EU AI Actが2026年8月から本格執行へ、AI Officeの権限・罰金・生成AIへの影響を解説

EUのAI Actについては、2024年に成立した時点でかなり大きく報道された。だから「EUがAIを規制する」という話そのものには、もうそれほど新鮮味を感じない人もいるかもしれない。

だが、2026年8月に起きたことは少し意味が違う。

法律を作る段階から、実際にその法律を使ってAI企業を調査し、是正を要求し、違反があれば制裁金を科す段階へ移ったのである。

EU AI Actが「執行される法律」になった

欧州委員会によれば、2026年8月2日からEuropean AI OfficeとEU加盟各国の当局によるAI Actの執行権限が本格的に適用されている。

もちろん、AI Actがこの日に突然始まったわけではない。禁止されるAI利用など一部の規定は2025年2月から、汎用AI（GPAI）モデル提供者に対する義務は2025年8月から段階的に適用されてきた。

では2026年8月に何が変わったのか。

一つは、これまで「守らなければならない義務」として存在していたルールについて、当局が実際に調査し、制裁できるようになったことである。特にGPAIモデルについては、欧州委員会が2026年8月以降、制裁金を含めて完全遵守を執行すると明示している。

規則を作ることと、規則を執行できることは、同じように見えて実はかなり違う。速度制限の標識だけが立っている道路と、速度を測るカメラや警察が実際に配置された道路くらいには違う、と考えると分かりやすいかもしれない。

AI Officeは何ができるのか

ここで興味深いのが、European AI Officeに与えられた権限である。

AI Officeは主にGPAIモデル、そのモデル提供者自身が提供するAIシステム、さらにDigital Services Act上の超大規模オンラインプラットフォームなどに統合された一定のAIシステムを監督する。それ以外のAIシステムは、基本的にEU加盟各国の監督当局が担当する。

AI Officeは事業者に情報提出を求めることができるだけではない。GPAIモデルについてモデル評価を実施し、そのためにモデルへのアクセスを要求できる。独立した専門家を使って評価することもでき、問題があれば事業者に対して是正措置を求め、必要な場合にはモデルの一般公開を制限する措置まで要求できる。

つまりこれは、単に企業から書類を提出してもらい、チェックリストを確認する制度ではない。少なくとも制度上は、AIそのものを調べる仕組みになっている。

最大「世界売上高の7％」という罰金

そして、違反には当然ながら制裁がある。

禁止されているAI利用への違反については、最大3,500万ユーロ、または企業の全世界年間売上高の7％のうち高い方が上限となる。他のAI Act上の義務違反では最大1,500万ユーロまたは3％などが定められている。

7％という数字だけを見ると、かなり大きい。例えば世界規模で事業を展開する巨大テクノロジー企業なら、罰金額も当然巨大になる可能性がある。

ただし、これは常に7％を取るという意味ではない。欧州委員会は違反の性質、重大性、期間などを考慮して金額を決めるとしている。最大額だけを取り上げて「EUがAI企業に売上の7％を請求する」と書けば、さすがに話が違ってしまう。

チャットボットやAI生成コンテンツも対象になる

AI Actという言葉から、自動運転や採用判定、警察の顔認識など、少し特殊なAIを想像する人もいるかもしれない。

だが2026年8月から適用された透明性ルールは、もっと身近だ。

• チャットボットなどでは、人間ではなくAIと対話していることを知らせる
• ディープフェイク画像・動画・音声には表示を行う
• 一定のAI生成・加工コンテンツには機械可読なマーキングを組み込む

といった義務が含まれる。

考えてみると、こちらの方が一般のユーザーにとってはAI Actを体感する機会が多いかもしれない。AI規制というと企業の法務部門だけの話に見えるが、実際には「この画像はAIで作られました」「あなたが話している相手はAIです」というUIそのものにも関わってくる。

ただし、AI Actのすべてが始まったわけではない

ここは少しややこしい。

AI Actは巨大な規則であり、その全条項が同じ日に適用されたわけではない。特に高リスクAIについては適用時期がさらに後ろにある。

したがって、「2026年8月にAI Actが全面施行された」と単純化するのも正確ではない。むしろ巨大な制度が部品ごとに順番に動き始め、その中でも重要な執行機構が2026年8月に立ち上がった、と考えた方がいい。

日本企業には関係ないのか

では、日本企業にとってこれはどこまで関係するのだろう。

EU域内でAIシステムやAIモデルを提供したり、EU市場を対象にAIサービスを展開したりする企業であれば、当然検討が必要になる。自社で巨大な基盤モデルを作っていない会社でも、外部のGPAIを組み込んだサービス、生成AIコンテンツ、チャットAIなどを提供する場合、AI Act上の立場や義務を確認する必要が出てくる。

そして恐らく、影響は法律上の直接適用だけでは終わらない。

GDPRでもそうだったが、大きな市場が一つのルールを採用すると、世界向けにサービスを作っている企業は「EU版だけ別仕様」にするより、同じ仕様を他地域へ広げた方が楽な場合がある。AI生成コンテンツの表示や透明性機能についても、同じようなことが起きる可能性はある。

もちろんAI Actがそのまま世界標準になると決まったわけではない。米国、日本、中国などはそれぞれ別のAI政策を持っており、EU方式への反論もある。ただ、サービス設計の段階から規制対応を組み込む必要が出てきたという意味では、欧州だけの話として切り離すことも難しくなってきた。

「規制対イノベーション」だけで見ると見落とすもの

AI規制の話になると、しばしば「安全を重視するEU」と「イノベーションを重視する企業」という対立構図になる。

確かにその側面はある。モデルを評価され、技術資料を要求され、場合によっては公開制限まで求められるのであれば、AI企業にとって負担になるのは間違いない。

だが逆に考えると、何億人もの人が使うAIが社会インフラに近づいていくなら、外部から検証する制度が一切ない状態の方が不思議だ、という見方もできる。

問題は「規制するかしないか」だけではなく、どこまで調べれば安全性を確認できるのか、企業秘密やモデルの安全性をどう守るのか、技術進歩より遅い制度をどう更新するのか、といった実務の方へ移りつつあるのだろう。

AI Actの成否が見えてくるのは、むしろここからなのだと思う。規則を作ることはできた。次に問われるのは、その巨大な規則を、急速に変化するAIに対して本当に運用できるのかどうかである。