採用選考にAIスクリーニングを使っている、与信審査にスコアリングAIを組み込んでいる——そんな企業や個人開発者にとって、2026年8月2日は無視できない日付になった。EU AI Actの「高リスクAIシステム」規制がこの日から本格適用され、EU域内のユーザーに影響が及ぶAIを提供・利用しているなら、日本の企業や個人開発者であっても義務の対象になり得る。何が変わり、何を求められるのかを整理する。

2026年8月2日、EU AI Actの「高リスクAIシステム」規制が本格適用開始

EU AI Act（EU人工知能法）は2024年8月1日に発効した後、条文ごとに段階的に適用されるスケジュールが組まれてきた。その中で2026年8月2日は、雇用・与信・教育・法執行など社会的影響の大きい分野を対象とする「高リスクAIシステム」の義務（第III章、附属書III）が本格的に適用開始となる節目にあたる。

時期

適用された内容

2025年2月2日

禁止AI慣行（サブリミナル操作、社会的スコアリング等）の適用開始

2025年8月2日

汎用AIモデル（GPAI）提供者の義務、ガバナンス体制、罰則規定の適用開始

2026年8月2日

高リスクAIシステム（附属書III：採用・与信・教育等）の本体義務が適用開始

2027年8月2日

製品の安全部品として組み込まれる高リスクAI（附属書I対象製品）への適用（延長期限）

つまり「新モデルの発表」や「料金改定」のような話題性のあるニュースとは別に、静かに、しかし実務上はかなり重い義務が発生し始めているのが今の状況だ。

採用AI・与信AIはなぜ「高リスク」に分類されるのか

EU AI Actは人の権利・生活に直接影響する用途を「高リスク」として重点的に規制している。中でも採用と与信は代表的なカテゴリーだ。

採用・人事領域の対象例

  • 求人広告のターゲティングに使うAI
  • 応募書類のスクリーニング・自動選考AI
  • 面接での評価・スコアリングAI
  • 昇進・解雇・タスク配分・勤務評価に関わるAIによるモニタリング

与信・与信スコアリング領域の対象例

  • 個人の与信力（クレジットスコア）を評価するAI
  • ローン審査・融資可否判断を支援するAI
  • 生命保険・医療保険のリスク評価や保険料算定に使うAI（不正検知目的を除く）

「候補者を絞り込むだけの補助ツール」「スコアを参考値として出すだけ」という説明でも、最終判断に人が介在していても、上記の用途に該当すれば高リスクAIシステムとして扱われる点に注意が必要だ。

高リスクAIの提供者・利用企業に課される具体的義務

義務は「AIを作る側（提供者）」と「AIを使う側（デプロイヤー）」の両方に課される。

提供者（開発元）の義務

  • リスクマネジメントシステムの構築・継続的な運用
  • 学習・検証・テストデータのガバナンス（偏りの検証など）
  • 技術文書の作成・保管
  • 自動ログ記録機能の実装
  • 人間による監視を可能にする設計
  • 市場投入前の適合性評価・CEマーキング・EUデータベースへの登録

利用企業（デプロイヤー）の義務

  • 用途指示書に沿った運用と人間による監視担当者の割り当て
  • 職場でAIを使う場合、労働者・労働者代表への事前説明
  • 入力データが用途に照らして適切かの確認
  • 公的機関や与信・保険を扱う一部の民間事業者は、基本的人権への影響評価（FRIA）の実施
  • AIによる判断の対象になった個人への説明

「モデルを作っていないから関係ない」とは言えず、既製のAI採用ツールや与信スコアリングSaaSを導入して使う側にも独立した義務がある点が見落とされやすい。

個人開発者・小規模事業者はどう向き合うべきか

EU AI Actは域外適用（拡張管轄）の規定を持つ。開発者がEU域外にいても、システムの出力がEU域内で使われるなら対象になり得る。日本から採用AIツールや与信診断ツールをSaaSとしてEU圏の企業に提供している、あるいは今後提供を検討している個人開発者・小規模事業者は「自分には関係ない」と切り離せない。

一方で、負担をゼロに近づける仕組みもある。

  1. 中小企業・スタートアップ向けに、技術文書の簡易テンプレートが用意される
  2. 加盟国当局が運営する「規制サンドボックス」に中小企業・スタートアップが優先的にアクセスできる
  3. 違反時の制裁金も、大企業とは異なり「低い方の上限額」が適用される仕組みがある

生成AIの勢力図は数か月単位で入れ替わっており、次々に出てくる新モデル・新機能を追いかけるだけで手一杯になりがちだが、規制対応を後回しにすると事業継続そのもののリスクになる（関連記事：AIブラウザ競争2026年8月最新版｜個人はいつ乗り換える？）。まずは自社・自分のツールが附属書IIIの用途（採用・与信など）に該当するかどうかの棚卸しから始めるのが現実的だ。

違反した場合の罰則と、今から始めるべき対応

EU AI Actの制裁金は、対象行為ごとに上限が定められている。

違反内容

制裁金の上限

禁止されたAI慣行の実施

3,500万ユーロ、または全世界年間売上高の7%のいずれか高い方

高リスクAIシステムに関する義務違反

1,500万ユーロ、または全世界年間売上高の3%のいずれか高い方

当局への不正確な情報提供

750万ユーロ、または全世界年間売上高の1%のいずれか高い方

中小企業・スタートアップの場合はこれらの上限のうち「低い方」が適用される調整があるものの、事業規模に対しては十分に重い水準だ。今すぐ着手すべきことは次の3点に絞られる。

  • 自社・自分の提供するAIが附属書IIIの用途（採用・与信・保険等）に該当するか棚卸しする
  • 該当する場合、技術文書・データガバナンス・ログ機能が現状どこまで整っているか確認する
  • EU域内の顧客・ユーザーがいる、または今後開拓予定があるなら、規制サンドボックスや簡易テンプレートの利用可否を調べる

2026年8月2日を境に、採用や与信にAIを使う企業・個人開発者は「動くAIを作ること」だけでなく「説明できるAIを作り、運用すること」を求められる段階に入った。新モデルや新機能の話題に隠れがちだが、EUに少しでも接点がある事業者にとっては、性能競争と同じかそれ以上に実務へのインパクトが大きい変化だ。附属書IIIへの該当有無を確認するところから始め、技術文書とログ体制を整えることが、当面の最優先事項になる。