更新日: 2026年10月20日
EUのAI規則（AI Act）について、「2026年8月から高リスクAIへの義務が始まる」と聞いていた方は多いと思います。実際には、2026年7月にこの日付が後ろ倒しされました。結論を先に言うと、製造業にとっての期限は延びましたが、義務がなくなったわけではありません。延びた期間をどう使うかが、これからの差になります。
この記事の要点
- 2026年7月24日にEU官報に掲載された規則（Regulation (EU) 2026/1744）で、高リスクAIへの義務の適用日が変更された
- 雇用・教育などの独立型（附属書III）は2026年8月から2027年12月へ、製品に組み込まれるAI（附属書I）は2028年8月へ延期された
- 延期は撤回ではなく、準備期間が延びただけである
- 自社のAI利用の棚卸し、データの所在とログの管理は、延期後も必要になる準備である
- どの用途が高リスクに当たるかは個別の判断になるため、法務や専門家への確認が前提になる
何が決まったのか
EUのAI規則（Regulation (EU) 2024/1689）は、AIのリスクの大きさに応じて義務を段階的に課す法律です。このうち「高リスクAI」への義務は、当初2026年8月2日に適用が始まる予定でした。
2026年7月8日付で成立した Regulation (EU) 2026/1744（通称 Digital Omnibus on AI）は、2026年7月24日にEU官報に掲載されました。この規則は、高リスクAIへの義務の適用日を次のように改めています。
- 附属書IIIに該当する独立型の高リスクAI（雇用や教育の場面で使うAIなど）は、2026年8月2日から2027年12月2日へ
- 附属書Iに該当する、規制対象の製品に組み込まれる高リスクAIは、2028年8月2日へ（従来は2027年8月）
出典はEUの官報（EUR-Lex）に掲載された規則の本文です。従来の日付は法律事務所のGibson Dunnの解説で確認しました。
日付を整理すると
混乱しやすいので、今回の規則で確認できる日付を並べておきます。
- 2026年7月24日: 規則がEU官報に掲載された
- 2026年12月2日: すでに市場に出ている生成AIシステムが、生成物への表示などの透明性の措置（第50条2項）に対応する猶予の期限
- 2027年12月2日: 独立型の高リスクAI（附属書III）への義務の適用日
- 2028年8月2日: 製品に組み込まれる高リスクAI（附属書I）への義務の適用日
このうち製造業が最初に意識するのは、自社の用途がどちらの区分に入りそうかという点です。区分によって、準備に使える期間が約1年違います。
延期に至るまでの流れ
この見直しは、突然決まったものではありません。Gibson Dunnの解説によると、EUの関係機関は2026年5月6日に暫定的な政治合意に達し、5月13日にEU理事会の代表が確認しました。その後、2026年7月8日付で規則が成立し、7月24日に官報へ掲載されています。高リスクAIの適用日が近づく中で、義務の運用に必要な基準や体制の整備が間に合うかという点が、見直しの背景にあります。
このように、期限は正式な手続きを経て動きました。今後も運用の細部が変わる可能性はあるため、日付を社内資料に書くときは、出典となる規則の番号とあわせて残しておくことを勧めます。
製造業にどう関係するのか
製造業が関わる場面は、大きく2つに分けられます。
ひとつは、製品にAIを組み込んで提供する場合です。機械や設備などの規制対象の製品に安全部品としてAIを入れるときは、附属書Iの側に入ります。期限は2028年8月まで延びました。
もうひとつは、自社の業務でAIを使う場合です。たとえば採用や従業員の評価にAIを使うときは、附属書IIIの側で扱われます。期限は2027年12月です。
想定される場面を、例として3つ挙げます。いずれも該当するかどうかを断定するものではなく、検討の入口を示すものです。
- EU向けに出荷する設備や機器に、画像による検査や制御のAIを組み込んでいる場合。製品側の規制と合わせて、附属書Iに当たるかを確認することになる
- 欧州の拠点で、採用や従業員の評価にAIを使っている場合。附属書IIIに当たるかを確認することになる
- 日本国内だけでAIを使っている場合。直接の対象になるとは限らないが、EUの取引先から対応状況の確認を求められる可能性はある
このうち3つ目は、規則が直接求めるものではありません。取引の中で、AIの利用方法やデータの扱いを説明する場面が増えるという見方です。
どれの場合も、EU域内で製品やサービスを提供する場合は、日本の企業も対象になり得ます。ただし、自社のどの用途が高リスクに当たるかは、用途や設計によって変わります。この記事では判断しません。実際の該当可否は、法務や専門家に確認してください。
延期は撤回ではない
今回変わったのは日付だけです。高リスクAIに義務を課すという枠組みそのものは、残っています。
AI Actの高リスクAIに関する規定（第9条から第15条）では、主に次のような項目が求められます。
- リスク管理の仕組みを設け、運用の間も続けること
- 学習や運用に使うデータの管理（データガバナンス）
- 技術文書の作成と、運用の記録（ログ）の保管
- 利用者への情報提供
- 人による監督ができる設計
- 精度、頑健性、サイバーセキュリティの確保
いずれも、AIを導入した後から整えるのは難しい項目です。とくにデータの管理と記録は、AIにどのデータを渡しているかが分かっていなければ手が付けられません。AIの導入が進んだ後で「どのAIが、どのデータを、どこで扱っているか」を調べ直すのは、手間がかかります。猶予の間に、先に仕組みを整えるほうが負担は小さくなります。
猶予期間に製造業がやっておくこと
具体的には、次の3つが出発点になります。
- AIの利用の棚卸し。部署ごとに使っているAIツールと、そこに渡しているデータを一覧にする。個人が業務で使っている生成AIも含める
- データの所在の整理。設計データや品質データなど機密性の高いものを、どこに置き、どのAIに渡しているかを把握する。社外のサービスに送っているものは分けて記録する
- 利用記録の残し方の決定。誰が、いつ、何のためにAIを使ったかを追える形にする
棚卸しは、完璧な一覧を作ることが目的ではありません。まず1つの部署から始めて、「どのAIが」「どのデータを」「どこで」扱っているかを1行ずつ書き出すだけでも、抜けている部分が見えてきます。そこから、EUに製品を出す部門や、人事に関わる部門など、規則の対象になりそうな用途を優先して深掘りしていく進め方が現実的です。
外部のクラウドAIに機密データを渡している場合は、2と3の把握が難しくなります。データの扱いを自社の管理下にとどめられる基盤を選んでおくと、この把握が楽になります。
当社が製造業向けに提供しているオンプレミスAIプラットフォーム「Cosnex」は、機密データを社外に出さずに文書検索や技術継承に使える仕組みです。ただし、規制への適合そのものを保証するものではありません。適合の判断は別途、専門家と進める必要があります。
まとめ
EUのAI規則の高リスクAI義務は、独立型が2027年12月、製品組み込み型が2028年8月に延期されました。ただし、延期は撤回ではありません。猶予の間にAIの利用とデータの所在を整理しておくことが、後の負担を減らします。
製造業がオンプレミスAIで何を解決できるかは、製造業のオンプレミスAI導入ガイドで詳しく解説しています。あわせて、海外の導入状況は海外製造業のAI活用動向で整理しています。オンプレミスAIプラットフォーム Cosnex の概要資料は、製品ページからダウンロードできます。
参考文献
- European Union「Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026」（官報 2026年7月24日）— https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
- European Union「Regulation (EU) 2024/1689（AI Act）」— https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
- Gibson Dunn「EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes」— https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
