EU AI Actと日本企業｜域外適用の該当判定と対応

リスク4分類の考え方

EU AI Actは、AIシステムを一律に規制するのではなく、用途がもたらす社会的リスクの大きさに応じて義務の重さを変える設計になっています。この発想自体は目新しいものではなく、金融規制や医療機器規制でもおなじみの「リスクベースアプローチ」ですが、AIという横断的な技術に対してこれを適用した点に特徴があります。

重要なのは、AIというテクノロジー自体の危険性を測っているのではなく、それが使われる文脈と対象者への影響を測っている点です。同じ画像認識モデルでも、写真の自動タグ付けに使えば最小リスクですが、採用選考のスクリーニングに使えば高リスクに分類されます。つまり日本企業がまず理解すべきは、「自社のAIは安全か」ではなく「自社のAIはどの文脈で使われているか」という問いの立て方です。

• 許容できないリスク：潜在意識への操作、社会的スコアリングなどは原則禁止
• 高リスク：採用、与信、重要インフラ制御などは技術文書・ログ・人間による監督が義務
• 限定リスク：チャットボットなどはAIであることの明示という透明性義務のみ
• 最小リスク：スパムフィルタなど大半のAI活用には追加義務なし

最初に行う該当判定

多くの企業がここでつまずくのは、「自社は高リスクに該当するか」をいきなり判定しようとすることです。実務上はその手前に、そもそも域外適用が及ぶかどうかという入口の判定があります。EU域内に利用者や影響を受ける個人が存在しない場合、リスク分類の議論に入る必要すらありません。逆に、たとえ本社が東京にあっても、EU子会社が使うシステムや、EU居住者向けに出力が届くサービスであれば、対象になり得ます。

• EU域内に利用者・顧客・従業員がいるか（子会社経由も含む）
• 提供する製品やサービスにAI機能が組み込まれているか
• その用途が採用・与信・医療・重要インフラなど高リスク分野に該当するか
• AIの出力がEU域内の個人に影響を及ぼす形で利用されているか

現場でよく見る誤解

法務部門が制度の解説を社内に展開すると、事業部門からは「うちは関係ないですよね」という反応がまず返ってくることが多いものです。実際に聞き取りを進めると、海外拠点の人事システムに自社開発の候補者スクリーニングAIが組み込まれていた、というようなケースが後から発覚することがあります。制度対応の難しさは条文の複雑さそのものよりも、社内のどこにAIが埋め込まれているかを正確に把握することの難しさにあります。

これは技術の問題であると同時に、組織のコミュニケーションの問題でもあります。現場のエンジニアは「これはただの分類モデルだから大したことはない」と考えていても、それが人の採用可否に影響を与えるなら規制上は重い扱いを受けます。技術者の感覚と規制上の重み付けにはずれが生じやすく、これを埋める仕事は結局のところ、現場に足を運んで実際に使われているツールを一つずつ確認するという地道な作業に行き着きます。

ある製造業の企業では、法務担当者がヒアリングを進める中で、欧州の販売代理店が独自に導入した見積もり自動生成AIが、実質的に与信判断に近い機能を担っていたことに気づきました。代理店側は「自分たちで契約したツールだから本社には関係ない」と考えていたのですが、最終的にその出力が顧客への与信条件に影響していると分かり、慌てて対応を始めることになりました。このように、グループ全体でAIの利用実態を把握する仕組みがなければ、該当判定自体が成立しません。

高リスク該当時に求められる実務

• リスク管理システムの構築と継続的な更新
• 学習データの品質管理とバイアス検証の記録
• 技術文書の作成と一定期間の保存
• 自動ログ記録機能の実装とログの保存
• 人間による監督の仕組みの設計と、監督者への十分な情報提供
• 適合性評価とCEマーキングに相当する手続き

人間による監督という条項の重み

高リスクAIに課される義務の中でも、実務担当者が特に頭を悩ませるのが「人間による監督」の要件です。これは単に人がボタンを押して承認するという形式的な手続きでは足りません。監督者がAIの限界を理解し、出力の妥当性を判断できるだけの情報と権限を持っていることが求められます。

ここで見えてくるのは、AI規制が最終的に問うているのは技術の性能ではなく、人間がその技術を制御し続けられるかという点だということです。どれほど精度の高いモデルであっても、それを使う人間が「なぜこの結果が出たのか分からないが、とりあえず承認する」という状態にあるなら、監督は機能していません。現場でしばしば見られるのは、忙しい担当者がAIの提案を疑いなく承認し続け、いつの間にか「監督」が名目だけのものになっていく光景です。制度が求めているのはまさにこの形骸化を防ぐことであり、日本企業にとってもここは対岸の火事ではありません。

対応体制の作り方

域外適用の該当判定から高リスク対応まで、すべてを法務部門だけで抱え込むのは現実的ではありません。実際にうまく回っている企業では、法務・情報システム・事業部門の三者が定期的に集まり、新規に導入されるAIツールを棚卸しする場を設けています。四半期に一度、各部門が「最近導入したAIツール」を報告し合うだけでも、規制対象の見落としは大きく減ります。

また、対応を後回しにしがちな企業ほど、制度が「いつか対応すればよい遠い話」だと感じています。しかし域外適用の考え方は今後さらに広がる可能性が高く、早期に該当判定のプロセスを社内に定着させておくことは、将来の他国規制への対応力にもつながります。制度への対応は一度きりのプロジェクトではなく、AIの導入が続く限り繰り返される日常業務として設計するべきものです。

海外拠点との温度差をどう埋めるか

日本本社と海外拠点の間には、規制に対する温度差がしばしば存在します。欧州の拠点は現地の規制動向に敏感で、すでに独自に対応を進めていることもあれば、逆に日本本社が主導しないと動かない拠点もあります。この温度差を放置すると、グループ全体としての対応にばらつきが生じ、最も対応が遅れた拠点がグループ全体のリスクになります。

ある企業では、本社の法務担当者が定期的に海外拠点とのオンライン会議を設け、各拠点で導入されているAIツールの一覧を共有し合う仕組みを作りました。最初は形式的な報告に終始していましたが、回を重ねるうちに拠点間で「そちらではどう対応しているか」という具体的な相談が交わされるようになり、結果としてグループ全体の対応水準が底上げされていきました。規制対応は本社から一方的に指示するのではなく、拠点同士が学び合う場を作ることで、実効性のある形で浸透していきます。

人が最後に見るべきものは何か

規制対応の議論はどうしても文書やチェックリストの話に終始しがちですが、その先にあるのは「この判断を、実際に人間の目でどこまで確認しているか」という現場の実感です。採用選考でAIがスクリーニングをかけた候補者リストを、人事担当者が本当に一人ひとり見ているのか、それとも上位から機械的に流しているだけなのか。この違いは規制の条文には書ききれない、組織の文化そのものです。

制度対応を進める中で、ある企業の人事責任者が語っていた言葉が印象的です。「AIが落とした候補者を、私たちは本当に見ていない。合格者しか見ていない。それでは監督にならない」。この気づきこそが、規制の条文を守ること以上に本質的な変化を組織にもたらします。技術の進化のスピードに人間の注意力が追いつかなくなったとき、規制はその溝を埋めるための最低限の防波堤にすぎず、本当の防波堤は現場で働く一人ひとりの誠実さにあります。

今後数年の見通し

EU AI Actは段階的に施行されていくため、企業にとっては「今すぐすべてに対応する」というより、「施行スケジュールに合わせて準備を積み上げる」という向き合い方が現実的です。高リスク分野の義務が本格化するにつれて、他国でも同様のリスクベース規制が整備されていくと見られており、日本企業にとってEU対応で構築した棚卸しと監督の仕組みは、そのまま他地域への展開にも転用できる資産になります。

数年先を見据えると、規制対応の巧拙が採用競争力や取引先からの信頼にも直結するようになっていくと考えられます。特にBtoBの取引では、調達先のAIガバナンス体制を確認する動きがすでに広がっており、EU AI Actへの対応状況を説明できること自体が商談の入口になる場面も増えていくでしょう。制度対応を「コスト」としてではなく「取引の前提条件」として捉え直す発想の転換が、今後の競争力を左右します。

罰則水準とインシデント対応との接続

EU AI Actの罰則は、対象となる違反の性質によって大きく異なりますが、最も重い区分では全世界売上高に連動する高額な制裁金が設定されています。この水準の大きさは、企業が規制対応を「一部門の課題」ではなく「経営リスク」として扱うべき理由を明確に示しています。制裁金の規模を役員会に提示するだけで、これまで及び腰だった経営層の関心が一気に高まったという声は、実際に対応を進めた企業の担当者から繰り返し聞かれます。

重要なのは、罰則を単体の脅威として捉えるのではなく、既存のインシデント対応体制とどう接続するかという視点です。AIに起因する不具合や誤判定が発生した際、それを速やかに検知し、影響範囲を特定し、必要に応じて当局へ報告するという一連の流れは、情報セキュリティのインシデント対応体制と多くの部分で重なります。既にある体制にAI特有の論点を組み込む形で拡張する方が、ゼロから新設するよりもはるかに現実的です。

• 禁止行為への違反は最も重い制裁金区分の対象になりうる
• 高リスク義務違反も売上高に連動した重い制裁の対象となる
• 既存のセキュリティインシデント対応体制にAI起因の事象を組み込む
• 当局への報告フローを事前にシミュレーションしておく

サプライヤー・調達先への波及

自社が直接AIを開発していなくても、調達したAIコンポーネントやAIベンダーが提供するサービスを組み込んでいれば、提供者としての義務の一部を実質的に引き受けることになります。特に高リスク分野でベンダーのAIを組み込んだ製品を欧州市場に出す場合、ベンダーが提供する技術文書やリスク管理の証跡を自社側でも保持し、説明できる状態にしておく必要があります。

ある部品メーカーは、海外のAIベンダーから調達した画像検査システムを自社の生産ラインに組み込んでいましたが、そのベンダーが欧州域内での提供実績を持たず、必要な技術文書を用意していないことが判明し、調達契約の見直しを迫られました。この経験から、同社は新規のAIベンダー選定時に、EU AI Act対応状況を確認する項目を調達チェックリストに追加しました。サプライチェーン全体でのガバナンスの整合性を確保することは、今後の調達プロセスに組み込むべき標準的な観点になっていきます。

教育とトレーニングの設計

制度対応を実効性のあるものにするためには、法務担当者だけでなく、AIを実際に開発・運用する現場のエンジニアやプロダクトマネージャーへの教育が欠かせません。条文の内容をそのまま説明しても現場には響きにくいため、自社の具体的なプロダクトを題材にしたケーススタディ形式の研修が効果的だという声が多く聞かれます。

ある企業では、四半期ごとに実施する社内研修の中で、実際に社内で開発されたAI機能を題材に「これは高リスクに該当するか」を参加者同士で議論するワークショップを取り入れています。抽象的な条文解説だけでは伝わらなかった感覚が、自社の事例を通すことで急速に浸透したといいます。教育は一度きりのイベントではなく、規制の改正や自社プロダクトの変化に応じて継続的に更新していく必要があります。