こんにちは、ひろかずです。
EU AI Actで生成AIで生成したコンテンツの表示や生成AIであることをユーザーに知らせる義務が運用開始になりました。これを読み解きながら、自組織で何をすればいいかを解説していきます。
忙しい人向けの要約
- EU AI Act第50条の透明性義務は2026年8月2日から適用されます。チャットボットのAI開示、AI生成コンテンツの機械可読マーキング、感情認識・生体分類の通知、ディープフェイク等の開示の4類型です。
- 欧州委員会は2026年7月20日に最終ガイドラインを公表し、適用対象・定義・除外例を明確化しました。あわせてAI生成コンテンツ透明性に関する実務規範（Code of Practice）も整備されています。
- 義務はEU域外の事業者にも及び得ます。AIシステムの出力がEU域内で使用される場合、日本企業も対象になり得ます。
- 猶予は限定的です。2026年8月2日より前に上市済みの生成AIシステムの機械可読マーキング（第50条2項）のみ2026年12月2日まで猶予され、他の義務に猶予はありません。
- 違反には最大1,500万ユーロまたは全世界年間売上高の3%の制裁金が規定されています（AI Act第99条）。
何が起きているの？
2026年7月20日、欧州委員会はAI Act第50条の透明性義務に関する最終ガイドラインを公表しました。適用開始は8月2日。公表から適用まで2週間弱しかなく、本稿執筆時点ですでに運用開始しています。
AI Act 第50条ってなに？
AIが人と直接やり取りする場面や、AIがコンテンツを生成する場面で、「これはAIである」と分かるようにする義務を定めた条文です。義務は4類型に分かれ、担い手も分かれます。
| 類型 | 義務の担い手 | 義務の内容 |
|---|---|---|
| 第50条1項 | 提供者（provider） | チャットボット等がAIであることをユーザーに知らせる設計（対話相手がAIであることが状況から明白な場合を除く） |
| 第50条2項 | 提供者（provider） | 生成AIの出力（音声・画像・動画・テキスト）への機械可読マーキング |
| 第50条3項 | 利用者（deployer） | 感情認識・生体分類システムに晒される人への通知 |
| 第50条4項 | 利用者（deployer） | ディープフェイクおよび公共の関心事項に関するAI生成テキスト公表時の開示 |
第50条の適用日は8月2日
高リスクAIシステムの義務はDigital Omnibus（改正規則 (EU) 2026/1744）により2027年12月2日以降へ後ろ倒しされましたが、第50条自体は8月2日から運用開始です。
8月2日より前にすでに市場に出ている（上市済みの）生成AIシステムに対する機械可読マーキング義務で、これは2026年12月2日からの適用となります。8月2日より前に生成されたコンテンツへの遡及ラベリングは不要です。
莫大な制裁金
制裁金の上限は1,500万ユーロまたは全世界年間売上高の3%のいずれか高い方と規定されています（AI Act第99条）。なお、中小企業（SME）・スタートアップについては、いずれか低い方が上限となる特則があります（第99条6項）。
「EUに拠点がないから関係ない」は誤り
第50条の地理的射程は広く、EU域外の提供者・利用者であっても、AIシステムの出力がEU域内で使用される場合は義務の対象になり得ます。
最終ガイドラインは、偶発的・予見不能・無許可の下流利用だけでは域外提供者に義務は生じないと限定を付けましたが、EU向けに公開・配信することを自ら想定している場合は射程に入ります。
日本企業の現実的な接点は「利用者（deployer）」としての義務
利用者（deployer）としてのユースケースの例は以下のようなものが挙げられます。
- EU向けにも提供・配信している自社サイトにチャットボットを置いている（単にEUから技術的にアクセス可能なだけでは足りず、EU域内での利用を想定・許容しているかが基準です）。
- 生成AIで作った動画や合成音声をグローバル向けマーケティングに使っている。
- AIで生成した記事をレビューなしで公開している。
これらのどれかに当てはまれば、第50条の検討対象です（チャットボットは1項、ディープフェイクや公共の関心事項に関するAIテキストの公表は4項に対応します）。
なお、個人の私的・非業務利用は適用除外です。ただし私的利用か業務利用かは活動の実態で判断されるため、事業活動の一環としての利用は「業務利用」と扱われ得ます。
なぜ情報システム・セキュリティ担当者に関係するの？
この棚卸しの主軸は法務です。義務の解釈と適用判断は法務が担います。その活動を、AI利用の実態を最も把握できる情シスがサポートするのがいいでしょう。SaaSの利用実態、シャドーAI、コンテンツ制作フローを横断的に見られるのは情シスであり、法務の活動を強力に下支えできます。
そしてセキュリティ担当者は、日頃のセキュリティレビューの中でAI生成物の利用ユースケースにアンテナを立て、気づいたことを法務・情シスに還元します。セキュリティは全員で取り組むものであり、どこかの部門が巻き取るものではありません。
よくある誤解
「高リスクAIの延期でAI Act対応全体が先送りになった」
延期されたのは高リスク規制（Digital Omnibusによる改正規則 (EU) 2026/1744）であり、第50条は予定どおり8月2日に始まっています。
「うちはAIを作っていないから提供者義務は無関係で、何もしなくてよい」
半分だけ正しいです。機械可読マーキングは主にOpenAI・Google・Anthropic等のモデル・システム提供者側の義務ですが、ディープフェイクの開示や公共の関心事項に関するAIテキストの開示は、使う側の義務です。しかも利用者は、提供者が埋め込んだ機械可読マーキングに依拠するだけでは開示義務を果たせません。人が特別なツールなしに認識できる、可視・可聴のラベルが求められます。
「AIを少しでも使ったら全部ラベルが必要」
過剰反応です。誤字修正のような標準的編集の補助機能、ソースコード、短い記号列、機械間通信のみの出力などは対象外です。AIテキストについても、実質的な人間のレビューと編集責任があれば開示義務の適用除外となります。禁止でも全面的なラベルでもなく、対象の見極めが仕事になります。
実務で問題になりやすいポイント
「自社がproviderかdeployerか、それとも両方か」の判定
外部モデルを組み込んで自社サービスとして提供している場合、契約上どちらがマーキングを担うのかが曖昧なまま運用が始まっているケースを整理していく必要があります。
AI生成コンテンツの発生源が把握できていない問題
マーケティング部門が使う画像生成、広報が使う文章生成、営業が使う資料生成。情シスの管理外で生成物が量産され、どれがAI生成でどれが人間の編集責任下にあるかを誰も答えられない状態は、シャドーAI対策の不備がそのままコンプライアンスの穴になります。
透明性表示の「証跡」
第50条の透明性義務それ自体に適合性評価は不要ですが、当局から照会があった際に、開示がいつからどう実装されていたかを説明できるようにしておくことが望まれます（証跡保存は条文上の直接義務ではなく実務上の推奨です）。
技術的・運用的な確認ポイント
確認すべきポイントは5点に絞れます。
| # | 確認ポイント | 確認内容・注意点 |
|---|---|---|
| 1 | 対顧客チャットボット・音声応答のAI開示表示 | 第50条5項は、遅くとも最初のやり取り・接触の時点までに、明確かつ判別可能な形で情報提供することを求めています。欧州委員会の最終ガイドラインは、マニュアル内やメニュー階層の奥に埋もれた表示では「判別可能」を満たさないと整理しており、利用規約やフッターへの記載では不十分です（欧州委員会FAQも同旨）。 |
| 2 | 利用中の生成AIツールの提供者側マーキング対応状況 | ChatGPT、Copilot、Gemini、画像・動画生成などのAIツール等が対象。機械可読マーキング（第50条2項）は提供者側の義務であり、利用者はその履行状況をベンダー評価として確認します。評価の観点は、欧州委員会が整備したAI生成コンテンツ透明性の実務規範（Code of Practice）への署名状況に加え、マーキングの実装方式・対象フォーマット・設定条件の確認です（署名のみでは個別製品での実装は保証されません）。 |
| 3 | 「人間のレビュー・編集責任」の明文化 | 公開コンテンツ制作フローの中で、レビュー体制と編集責任の所在を明文化します。 |
| 4 | ディープフェイクに該当し得る合成メディアの利用有無と可視ラベルの実装 | 合成画像・音声・動画が対象。欧州委員会FAQは、2026年8月2日より前に生成されたコンテンツの遡及ラベリングは不要と整理しています。 一方で、公共の関心事項に関するテキストのラベル義務（第50条4項）は「公表」を起点とするため、8月2日以降に公表するものは生成時期を問わず対象になり得ます。 なお、明らかに芸術的・創作的・風刺的な作品等については、作品の表示や享受を妨げない適切な方法での開示にとどめられる特則があります（第50条4項）。 |
| 5 | EU向け配信の有無の判定 | 必要ならジオブロッキング等の限定策を検討します（ただし遮断のみで適用外が保証されるわけではありません）。 |
考えられる対応方針の比較
| 対応方針 | 概要 | 向いている企業 | リスク・注意点 |
|---|---|---|---|
| フル対応 | 4類型（第50条1〜4項）すべてを棚卸しし、開示・ラベル・証跡を整備 | EU向けサービス・配信がある企業 | 工数は大きいが制裁リスクを最も抑えられる |
| 利用者義務＋自社チャットボット開示優先 | コンテンツ開示（第50条4項）と、自社ブランドで提供するチャットボットの開示（第50条1項。 外部モデル組込でも自社名義の提供なら自社がproviderに該当し得る）を先行。 モデル提供元のマーキング義務（第50条2項）はベンダー確認で代替。 | 生成AIを利用中心で使う日本企業の多数 | ベンダーの規範対応・マーキング実装の確認が前提。 ベンダー名義の製品をそのまま導入している場合、開示設計は一般にベンダー（provider）側の義務となり、自社は表示の確認と維持を中心に行う（providerか否かは名義ではなく提供実態で判断。後述の解説参照） |
| EU向け提供の限定 | EU向け提供・配信を停止・限定し、適用可能性を下げる | EU接点が偶発的な企業 | ジオブロッキング等のみで適用外が保証されるわけではなく、個別の法務評価が必要。 公開Web上のディープフェイクは射程が広く解釈されており完全遮断は難しい |
| 様子見 | 何もしない | 非推奨 | 8月2日以降は各国の市場監視当局による執行が可能 |
EU向けのサービスや配信をしていないのであれば、「利用者義務＋自社チャットボット開示優先」のチャットボット開示が実装コストが低く、即日でも着手できますので、そこから始めるといいでしょう。
見直し時のチェックリスト
| チェック内容 | 条項 |
|---|---|
| 対人AIインターフェース（チャットボット・音声応答・アバター）を一覧化した | 第50条1項 |
| 各インターフェースでAI開示が最初の接触までに表示されることを確認した | 第50条1項・5項 |
| 生成AIツールごとに、提供者のマーキング対応・Code of Practice署名状況を確認した | 第50条2項 |
| 公開コンテンツ制作フローで「AI生成」「AI補助＋人間の編集責任」「人間作成」を区分した | 第50条4項 |
| ディープフェイクに該当し得る合成メディアの利用箇所と可視ラベルの要否を判定した | 第50条4項・5項 |
| EU域内での出力使用の有無（サイト配信・SNS・広告・多言語展開）を判定した | 第2条（適用範囲） |
| 外部モデル組込サービスについて、マーキング責任の契約上の分担を確認した | 第50条2項 |
| 開示・ラベル実装のスクリーンショット・設定・社内規程を証跡として保存する運用を決めた | 第50条1〜4項（法定義務ではなく実務上の推奨） |
| 8月2日前上市システムのマーキング猶予（12月2日）を該当ベンダーと確認した | 第50条2項 |
経営層・監査部門への説明ポイント
経営層への説明ポイント
- 期限と制裁の具体性
- 2026年8月2日適用開始、違反時は最大1,500万ユーロまたは全世界売上高3%の制裁金という規定があり、「様子見」の合理性は低下しています。
- 対応コストの現実性
- 日本企業の多くはdeployer義務が中心であり、チャットボット開示とコンテンツ区分の整備は既存のAI利用ルール・シャドーAI対策の延長で実装できます。
- この対応は規制対応にとどまらない
- AI生成コンテンツの発生源と責任者を可視化する仕組みは、誤情報による信用毀損や著作権リスクの統制にもそのまま使えます。
監査部門への説明ポイント
第50条は適合性評価不要である一方、照会時に開示実装の証跡が問われるため、証跡保存の運用設計をセットで示すのがいいでしょう。
実務担当者が次に取るべき対応ステップ
- 最初に：自社の対応方針を決定（上記「考えられる対応方針の比較」の4方針から選択。EU向けサービス・配信の有無と、自社がprovider／deployerのどちらに当たるかが判断軸。暫定決定でよく、ステップ3の判定結果で見直す）
- 今週中：対顧客チャットボット・音声応答の棚卸しと、AI開示表示の実装判断（最も安価で即効性が高い）
- 2週間以内：EU域内での出力使用の有無を、Web配信・SNS・広告・多言語サイトの観点で判定し、ステップ1の方針を確定
- 1か月以内：生成AIツールの提供者マーキング対応状況をベンダーに照会し、外部モデル組込サービスの責任分担を契約面で確認
- 1か月以内：公開コンテンツ制作フローに「人間レビュー・編集責任」のチェックポイントを組み込み、区分基準を明文化
- 四半期内：証跡保存（表示のスクリーンショット・設定・規程）の運用と、Code of Practice・国内ガイドライン動向の定期ウォッチ体制を確立
まとめ
第50条対応の本質は、法務対応ではなくAI利用の棚卸しです。自社のどこでAIが人と対話し、どこでAIがコンテンツを作っているか。この問いに即答できない状態こそが最大のリスクです。まず今週、チャットボットと公開コンテンツの一覧を作り、EU接点の有無を判定してください。
この記事が誰かの役に立てば嬉しいです。
FAQ
Q1. EU AI Act第50条はいつから適用されますか？
2026年8月2日からです。第50条における唯一の猶予は、同日より前に上市済みの生成AIシステムに対する機械可読マーキング義務（第50条2項）で、2026年12月2日から適用されます。なお、AI Act全体では高リスクAIシステムの義務がDigital Omnibus（改正規則 (EU) 2026/1744）により2027年12月以降へ先送りされていますが、第50条の透明性義務はその対象外です。
Q2. 日本企業にも適用されますか？
適用され得ます。AIシステムの出力がEU域内で使用される場合、域外の提供者・利用者も射程に入ります。ただし偶発的・予見不能な下流利用だけでは域外提供者に義務は生じないと最終ガイドラインは整理しています。
Q3. EU市民がEU域外でAIシステムを利用する場合も対象ですか？
原則として対象外です。AI Actの適用範囲（第2条）は国籍ではなく場所を基準としており、EU域外に所在する人がAIシステムを利用するだけでは、その人がEU国籍であっても、それだけでは義務は生じません。ただし、提供者・利用者自身がEU域内に設立・所在する場合は利用場所を問わず適用され得るほか、生成された出力がEU域内で使用・公開される場合も対象になり得ます。公開Web上のディープフェイク等は「EUでの使用」が広く解釈されている点に注意が必要です。
Q4. 過去に作ったAI生成コンテンツもラベルが必要ですか？
2026年8月2日より前に生成されたコンテンツの遡及ラベリングは不要です。ただし公共の関心事項に関するテキストは公表日基準のため、8月2日以降に公表するものは対象になり得ます。
Q5. AIで下書きして人間が仕上げた記事も開示対象ですか？
実質的な人間のレビューと編集責任がある場合、公共の関心事項に関するテキストの開示義務は適用除外（第50条4項）です。形式的な承認では足りないとされています。
Q6. 誤字修正などのAI利用もマーキングが必要ですか？
不要です。標準的編集の補助機能や、入力を実質的に変更しない利用、ソースコード、短い記号列などは対象外です。
Q7. 違反した場合の制裁は？
上限1,500万ユーロまたは全世界年間売上高の3%のいずれか高い方（中小企業・スタートアップはいずれか低い方）の制裁金が規定されています（AI Act第99条）。執行は主に各国の市場監視当局が担います。
Q8. ベンダーのマーキングがあれば自社の開示義務は不要ですか？
不要にはなりません。ディープフェイク等の開示は、機械可読マーキングとは別に、人が認識できる可視・可聴の形で行う必要があります。
