AI規制の現在地【2026年10月】日本のAI法とEU AI法、米国、中国、韓国の動き

この記事は、2026年10月4日に内容を確認しました(前回は2026年8月28日)。四半期ごとに見直しています。
ガバナンスという考え方そのものから確認したい場合は、5段階に分けた解説記事があります。
→ AI倫理・AIガバナンスとは|AIとどう付き合うかのルール作り

はじめにお読みください
本記事は、公表されている制度の内容を整理したものであり、法律上の助言ではありません。
記載はすべて2026年10月4日に確認したものです。制度は改正されます。
自社が規制の対象になるかどうかの判断は、必ず弁護士等の専門家にご相談ください。

EU AI法の高リスク規定の延期は、2026年7月に法律として確定しました。
単独型の高リスクAIは2027年12月2日、製品に組み込まれる高リスクAIは2028年8月2日からの適用です。
一方で、透明性義務は予定どおり2026年8月2日に始まり、次の期限は2026年12月2日に来ます。

日本では、AI法にもとづく人工知能基本計画が7月に改定され、第II期に入りました。
罰則で縛るのではなく、推進と制度の見直しを続ける形はこれまでと変わりません。

本記事では、日本、EU、その他の法域の順に制度を並べ、最後に自社が対象になるかを判定する手順を示します。

この記事でわかること
日本の枠組み
EUの枠組み
日本企業に適用される条件
その他の主要な法域
対応の優先順位
よくある質問(FAQ)
まとめ
参考

この記事でわかること

知りたいこと	要点	詳しくは
日本の法律はどうなったか	AI法は2025年9月に全面施行。罰則より推進が軸。2026年7月に第II期のAI基本計画	日本の枠組み
EUはいまどのような枠組みか	禁止、GPAI、透明性の各規定が適用中	EUの枠組み
高リスク規定の延期は決まったのか	決まった。Annex IIIは2027年12月2日、Annex Iは2028年8月2日	延期の確定
次の期限はいつか	2026年12月2日。新しい禁止規定と、既存の生成AIの表示の猶予の終わり	適用スケジュール
日本企業も対象になるのか	出力がEU域内で使われるなら対象になりうる	域外適用
米国、中国、韓国は	米国は州法と連邦の方針が対立、中国は表示と対話型AIの規則、韓国は啓導期間中	その他の法域
何から手を付けるか	適用済みの禁止規定と透明性義務、次に12月2日の期限	優先順位

日本の枠組み

日本の制度は、規制よりも推進に軸足を置いた設計になっています。

AI法

「AI法」(AI推進法とも呼ばれます)の正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、令和7年法律第53号です。
2025年5月28日に成立し、6月4日に公布、9月1日に全面施行されました。

内閣府の公表資料で確認できることは、成立と施行の経緯、そしてAI戦略本部の設置に関する規定を含めて全面施行された点です。
事業者に罰則を科す規定は置かれておらず、責務は努力義務や協力を求める形が中心だと解説されています。条文の詳細を確認する場合は、e-Gov法令検索で法令番号から本文を参照してください。

AI戦略本部は2025年9月12日に初会合を開き、2026年は6月19日に第4回、7月10日に第5回が開催されています。
10月4日に確認した時点では、第5回が最新です。

人工知能基本計画は第II期に入った

AI法にもとづく人工知能基本計画は、2025年12月23日に初めて閣議決定されました。
その7か月後、2026年7月14日に「第II期人工知能基本計画」が閣議決定されています。副題は「日本AX、より強く、より豊かに」です。

第II期の概要は、施策を4つの方針にまとめています。

方針	中身(概要の記載から)
AIを使う	エージェント型AIの積極適用、政府と自治体での利活用(ガバメントAI「源内」)、データ連携基盤
AIを創る	計算資源と電力の確保、国内の開発力、バーティカルAIとフィジカルAI、AI for Science
AIの信頼性を高める	AI法を含めた制度の「能動的かつ不断の見直し」、AIセーフティ・インスティテュート(AISI)の機能強化
AIと協働する	中小企業や地方のAX、AI利活用で権利侵害や損害が起きたときの責任分界の検討、人材育成

制度の面で押さえておきたいのは2点です。
1つは、計画を当面は毎年変えると明記していること。もう1つは、AI利活用で損害が出たときに誰が責任を負うかという責任分界を、エージェント型AIも前提に検討を続けるとしていることです。
規制を新しく足すと決めたわけではありませんが、AI法を含めて見直す方針は示されています。

予算の面では、内閣府が2026年9月18日に令和9年度のAI関連予算の概算要求をまとめました。
2兆9,392億円と事項要求26件で、令和8年度予算の5,027億円から大きく増えています。
フィジカルAIを見据えた基盤モデルの開発、中小企業のAX支援、バーティカルAIの導入支援などが新規や拡充として並んでいます。
概算要求は要求額で、最終的な予算額は年末の政府案で決まります。

AI事業者ガイドライン

実務で参照されるのは、法律よりもこのAI事業者ガイドラインです。
総務省と経済産業省が公表する「AI事業者ガイドライン」は、AI開発者、AI提供者、AI利用者の3区分ごとに、守るべき指針を示しています。

版の履歴は次のとおりです。2026年10月4日時点で、第1.2版より新しい版は出ていません。

版	公表時期
第1.0版	2024年4月19日
第1.1版	2025年3月28日
第1.2版	2026年3月

法的な強制力はありませんが、社内規程を作るときの土台として使われます。
自社の立場が開発者、提供者、利用者のどれにあたるかを先に決めておくと、参照すべき箇所を絞れるでしょう。

分野別の制度

AI専用の規制がなくても、既存の法律が適用されます。2026年に変化があった点を挙げます。

個人情報保護法の改正法が、2026年7月10日に成立し、7月17日に公布されました。
課徴金制度の新設などが含まれており、AIの学習データや、AIが扱う個人情報の管理に関わります。
施行は「公布日から起算して2年以内で政令で定める日」とされ、10月4日時点で施行日は決まっていません。

金融では、金融庁が「AIディスカッションペーパー」第1.1版を2026年3月3日に公表しました。
金融機関に対し、AIのリスク管理とガバナンスの取組事例を示し、規制の適用関係を整理する内容です。

このほか、著作権法第30条の4がAIの学習と著作物の関係を規定しており、医療機器や自動運転にはそれぞれの分野の規制があります。

EUの枠組み

EU AI法(Regulation (EU) 2024/1689)は、AIの用途をリスクの高さで4段階に分け、段階ごとに義務を課す構造です。

4つのリスク区分

区分	内容	課される義務
禁止	社会信用スコアリング、職場や教育機関での感情認識、公共空間でのリアルタイム遠隔生体識別など	使用そのものが禁止
高リスク	採用、与信、教育など8分野	適合性評価、記録、人間による監督など
透明性	チャットボット、AI生成コンテンツ、感情認識	利用者への通知、生成物への識別情報
最小リスク	上記以外の大多数	特段の義務なし

自社の用途がどの段にあたるかで、やることが決まります。

高リスクに指定されている8分野は次のとおりです。

採用・雇用(求人広告のターゲティング、応募者の分析やフィルタリング)
与信・保険(信用力評価、生命保険や医療保険の価格設定とリスク評価)
教育(学習成果の評価、学習プロセスの誘導、不正検出)
重要インフラ(道路交通、水道、ガス、電力)
法執行・移民(犯罪リスク評価、国境管理)
司法・民主的プロセス
医療(治療の適格性評価)
生体認証(識別と分類)

どの用途が高リスクに当たるかについては、欧州委員会が2026年5月19日に分類ガイドラインの案と具体例の一覧を公表し、6月23日まで意見を募集しました。
10月4日に確認した範囲では、最終版はまだ見当たりません。

2026年8月2日に始まったこと

2026年8月2日から適用が始まったのは、透明性義務です。
欧州委員会は先立って2026年7月20日にガイドラインを公表しています。

具体的な内容は次の4つです。

利用者がAIと対話していることを通知する設計上の義務
AIが生成または改変したコンテンツに、機械が読み取れる識別情報を付ける義務
人によるレビューや編集を経ないディープフェイクや、公共的関心事項に関するAI生成コンテンツについて、導入者が通知する義務
感情認識や生体分類のシステムに接する人への通知義務

チャットボットを外部向けに置いている企業、AIで生成した画像や動画を公開している企業は、この時点で対象になりえます。

識別情報の付け方については、欧州委員会が2026年6月に、AI生成コンテンツの表示に関する行動規範(Code of Practice)の最終版を公表しています。
行動規範への参加は任意ですが、義務を満たしていることを示す手段として使われます。

同じ8月2日から、汎用AIモデル(GPAI)の提供者に対する欧州委員会の執行権限も使えるようになりました。
GPAIの義務そのものは2025年8月2日から適用されていましたが、制裁金を科せるのはこの日からです。

高リスク規定の延期は、法律として確定した

前回(8月)の時点で延期は決まっていましたが、ここではその経緯と中身を改めて整理します。
「延期の議論がどうなったか」の答えは、議論は終わり、法律として施行済みです。

「デジタルオムニバス」と呼ばれる Regulation (EU) 2026/1744 は、次の順で成立しました。

日付	できごと
2026年6月16日	欧州議会が立場を採択
2026年6月29日	EU理事会が最終的に承認
2026年7月24日	EUの官報に掲載
2026年7月27日	発効(官報掲載の3日後)

この規則によって、高リスク規定の適用が次のとおり変わりました。

対象	当初	変更後
高リスクAIシステム(Annex III・単独型)	2026年8月2日	2027年12月2日
高リスクAIシステム(Annex I・製品組込み型)	2027年8月2日	2028年8月2日
AI規制サンドボックスの設置期限	2026年8月2日	2027年8月2日

延期以外にも、次の変更が入っています。

非合意の性的コンテンツと児童性的虐待コンテンツの生成が、禁止プラクティスに追加された。適用は2026年12月2日から
2026年8月2日より前に市場に出ていた生成AIは、機械が読み取れる識別情報を付ける義務(第50条2項)を2026年12月2日までに満たせばよいとされた
中小企業向けの特例が、中規模企業まで広げられた

注意したいのは、延期されたのは高リスク規定だけだという点です。
禁止規定は2025年2月2日から、汎用AIモデル(GPAI)の義務は2025年8月2日から、透明性義務は2026年8月2日から、それぞれ適用中です。

適用スケジュールの全体

規定	適用開始	状態(2026年10月4日時点)
禁止AIプラクティス(第5条)	2025年2月2日	適用中
ガバナンス規則、GPAIモデルの義務	2025年8月2日	適用中(執行権限は2026年8月2日から)
透明性義務	2026年8月2日	適用中
追加された禁止プラクティス(性的コンテンツの生成)	2026年12月2日	次の期限
8月2日より前に出た生成AIの識別情報の付与	2026年12月2日	次の期限(猶予の終わり)
高リスク(Annex III)	2027年12月2日	準備期間
高リスク(Annex I)	2028年8月2日	準備期間

延期されたのは高リスク規定だけ。禁止、GPAI、透明性はすでに適用されています(図は2026年8月時点。12月2日の期限は上の表を参照)。

制裁金

違反の類型ごとに上限が定められています。

違反	上限
禁止プラクティス違反	3,500万ユーロ、または全世界年間売上高の7%の高いほう
その他の義務違反	1,500万ユーロ、または3%の高いほう
不正確または誤解を招く情報提供	750万ユーロ、または1%の高いほう

中小企業とスタートアップには、金額と割合のうち低いほうが適用されます。

日本企業に適用される条件

EUの法律だから日本企業には関係ない、とは言えません。域外適用の規定があります。

判定の3つの入口

JETROの調査レポートでは、EU AI法の適用範囲を「EU域内に所在するか、第三国に所在するかに関わりなく、システムのアウトプットがEU域内で使用されるAIシステムの開発者・提供者およびデプロイヤーに適用される」と記述しています。

つまり、次のいずれかに当てはまれば、対象になりえます。

入口1:EU域内でAIシステムを提供している
自社のAI製品やAI機能付きサービスをEU市場に出している場合です。

入口2:自社が使っているAIの出力が、EU域内で使われている
ここが見落とされやすい入口です。
同レポートは具体例として、EU域内で利用されるコンテンツの生成過程でAIを使っている場合を挙げ、アニメの劇伴音楽の作曲にAIを利用した場合を例示しています。

入口3:EU域内の人が対象になる
EU在住者を評価したり、EU向けのサービスでチャットボットを提供したりする場合です。

自社を判定する手順

上の入口を、実務で使える順序に並べ替えます。

EUとの接点があるかを確認する。製品の輸出、EU向けのウェブサービス、EU拠点、EU在住者を対象にした業務のいずれかがあるか
自社の立場を決める。AIを作って提供する側(プロバイダー)か、業務で使う側(デプロイヤー)か、輸入・流通させる側か
用途が高リスク8分野に当たるかを見る。特に採用、与信、教育は一般企業でも該当しやすい分野です
対外的にAI生成物や対話型AIを出しているかを見る。当たるなら透明性義務が既に適用されています。2026年8月2日より前から提供している生成AIなら、識別情報の付与は12月2日が期限です
当たった項目ごとに期限を確認する。透明性義務と禁止規定は適用済み、追加の禁止規定は2026年12月2日、高リスクは2027年12月2日です

1で接点がなければ、EU AI法の心配はいったん外せます。
その場合でも、日本のAI事業者ガイドラインと個人情報保護法は関わります。

その他の主要な法域

EU以外の動きも、取引先や進出先によっては関わります。

米国

2025年12月11日、大統領令14365が署名されました。
州ごとに分かれたAI規制を連邦で一元化する方針を示すもので、司法省にAI訴訟タスクフォースを設置し、連邦方針と矛盾する州法に法的異議を申し立てるとしています。

ただし大統領令は、それだけで州法を無効にするものではありません。
**2026年10月時点で、州のAI規制を一律に上書きする連邦法は成立していません。**州法は効力を持ったまま、連邦の方針と並んでいる状態です。

州レベルでは、コロラド州のAI法が SB26-189 によって廃止・再制定され、施行日が2027年1月1日に変更されました。
同州のチャットボット安全法(HB26-1263)も2027年1月1日施行で、年齢推定、AI利用の明示、未成年者への対応などを義務づけます。

カリフォルニア州では、フロンティアAIの透明性に関する SB53 が2025年9月29日に署名されました。
一定規模以上の基盤モデル開発企業を対象に、安全計画の公開や重大事故の報告を求める内容です。

州法と連邦の方針がぶつかっている状態は、前回の点検から変わっていません。

中国

生成AIについては早くから制度が整えられており、2026年にも新しい規則が加わりました。

規則	施行	主な中身
生成式人工知能服務管理暫行弁法	2023年8月15日	生成AIサービスの提供者の義務
人工智能生成合成内容標識弁法	2025年9月1日	AI生成の明示(文字表示や音声提示)と、ファイルのメタデータへの識別情報の付与
人工智能拟人化互动服务管理暂行办法	2026年7月15日	人の人格や話し方をまねて、継続的に感情的なやりとりをするAIサービスが対象。AIと対話していることの提示、連続2時間を超える利用への注意喚起、未成年者への制限など

3つ目は、2026年4月10日に国家インターネット情報弁公室など5部門が公表したものです。
コンパニオン型のAIや、キャラクターと会話するサービスを中国国内向けに出す場合に関わります。

中国国内向けにコンテンツを出す場合は、表示弁法の表示義務が直接関わります。

韓国

「人工知能の発展及び信頼基盤の構築等に関する基本法」(AI基本法)が2026年1月22日に施行されました。
海外事業者に対する国内代理人の設置義務や、生成AIを使った製品やサービスであることの事前の告知、生成物への表示などが含まれます。

違反した場合の過料の上限は3,000万ウォンとされています。
ただし、施行と同時に政府(科学技術情報通信部)は、1年以上の啓導期間を設け、その間は事実調査と過料の賦課を猶予する方針を示しています。
2026年10月時点はこの期間の中にあり、期間が明けたあとの運用が次の注目点です。

国内代理人の要件など細部は、韓国政府の一次資料での確認をおすすめします。

英国

AI専用の包括的な法律は、2026年10月時点でも存在しません。
2023年の白書で示された、既存の規制機関による分野別のアプローチが続いています。

対応の優先順位

期限が近い順に並べると、やることの優先順位をつけられます。

第1に、すでに適用されているものを確認する。
EUとの接点がある企業は、禁止プラクティスに当たる使い方をしていないか、透明性義務の対象になる出し方をしていないかを、まず点検してください。この2つは猶予期間がありません。

第2に、2026年12月2日の期限を確認する。
8月2日より前から生成AIのサービスを提供している場合、識別情報の付与はこの日が期限です。
画像や音声を生成するサービスでは、追加された禁止プラクティス(非合意の性的コンテンツの生成)に当たる出力を防げているかも、あわせて確かめてください。

第3に、AI事業者ガイドラインで社内の状態を棚卸しする。
EUとの接点がない企業でも、ここは効果的です。自社の立場を開発者、提供者、利用者のどれかに定め、第1.2版の該当箇所に照らして現状を確認します。

第4に、個人情報の扱いを見直す。
2026年7月公布の改正法には課徴金制度の新設が含まれています。施行は公布から2年以内ですが、AIに入力している情報の中に個人情報が混じっていないか、混じっている場合の根拠は何かを、早めに整理してください。

第5に、高リスク用途の棚卸しを始める。
2027年12月2日まで時間はありますが、適合性評価と記録の体制づくりには準備期間が必要です。採用、与信、教育の業務でAIを使っている、または使う計画があるなら、いま棚卸しを始めておく価値があります。

社内でどう仕組みにするかは、5段階版のLevel 4で扱っています。
→ AI倫理・AIガバナンスとは|AIとどう付き合うかのルール作り

よくある質問(FAQ)

Q. 日本のAI法には罰則がないのですか?
A. 事業者に罰則を科す規定は置かれていないと解説されています。推進を目的とした法律で、事業者の責務は努力義務や協力を求める形が中心とされています。2026年7月の第II期AI基本計画は、AI法を含めた制度を見直し続ける方針を示していますが、罰則を設けると決めたわけではありません。既存の個人情報保護法や著作権法など、他の法律の適用は別途あります。

Q. EU AI法の高リスク規定の延期は、もう決まったのですか?
A. 決まっています。延期を定めた Regulation (EU) 2026/1744 が2026年7月24日に官報に掲載され、7月27日に発効しました。単独型の高リスクAI(Annex III)は2027年12月2日、製品に組み込まれる高リスクAI(Annex I)は2028年8月2日からの適用です。

Q. EU AI法で、次に来る期限はいつですか?
A. 2026年12月2日です。追加された禁止プラクティス(非合意の性的コンテンツなどの生成)の適用が始まり、8月2日より前から提供されている生成AIの識別情報の付与の猶予が終わります。

Q. EU AI法は日本の中小企業にも関係しますか?
A. EU域内に製品やサービスを出していない、EU在住者を対象にしていない、AIの出力がEU域内で使われていない、のすべてに当てはまれば、当面は対象外と考えられます。ただし判断は個別の事情によるため、接点がありそうな場合は専門家にご確認ください。

Q. 高リスク規定が延期されたなら、何もしなくていいですか?
A. 延期されたのは高リスク規定だけです。禁止規定は2025年2月から、透明性義務は2026年8月2日から適用されています。チャットボットやAI生成コンテンツを外部に出しているなら、透明性義務のほうが先に関わります。

Q. うちの採用でAIを使っていますが、高リスクですか?
A. EU AI法では、求人広告のターゲティング配信や応募者の分析、フィルタリングが高リスクの例として挙げられています。ただしEU AI法が適用されるのは域内との接点がある場合です。日本国内だけで完結する場合は、AI事業者ガイドラインと個人情報保護法が主な参照先になります。

Q. AI生成のコンテンツに表示は必要ですか?
A. どこで公開するかによります。EU域内向けには2026年8月2日から透明性義務が適用され、中国では2025年9月1日から表示弁法が施行されています。韓国のAI基本法にも生成物への表示の規定があります。日本国内では法律上の一律の義務はありませんが、投稿先のプラットフォームが表示を求めている場合があります。

Q. 制度が変わりすぎて追いきれません。
A. 自社に関係する入口が限られていることが多いため、まず「EUとの接点があるか」「高リスク8分野の業務があるか」の2点だけを確認しておくと、追うべき範囲が絞れます。関係がある部分だけを四半期ごとに見直す運用で足ります。