なぜEU AI法は企業の78%が準備できないまま全面適用へ向かうのか

2026年4月——Vision Complianceが公開した「EU AI Act Readiness Report」は、業界に一つの不快な数字を突きつけた。EU人工知能規制法（EU AI法）への実質的な準備を済ませた企業は、わずか**22%**にとどまる。逆に言えば、78%の企業が何もしていないまま、全面適用のデッドラインへ向かっている。

2026年8月2日。その日、ハイリスクAIを含む法律の全フェーズが適用完了となる。残り4ヶ月を切ったいま、なぜこれほど多くの組織が危機的状況に置かれたのか。そしてEU域外に本社を置く日本企業は、本当に「他人事」と構えていられるのか。

なぜEUだけが先行するのか

「AIの法規制は時間がかかる」というのが、長らくIT業界の通説だった。技術の変化が早すぎて法律が追いつかないのは仕方ない、という理屈だ。しかし、規制を後回しにしてきたコストはすでに記録されている。

2021年、オランダ政府のAIシステムが少数民族・移民背景を持つ家庭を組織的に「不正受給疑い」と誤検知し、2万6,000件以上の不当な請求申告が生じた「Toeslagenaffaire（児童手当不正検出スキャンダル）」は、欧州議会の立法議論を大きく加速させた。当事者となった市民の多くは多重債務に追い込まれた。AIが引き起こした害の責任を誰も取らなかった——その事実こそが、EUを動かした。

EU AI法が2024年8月に発効した背景には、単一市場の維持という構造的事情もある。EU加盟27カ国が各自でAIルールを作り始めると市場が分断されるため、統一規制が不可欠だ。そしてGDPRで世界の個人情報保護法制の事実上の標準を作り上げた経験が、EUに「ブリュッセル効果」を再現する自信を与えている。

「EU域外の企業には関係ない」という感覚が78%という未準備率を生んでいる——しかしその認識は的外れだ。

83%がインベントリを持たない現実

Vision Complianceのレポートが明かしたのは「78%が未準備」というデータだけではない。その内訳がより深刻な構造を示している。

調査対象企業の**83%**が、自社で利用・展開しているAIシステムの正式な目録（インベントリ）を持っていなかった。規制対応の第一歩は「自社のAIが何のカテゴリに分類されるか」を確認することだが、その前提となる情報自体がない。

**74%**は、AIコンプライアンスを担当する内部オーナーまたはガバナンス組織を設置していない。**61%**は、ハイリスクAIにEU AI法が義務付ける技術文書の作成プロセスを持っていなかった。

さらに、appliedAIが106件の企業AIシステムを分析した別の調査では、ハイリスクが18%、低リスクが42%と判定されたが、残る**40%**は分類自体が判別不明だった。自社のAIが規制対象かどうかの判断さえつかない企業が4割を占める——コンプライアンス計画を立てる以前の問題が横たわっている。

この数字の意味するところは一つだ。AIガバナンスの制度設計が多くの企業でゼロから始まる必要がある。では、その「ゼロから」を迫る規制側の圧力はどの程度のものか。

売上高7%制裁金の破壊力

EU AI法の罰則体系は、既存の規制法の常識を超えている。

禁止AIシステムの違反に対しては、3,500万ユーロ（約55億円）または全世界の年間売上高の7%のいずれか高い方が上限だ。ハイリスクAIの義務違反でも最大**1,500万ユーロまたは売上高の3%**が課される。GDPRの最大罰則が「売上高4%」だったのに対し、EU AI法はその水準を明確に引き上げた。

禁止されるAIシステムとして法文に明示されているのは、①潜在意識を操作して行動を歪める技術、②社会的脆弱性を悪用する操作システム、③人種・政治的意見・宗教・性的指向などを推定する生体分類システム、④ソーシャルスコアリング（個人の行動・特性に基づく社会的評価）、⑤インターネットや監視カメラからの無差別な顔画像スクレイピングによるデータベース作成——だ。これらは2025年2月2日から既に禁止の適用が始まっている。

「採用AIが応募者のSNS投稿から人格スコアを算出する」「顧客対応AIが会話内容から感情データを蓄積し評価に使用する」——いずれも禁止カテゴリに抵触しうるグレーゾーンの実装が現在も続いている。EU域内でビジネスを展開している企業にとって、これらへの法的判断を先送りにするたびに、財務リスクは積み上がっている。

日本企業を直撃する域外適用

EU AI法は「域外適用」を第2条に明確に規定している。EU域外に本社を置く企業であっても、①EU域内市場にAIシステムを提供するプロバイダー、②EU域内でAIのアウトプットが使用されるケース——であれば適用対象となる。

日本企業にリスクが生じる代表的なシナリオは次の通りだ。EU向けにSaaSサービスを展開している場合、欧州子会社の採用プロセスにAI選考ツールを使用している場合、欧州向け製品の検品にAI品質管理システムを導入している場合——いずれもEU AI法の射程に入る。感情分析AIをカスタマーサポートに用いていたり、EU市場向けに個人の信用スコアリングをAIで行っている場合は、禁止カテゴリへの該当を直ちに精査する必要がある。

GDPRの際も「日本企業には関係ない」という認識が広まったが、実際には欧州当局の調査を受けた日本企業が出ている。PwCジャパンやEYジャパンが日本企業向けのEU AI法対応支援を強化しているのは、この「無自覚な域外適用リスク」への警戒からだ。「EU域外だから無関係」という判断が正しいかどうかを確認するだけでも、今すぐ動く価値がある。

GDPRが証明したブリュッセル効果

「ブリュッセル効果」とは、EUが巨大な単一市場（GDP約20兆ドル）を背景に厳格な規制を導入すると、市場へのアクセスを目指すグローバル企業が自発的にその基準を満たそうとし、EUルールが世界標準に収束していく現象だ。

GDPRが2018年5月に適用されて以降、この構造は現実になった。日本の改正個人情報保護法、韓国のPIPO、ブラジルのLGPDなど、GDPRを参照して制定された国内法は数十カ国に及ぶ。「GDPRとの差分で他国の法律を語る」という状況が今や標準だ。

EU AI法はGDPRと同じ三本柱——EU域内への直接適用・域外適用・高額制裁金——で設計されており、「AIガバナンスのGDPR化」は意図的な戦略だ。欧州議会の議事録にも「EU AI法をAIのGDPRにする」という表現が繰り返し登場する。

すでに欧州の大手企業が取引先のAIコンプライアンス状況をサプライチェーン評価に組み込む動きが始まっており、「EU AI Act準拠」が実質的な契約条件になりつつある現場もある。22%の「準備済み」企業が持つアドバンテージは、罰則回避だけでなく、グローバルビジネスにおける「信頼性の資格」そのものだ。

78%の先送りが映し出す構造

「なぜ78%の企業がEU AI法に準備できていないのか」という問いへの答えは、制度の複雑さだけに求めては不十分だ。

根本にあるのは、AIが「どう便利か」で評価されてきた20年間に、「誰が何のために使うか」「被害が出たとき誰が責任を取るか」という問いへの答えを産業全体が先送りにしてきた事実だ。ソーシャルスコアリングの禁止も、顔画像スクレイピングの禁止も、Toeslagenaffaireのような実被害に根ざしている。EU AI法は、テクノロジー産業が「イノベーション」の名のもとで外部化してきたリスクに、法的な帰属先を設定する試みだといえる。

2026年8月2日のデッドラインへ、残り4ヶ月。EU市場に関わる企業にとって、今から動き始めることのコストは、動かなかったときのコストとは比較にならない。EU AI法が「次のGDPR」になるとき——それはEUだけの話ではなく、AIを社会に組み込むすべての企業が直面する問いになる。