EU AI Actの透明性義務が2026年8月2日に適用開始｜日本企業の実務で何が変わるのか

2026年8月2日、EU AI Act(Regulation (EU) 2024/1689)の第50条、いわゆる透明性義務が適用開始になりました。欧州委員会は同年7月20日に第50条の実装ガイドラインを公表しており、適用の2週間前に解釈の枠組みが出そろった形です。この記事では条文の逐条解説ではなく、生成AI・LLMを業務で使っている、あるいは自社プロダクトに組み込んでいる日本の事業者が、明日から何を確認すればよいのかという順序で整理します。なお本記事は法的助言ではありません。個別の判断は必ず一次情報と専門家にあたってください。

2026年8月2日に何が変わったのか#

AI Actは全体が一斉に適用される法律ではなく、条文ごとに適用日がずれる構造になっています。禁止行為と一般規定は2025年2月2日、汎用AI(GPAI)モデルに関する義務は2025年8月2日、そして本体の適用日が2026年8月2日です(第113条)。第50条の透明性義務はこの本体適用日のグループに入ります。

欧州委員会のFAQは「その日以降、AIシステムの提供者および利用者は、当該規定に定める透明性義務を遵守しなければならない」と述べています。第50条は高リスクAIシステムに限った規定ではない点が重要です。チャットボット、生成AIツール、感情認識システム、生体分類ツール、ディープフェイク生成技術といった幅広いものが射程に入ります。つまり「うちは高リスクに当たらないから関係ない」という整理では、第50条は素通りできません。

義務の中身は4つに分かれます。担い手が提供者(provider)側か利用者(deployer)側かで分かれているのが、実務上いちばん大事な切り分けです。

告知のタイミングと形式については第50条(5)が定めていて、「遅くとも最初のやり取りまたは最初の接触の時点までに、明確かつ識別可能な方法で」提供し、適用されるアクセシビリティ要件に適合させる必要があります。ページの奥まったヘルプに書いておけばよい、という性質のものではありません。

「日本国内向けだから関係ない」で終わらせない#

日本の事業者が最初に判断すべきなのは、そもそも自社が射程に入るのかどうかです。ここで「EUに拠点がないから対象外」と即断すると危険です。欧州委員会のFAQは「EU域外に設立または所在する提供者も、そのAIシステムの出力がEU域内で使用される場合には、AI Actの規定の対象となる」と明記しています。

実務では次のような線で確認するのが現実的です。

• 自社のWebサービス・アプリにEU居住者からのアクセスがあり、AI機能を提供しているか(利用規約でEUを除外していても、実態として使えているなら要確認)
• 自社が生成したAIコンテンツ(記事、画像、音声、翻訳、広告クリエイティブ)がEU域内で公開・配布されるか
• EUの取引先向けにAI機能付きのシステムを納品・提供しているか(この場合、自社がどの立場になるかを契約で確認する)
• グループ会社や現地法人がEU域内でAIシステムを業務利用しているか

逆に、完全に社内クローズドで、出力もEUに届かない業務利用であれば、第50条を直接気にする必要は薄いと整理できます。大切なのは「たぶん関係ない」で止めず、上の観点を書き出して記録に残しておくことです。後から問われたときに、判断した事実と根拠が残っていることが実務上の防御になります。

自社は提供者(provider)なのか利用者(deployer)なのか#

第50条は義務の担い手を分けているので、自社がどちらに当たるかで見るべき条項が変わります。欧州委員会のFAQでは、提供者は「AIシステムを開発する、または開発させたうえで、EU市場に出す」自然人・法人等、利用者は「自らの権限のもとでAIシステムを使用する」自然人・法人等(個人的・非職業的な利用は除く)と説明されています。所在地はEU内外を問いません。

ここで多くの日本企業が該当するのは、次の3パターンのどれかです。

• 他社のLLM API(ChatGPT、Claude、Gemini等)を呼び出して、自社サービス内にチャットボットやアシスタント機能を実装している
• 生成AIツールを社内業務で使い、その出力を対外的な記事・資料・広報物として公開している
• 自社で開発したAIシステムを、自社名でプロダクトとして外部に提供している

3つめは提供者になる可能性が高い類型です。1つめは微妙で、単に既存のAIシステムを自社サービスに組み込んで使うだけであれば利用者にとどまりうる一方、自社の名義・ブランドでAIシステムとして市場に出す形になっていれば、提供者としての扱いを検討する必要があります。AI Actは高リスクAIについて、第三者が自社の名称や商標を付して市場に出した場合や、実質的な改変を加えた場合にその者が提供者とみなされる旨を第25条(1)で定めており、バリューチェーン上の責任移転という考え方自体は法の中に置かれています。第50条の文脈で自社がどちらに当たるかは、契約上の役割と実際の提供形態の両方を見て判断する領域です。ここは自己判断で確定させず、ガイドラインの該当箇所と法務の確認をセットにしてください。

対話AIの告知(第50条1項)をどう設計するか#

自社プロダクトにチャットボットやAIエージェントを組み込んでいる場合、まず着手すべきはこれです。条文は、人と直接やり取りするAIシステムについて、相手がAIとやり取りしていることを知らせるよう設計・開発することを求めています。

例外もあります。「合理的に十分な情報を持ち、注意深く、思慮深い自然人の視点から見て明らかである場合」は告知が不要とされます。ただしこの例外は、実務では狭く見積もったほうが安全です。「AIアシスタント」というラベルが付いているから明らかだ、という自己判断は、UIの実装次第で崩れます。

現実的な設計は次のようになります。

• 会話の冒頭(最初の吹き出し、またはウィジェットを開いた時点)で、AIが応答している旨を明示する
• 音声応答の場合は、最初の発話に含める。テキストだけの注記では接触時点の告知にならない可能性がある
• 人間のオペレーターへ引き継ぐハイブリッド運用では、切り替わりが分かるようにする
• スクリーンリーダーで読み上げられる位置に置く(第50条(5)がアクセシビリティ要件への適合を求めているため)

ここでよくある誤解は、「AIですと書いたら体験が悪くなる」という懸念です。実際には、AIであることを明示したうえで、できること・できないことを一行添えるほうが、誤った期待による問い合わせが減ります。透明性の要求と、プロダクトの使いやすさは、必ずしも対立しません。

生成コンテンツの機械可読マーキング(第50条2項)と4か月の猶予#

第50条(2)は、合成された音声・画像・動画・テキストを生成するAIシステムの提供者に対し、出力を機械可読な形式でマークし、人工的に生成または改変されたものとして検出可能にすることを求めています。ウォーターマークやメタデータといった具体的な技術は、後述する行動規範やガイドラインの側で扱われる構造です。

この義務は基本的にモデル・システムの提供者側にかかります。他社の生成AIを業務で使っているだけの日本企業が、自前で透かしを実装しなければならない、という話ではありません。ただし例外規定と経過措置は押さえておく価値があります。

• 標準的な編集の補助機能を果たすにとどまる場合、または利用者が提供した入力データを実質的に変更しない場合は、マーキング義務の対象外とされています。誤字修正や軽微な整形まで一律に対象になるわけではありません。
• 欧州委員会のFAQでは、出力が企業間(B2B)または産業用の文脈で使われるAIシステムについて、限定的な適用除外が示されています。ただし条件はガイドライン側で定められており、広く使える抜け道と考えるべきではありません。
• 経過措置として、2026年8月2日より前に市場に出ていた生成AIシステムの提供者は、Digital Omnibusにより4か月の移行期間が設けられ、マーキング義務については2026年12月2日から適用されます。
• 2026年8月2日より前に生成されたコンテンツを、遡ってラベル付けする必要はないとされています。

利用者側の実務としては、「自社が使っている生成AIサービスがどう対応するのか」を提供元に確認し、記録しておくことです。マーキングの有無は、後述する自社側の表示義務や、社内での生成物の取り扱いにも影響します。

感情認識・生体分類の告知と、ディープフェイク・公益テキストの表示#

第50条(3)と(4)は利用者側の義務です。感情認識システムや生体分類システムを使う場合、それにさらされる人にシステムの稼働を知らせなければなりません。採用面接の分析、コールセンターの音声感情分析、店舗のカメラ分析といった用途が典型です。日本国内でも導入例のある領域なので、EU域内の従業員や顧客が対象に含まれるなら確認が要ります。

第50条(4)はさらに実務に近い話です。ディープフェイク(実在の人物・物・場所などを写したように見える、AIが生成または改変した画像・音声・動画)を公開する利用者は、それが人工的に生成・改変されたものであることを開示しなければなりません。ただし、明らかに芸術的・創作的・風刺的・フィクション的な作品またはこれに類する作品の一部を成す場合は、表示の仕方が緩和される扱いになっています。

もうひとつ、公益事項(matters of public interest)について公衆に情報を提供する目的で公開されるAI生成テキストにも、表示義務がかかります。ここには明確な例外があり、そのコンテンツが人間によるレビューまたは編集上の管理(editorial control)を経ており、その公開について編集責任を負う自然人・法人がいる場合は、表示は不要とされています。

この例外の読み方は、企業のオウンドメディア運営で誤解が起きやすい部分です。「AIに下書きを書かせているから全部ラベルが要る」わけでも、「編集者が目を通しているから何でも免除される」わけでもありません。実際に人間が内容を確認し、公開の責任を負う体制が存在するかどうかが分岐点です。そして、その体制があることを説明できる記録(誰がいつ確認したか)を残しておくことが、実務上は義務対応そのものより重要になります。

行動規範(Code of Practice)という選択肢#

欧州委員会は2026年7月8日付の意見書で、AI生成コンテンツの透明性に関する行動規範(Code of Practice on Transparency of AI-generated Content)について、第50条(2)(4)(5)の義務を適切にカバーし、その実効的な履行を促進するものであると結論づけました。委員会とAI委員会(AI Board)は、この規範を透明性義務の遵守を示すための適切な任意ツールとして確認しています。

規範は、AI Officeが進行役を務めるマルチステークホルダーのプロセスで、独立した専門家によって作成されたものです。署名した提供者・利用者は、AI生成コンテンツやディープフェイク、一定のテキスト公開に関するラベリング・検出のルールについて、規範の措置に依拠して遵守を示せるとされています。署名しない場合は、自社の措置が適切であることを個別に示す必要があり、その評価は各国の市場監視当局が行うことになります。

日本企業の視点では、自社が署名主体になるケースは限られるものの、「取引先や利用中のAIサービス提供元が署名しているか」は確認する価値のある情報です。委託先確認の項目として、規範への対応状況を1行加えておくと、後の説明が楽になります。

同時に動いている周辺の期日#

第50条だけを見ていると、全体像を見誤ります。2026年夏はAI Actまわりの日程が複数重なっているためです。

Digital Omnibus on AI(Regulation (EU) 2026/1744、2026年7月8日採択)は、2026年7月24日にEU官報で公布され、同年7月27日に発効しました。この改正により、附属書III(スタンドアロンの高リスクAIシステム。採用選考、信用スコアリング、法執行の意思決定支援など)の適用は2027年12月2日へ、附属書I(規制対象製品に組み込まれる高リスクAI)の適用は2028年8月2日へ、それぞれ後ろ倒しになりました。高リスクの本丸は先送りされた一方で、第50条の透明性義務は予定どおり適用されたという構図です。

同じ改正では、第5条の禁止行為に新たな類型も加わりました。識別可能な自然人の身体の秘部について、同意なく現実的な画像・動画・音声等を生成または操作するAIシステム、および児童性的虐待にあたる素材を生成・操作するAIシステムの上市・提供・使用が禁止対象とされています。これらは、生成が意図された目的である場合、または合理的に予見可能かつ再現可能な結果であって適切な技術的安全措置を欠く場合に適用される構造になっています。

汎用AIモデル(GPAI)の側も期日が動いています。GPAIモデル提供者への義務自体は2025年8月2日から適用されていましたが(第113条(b))、その際に第101条(委員会によるGPAIモデル提供者への制裁金)は適用対象から除外されており、2026年8月2日から適用される建て付けになっています。加えて第111条(3)は、2025年8月2日より前に市場に出されたGPAIモデルの提供者に対し、2027年8月2日までに義務を遵守するための必要な措置を講じるよう求めています。利用者側の実務に直結する話ではありませんが、「使っているモデルの提供元が、いつまでに何を整えるのか」を把握しておく材料にはなります。

日本の事業者が着手する順序#

一度に全部やろうとすると止まります。次の順番で進めるのが現実的です。

罰則と、過度に恐れないための距離感#

制裁金の水準は把握しておくべきですが、数字だけが独り歩きしないよう位置づけを添えます。欧州委員会が公開する第50条のクイックファクトによれば、企業に対する制裁金は最大1500万ユーロまたは全世界年間売上高の3%のいずれか高い方、EU機関に対しては最大75万ユーロとされ、中小企業には比例的な扱いがなされます。執行は各国の市場監視当局、AI Office(その監督下にあるシステムについて)、および欧州データ保護監察官(EDPS)が担います。

実務者として押さえるべきは、この金額が「うっかり告知文言が抜けていたら即座に上限額」という意味ではないことです。制裁は違反の性質・重大性・期間などを踏まえて判断される仕組みであり、第50条について現時点で確認できるのは、義務の内容と適用日、そして上限額です。適用開始直後の執行がどの程度の強度で行われるか、日本企業に対してどう及ぶかは、まだ実例の蓄積がありません。ここは推測で語らず、動向を見ながら判断すべき部分です。

現場感としては、この規模感が近いはずです。棚卸しと判定に時間がかかり、実装は思ったより軽い。だからこそ、判定を後回しにしないことが最大のコスト削減になります。

AIを組み込む側の設計にも波及する#

第50条の告知義務は、UIの文言だけの話に見えて、実際にはLLMを組み込むアプリケーションの設計にも関わってきます。会話の冒頭で必ず告知を出す、人間へのエスカレーション時に切り替わりを明示する、出力に対して人間のレビュー記録を残す。これらはいずれも、モデルの外側に置く制御層の話です。

すでにガードレールを実装しているチームであれば、その枠組みに「告知が確実に出ているか」「レビュー済みフラグが立っているか」というチェックを足すのが自然です。設計の考え方は

まとめ#

2026年8月2日から適用が始まった第50条の透明性義務は、対話AIの告知、生成コンテンツの機械可読マーキング、感情認識・生体分類の告知、ディープフェイクと公益テキストの表示という4領域で構成され、提供者と利用者で担う義務が分かれています。日本の事業者にとっての実務は、条文の暗記ではなく、AI利用の棚卸しとEU接点の判定、そして自社の立場の分類から始まります。

告知文言の実装自体は重い作業ではありません。むしろ時間がかかるのは、どこでAIを使っているのかを正確に把握することと、人間の確認記録を残す運用を定着させることです。これらは規制対応のためだけの作業ではなく、生成AIを継続的に使ううえでの基礎体力にあたります。EUの期日を、その整備のきっかけとして使うのが現実的な向き合い方だと考えています。

本記事は2026年8月2日時点で、欧州委員会(digital-strategy.ec.europa.eu、AI Act Service Desk)およびEUR-Lexで公開されている一次情報にもとづいて作成しました。制裁金の水準は欧州委員会の第50条クイックファクト、経過措置はRegulation (EU) 2026/1744および欧州委員会FAQの記載を確認しています。条文の解釈や執行の実務は今後変わりうるため、最新の公式文書をご確認ください。