7月30日、TechTargetが「EU AI Act compliance deadline is here: What to watch」と題した記事を公開した。当初2026年8月2日に予定されていたEU AI Actの高リスク規制の一斉施行は、そのわずか6日前に大規模な延期が確定した。しかし延期はあくまで一部の要件に限られており、企業が今すぐ対応すべき義務は残っている。

「8月2日の大規模施行」は延期された——しかし規制は動いている

当初、2026年8月2日はEU AI Actにとって重大な節目になるはずだった。採用審査、信用スコアリング、教育、法執行、重要インフラなど、広範な分野のAIシステムに対して高リスク規制が一斉適用される予定だったからだ。

しかし、その6日前の7月27日、EUの「Digital Omnibus」が発効し、状況が大きく変わった。Digital Omnibusとは、デジタル規制の簡略化・延期を目的とした措置パッケージで、欧州委員会が2025年11月に提案したものだ。（※編集部注：「Digital Omnibus」の詳細については欧州委員会の公式発表を参照されたい。本記事内リンクは元記事に含まれていない独自付記である）

延期の内容は以下のとおりだ：

• Annex III（雇用・信用スコアリング等）の単体AIシステムへの高リスク義務：2026年8月2日 → 2027年12月2日
• 医療機器・機械など規制製品に組み込まれたAIへの高リスク義務：2028年8月まで延期
• AI生成コンテンツのラベリング要件（既存システム）：2026年12月2日まで猶予

この延期は「準備ができていなかった」から生じた。技術標準や規制インフラの整備が立法のスピードに追いつかなかったのが実態だ。Reed SmithのMunichオフィスでテクノロジー・プライバシーを担当するパートナー、Andreas Splittgerber氏はこう述べている。「立法テキストは非常に広範で、アウトカムを定義しているだけだ。標準規格は、そのルールに準拠するための具体的なリストを組織に提供するためにある」。

延期されていないもの：今すぐ対応が必要なルール

延期はあくまで一部の要件に限られる。以下は8月2日時点で有効なままだ。

透明性要件（Article 50）は予定通り適用される。チャットボットがAIであることを開示する義務、AIがAIとして人間に成りすますことの禁止、AI生成コンテンツ（ディープフェイクを含む）への明示的なラベリングが含まれる。Splittgerber氏によれば、「チャットボットはAIであることを開示し、定期的にその開示を繰り返す必要がある」という。ハルシネーション（事実に基づかないもっともらしい誤りを生成する現象）が起きやすい小型モデルを使う組織には特に課題になりうる。

なお、ディープフェイクについては、コンテンツが生成された日付が8月2日より前であれば、ラベリング不要とする最終ガイドラインが7月20日に欧州委員会から公開された。ただし51ページにわたるこのガイドライン、期限のわずか2週間前という公開タイミングは、企業に自社システムを見直す時間をほとんど与えていない。

汎用AI（GPAI）要件も変更なし。2025年8月から適用済みで、今回の延期の対象外だ。8月2日以降、欧州委員会はGPAIプロバイダーに対する執行権限を正式に持つことになる。

企業が今後注目すべきポイント

施行が「理論」から「実態」へ

8月2日以降、欧州委員会のAI Officeはプロバイダーへの調査・制裁を実際に発動できる立場になる。最初の執行事例が何に対して、どの企業に向けられるかは重要なシグナルだ。

AI規制スタートアップTrustibleのCTO兼共同創業者、Andrew Gamino-Cheong氏は「誰が最初のターゲットになるかを注視している」と述べた。米国企業がターゲットになるのか、EU企業が対象になるのか、政治的な文脈も絡んでくる。

GPAIベンダー選定の基準が変わる

サードパーティのAIモデルを使う企業にとって、GPAI規制の執行開始は調達プロセスを変える可能性がある。AI governance企業OptroのGM、Guru Sethupathy氏は、ベンダー評価のポイントとして以下の3点を挙げている：

• システムの用途と出力（何のために何を出すか）
• テストの証拠（バイアス、ハルシネーション、モデルドリフトのテスト記録）
• 責任の所在と是正措置（問題発生時に誰が責任を負うか）

また、ISO 27001やISO 42001などの認証が「EU AI Actへの準拠を意味する」と誤解している企業が多い点にも注意が必要だ。Gamino-Cheong氏は「高リスク要件への準拠を示すための標準はまだ策定中だ」と明言している。

AIガバナンスの準備は今すぐ始める

高リスク規制の期限が約16カ月延びたからといって、内部整備を後回しにするのは危険だ。Sethupathy氏は「延期は、プロセス・ポリシー・役割・ガバナンス技術を整備するために使うべきであり、先送りの言い訳にしてはならない」と強調する。

まず着手すべきはAIインベントリ（AI資産台帳）の整備だ。自社でどのAIシステムを使っているか把握できていない企業は多い。中には1,000以上のAIエージェントを運用しながら、どれが高リスクに該当するか把握できていない企業もあるという。

Sethupathy氏は、AIシステムの監視をカーのダッシュボードに例えた。速度や燃料残量をリアルタイムで確認するように、常に動き続けるAIシステムへの継続的な可視性が必要だと述べている。

規制ガイダンスはまだ確定していない

透明性義務に関する最終ガイドラインが7月20日に公開されたことが示すように、企業は規制の「最終形」を早期に知ることができない状況が続く。Digital OmnibusはAugust 2のわずか6日前に発効した経緯があり、今後も規制の変更・追加は十分ありうる。各EU加盟国27か国が独自の執行機関を持つ構造のため、解釈のばらつきも今後の課題となる。「タイムラインが固まった」と安心するのは早い。

延期を「安心の材料」にするか、「準備の機会」にするかは企業次第だ。Splittgerber氏は「もし高リスク要件が8月2日に施行されていたら、ほとんどの企業は準備できていなかっただろう」と認めつつも、その時間を無駄にすべきではないと指摘する。

詳細はEU AI Act compliance deadline is here: What to watchを参照していただきたい。