ベトナムAI法の基礎―ベトナム法体系におけるAI法の位置づけ
弁護士
室井 剣太
EU AI Actの透明性義務（Article 50）が適用開始（前編）―制度概要・GDPRとの違い・日本企業への適用範囲
2026年8月2日から、EU AI Actにおける透明性義務（Article 50）の適用が開始されました。対話型AIや生成AIを利用・提供する企業には、AIである旨の表示やAI生成コンテンツへのマーキングなどの対応が求められます。一方で、高リスクAIに関する主要な義務の適用は、法改正（Digital Omnibus on AI）によって2027年12月または2028年8月まで延期されています。そのため、企業にとっては、「今対応すべき義務」と「将来の適用に備える対応」を整理することが重要です。本記事（前編）では、2026年7月1日に開催したセミナー「透明性義務施行開始！AI Act×GDPR 日本企業が今備えるべき対応ポイント」の内容を基に、EU AI Actの基本構造やGDPRとの関係、改正スケジュール、日本企業への適用範囲について解説します。
AI
PROFILE
EU AI Actの基本構造と制定の背景
リスクベースで規制されるEU AI Actの仕組み
EU AI Act（Regulation (EU) 2024/1689）は、EU域内でAIを提供・利用する事業者に直接適用される包括的なルールです（※加盟国ごとの国内法化を待たずに適用されます）。
規制の根本にあるのは、AIの危険性（リスク）の大きさに合わせて規制の強さを変える仕組み（リスクベース構造）です。全体像は以下の4つのレベル（リスク区分）に整理すると理解しやすくなります。
（※区分名は理解のための一般的な整理であり、条文上の正式名称ではありません）
許容できないリスク（全面禁止）
- 該当例：人間の行動を採点・格付けする社会的スコアリング、一定の感情推認や生体分類など
- 規制内容：利用・提供の禁止（Article 5）
高リスク（厳格な管理・監視が必要）
- 該当例：採用・人事評価、教育、重要インフラの制御、一定の製品安全領域など
- 規制内容：リスク管理、データの品質管理、技術文書の作成、ログ保存、人間による監視、適合性評価など重い義務が発生
限定リスク（表示・マーキングの義務）
- 該当例：チャットボット（対話型AI）、AI生成コンテンツ（画像・動画・文章等）、ディープフェイクなど
- 規制内容：ユーザーへのAIである旨の表示・開示や、データへの機械可読マーキング（Article 50）
最小または無リスク（追加義務は原則なし）
- 該当例：上記のいずれにも当たらない、一般的な多くのAI利用
- 規制内容：AI Actによる追加義務は原則として限定的（自由に使用可能）
高リスクAIには、大きく分けて2つの類型があります。①安全認証が必要な製品に組み込まれるAI（Annex I）と、②採用・人事や与信など影響の大きい用途に使われるAI（Annex III）です。
②の特定用途に当たる場合でも、人の健康や権利に重大なリスクがなく、最終的な判断結果に実質的な影響を与えない利用であれば、例外的に高リスクから除外されるケースがあります（Article 6(3)）。ただし、人の属性や行動を自動分析するプロファイリングを行うAIは除外されず、常に高リスクとして扱われます。
判定の実務では、採用支援といった名称だけで決めるのではなく、どのような目的で、どのように使われ、人間の判断にどれくらい影響を与えるかという実質的な利用実態を基に慎重に確認する必要があります。
参照条文｜Article 1、Article 6、Annex III（抜粋）
原文（Article 1(1)）: “The purpose of this Regulation is to improve the functioning of the internal market and promote the uptake of human-centric and trustworthy artificial intelligence (AI), while ensuring a high level of protection of health, safety, fundamental rights enshrined in the Charter, including democracy, the rule of law and environmental protection, against the harmful effects of AI systems in the Union and supporting innovation.”
参考訳：本規則は、域内市場の機能を改善し、人間中心で信頼できるAIの普及を促進するとともに、EU域内におけるAIシステムの有害な影響から、健康、安全および憲章に掲げる基本権について、民主主義、法の支配および環境保護を含む高水準の保護を確保し、イノベーションを支援することを目的とします。原文（Article 6(2)）: “In addition to the high-risk AI systems referred to in paragraph 1, AI systems referred to in Annex III shall be considered to be high-risk.”
参考訳：第1項の高リスクAIシステムに加え、Annex IIIに掲げるAIシステムは、高リスクとみなされます。原文（Annex III, point 4(a)）: “AI systems intended to be used for the recruitment or selection of natural persons, in particular to place targeted job advertisements, to analyse and filter job applications, and to evaluate candidates”.
参考訳：自然人の採用または選考、特に、対象を絞った求人広告の掲載、応募の分析・選別および候補者の評価に用いることを意図したAIシステム。
原典: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
GPAI（汎用AI）のルールが追加された背景
欧州委員会が2021年に提案した当初は、雇用や教育、インフラなど特定の高リスク用途を規制することが中心でした。しかし、2022年末以降にChatGPTやClaudeなどの生成AIが急速に普及したことで、用途を特定しない汎用AI（GPAI）モデルの規制も急遽組み込まれることになりました。
政治合意を経て2024年8月1日に発効したAI Actは、用途別規制だけでなくGPAI、透明性、著作権、基本権などが混ざり合った複合的な法律となっています。そのため実務においては、個別の条文チェックにとどまらず、システム、モデル、データ、契約を横断して自社の役割を総合的に整理することが重要です。
GDPRとAI Actの違いと実務上の整理ポイント
GDPRが個人データの処理とプライバシー権を規律するのに対し、AI ActはAIシステムが安全や基本権にもたらすリスクを規律するため、両者の規制目的は異なります。目的が異なるため、法律上の役割定義も一致しません。
例えば、自社名義のAI採用SaaSをEU企業へ提供する場合、AI Act上はシステム全体のProvider（提供者）となりますが、GDPR上はデータの処理者（Processor）という別の立場になります。
したがって実務では、AI台帳にAI Act上の役割とGDPR上の役割をそれぞれ別の項目として記録・管理することが不可欠です。片方の判定結果をそのまま流用すると、義務を果たすべき責任者を誤るおそれがあります。
EU AI Actの施行スケジュールとDigital Omnibusの影響
Digital Omnibus反映後の施行タイムライン
AI Actは、規定ごとに適用日が異なります。Digital Omnibusによる改正後の主な日程は、次のとおりです。
| 日付 | 主な内容 | 実務上の意味 |
|---|---|---|
| 2025年2月2日 | Chapter I・IIを適用。既存の禁止AI、当初のAIリテラシー規定等 | 禁止AIの判定とAIリテラシー対応はすでに開始 |
| 2025年8月2日 | GPAIモデルに関するChapter V、ガバナンス、制裁等を先行適用。ただしArticle 101を除く | GPAIモデルProviderの義務は原則として適用済み |
| 2026年7月27日 | Regulation (EU) 2026/1744が発効 | Digital Omnibusによる改正条文が効力を持つ |
| 2026年8月2日 | AI Actの一般適用日。Article 50、Article 101等を適用 | 透明性対応は現在の義務。GPAIモデルへの欧州委員会の執行権限付与 |
| 2026年12月2日 | 本人の同意のない性的・親密コンテンツ（NCII）・児童性的虐待素材（CSAM）に関する新たな禁止規定を適用。既存生成AIのArticle 50(2)猶予期限 | 画像・動画生成AIの安全措置と、既存生成AIのマーキング対応を完了 |
| 2027年12月2日 | Annex III型の高リスクAIについてChapter III Sections 1～3を適用（Article 6(5)を除く） | 採用・人事等の高リスク候補を期限から逆算して準備 |
| 2028年8月2日 | Annex I型の高リスクAIについてChapter III Sections 1～3を適用（Article 6(5)を除く） | 製品安全法令とAI Actを一体で準備 |
2025年8月2日前にEU市場へ置かれたGPAIモデルには、Article 111(3)により2027年8月2日までの経過措置が設けられています。公的機関による利用を目的とする高リスクAIのProviderとDeployerについては、遅くとも2030年8月2日までに必要な適合措置を講じる必要があります。
Digital Omnibusで何が変わったのか
産業界からの規制緩和要望を受け、2026年7月27日に発効した改正規則（Regulation (EU) 2026/1744）は、AI Actの運用をシンプルにするための見直しです。実務上の変化は延期、緩和、新ルールの3点に要約できます。
第一に、高リスクAIの中核的な遵守義務の適用日が、雇用・教育等（Annex III）は2027年12月2日、製品組み込み型（Annex I）は2028年8月2日へと繰り下げられました（※透明性義務など既適用のルールは延期されません）。
第二に、義務の緩和・明確化が行われました。例えば、従業員へのAIリテラシー教育（Article 4）は一定レベルへ到達させる保証義務から、学習・発達を支援する措置へ緩和されたほか、中小企業（SME）向けの負担軽減策の一部が従業員750人未満の中堅企業（SMC）にも拡大されています。
第三に、新たな規律として、本人の同意のない性的・親密コンテンツ（NCII）や児童性的虐待素材（CSAM）の生成禁止（2026年12月2日適用）が追加されたほか、AIのバイアス是正に必要な個人データ処理を認める特例（Article 4a）が新設されています。
参照条文｜改正後のArticle 113、Article 111(4)（抜粋）
原文（Article 113, third paragraph, point (c)）: “Chapter III, Sections 1, 2, and 3, with the exception of Article 6(5), shall apply from: (i) 2 December 2027 as regards AI systems classified as high-risk pursuant to Article 6(2) and Annex III; and (ii) 2 August 2028 as regards AI systems classified as high-risk pursuant to Article 6(1) and Annex I”.
参考訳：Chapter III Sections 1～3は、Article 6(5)を除き、Article 6(2)・Annex III型について2027年12月2日から、Article 6(1)・Annex I型について2028年8月2日から適用されます。
原文（Article 111(4)）: “Providers of AI systems … generating synthetic audio, image, video or text content, that have been placed on the market before 2 August 2026 shall take the necessary steps in order to comply with Article 50(2) by 2 December 2026.”
参考訳：2026年8月2日前に上市された生成AIシステムのProviderは、同年12月2日までにArticle 50(2)へ適合するための必要な措置を講じなければなりません。
原典: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
日本企業にも適用されるEU AI Actの主なケース
AI Actは、会社の本社（所在地）がEU域外（日本など）にあっても関係なく適用されます（域外適用：Article 2）。日本企業では、まず以下の接点がないか確認します。
自社が該当するか確認したい5つの接点
- 日本からEUの顧客へAI搭載SaaSを提供している
- EUの現地子会社が、採用・人事・与信・カスタマーサポート等にAIを使っている
- 日本でAI処理（判定・推薦・テキスト生成等）した結果を、EU拠点の業務や意思決定で使っている
- EU向け製品にAI機能を組み込み、現地代理店等を通じて販売している
- OpenAIなどの外部モデル・APIを組み込み、自社ブランドのサービスとしてEUへ提供している
AIの出力結果がEUで利用される場合の考え方
欧州委員会のガイドラインでは、透明性ルール（Article 50）の適用について次のように示しています。
- 対象となる：出力結果がEUで使われることを会社として予想・指示・許可していた場合
- 対象外となる：たまたま・意図せずEUに流れてしまっただけの場合（原則）（※ただしガイドラインに法的拘束力はないため、実際の契約や流通経路による個別判断が必要です）
AI Actにおける自社の役割（立場）判定とみなしProviderの注意点
システム単位で自社の立場を判定します。主な役割は、自社ブランドで提供するProviderと、業務で使うDeployerの2つです（外部APIを組み込んだ場合でも、自社名義で提供すればシステム全体のProviderとなります）。
他社のAIや既存システムであっても、以下の行為を行うと法律上新たなProviderとみなされ、非常に重い義務が発生します。
- 他社AIに自社ロゴを貼って販売する（リブランド）
- システムに大幅なカスタマイズ・改造を加える
- もともと高リスクでないAIを、採用など高リスクの目的に転用する
※この規定の適用は2027年12月（または2028年8月）からですが、自社のAIの運用変更やリブランドの予定がないか今から把握しておくことが重要です。
AI・EU AI Actに関するご相談はこちらから
法律事務所ZeLoでは、AIをはじめとする先端領域に関して、創業時から潜在性に注目して研究・実務を進めてまいりました。その知見と経験をもとに、専門チームを編成し、多数のクライアントへ法的アドバイスを提供しています。「生成AIを活用したビジネスを展開したいが、ビジネススキームについて相談したい」「法的論点について相談したい」など、どんなご相談でも構いませんので、お気軽にお問い合わせください。
関連記事
※本記事は2026年8月12日時点の公表資料に基づく一般情報であり、法的助言ではありません。正文はEUR-Lexでご確認ください。
