AB人工知能法が施行中：アプリでAIを使用している場合の新たな義務
2026年8月2日 現在、EU AI法（EU AI Act）の大部分が施行されています。アプリやウェブプラットフォームにチャットボットがある、画像やテキストを生成している、商品を推薦している、顔分析を行っている、ユーザーをスコアリングしている、あるいはバックエンドで何らかのAIモデルを呼び出している――そして欧州連合内にユーザーがいる場合、7月には存在しなかった法的義務が今や発生します。
この文章は法律の要約ではありません。AI をソフトウェアに組み込んでいる起業家、プロダクトオーナー、企業向けに、これらの機能を開発するエンジニアが書いた実践的ガイドです。何が足りていないのか、何が遅れているのか、罰金はどのようなものか、製品で実際に何を変える必要があるかを説明します。
本稿は一般的な情報提供を目的としており、法的助言ではありません。ご自身の状況については、EU テクノロジー法に詳しい弁護士にご相談ください。
会社がEU外にあっても関係ある？
EU にユーザーがいる場合、ほぼ確実に関係があります。AI Act は GDPR/KVKK のモデルに従っており、AI システムの出力が EU で使用されているなら、システムは EU 外の 企業にも適用されます。ドイツでダウンロードできるトルコ、米国、湾岸諸国の企業も対象です。重要なのは法人の所在地ではなく、ユーザーの所在地です。
「AI システム」とは何か — 想像以上に広い
法律は、入力から出力（予測、コンテンツ、推薦、決定）を生成するすべての機械ベースのシステムを AI システムとみなします。実際に対象となるものは以下です：
- チャットボットや AI アシスタント（OpenAI、Anthropic、Google、オープンソースモデルを含む）
- 画像、動画、音声、テキスト生成機能
- 推薦エンジン（「これも好きかもしれません」）
- 顔分析、肌分析、体型判定
- 詐欺スコアリング、クレジットスコア、リスクスコア
- 履歴書のスクリーニング・候補者順位付け
- 音声アシスタント・文字起こし
- 出力がユーザーが書いたルールではなく、モデルが決定したすべての特徴
LLM API にプロンプトを送って結果をユーザーに表示しているなら、AI システムを運用していることになります。
現在（2026年9月）有効な規定
2025年2月以降：禁止された用途と AI リテラシー
一部の利用は完全に禁止されており、最高罰金はこれらに適用されます。商用アプリで特に注意すべき点：
- ユーザーの行動を損害につながるように歪める操作的・欺瞞的手法
- 特定のグループ（年齢、障害、経済状況）の脆弱性を悪用
- 個人の社会的スコアリング
- 職場や学校での感情認識
- 生体データから人種、政治的見解、宗教、性的指向の推測
- インターネットやカメラから無差別に顔を収集し、顔認識データベースを作成
これらとは別に、AI システムを提供または使用するすべての企業は、従業員が 十分な AI リテラシー を持つことを保証しなければなりません。これは製品ではなく、雇用主としての義務です。
2025年8月以降：汎用モデル提供者向け規則
大規模モデルを訓練する企業（OpenAI、Google、Meta、Mistral など）に適用され、上に製品を構築する企業ではありません。既存モデルを自社製品向けにファインチューニングするだけなら通常は「汎用 AI 提供者」には該当しませんが、十分に高度なカスタマイズを行うと該当する可能性があります。
2026年8月2日以降：透明性義務（第50条）— 実装が鍵
日常的な製品に影響を与える 4 つの具体的ルール：
1. ユーザーに AI と対話していることを知らせる。
アプリにチャットボット、アシスタント、または人間と直接やり取りする機能がある場合、相手が機械であることが明確でなければなりません（文脈で明らかな場合は除く）。「カスタマーサポートのエリフ」と名乗り、説明しないサポートボットは違反です。
2. AI 生成コンテンツは機械生成であることを技術的に示す。
製品が画像、動画、音声、テキストを生成する場合、合成であることを示すメタデータ、透かし、または同等の技術的マークが必要です。この義務は生成システムの 提供者 に属します。自社で機能を開発した場合は自社で実装し、外部 API を呼び出す場合は、どのマークが付与されているか、パイプラインがそれらを保持しているか（リサイズ、再エンコード、スクリーンショットはマークを除去しやすい）を確認してください。
3. 感情認識・生体情報のカテゴリ分けを開示する。
アプリが顔、音声、体データから感情を抽出したり、人をカテゴリ分けしたりする場合、対象者に通知する必要があります。カメラベースの分析を行う美容、ヘルスケア、フィットネス、デート、リテールアプリはこの条項を注意深く確認してください。
4. ディープフェイクや AI 生成の公共利益テキストをラベル付けする。
実在の人物・場所・出来事に似せた AI 生成コンテンツを公開するデプロイヤーは、人工的であることをラベル付けしなければなりません。公共の情報提供を目的とした AI テキストで、人間のレビューがなく編集責任を取っていない場合も同様です。
既存製品の期限： 2026年8月2日以前に市場に出ているシステムは、コンテンツラベリング義務を満たすために 2026年12月2日 まで猶予があります。新規システムはリリース初日から遵守が必要です。
延期された項目 — それでもなぜ重要か
法律で最も厳しい部分、すなわち 高リスク AI システム に対する完全な体制（リスク管理、データガバナンス、技術文書、人間監視、適合評価）は、2025〜2026 年の「デジタルオムニバス」パッケージで延期されました。最新の期限は以下の通りです。
- 2027年12月2日: 附属書IIIに列挙された高リスクカテゴリ向け — 採用・人事、信用スコアリング、保険料金設定、教育・試験スコアリング、基本サービスへのアクセス、バイオメトリック識別、法執行、移民
- 2028年8月2日: EU製品安全規則の対象となっている製品に組み込まれたAI（医療機器、車両、機械、玩具）
製品がこれらのいずれかに該当する場合、延期は恩恵ではなく、猶予にすぎません。この義務が求める文書化（訓練データの出所、ロギング、バイアステスト、人間介入の設計）は、後からシステムに組み込むだけで数か月かかります。今から始めるチームは、2027年中頃に開始するチームが費やすコストのごく一部しか費やさないでしょう。
罰則
- 禁止された用途に対して 3,500万ユーロまたは世界売上高の7％ まで
- 透明性規則を含むその他の義務の大部分に対して 1,500万ユーロまたは3％ まで
- 当局への虚偽情報提供に対して 750万ユーロまたは1％ まで
中小企業やスタートアップには、上記二つの金額のうち低い方が適用されます。制裁は各加盟国の国内当局、またはAIモデルについては直接EU人工知能局で執行されます。
プロバイダーかユーザーか？ 区別が重要な理由
法律は役割に応じて異なる義務を課します：
- プロバイダー（provider）: AIシステムを自ら開発（または開発させ）し、自社名義で市場に提供した場合。義務の大半はここにあります。
- ユーザー（deployer）: AIシステムを専門的な文脈で自社の裁量で使用する場合。
自社アプリにチャットボットを組み込む企業は、たとえ基盤モデルがサードパーティ製でも、通常はそのチャットボットシステムのプロバイダーです。既製の人事選考ツールを利用する企業はそのユーザーです。多くの企業は機能ごとに両方の立場になることがあります。どの機能でどの役割に該当するかを判断することが、コンプライアンス評価の第一歩です。
実務者・プラットフォームオーナー向けチェックリスト
今月やること
- 製品に含まれるすべてのAI機能を一覧化する。サードパーティのAPIやSDKも含め、供給者のモデルが自社アプリで意思決定に使われていれば対象とする。
- 各機能について、プロバイダーかユーザーかを決定する。
- 各チャット機能に「AIと対話しています」という明示的な表示があるか確認する。
- 禁止用途カテゴリと自社製品を照らし合わせる。未成年者向けのインタラクションや感情・バイオメトリック推論に特に注意する。
- チームが文書化されたAIリテラシー研修を受けていることを確認する。出席記録が残された短時間の社内セッションで十分。
2026年12月2日までにやること
- 画像・音声・動画・テキスト生成機能すべてに機械可読のメタデータを付与する（C2PAメタデータ、プロバイダーの透かし等）と、パイプラインの保存・配信過程で正しく保持されているか検証する。
- DeepfakeやAI生成コンテンツであることを示すラベルを、ユーザーに見える形で必要箇所に付与する。
- プライバシーポリシーと利用規約を、AI機能・目的・上記ラベル表示を含む形で更新する。
2027年に向けて計画すること
- いずれかの機能が附属書IIIのカテゴリ（採用、信用、教育、保険、基本サービス、バイオメトリクス）に該当する場合、直ちに高リスク文書化を開始する：データソース、モデル評価、ロギング、人間監視設計。
- 社内にAIコンプライアンス責任者を任命する。規制当局の最初の質問は「責任者は誰か？」になる。
AI機能開発のやり方がどう変わるか
UmaySoftwareでは、AI Actの要件はAIを含むすべてのプロジェクトの設計段階から組み込まれ、後付けのチェックではなくなります。具体例：
- 説明・ラベリングはワイヤーフレーム段階から UI に組み込まれ、後から貼り付けるものではない。
- 生成されたコンテンツは生成時に即座にマーキングされ、配信パイプライン全体で検証される。
- 各AI機能は1ページのシートで提出される：モデルの機能、使用データ、プロバイダー、適用法的義務、人間が介入できる方法。
- 顧客のユースケースが高リスクカテゴリに近い場合、予算策定前の探索段階でその旨を伝える。
既にAI機能を製品に組み込んでいて、現状が不明な場合は、AI Act機能レビューをご提供します。AIコンポーネントのインベントリ作成、役割・リスクレベル別分類、そして「12月までに修正」「2027年に向けて計画」の2段階に分けた書面のギャップリストを作成します。これはエンジニアリングレビューであり、法的意見ではありませんが、弁護士が求める書類はまさにこれです。
FAQ
アプリはOpenAI / Anthropic / Gemini の API を呼び出すだけです。責任は私にありますか、相手にありますか？
両方です。モデルプロバイダーは汎用モデルに関する義務を負い、あなたはそのモデルを組み込んだAIシステム全体に対して責任があります。透明性義務、禁止用途チェック、ユースケースに適用される高リスク義務などが含まれます。
Eコマースアプリのレコメンデーションエンジンは AI Act の対象ですか？
AIシステムであるため、一般的な規則（禁止用途、AIリテラシー）は適用されます。標準的な商品推薦は高リスクには該当せず、チャットボットのように「対話」しないため第50条の開示義務は発生しません。ただし、未成年者を操作的なパターンで狙うような脆弱性を悪用した推薦は禁止領域に入ります。
私のアプリで生成されたすべてのAI画像にラベルを付ける必要がありますか？
機械が読み取れる マークは、システムが生成したコンテンツに対して必須です — 新しい製品では初日から、既存の製品では2026年12月2日以降から適用されます。目に見える ラベルは、特定の状況でユーザー（デプロイヤー）に必須です — 実在する人物や出来事のディープフェイク、AIで作成された公共の利益に関するテキストなど。AIアバター生成者に対してはメタデータのマークが必須で、目に見えるラベルはベストプラクティスです。
EUに拠点を持たないトルコ企業です。本当に罰金を科せられるのでしょうか？
出力がEUで使用される場合、法律はあなたに適用され、加盟国当局はEU外のプロバイダーに対しても—アプリストアやEU拠点のディストリビューターを通じて—措置を取ることができます。制裁が特定の小規模企業に届くかどうかは法的問題ではなくリスクの問題です — しかし「見つからなければ」でも、GDPRにおいてそれは永続的な戦略とはなりません。
肌や顔の形状を分析する美容アプリは「生体認証的カテゴリ分け」に該当しますか？
何を抽出するかによります。ファンデーションを提案するための肌色判定は、通常は保護対象グループのカテゴリ分けには該当しません。顔から民族的背景、健康状態、感情を推測する場合は別問題で、制限されたり禁止されたりする可能性があります。これは、機能の具体的な設計が法的結果を決定するケースです。
AI機能を開発し、EU外でのみ提供した場合は？
その場合、法律はその機能に適用されません — ただし、地理的制限が実際に機能している必要があります（ストアへのアクセス、アカウントの地域制御など）。利用規約の一文だけで済むわけではありません。