供する場合も原則として開示が必要です。

ただし、①人によるレビュー・編集を経ていること、および②人間や法人が編集責任を負っていることの2条件を両方満たす場合に限り、例外的に開示義務が免除されます。

参照条文｜Article 50（抜粋）

原文（Article 50(1)）: “Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system”.

参考訳：Providerは、自然人と直接やり取りするAIについて、対象者がAIと相互作用していることを知らされるよう設計・開発しなければなりません。

原文（Article 50(2)）: “Providers … generating synthetic audio, image, video or text content, shall ensure that the outputs … are marked in a machine-readable format and detectable as artificially generated or manipulated.”

参考訳：合成音声、画像、動画またはテキストを生成するAIのProviderは、出力を機械可読な形式でマーキングし、AI生成・操作として検出可能にしなければなりません。

原文（Article 50(4)）: “Deployers of an AI system that generates or manipulates image, audio or video content constituting a deep fake, shall disclose that the content has been artificially generated or manipulated.”

参考訳：ディープフェイクを生成・操作するAIのDeployerは、当該コンテンツがAIにより生成・操作されたことを開示しなければなりません。

原文（Article 50(5)）: “The information referred to in paragraphs 1 to 4 shall be provided … in a clear and distinguishable manner at the latest at the time of the first interaction or exposure.”

参考訳：第1項から第4項の情報は、遅くとも最初の相互作用または接触の時点までに、明確かつ識別可能な方法で提供されなければなりません。

原典: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

なお、Article 50の各規定は1つのシステムに対して重複して適用されることがあります。例えばProviderとしてのデータマーキング（電子透かし等）とDeployerとしての画面表示（ラベル）は別の要件であり、片方を行えばもう片方が不要になるわけではありません。自社が両方の役割を兼ねていないかシステムごとに確認が必要です。

また、欧州委員会が公表している行動規範（Code of Practice）や各種ガイドライン・Q&Aは、実装を助けるための参考資料です。法的拘束力はないため、ガイドラインに従っているから自動的に100％適法になるとは限らない点に注意し、最終的には条文の要件に合致しているかを個別に確認する必要があります。

参照条文｜Article 99(3)・(4)(g)、Article 101（制裁）

Article 5の禁止違反には、Article 99(3)により、3,500万ユーロまたは違反企業の前年度における全世界年間売上高の7％のうち高い方を上限とする制裁金が定められています。

Article 50違反には、Article 99(4)(g)により、1,500万ユーロまたは違反企業の前年度における全世界年間売上高の3％のうち高い方を上限とする制裁金が定められています。SMEにはArticle 99(6)、SMCには改正後のArticle 99(6a)による上限調整があります。

GPAIモデルProviderのChapter V違反等については、Article 101により、欧州委員会が前年度の全世界年間売上高の3％または1,500万ユーロのうち高い方を上限として制裁金を科すことができます。個別事案の制裁額は、違反の性質、重大性、期間、比例性等を踏まえて判断されます。

原典: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

日本企業が今進めるべき4つの実務対応

対応1 AI台帳を整備し、EUとの接点と自社の役割を把握する

最初に取り組むべきは、単なるツール名ではなく誰が・誰に・何の目的で使い、出力がどこで使われるかをシステム単位で把握・記録することです。

EUの顧客・子会社・出力利用と接点がある企業が対象となり、法務・プロダクト・IT・海外事業などが連携して作成します。台帳にはAI機能や利用目的、データの流れるルート、使用モデル、AI Act/GDPR上の自社の役割を明記します。

ここで最も重要なのは、禁止AI（Article 5）に当てはまる機能がないかの優先チェックです。違反リスクを避けるため、疑いがある機能は他の対応に先立って停止や是正を判断します。

なお、作成する台帳はGDPR（個人情報管理）やセキュリティなどの既存台帳と紐づけて（相互参照できるように）管理するのがポイントです。法規制ごとに個別の台帳を作るよりも、一元的に連携させた方が運用の手間が省け、社内外への説明もスムーズになります。

対応2 Article 50（透明性義務）をUI・システムへ実装する

透明性義務への対応は、利用規約への注記だけで終わるものではなく、人に見せる表示と機械が検出するマーキングをシステムへ組み込む実務対応が必要です。

対話型AIや生成AI等を扱う企業が対象となり、プロダクト・UX・開発・法務・アクセシビリティチームが連携して進めます。実務では、機能単位でArticle 50(1)～(4)の場面を判定した上で初回表示やマーキングを実装し、仕様書やUIのスクリーンショット、試験結果を証拠として保管します。

法令に明確な数値基準がない部分については、初回表示が正しく作動するか、マーキングが付与・検出できるか、データ変換後も検出が維持されるか、バージョンや試験条件が記録されているか、といった社内のテスト基準（受入基準）を定めて確認することがポイントです。

対応3 AI API・外部モデルに関する契約と情報連携を見直す

外部のAIモデルやAPIを組み込んでサービスを提供する場合でも、法令上の責任は自社に残ります。ベンダーから適切な技術情報やログの提供を受けられなければ、自社側の画面表示やリスク評価、当局対応が行えなくなるおそれがあるためです。

法務・調達・開発・セキュリティチームが連携し、必要な情報共有や仕様変更の通知、トラブル時の責任分担をベンダー契約へ反映させる必要があります。特に高リスクAIに関しては、改正後のArticle 25(4)により、システム提供者と外部モデル・部品供給者の間で必要な情報提供や技術アクセス、支援内容を書面で取り交わすことが規定されています。

適用は2027年12月（または2028年8月）からですが、将来の法適合に向けて今から調達ガイドラインや契約条件を整えておくことが求められます。

参照条文｜Article 25(4)（改正後・抜粋）

原文: “The provider of a high-risk AI system and the third party that supplies an AI system, AI model, tools, services, components, or processes … shall, by written agreement, specify the necessary information, capabilities, technical access and other assistance”.

参考訳: 高リスクAIのProviderと、当該システムに用いられるAIシステム、AIモデル、ツール、サービス、部品、プロセス等の第三者供給者は、必要な情報、能力、技術的アクセスその他の支援を書面で特定しなければなりません。

原典: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng

既存のGPAI（汎用AI）モデルをAPI経由で組み込んだり、小規模なファインチューニングを行ってサービスを提供したりする程度であれば、自社はGPAIモデルのProviderではなくAIシステムのProviderに分類されるのが一般的です。

ただし、追加学習に用いた計算量が元モデルの3分の1を超えるような大規模な改変を加えた場合は、ガイドライン上、自社が新たなGPAIモデルのProviderとみなされる可能性があります。

もしGPAIモデルのProviderに該当した場合は、技術文書の作成や著作権方針の策定（Article 53）、EU域内代理人の選任（Article 54）、システミックリスク対策（Article 55）といった極めて重い法的義務が発生します。

なお、遵守手段としてのGPAI Code of Practice（行動規範）への署名は任意ですが、署名の有無にかかわらず各義務への実質的な適合説明が求められます。

対応4 高リスクAIの適用延期期間を活用して準備を進める

適用期日（2027年12月または2028年8月）直前になってから対応を始めると、技術文書や人による監視体制などの準備が間に合わなくなるため、採用・人事や与信評価などの領域（Annex III）から今すぐ準備に着手することが重要です。

法務や開発、品質保証チームが連携し、用途や変更履歴をまとめた分類メモと工程表を作成することが求められます。機械や医療機器などの製品にAIを組み込む（Annex I）場合は、人の健康・安全に関わるかが判断の分かれ目となります。

外部の安全認証が必要な製品の安全部品として使うAIは原則高リスクですが、単なる利便性向上など安全に関係ない目的のみであれば除外されます（Article 6(1a)）。ただし、AIの故障がけがにつながる場合は高リスクに引き戻される点に留意が必要です（Article 6(1b)）。なお、電波や環境規制など安全以外の理由による製品認証は高リスク判定に影響しません（Article 6(1c)）。

欧州委員会は2026年5月19日に高リスクAI分類ガイドライン案を公表しましたが、2026年8月6日現在、最終版は公表されていません。この案はDigital Omnibusの最終規則の成立前に公表されたため、改正後のArticle 6とAnnex Iを併せて確認する必要があります。

2026年8月2日はEU AI Act対応のスタートライン

2026年8月2日は透明性義務（Article 50）の実装期限であると同時に、高リスクAIへの対応を開始する起点です。今回の適用延期を単なる猶予期間と捉えるのではなく、自社の製品・契約・データ管理の設計を一から見直す好機として活かすことが重要となります。

規制対応の本質は、条文の該当性を確認することだけではありません。どのAIを誰にどんな責任で提供するのか、ユーザーへ何を伝え、ベンダーから何を取得し、トラブル時に何を出せるか、を具体的な製品・契約・データの現場設計へ落とし込んで初めて、EUで事業を継続する基盤が整います。

実務としては、AI台帳の作成、Article 50の実装、重要ベンダーとの契約調整の3点から順に着手するのが最も効果的です。高リスクAIやGDPRとの接続判断が必要な場合は、自社のシステムや利用場面、データフローの実態を前提に個別に確認を進めていきましょう。

AI・EU AI Actに関するご相談はこちらから

法律事務所ZeLoでは、AIをはじめとする先端領域に関して、創業時から潜在性に注目して研究・実務を進めてまいりました。その知見と経験をもとに、専門チームを編成し、多数のクライアントへ法的アドバイスを提供しています。「生成AIを活用したビジネスを展開したいが、ビジネススキームについて相談したい」「法的論点について相談したい」など、どんなご相談でも構いませんので、お気軽にお問い合わせください。

関連記事

---

※本記事は2026年8月12日時点の公表資料に基づく一般情報であり、法的助言ではありません。正文はEUR-Lexでご確認ください。