EU AI Act、2026年8月2日全面適用へ ― デジタル・オムニバスで義務簡素化も規制の方向性は不変

欧州連合の包括的AI規制「EU AI Act」（Regulation (EU) 2024/1689）は2024年8月1日に発効して以来、段階的な適用が進んできたが、2026年8月2日にいよいよ執行規則と透明性義務を含む主要条項が全面適用される局面を迎える。2025年2月には禁止AI慣行に関する規定がすでに施行済みで、今回はいわば「本丸」の適用開始にあたる。BDOによれば、欧州委員会は実務的な運用準備に軸足を移しており、行為規範（Code of Practice）の草案公表やコンプライアンスツールの整備、ガバナンス体制の構築を同時並行で進めている。同法はAIシステムを「禁止的リスク」「高リスク」「限定リスク」「最小リスク」の4段階に分類するリスクベース型の枠組みを採用しており、違反時の制裁金は最大3500万ユーロまたは世界売上高の7%のいずれか高い方に達する可能性がある。この水準はGDPR（最大2000万ユーロまたは世界売上高4%）を上回り、企業経営に与える潜在的インパクトは極めて大きい。

デジタル・オムニバスによる簡素化 ― 2026年5月7日の暫定合意

規制の骨格を維持しつつ運用を軽くする動きが顕著だ。2025年11月19日に欧州委員会が提案した「デジタル・オムニバス」パッケージを受け、2026年5月7日には欧州理事会と欧州議会がAI Actの一部条項を対象とする簡素化のための暫定政治合意に到達した。Stibbeの分析では、これはEU全体の法規制簡素化の一環であり、AI Actの中核的なセーフガードを保持したまま「不要な複雑さ」を削減することが狙いとされる。この流れを受け、AIオムニバス自体は2026年7月27日に発効し、AIリテラシー義務が「成果」ではなく「取り組みプロセス」への言及に簡素化されるなど、中小・中堅企業向けの負担軽減措置も盛り込まれた。具体的には、従業員250名未満の企業に対する文書化要件の簡素書式提供や、適合性評価における自己宣言手続きの拡充が検討されており、コンプライアンスコストの実質的な削減が期待されている。

高リスクAI分類ガイドラインと期限の再調整

2026年5月19日、欧州委員会は高リスクAIシステムの分類に関する草案ガイドラインを公表した。Stibbeによれば、これは採用選考、与信審査、医療診断支援といった分野横断的な実務例を示すことで条文の解釈をより明確にする狙いがある。加えて、当初2026年8月2日とされていた高リスクAIシステム関連義務の期限は後ろ倒しされ、対応インフラの整備状況に合わせた2段階の新たなマイルストーンが導入された。これは単なる猶予拡大ではなく、加盟国の適合性評価機関（Notified Body）の認証体制が整うまでの現実的な移行措置であり、規則の実効性を担保するための実務的調整だと立法者は説明している。専門家の間では、この段階的アプローチが将来の他分野規制（AI以外のデジタル法制）のモデルケースになるとの見方も出ている。

透かし義務の4か月猶予と表示規範

AI生成コンテンツへの透かし（ウォーターマーキング）義務は第50条に規定され、本来2026年8月2日から適用される予定だった。しかしSlaughter and Mayによれば、同日以前に市場投入済みのシステムには4か月の経過措置が認められ、実質的な適用開始は2026年12月2日まで延期される。これに先立ち2026年3月5日には、AI生成コンテンツの表示・ラベリングに関する最初の行為規範草案が公表された。遵守は任意だが、第50条への準拠を示す上での「規制上の安心材料」になるとされ、監督当局が実務判断を行う際の重要な参照点となる見通しだ。透明性ルールに関するガイドラインも欧州委員会から公表済みで、既存の行為規範と合わせて企業の実装を後押しする体制が整いつつある。違反した場合の制裁は前述の最大3500万ユーロ枠に含まれるため、生成AIを活用するメディア・広告・マーケティング業界への影響は特に大きいと見られている。

金融セクターへの波及とGDPR・DORAとの統合

K&L Gatesの分析では、デジタル・オムニバスはAI Actだけでなく一般データ保護規則（GDPR）、NIS2指令、DORA、データ法までも横断的に見直す内容を含む。単一のインシデント報告窓口の導入や、侵害通知の基準・期限の統一が図られ、与信審査などにおける個人データ利用の明確化も進む。金融機関はもともとDORA（デジタルオペレーショナルレジリエンス法）によりICTリスク管理体制の構築を求められており、AI Actの高リスク分類とDORAの重要機能評価が重なる領域では二重対応の負担が指摘されてきた。今回の統合的な見直しは、この重複を解消する狙いもある。これはEU域外の事業者にもAI Actが域外適用されるという構造と相まって、金融機関を含むグローバル企業にとって統合的なコンプライアンス戦略の必要性を一段と高めている。

「様子見」の終わり ― 企業が今なすべきこと

Corporate Compliance Insightsに掲載されたVinciWorksのコンプライアンス責任者Naomi Grossman氏の指摘は示唆に富む。トリローグ（三者間協議）が決着していない段階でも、最終条文が採択されるまでは2026年8月2日という当初期限が法的に有効であり続けるという点だ。同氏は、オムニバス手続きがAI Actを軟化させるどころか、むしろ実装の明確化を進めていると分析する。欧州議会と理事会は、予測可能で執行力のある規制枠組みへのコミットメントを共有しており、詳細交渉が残っていても大枠の方向性はすでに固まっている。企業にとって残された問いは「ルールが変わるかどうか」ではなく「自社が準備できているかどうか」である。2021年4月の欧州委員会提案、2024年5月21日の理事会承認、2024年8月1日の発効という経緯を経て、法制度としての骨格はすでに確定済みだ。8月2日を目前に控え、高リスクAIシステムの棚卸し、AI生成コンテンツの表示体制、行為規範への対応状況を点検することが、今すぐ着手すべき実務課題となっている。