欧州AI Act施行：
日本企業が今すべき3つの準備

「うちは関係ない」が、いちばん危ない

EU AI Actは2024年8月に発効、2026年8月から高リスクAIへの規制が本格適用されます。GDPRと同じく域外適用の枠組みで、欧州に拠点や顧客を持つ日本企業は静かに対象になっています。にもかかわらず、対応の遅れが目立つのが今の景色です。

現場で起きていること

1. 欧州事業ありの日本企業、38%が未着手 特に中堅企業で「自社は対象外」という思い込みが広い。実際には欧州拠点の従業員データ、欧州顧客のスコアリング、欧州工場の検査AI——どれも対象になり得ます。
2. 「高リスク」の定義が、想像より広い 採用、信用、医療、教育、重要インフラ。たとえば、社内の昇格判定にAIを使う、与信モデルを欧州で運用する——日常業務の中に該当用途が潜んでいます。
3. 制裁金は3,500万ユーロ、または全世界売上の7% GDPRの4%を超える水準。これは「コンプラ部門の話」ではなく、取締役会の議題です。
4. ガバナンス体制の差が、すでに開いている AI倫理委員会の設置率は大企業22%・中堅5%。制裁回避だけでなく、欧州顧客からの監査要求に応えられるかが分かれ目に。

今日から始められる、3つの準備

1. 棚卸しから始める 稼働中・PoC中・将来計画のAIを、用途別に全件リスト化。AI Actの4分類（禁止／高リスク／限定／最小）に当てはめる作業を、法務と一緒に行う。ここを飛ばして後工程に進むと、必ず破綻します。
2. 「説明できる」状態を作る 学習データの出所、モデルの構造、性能、既知の限界。これらを書類として残す習慣をつける。普段の開発フローに「ドキュメント」を組み込むのが現実的です。
3. 事故が起きた時の段取りを、先に決めておく 重大インシデントの当局報告、ユーザー通知、是正措置。災害訓練と同じく、机上演習で一度通してみることをお勧めします。本番で初めて開く手順書ほど、頼りないものはありません。

AI Actは罰則ではなく、AI利用の品質保証プロセス。これをガバナンス強化のテコとして使えるかどうかで、5年後の競争力が変わる。