EU AI Act透明性義務が施行、日本企業が押さえる5つの実務対応

この記事のまとめ

EU AI Actの透明性義務は2026年8月2日から適用が始まり、対話型AIの通知や生成コンテンツのマーキング、ディープフェイクの開示などが求められます。域外適用があるため、日本国内でシステムを動かしていても、出力がEU域内で使われる場合は対象になります。ここでは全体像と、日本企業が優先すべき論点を短く整理します。

透明性義務は第50条に位置づけられ、限定リスクのAIに課される中心的なルールです。
2026年8月2日から適用が始まり、2026年8月2日より前に市場投入された合成コンテンツ生成AIシステムの第50条(2)のマーキング義務のみ、12月2日まで猶予されます。
違反時は最大1500万ユーロまたは全世界売上高の3%の制裁金が科されます。
日本企業はインベントリ、役割判定、開示設計、契約、ガバナンスの5点を優先します。

EU AI Actと透明性義務の基礎

AI Actのリスク4分類と第50条の位置

まず、AI Actがどんな考え方でAIを区分しているかを押さえておきます。

EU AI Actは、AIシステムを4つのリスク層に分けて規制を組み立てています。社会的スコアリングや職場・教育現場の感情認識などを含む「許容できないリスク」は第5条で禁止され、採用AIや与信スコアリング、重要インフラ制御などの「高リスク」には適合性評価や技術文書、ログ保存、人による監督が課されます。対話型AIやディープフェイク生成といった「限定リスク」には第50条の透明性義務とラベリングが適用され、スパムフィルタやゲームAIなどの「最小リスク」は任意の基準への準拠が推奨されるにとどまります（参照*1）。

ここで重要なのは、第50条は限定リスク層に位置づく義務であり、高リスクAIに課される適合性評価などとは別の系統だという点です。ひとつのシステムが高リスクにも該当する場合、第50条と高リスクの義務を重ねて満たす必要があります。生成AIコンサルティングの現場で企業の担当者と話していると、この「重ね合わせ」を見落としているケースが多い。「うちは限定リスクだから第50条だけ見ればいい」という整理は、高リスク要件と並走する可能性を考慮できていません。

プロバイダーとデプロイヤーの役割区分

第50条の義務を読み解くうえで欠かせないのが、プロバイダーとデプロイヤーという役割区分です。ここを曖昧にしたまま進めると、後の契約交渉やガバナンス設計で詰まります。

第3条(3)は、プロバイダーを「AIシステムまたは汎用AIモデルを開発し、あるいは開発させて、自らの名称または商標のもとで市場に投入したり、サービス開始したりする自然人・法人・公的機関・団体」と定義しています。有償か無償かは問われません（参照*2）。

一方でデプロイヤーは、AIシステムを業務の権限のもとで利用する法人を指し、実際に操作している従業員個人ではありません。また、第三者が作った生成AIコンテンツを単に流通させているだけの主体、たとえばオンラインプラットフォームはデプロイヤーには当たらないと整理されています（参照*3）。

日本企業にとっての実務上のポイントは、契約主体である法人がデプロイヤーとして責任を負う点です。自社が開発してブランドを付けて出しているのか、他社のAIを業務で使っているのかを最初に切り分けると、以降の判定が楽になります。生成AI導入支援をしていて気づくのですが、「うちはOpenAIのAPIを使っているだけ」という認識でいると、自社がプロバイダーとデプロイヤーを兼ねる場合があることを見逃しやすい。この点は後の対応4でも触れます。

第50条が定める4つの義務

第50条は、大きく分けて4種類の透明性義務を定めています。

条文は、対話型AIについて、利用者が「AIとやりとりしている」と分かるように設計・開発することを求めます。次に、プロバイダーは生成AIの出力に機械可読な印を付け、人工的に生成・加工されたものだと検知できるようにする必要があります。さらに、感情認識や生体分類システムを使うデプロイヤーは、対象となる人にその稼働を通知しなければなりません。最後に、画像・音声・映像のディープフェイクを生成・加工するデプロイヤーには、コンテンツが人工的に作られた事実の開示が課されます（参照*4）。

欧州委員会の公式資料も、プロバイダー側の義務として「対話の明示」と「機械可読マーキング」を、デプロイヤー側の義務として「感情認識・生体分類の通知」「ディープフェイクの開示」「人によるレビュー等を欠く公益テキストの開示」を並べて整理しています（参照*5）。

注意したいのは、これら4つの義務はひとつのシステムに重ねて適用され得る点です。役割ごとに義務を仕分ける作業と、システム単位で義務が積み上がる可能性の両方を意識しておく必要があります。

施行スケジュールと域外適用

2026年8月2日施行と12月の猶予

ここで押さえたいのは、適用日と猶予期間の区別です。「まだ猶予がある」という受け取り方をしている企業も多いですが、猶予の対象は限定的です。

第50条の透明性義務は、AIとのやりとりの通知や生成コンテンツのラベリングを求めるものであり、2026年8月2日から予定どおり適用されます。既存システムに対する機械可読な透かしについてのみ、狭い猶予期間が設けられています。最も広く影響するのは、附属書IIIに分類される単独型の高リスクAIについて、遵守期限が2026年8月2日から2027年12月2日まで16か月ずれこむ変更です（参照*6）。

第50条に関するガイドラインは2026年7月20日に公表されており、第50条は原則として2026年8月2日から適用が始まる一方、第50条(2)はAI Omnibusによって2026年12月2日に延期されました（参照*7）。

延期の対象は限定的です。第50条(2)のマーキング義務のうち、2026年8月2日より前に市場投入された合成音声・画像・映像・テキストを生成するAIシステムに限って、2026年12月2日まで導入が延ばされます（参照*8）。

全部が延期されたわけではありません。第50条本体は8月2日から動く前提で計画を立てる必要があります。

第2条の域外適用と日本企業

続いて、日本にいながらなぜAI Actの対象になり得るのかを確認します。この点を「対岸の火事」として処理している企業が、実は相当数あると感じています。

第2条は域外適用の規定を含んでおり、AIシステムの提供者や利用者がEU域外にいても、そのシステムが生む出力がEU域内で使われる場合には規制が適用されます。日本のサーバーで動かしている日本企業のAIでも、出力がEUの顧客に届いた時点でAI Actの射程に入ります（参照*1）。

この構造は多くの企業が見落としがちな点です。第2条は、第三国のプロバイダーおよびデプロイヤーであっても、AIシステムの出力がEU域内で使われるときは対象になるとしています（参照*9）。

ガイドライン草案はより具体的な例を示しています。第三国の生成AIシステムのプロバイダーは、そのシステムの出力がEUで使われることを意図している場合にマーキング義務を負い、EU域内で表示される広告の中でセレブのディープフェイクをAIで作成した第三国の広告主は、対象となるデプロイヤーとして扱われます（参照*3）。

日本企業に置き換えると、EU向けにチャットボットを提供したり、EU圏の消費者に見せる広告に生成AIを使ったりする場面が、素直に対象に入ってきます。「日本法人だから関係ない」という判断は、出力の到達先を確認する前には成立しません。

生成AI・ディープフェイクの開示ルール

機械可読マーキングと検出手段

まずは、生成コンテンツに付ける「印」の技術面を整理します。

AI Actの前文133は、機械可読マーキングを満たす手段として、透かし、メタデータによる識別、来歴や真正性を証明する暗号学的手法、ログ、フィンガープリントなどを組み合わせて用いることを例示しています（参照*10）。

EUはマーキングの脆さに対処するため、Code of Practiceで多層的なマーキングを求めています。メタデータに加えて、AIシステム提供者に対して透かしも求めています（参照*11）。

生成AI提供者に向けた枠組みでは、保護されたメタデータと透かしを組み合わせる二層アプローチが示され、フィンガープリントやログは補完的な選択肢として位置づけられています。あわせて提供者は、デプロイヤーや利用者、監督当局や研究者を含む正当な関係者に対して、無償の検出インターフェースを用意する必要があります（参照*12）。

日本企業の実装では、C2PAに代表される来歴標準のようなメタデータ層と、コンテンツ本体に埋め込む透かし層を組み合わせる発想が現実的です。ただし、技術仕様の選定よりも「誰がどのコンテンツにマーキングを付ける責任を持つか」を先に決めないと、実装が空回りします。これは生成AI導入支援でも同様で、ツールを先に決めて運用が後回しになるパターンが多い。

ディープフェイクと公益テキストのラベリング

次に、開示の「見せ方」を具体的に確認します。

Code of Practiceに沿ったモダリティ別の開示方法として、リアルタイム映像には持続アイコンと冒頭のディスクレーマーを、非リアルタイム映像には冒頭ディスクレーマー、持続アイコン、エンドクレジットの組み合わせで対応します。マルチモーダルコンテンツはユーザー操作なしで見えるアイコンを表示し、画像には固定位置の視認しやすいアイコンを、音声のみのディープフェイクには可聴のディスクレーマーを示します（参照*13）。

公益テキストの例外要件については、人によるレビューを「対象事項に関する知識と職業的判断を有する自然人が、内容の実質を熟慮して検討すること」と説明し、編集統制は「編集長のような責任ある編集主体が、内容の承認・修正・却下の権限をもって行使する管理」と位置づけています。スペルチェックや文法修正のような形式的な確認は、人によるレビューにも編集統制にも当たりません（参照*14）。

欧州委員会はディープフェイクを広く解釈しており、義務は精巧な人物なりすましに限られると考えるべきではありません。実在の人物・物・場所・出来事に近く、人を誤認させる可能性のあるAI生成・加工コンテンツは、意図せずとも対象に入り得ます（参照*8）。

Code of PracticeとEUアイコン

ここでは、任意の枠組みと公式アイコンについて整理します。

2026年7月末までに約190の企業・組織がCode of Practiceに署名しました。適合評価が肯定的だったことを受け、署名したプロバイダーおよびデプロイヤーは、AI生成コンテンツやディープフェイク、特定のテキスト公表物のラベリングと検出に関するAI Actのルール遵守の証明にあたり、Code of Practiceの措置に依拠できます（参照*15）。

欧州委員会は2026年7月8日、Code of Practiceが第50条(2)、(4)、(5)の義務を適切にカバーし、その効果的な実施を促すと結論づけました。翌日にはAI Boardが適合性評価を採択しています（参照*16）。

EUアイコンには4つのバリエーション、すなわち黒、白、50%透過の黒、50%透過の白があり、SVGとPNGの各形式でzipファイルからダウンロードできます。EUアイコンの使用は任意ですが、第50条のラベリング要件そのものは任意ではありません（参照*17）。

日本企業にとっての意味は明快です。Code of Practiceに署名しない場合でも、同等の代替措置で第50条を満たす説明を用意しておく必要があります。「署名していないから対応不要」ではなく、「署名していないなら別の方法で義務を満たす証明が必要」という理解が正しい。

違反時の罰則と執行体制

罰則の枠組みと、誰が執行するのかも把握しておきます。制裁金の数字だけが一人歩きしがちですが、枠組みの理解を誤ると社内説明も間違えます。

第50条(5)は横断的な基準として、情報は明瞭かつ識別可能で、遅くとも最初のやりとりまたは接触の時点で提供されなければならないと定めます。4つの義務はひとつのシステムに累積的に適用され得るほか、同じサプライチェーンの中で異なる主体が同時に別々の義務を負うこともあります。違反には最大1500万ユーロ、または事業体であれば前会計年度の全世界売上高の最大3%のいずれか高いほうの制裁金が科されます（参照*3）。

執行主体としては、各国の市場監視当局、監督下のシステムについてはAI Office、EU機関がプロバイダーやデプロイヤーとなる場合には欧州データ保護監督者(EDPS)がルールの執行を担います（参照*5）。

なお、Digital Omnibusでは2026年12月2日から2つの禁止AI行為が追加されます。非同意の親密画像を生成・加工するAIシステムと、児童性的虐待素材を生成するAIシステムがそれで、いずれも最大3500万ユーロまたは全世界年間売上高の7%の制裁金が科されます（参照*6）。

7%の枠は禁止行為に対するものであり、第50条の透明性義務違反は3%の枠に位置づけられます。社内の経営層への説明や法務との合意形成の際に、この区別を取り違えないようにしましょう。数字の大きさだけで議論が止まるケースを何度も見ています。

日本企業が押さえる5つの実務対応

対応1: AI利用インベントリの棚卸し

最初のステップは、社内外で使っているAIを一覧化することです。これが最も地味で、しかし最もサボられる工程です。

監査の第一優先事項は第50条のカバレッジです。顧客向け・従業員向け・パートナー向けのすべてのAIとのやりとりを第50条の義務に対応づけて整理し、開示文言、通知ワークフロー、コンテンツラベリングのすき間を洗い出したうえで手当てすることが求められます（参照*6）。関連ユースケースのマッピングとして、提供・展開・業務プロセスへの組み込みが行われているAIシステムを特定し、第50条の透明性義務が発動するかを評価する作業も並行して必要です（参照*8）。

実務としては、使用中のAIシステムを網羅した完全なインベントリを作成し、AI Actの4層リスク枠組みと、GPAIの2層構造の双方に沿って分類することが推奨されます（参照*18）。

この作業で企業が詰まる理由は、AIの定義が広すぎて「どこまでをAIと見なすか」が決まらないからです。生成AI導入支援の経験から言うと、まず「生成AIを使っている業務フロー」に絞って棚卸しを始め、その後に範囲を広げるほうが動きやすい。完璧なインベントリを最初から目指すと、完成する前に適用日を迎えます。

対応2: プロバイダー／デプロイヤー判定

次に、洗い出したAIごとに自社の立場を決めます。ここが実務で最も判断を要する箇所です。

APIモデルアクセスを用いるカテゴリーでは、多くの生成AI画像システムが大規模GPAIモデル提供者の使いやすいAPIを活用し、モバイルアプリやウェブツールなどのUIに統合することで、AI Act上の生成AIシステムを構成します。API経由でモデルを利用する組織は、その生成AIシステムのプロバイダーとデプロイヤーの両方に当たると考えられ、双方の透明性要件を満たす必要があります（参照*10）。

区分自体はシンプルに整理できます。プロバイダーは自らの名称・商標のもとでAIシステムを開発・製造・市場投入する企業や組織であり、デプロイヤーはそうした立場ではなく、業務活動の中でAIを利用する主体を指します（参照*13）。

実務で難しいのはラベリング技術ではなく、サプライチェーンの各段で誰がプロバイダーで誰がデプロイヤーかを決めることです。契約には、どちらの当事者がどの義務を負うかを明記しておく必要があります（参照*3）。この点をベンダーとの間で曖昧にしておくと、違反が生じたときに責任の所在が見えなくなります。

対応3: 開示UI・ラベリング設計

3つ目は、ユーザーの目に触れる開示の作り込みです。技術的なマーキングと、ユーザーへの開示は別の問題です。

不十分な例として、利用規約に紛れ込ませた一文、人の目に触れないメタデータ、「アシスタント」のような漠然としたラベルは要件を満たしません。子どもや脆弱なユーザーが対象に含まれる場合、ガイドラインはさらに厳しくなります（参照*9）。

アイコンは、遅くとも自然人がディープフェイクや公表テキストに初めて接する時点で、明瞭に知覚でき区別できるように示す必要があります。介在するオーバーレイ要素がない位置に配置し、創作物を除いてディープフェイクや公表テキストに直接埋め込むか、UIオーバーレイなど同等の代替手段で示します。コンテンツが再共有・ダウンロードされたあとも見える状態を保つ必要があります（参照*17）。

アクセシビリティも要点のひとつです。開示は明瞭で理解可能であり、子どもを含む脆弱な個人に合わせて調整されるべきで、透明性対応はAIシステムの設計段階から組み込むことが望まれます（参照*8）。

対応4: ベンダー契約とサプライチェーン

4つ目は、外部ベンダーとの契約の見直しです。既存の契約がAI Act施行前に締結されたものであれば、ほぼ確実に見直しが必要です。

第25条のサプライチェーン開示義務はOmnibusで拡張され、違反には改正後の執行制度のもとで加重された罰則が科されます。下流のアプリケーション構築者やシステムインテグレーターにAIモデルを供給するプロバイダーは、既知の限界や失敗モードを書面で開示しなければならず、供給契約は第三者提供のAIモデルを明示的に対象としなければなりません（参照*6）。ベンダー契約の見直しでは、第三者AIツールを使う場合を中心に、第50条遵守の責任がプロバイダーとデプロイヤーの間で適切に配分されているかを点検する必要があります（参照*8）。

第50条とGDPRは独立した義務であり、一方を満たしてももう一方の遵守にはなりません。EUユーザーにサービスを提供する事業者は、両方をクリアする必要があります（参照*3）。「GDPRは対応済み」という会社ほど、AI Actを別物として扱えていない傾向があります。

対応5: ガバナンスと記録・監査

最後は、社内のガバナンスと記録の整備です。ここを後回しにすると、5つの対応のうち最も長く時間がかかります。

例外分析の文書化として、「明白性」例外などに依拠する場合は、その評価を裏付ける記録を保持することが求められます。ガバナンス枠組みの更新では、AIガバナンスポリシー、調達プロセス、展開レビューに第50条の評価を組み込む必要があります（参照*8）。

透明性義務を果たすうえで、AIモデルの動作について開発者が提供する包括的な文書は中心的な役割を担います。AI Actは文書の様式を細かく定めていませんが、モデルカード、データセットシート、透明性レポートといったツールが、システムの構築・訓練・テストの経緯を説明する助けになります（参照*18）。

EU市場にAIシステムを投入する、または出力がEUユーザーに届くAIサービスを提供する日本企業は、高リスクAIに該当する場合、高リスクAIの義務も満たす必要があります。具体的には、適合性評価のための技術文書の整備、ログ保存基盤の構築、人による監督スキームの設計、CEマーキングに準じた適合性評価への対応が求められます（参照*1）。

おわりに

EU AI Actの透明性義務は、2026年8月2日から本格的に動き始めます。日本国内でシステムを運用していても、出力がEU域内で使われる限り第50条の対象になり得ます。「拠点がEUにあるかどうか」ではなく「出力がどこに届くか」を起点に判断することが、対応の出発点です。

優先順位としては、AIインベントリの棚卸し、プロバイダーとデプロイヤーの役割判定、開示UIとラベリングの設計、ベンダー契約の見直し、ガバナンスと記録の整備の順で進めると動きやすくなります。いずれも「完璧に仕上げてから次へ」ではなく、各ステップを粗く回して全体像を掴んでから精度を上げる進め方が現実的です。EU外の規制潮流も同じ論点をなぞりつつあるため、今回の整備は他地域への展開にも活きます。

監修者

安達裕哉（あだちゆうや）

デロイトトーマツコンサルティングにて品質マネジメント、人事などの分野でコンサルティングに従事しその後、監査法人トーマツの中小企業向けコンサルティング部門の立ち上げに参画。大阪支社長、東京支社長を歴任したのち2013年5月にwebマーケティング、コンテンツ制作を行う「ティネクト株式会社」を設立。ビジネスメディア「Books&Apps」を運営。
2023年7月に生成AIコンサルティング、およびAIメディア運営を行う「ワークワンダース株式会社」を設立。ICJ2号ファンドによる調達を実施(1.3億円)。
著書「頭のいい人が話す前に考えていること」が、95万部（2026年6月時点）を売り上げる。
（“2023年・2024年上半期に日本で一番売れたビジネス書”（トーハン調べ／日販調べ））