EU AI法（AI Act）を解説します。

AI法とは何か（そして何でないか）

AI法は、EU 市場に投入される、または出力が EU 域内で使用される AIシステムを対象とする、製品安全型の規制です。「AI」という技術そのものを規制するのではなく、リスクに応じて特定の用途を規制します。健康、安全、基本的権利へのリスクが高いほど、義務は重くなります。日常的な AI のほとんど（スパムフィルター、レコメンドウィジェット、スペルチェッカー、生産性ツールの AI 機能）は最小リスクであり、新たな義務は一切生じません。

4つのリスク区分

この法律のすべては、この分類にかかっています：

• 許容できないリスク — 2025年2月2日以降、全面禁止：ソーシャルスコアリング、搾取的・操作的な手法、顔画像の無差別スクレイピング、職場や学校での感情認識（狭い安全上の例外あり）、センシティブな属性を推測するための生体分類、法執行目的での公共空間におけるリアルタイム遠隔生体認証（限定的な例外あり）。2026年12月2日からは、2026年の改正により、非同意の親密画像や CSAM を生成する AIシステムも明示的に禁止されます。
• ハイリスク — 許可されるが厳格に規制：規制対象製品の安全コンポーネントとして使われる AI（附属書I — 機械、医療機器、エレベーターなど）、またはセンシティブなユースケースで使われる AI（附属書III — 採用・労務管理、教育の採点、信用スコアリング、生活必需サービス、法執行、移民、司法）。義務にはリスク管理、データガバナンス、技術文書、ログ記録、人間による監督、精度・堅牢性テスト、EU データベースへの登録が含まれます。
• 限定リスク — 透明性義務（第50条）：AIシステムと対話していることを人々に伝える（チャットボット）、AI が生成・加工した画像・音声・動画コンテンツ（ディープフェイク）にラベルを付ける、合成コンテンツに機械可読な方法でマーキングする、公共の利益に関わる事項について公衆に情報提供するために公開される AI 生成テキストを開示する。
• 最小リスク — それ以外すべて：新たな義務はなく、自主的な行動規範が推奨されます。

2026年のタイムライン — Digital Omnibus を反映した最新版

この法律は2024年8月1日に発効し、2026年8月2日にほぼ全面的に適用される予定でした。2025年11月、欧州委員会はこれを簡素化・段階化する「AI に関する Digital Omnibus」を提案し、欧州議会は2026年6月16日に承認、理事会は2026年6月29日に最終承認しました。現在の主要な日付は次のとおりです：

• 2025年2月2日 — 許容できないリスクの慣行に対する禁止と AIリテラシー義務が適用開始。
• 2025年8月2日 — 汎用 AI（GPAI）モデル提供者の義務（技術文書、著作権ポリシー、学習データの要約；システミックリスクのあるモデルへの追加義務）に加え、EU AI Office とガバナンス体制が始動。
• 2026年8月2日 — 法律が一般に適用開始：透明性義務（第50条）、罰則、その他ほとんどの規定。合成コンテンツの機械可読マーキングについては、2026年8月2日より前に市場投入済みのシステムに2026年12月2日までの猶予期間があります。
• 2026年12月2日 — 非同意の親密画像および CSAM を生成する AI に対する新たな禁止が適用。
• 2027年12月2日 — 附属書III のユースケース（採用、信用スコアリング、教育など）に対するハイリスク義務 — 当初の2026年8月から16か月延期。
• 2028年8月2日 — 附属書I の製品組み込み AI（医療機器、機械など）に対するハイリスク義務 — 2027年8月から1年延期。各国の規制サンドボックスは2027年8月2日までに整備される予定です。

誰が遵守しなければならないか

義務はバリューチェーン上の役割に紐づきます：プロバイダー（自らの名前で AIシステムを開発し EU 市場に投入する者）、デプロイヤー（AIシステムを業務で使用する者）、さらに輸入者と販売者です。適用範囲は域外にも及びます — AI の出力が EU 域内で使用される米国や英国の SaaS も対象です。中小企業には一定の緩和措置があります：簡素化された文書、サンドボックスへの優先アクセス、そして制裁金の上限は2つの金額のうち高い方ではなく低い方になります。

AI法があなたのウェブサイトに意味すること

ほとんどの企業にとって、最初の実質的な接点は2026年8月から適用される透明性ルールです — これは訪問者があなたのサイトで目にするものに関わります：

• サイト上の AI チャットボットやアシスタントは、訪問者が機械と話していることを明確にしなければなりません（文脈から明らかな場合を除く）。
• あなたが公開する AI 生成・AI 加工の画像、音声、動画（ディープフェイク）には、人工的に生成・加工されたものであることを目に見える形でラベル付けしなければなりません。
• 合成メディアには機械可読なマーキング（メタデータや電子透かしなど）を施すべきです — 2026年8月以前のシステムに対するマーキング義務は2026年12月2日から適用されます。
• 公共の利益に関わる事項について公衆に情報提供するために公開される AI 執筆テキストは、責任を持つ人間の編集レビューを経ていない限り、AI 生成であることを開示しなければなりません。
• 採用、信用、その他の附属書III のユースケースで AI を使う場合は、2027年12月2日から適用されるハイリスク体制に備えましょう。
• AIリテラシー：AI を業務で使用する組織は、スタッフが運用するシステムを理解できるよう措置を講じるべきです。

罰則

制裁金の構造は意図的に GDPR に似せてあります：禁止された慣行には最大3,500万ユーロまたは全世界年間売上高の7%（いずれか高い方）；ハイリスクや GPAI の義務を含むその他ほとんどの違反には最大1,500万ユーロまたは3%；当局への不正確または誤解を招く情報の提供には最大750万ユーロまたは1%。中小企業については、各上限は2つの金額のうち低い方です。執行は各国の市場監視当局と、GPAI モデルについては EU AI Office が分担します。

Beacon はどう関わるか

Beacon はすでに、検索エンジンと AIクローラーがあなたのウェブサイトで実際に何を見ているかをスキャンしています — robots.txt のポリシー、レンダリングされたコンテンツ、構造化データ、開示表示。私たちはその基盤の上に AI法対応スキャンを構築中です：ウェブサイトの訪問者向け透明性シグナル（チャットボットの開示、AIコンテンツのラベル付け、機械可読マーキングと関連メタデータ）を自動チェックし、優先順位付きの修正リストを提供します。法的助言ではありません — しかし、あなたのサイトが今日何を公開していて、何を最初に直すべきかを具体的に示します。