EU AI法とは？2026年の適用スケジュール、AIコンテンツ表示と禁止事項を解説

EU AI法（EU AI Act）は、AIをリスクや利用方法に応じて規律するEUの包括的なAI規制です。本記事では、EU AI法の現行ルールと2026年の改正をもとに、2026年以降の適用スケジュール、ProviderとDeployerの違い、AIコンテンツのマーキング・開示、禁止されるAI慣行を整理します。AIチャット、文章・画像・動画生成などを利用する場合も、「AI生成＝表示が必要」「生成AI＝高リスクAI」と一律に判断せず、法的役割、利用方法、コンテンツ、適用条件を確認することが重要です。

EU AI法の基本法はRegulation (EU) 2024/1689です。「EU AI Act 2026」という別の法律が2026年に新しく制定されたわけではありません。

一方、2026年にはArticle 50の透明性義務が適用され始め、さらにRegulation (EU) 2026/1744による改正も行われました。そのため、2026年は生成AIを利用する企業にとって重要な年ですが、「EU AI法全体が2026年8月2日に一斉に適用された」と理解するのも正確ではありません。条文によって適用時期や経過措置が異なります。

European Commissionの最終ガイドラインも、Article 50の透明性義務が2026年8月2日から適用されることを明示しています。

EU AI法では発効・適用開始・経過措置を区別する

EU AI法を確認するときは、法律が発効した日と、個別規定が実際に適用される日、経過措置の期限を分けて考える必要があります。

Article 50については、2026年8月2日より前に市場投入された一定のAIシステムに対する限定的な猶予期間がArticle 50(2)のマーキング・検出義務について設けられ、対象Providerは2026年12月2日までに必要な措置を講じる必要があります。

2026年の改正内容については、Regulation (EU) 2026/1744の公式テキストで確認できます。

EU AI法を生成AIの利用場面に当てはめる際、最初に整理したいのが**Provider（プロバイダー）とDeployer（デプロイヤー）**です。

Providerは、AIシステムを開発する、または開発させ、自らの名称・商標でEU市場に投入したりサービス提供を開始したりする自然人・法人などを指します。一方、Deployerは、原則として自らの権限の下でAIシステムを使用する自然人・法人などを指します。

一般的なAI利用者が自動的にDeployerになるわけではない

「AIを使っている人＝Deployer」と機械的に置き換えることはできません。個人的・非職業的な活動には定義上の区別があります。また、法人がDeployerで、その指示・管理下で従業員がAIシステムを操作する場合、その従業員を別個のDeployerとして扱うべきではありません。

したがって、GenApeなどの生成AIサービスを利用するときも、「ユーザー」というサービス上の呼称だけでEU AI法上の役割を決めるのではなく、誰がどの権限でAIシステムを提供・利用しているのかを確認する必要があります。

Article 50は、一定のAIシステムのProviderとDeployerに関する透明性義務を規定しています。European Commissionが2026年7月に公表したArticle 50最終ガイドラインも、その透明性義務の範囲を整理しています。

重要なのは、Article 50を単純な「AIコンテンツにはウォーターマークを付ける法律」と理解しないことです。

AIとの直接的な対話には一定の透明性義務がある

Article 50(1)では、人と直接やり取りすることを意図した一定のAIシステムについて、Provider側に透明性に関する義務が設けられています。

ただし、利用状況や文脈を考慮して、合理的な情報を有し、注意深く慎重な自然人にとってAIシステムと対話していることが明らかな場合には通知を要しないという限定があります。

そのため、AI ChatやAI Agentという機能名だけから、一律に同じ表示方法が必要だと結論付けることはできません。

機械可読形式のマーキングは可視ウォーターマークと同じではない

Article 50(2)は、合成された音声・画像・動画・テキストコンテンツを生成するAIシステム（GPAIシステムを含む）のProviderについて、その出力を機械可読形式でマーキングし、人工的に生成または操作されたものとして検出可能にする義務を定めています。

ここでいう機械可読形式のマーキングは、画像や動画の表面に「AI」と表示するような人間の目で見えるAIウォーターマークと同義ではありません。

またArticle 50(2)では、マーキングの技術的な実装について、技術的実現可能性、コンテンツの特性、実装コスト、技術水準などを考慮する必要があります。

一方、AIシステムが標準的な編集を補助する機能を果たす場合や、Deployerから提供された入力データまたはその意味を実質的に変更しない場合などには、同項のマーキング義務が適用されない場合があります。

したがって、「AIで生成した」という一点だけから、あらゆるAIコンテンツに同じ技術的マーキングが無条件で必要だと判断することは適切ではありません。

Deployerによる開示とProviderによるマーキングは別の義務である

Article 50では、Provider側の機械可読マーキングとは別に、Deployerに関係する透明性義務もあります。

代表的なのが、一定の**deepfake（ディープフェイク）**や、公共の利益に関する事項について公衆に情報を提供する目的で公開される一定のAI生成・操作テキストです。ただし、それぞれについて条文上の条件や例外を確認する必要があります。

特にdeepfakeについてDeployerが行う開示は、ProviderがArticle 50(2)に基づいて埋め込んだmachine-readable markingと同一のものではありません。

つまり、Providerによるmachine-readable marking、Deployerによるdisclosure、人間の目で見えるAIウォーターマークは、それぞれ同じ概念ではありません。

Article 50には複数の透明性義務があり、対象となる主体、AIシステム、コンテンツ、公開方法、例外が異なります。

AI生成動画が自動的にdeepfakeになるわけではない

AIで動画を生成したという事実だけで、その動画がEU AI法上のdeepfakeに該当するわけではありません。

deepfakeは、既存の人物、物体、場所、その他の実体・出来事に類似し、人に真正または真実であると誤認させ得るAI生成・操作画像、音声、動画などについて定義されています。実際の判断では、類似性、コンテンツの実質的メッセージ、利用文脈、対象となる視聴者なども重要になります。

さらに、deepfakeに該当する可能性があることと、その利用がArticle 5の禁止慣行に該当することも別問題です。透明性義務への対応と、コンテンツ自体の適法性の判断も同じではありません。

Article 5は、AI技術や機能名を一律に禁止する「禁止AIツール一覧」ではありません。各禁止慣行には、それぞれ対象となる行為、目的、効果、条件、例外があります。

Article 5の主要な禁止慣行は個別要件で判断する

この表は概要であり、表にある技術を利用しただけで直ちにArticle 5違反になるという意味ではありません。

2026年改正では新しい禁止慣行が追加された

Regulation (EU) 2026/1744はArticle 5に新たな(ba)と(bb)を追加し、これらは2026年12月2日から適用されます。

一つは、識別可能な自然人の親密な身体部分や性的に明示的な活動を現実的に表現する一定のAI生成・操作コンテンツについて、法定の同意要件などを満たさない場合に関するものです。

もう一つは、Directive 2011/93/EU Article 2(c)・(e)が定義する一定のmaterialまたはperformanceに関連するAI生成・操作についての規定であり、適用条件や例外も確認する必要があります。

したがって、「同意のないdeepfakeはすべて禁止」「AIによる成人向けコンテンツはすべて禁止」といった一般化は避ける必要があります。AIシステムにそのようなコンテンツを生成できる技術的能力があるというだけでも、直ちにArticle 5の禁止に該当するわけではありません。

GenApe日本語版では、AIチャット、文章作成、画像・動画生成など複数のAI機能を利用できます。ただし、EU AI法上の判断は「どの機能を選んだか」だけで自動的に決まるものではありません。

AI機能ごとに役割・用途・コンテンツ・条件を確認する

たとえばAI画像生成機能を使ったからといって、その利用者が自動的にProviderになったり、生成画像が自動的にdeepfakeになったりするわけではありません。実際の法的役割と利用状況を切り分けることが重要です。

EU AI法には高リスクAIシステムに関する詳細な規制がありますが、一般的な生成AIを利用しているというだけで高リスクAIに分類されるわけではありません。

高リスクAIはArticle 6とAnnexの要件から判断する

高リスクAIの判断では、Article 6、Annex I、Annex IIIなどの要件を確認します。

2026年改正後、Article 6(2)・Annex IIIに関連するChapter III Sections 1–3は原則として2027年12月2日、Article 6(1)・Annex Iに関連する部分は2028年8月2日から適用される構造となっています。

また、EU AI法上のhigh-risk AI systemと、日本国内のAI政策・ガイドラインなどで使用される役割やリスク概念を、名称の類似だけで同一視しないことも重要です。

Chat、文章、画像、動画などの生成AIサービスでは、General-Purpose AI（GPAI）に関する規定も目にすることがあります。

GPAIサービスを使うだけでGPAIモデルProviderになるわけではない

GPAIモデルに関する義務は、そのモデルのProviderなど一定の主体に課されます。第三者が提供する生成AIサービスを通常の方法で利用するだけで、その利用者が当然にGPAIモデルのProviderになるわけではありません。

そのため、自社がモデルを開発・提供しているのか、既存サービスを利用しているのか、AIシステムとして別の形で市場提供しているのかを分けて確認する必要があります。

EU AI法Article 4のAI literacyも、業務でAIを提供・利用するProviderとDeployerが確認すべき義務です。

Article 4は特定の資格取得を一律に要求する規定ではない

現行Article 4では、ProviderとDeployerに対し、スタッフや自らに代わってAIシステムの運用・利用を担当する者のAI literacyの発展を支援するための措置を講じることが求められています。

その際には、技術的知識、経験、教育・訓練、AIシステムが利用される文脈などを考慮します。European Commissionも、2026年の改正後はAI literacyが引き続きProviderとDeployerの義務である一方、特定の、または「十分な」水準を達成することまでは要求されないと説明しています。

したがって、Article 4を「すべての従業員が同じAI資格を取得しなければならない」「すべての企業がAI Officerを設置しなければならない」という一律のルールとして理解すべきではありません。また、ProviderやDeployerが特定の個人について一定のAI literacyレベルへの到達を保証する義務でもありません。

EU AI法を生成AIの利用場面で確認するときは、まず自社・利用者の法的役割、AIシステムの実際の用途、生成・操作するコンテンツ、公開方法、各規定の適用条件と例外を整理することが重要です。

AI生成コンテンツだから一律に可視ウォーターマークが必要になるわけではなく、AI動画だから自動的にdeepfakeになるわけでもありません。また、deepfakeに関する透明性義務とArticle 5の禁止慣行も区別する必要があります。

AIチャット、文章、画像、動画などを一つの環境で制作したい場合は、GenApe日本語版で利用できるAI機能を確認できます。実際の利用に際しては、サービスの機能だけからEU AI法上の結論を出すのではなく、Provider／Deployerとしての役割、用途、コンテンツ、公開方法と適用条件を個別に確認してください。