EU・法律と技術 · EU AI法の2026年改正

EUのAI法は2026年に何が施行された？ディープフェイク表示と禁止AI、先送りされた高リスク規制

EUのAI法は2026年に何が始まったのでしょうか。改正法の原文をもとに、ディープフェイク表示、禁止行為、高リスクAIの適用日、供給者と導入者の役割、例外を確認します。

世界の見取り図編集部公開 2026.10.18資料確認・更新 2026.10.1814 分で読めます

事実、各国の主張、編集部の解説を区別して紹介します。記事の更新日は資料確認日です。速報や現在の戦況・選挙予測を保証するものではありません。

2026年に適用された義務と、これからの規則

生成AIによる文章や画像が身近になった一方、EUでは「AIで作られたものだと表示する必要があるのか」「企業が使うAIはすべて禁止されるのか」という疑問が増えている。2026年8月2日からEUのAI法（AI Act）の重要な透明性義務と監督・執行の仕組みが適用されるようになった。さらに同年7月27日に発効した改正法（AI Omnibus）によって、一部の高リスクAI規制の適用時期が延びた。したがって「2026年からEUのAI法が全部始まった」と表現すると、実際のルールの段階を取り違える。

制度の核心は、AIそのものを一律に禁止するのではなく、特定の危険な使用を禁止し、利用者への説明を求め、リスクが高い用途には追加の義務を段階的に適用するということだ。 AIが人と直接会話する場合の告知、合成画像やディープフェイクの表示、社会的スコアリングなどの禁止には、それぞれ異なる法的条件がある。いつから、誰に、何が求められるかを、EU欧州委員会の2026年10月6日更新の公式説明と同年7月の改正法の条文で確かめる。［1］［2］［3］［7］

いつから何が始まったのかを一つの年にまとめない

EU AI法は2024年8月1日に発効したが、条文の適用は段階的に進む。欧州委員会の公式年表は、2025年2月2日に定義・AIリテラシー・一定の禁止行為の規定、2025年8月2日に汎用AIモデルの供給者に関する規則、2026年8月2日に透明性などの義務と監督機関の執行を示す。発効とは法律が法体系に入ることであり、各条文に基づく義務がすべて同時に適用されることとは違う。「8月からAI規制開始」という見出しに触れたら、対象の条文と適用日を必ず読む必要がある。

しかも2026年の改正後、高リスクAIの一部について適用日が変わった。欧州委員会の最新版では、AI法付属書IIIの特定高リスクAIは2027年12月2日、製品安全関連の付属書Iに組み込まれる高リスクAIは2028年8月2日が適用時点として示されている。2026年8月に透明性が始まったからといって、就職選考などに使うあらゆる高リスクシステムがその日に全要件の執行対象となったと判断してはいけない。旧版の記事や改正前の解説を読むときは、いつの条文に基づく日付なのかを確かめたい。［2］［7］

人と会話するAIにはどんな説明が必要なのか

AI法第50条は、自然人と直接やり取りすることを意図するAIシステムについて、利用者がAIと対話していると分かるよう設計・開発することを、供給者に求めている。ただし、合理的に注意深い利用者から見てAIだと明らかな場合などの例外がある。実際の法文には、刑事犯罪の発見・捜査等に関する限られた適用除外や保障条件も設けられている。「AIと会話するときは必ず画面の全行にAIと書く」という規則ではない。目的は、人が相手を人間だと誤認しないための透明性を確保することだ。

利用者の立場では、画面にAIの告知があるかだけでなく、いつ誰がAIを使っているのか、回答の責任主体が誰かを把握することが役立つ。企業の窓口がAIを使って一次応答していても、契約条件の変更や返金の決定がすべて自動で正しいわけではない。重要な手続きでは事業者が公表する正式条件を確認する必要がある。また、告知があってもAIの出力が事実に合っている保証ではない。透明性と正確性、適法性は別の評価軸である。AIだと分かったうえでも不正確な案内に気をつける必要がある。［4］

ディープフェイクの『表示義務』と『禁止』は違う

画像や音声がAIで合成されたとき、すべての生成物が違法になるということではない。第50条では、現実と誤認し得るような画像・音声・映像をAIで生成・操作したものについて、一定の公開時の開示義務を規定する。さらに、合成コンテンツを機械で検出できるようにする供給者側の技術的な表示要件も別にある。供給者と実際にコンテンツを使う導入者（deployers）の仕事は同一ではない。画面上で説明することとデータに機械可読な標識を付けることも別の義務だ。公共の関心事項を伝えるAI生成・加工の文章にも第50条4項の開示規定があるが、人による確認・編集管理を経て、自然人または法人が編集責任を負う場合などは同項の例外となる。

芸術、創作、風刺、フィクションなどの作品には、作品の表示や鑑賞を不必要に妨げない形式で合成の存在を知らせるための特別な扱いがある。法文はこのほかに刑事手続きなどの限定的な除外も定める。単純に「AIで描いたイラストはすべて違反」「AIと付ければどんなディープフェイクも合法」と考えるのは誤りだ。表示義務があっても、他人の名誉やプライバシー、著作権等の別の法令が問題になることはあるし、画像の内容によって禁止行為になる場合もある。何が禁止で、何が透明性の対象で、何がほかの法律によって規律されるかを整理しなければならない。［4］

合意のない性的ディープフェイクへの禁止が加わる

2026年7月のAI Omnibusによる改正では、識別できる本人の適切な同意なしに、現実的な性的画像・映像等を生成・操作するAIシステムについて、市場への投入、使用開始、利用に新たな禁止規定が加えられた。欧州委員会の公式年表は、その適用日を2026年12月2日と明記している。2026年10月18日現在、改正法は発効しているが、この追加禁止の適用時期はまだ先である。すでに適用されている別の法令による規制がないという意味でもない。

市場投入・使用開始への禁止は、その生成・操作がシステムの意図した目的である場合や、容易に予見・再現できるのに十分な防止・是正策がない場合などに限られる。利用の禁止は、導入者がその素材を生成・操作する目的で使う場合に関係する。第5条1a・1b項はこの条件や操作の範囲を定めている。法律の説明では、対象となる行為や本人の同意、例外などを正確に見なければならない。第5条の条文は、本人の自由意思による、具体的で十分な説明を受けた明確な同意などの条件に触れている。報道記事の「性的画像を禁止」という短い言葉から、あらゆる創作物や画像編集を同じ規則で評価するのは誤りだ。逆に本人の同意のない性的な画像を生成する行為について、ラベル表示さえあれば問題がなくなると考えるのも危険である。本稿は一般的な制度の整理であり、特定の作品が違法かどうかを個別判定するものではない。［2］［5］［7］

何が『禁止AI』なのか――名前ではなく使い方を見る

AI法第5条は、無意識の心理操作や人の弱みにつけ込む一定の使用、重大な不利益につながる社会的スコアリング、特定の基準に該当する予測的な犯罪リスク評価、顔認識データベースを作るための無差別な画像収集、職場や教育での感情推定の一部などを禁じている。重要なのは、禁止される範囲が条文の条件で限定されていることだ。例えば、人の行動に関する評価であるというだけで、あらゆる信用審査や学校の成績評価が直ちに違法になるとは言えない。

なぜこうした使い方が問題となるのか。人を本人が知らないところで操作して重大な不利益を生じさせたり、無関係な場面での行動記録を集めて不公平な扱いを決めたりすれば、本人が理由を知って異議を申し立てる機会や、権利を守る仕組みが損なわれるからだ。欧州委員会は基本的権利とEUの価値への危険を理由として説明している。しかし、法律が列挙する禁止事項のすべてが同じ証明要件で成立するわけではない。AIを使ったという事実だけでなく、どの種類のシステムが、どんな目的で、どのような結果をもたらすかが判断の対象になる。［5］

高リスクAIは将来『全部禁止』されるわけではない

高リスクAIという言葉は強い印象を与えるが、EU法でいう「高リスク」は原則として特別な要求事項と管理が必要なカテゴリーであり、全面的な使用禁止と同義ではない。付属書IIIには、一定の生体認証、教育、雇用、不可欠なサービスの提供、法執行などに関係する用途が列挙される。付属書Iでは特定の製品安全制度と結び付くAIが扱われる。対象となる場合には、データの品質、記録、リスク管理、技術文書、人による監督などが問題になるが、その義務をいつから適用するかは改正後の年表に従って確認する。

例えば、企業が応募者の選考にAIを使うと仮定する。そこで誰がどのような判断をし、説明や異議申立ての道があるかは重要な論点だ。しかし「採用にAIを使った」という一文だけで、具体的なシステムの分類や違法性、2026年時点の適用義務を結論することはできない。法的判断では目的・実際の機能・対象者・提供と運用の役割・経過措置を検討する必要がある。今回の改正で高リスク規制の一部が先送りされたことと、その社会的なリスクがなくなったことも別の話である。［2］［7］

EUの外で作られたAIにも関係するのか

AI法第2条は、EU市場にAIを投入する供給者、EU域内に所在する導入者だけでなく、一定の場合にはEU域外で設立された供給者・導入者にも適用される。たとえばEU域外で作られたシステムの出力がEU域内で使われる場合など、国境を越える条件がある。これを「世界中のすべてのAI開発者がEU法に従う義務を負う」と説明するのは正確ではない。研究・開発の段階、個人的な非職業的使用、軍事・国家安全保障など、法文には適用の範囲や除外がある。

事業者の立場では、会社の所在地だけでなく、AIがどこで提供され、誰が使い、出力がどこで利用されるかを確認する必要がある。一方、利用者の立場では、アプリを日本から使っているだけで、自動的にEU法のすべての権利救済を利用できると決めつけられない。EUのAI法はEU法としての適用範囲を持ち、個人情報の扱いには別にGDPRなどの制度も関係する。個人情報を消せるかというGDPRの問題と、AIシステムをどの条件で提供・利用できるかというAI法の問題は、対象とする義務が異なる。［6］

誰が監督し、違反をどう扱うのか

欧州委員会の2026年10月6日更新の公式資料によれば、AI法の執行には欧州委員会のAI Office、加盟国の権限ある当局、EU機関を対象とする欧州データ保護監督官（EDPS）が関係する。一般目的AIモデルの供給者についてAI Officeが担当する領域があり、ほかのAIシステムについて加盟国の当局が担当する領域がある。「EUに一つの役所ができて、すべての個別サービスを同じ方式で罰する」という理解は不正確である。

AI Officeは資料の提出を求め、一定の評価や調査を行い、条件に応じて是正措置や制裁につながる権限を持つ。欧州委員会の説明には禁止行為で最大3,500万ユーロまたは世界売上高の7％という上限の記載があるが、これを「違反すれば必ず3,500万ユーロを払う」と読んではいけない。罰金の額は違反類型、重大さ、継続期間などに依存する。適用主体や上限にも細かな法規定がある。金額は条文や公式説明にある上限の例であり、過去に特定企業へその額が科されたという実績ではない。［1］

改正された日付を確認しないと何を誤るか

2025年に書かれた記事が「高リスクAI規制は2026年8月開始」と述べていても、2026年7月の改正後の制度と一致するとは限らない。確認する順序は、まず規制したい具体的な行為を特定し、それが第5条の禁止、第50条の透明性、付属書IIIの高リスクなどのどこに該当しうるかを見ること。次にその規定の適用日と移行措置を確認すること。そして対象となる供給者、導入者、利用者の立場を区別することである。

EU法の記事を読む場合、成立日、発効日、適用開始日、経過措置が終わる日を別の欄に書いてみるとよい。第50条第2項の一部技術的表示義務については、2026年8月2日より前に市場投入された一定のシステムに、2026年12月2日までの移行期間がある。新しい禁止規定と、この移行期限は同じ日付だが、対象や法的効果は異なる。大きな数字や同じ日付が並んでも、その法律のどの部分なのかを切り分けることが欠かせない。［2］［7］

二つの利用場面で、担当者と義務をたどる

具体的な場面を置くと、制度の境界が見えてくる。日本の会社がEUの消費者向けに予約相談チャットボットを提供する場合、会社の所在地が日本だからAI法を無視してよいとは限らない。第2条には、EUで市場に出すことやEU内にいる人へ影響する出力の利用など、域外との接点に関する規定がある。まず、誰がシステムを供給し、誰が実際の窓口で導入しているか、サービスの対象市場と出力の利用場所を確認する。次に、第50条の対話相手への情報提供義務が問題になるかを検討する。機械の存在を知らせた時点で、商品案内の真偽や個人データの保護が解決したわけではない。

別の場面では、自治体がAIを使って職員の作業を補助するとする。行政で利用するAIという事実だけで、直ちに「禁止された社会的スコアリング」に該当するわけではない。単純な文書分類なのか、本人に影響する重要な決定なのか、対象用途が高リスク区分に該当するかを区別する。利用目的と判断の結果を確かめて初めて、禁止規定、透明性規定、高リスク規定のどれが関連するかを整理できる。以上は法的結論を先取りしない説明用の架空例であり、実在する企業や自治体の適法性判断ではない。［4］［5］［6］

結論｜2026年のEU AI法は『禁止・透明性・高リスク』を分けて読む

2026年8月には、AI法の透明性などの重要な規則と執行が本格化した。その一方で2026年7月の改正により、特定の高リスクAIについては2027年末や2028年に適用が予定されている。AI法はあらゆる生成AIを禁止した法律ではなく、使い方に応じて異なる規則を定めている。個々のニュースで「規制開始」「禁止」「表示義務」という言葉が出たら、条文、適用日、対象者、例外の四点を確認したい。

利用者が知るべき答えは、AIだと分かる表示が増えることと、AIの内容が正確・安全・適法であることは同じではない、という点だ。企業が守るべき義務も、同じ法律の中で段階と役割によって異なる。見出しだけではなく、欧州委員会が公表する改正後の条文と適用時期を一組として読むことが、2026年のAI規制を正確に理解する方法になる。［1］［2］［3］

SOURCES & CONTEXT

出典・一次資料

公的文書、国連資料、選挙機関などの一次資料を優先します。政府資料はその政府の立場を示すこともあり、出典があることだけで中立とみなさず、事実と解釈を分けて伝えます。

WORLD IN CONTEXT記事一覧へ