EU AI法の透明性義務とは？日本の中小企業への影響と回答例

EU（欧州連合）のAI法で、AIを使っていることを相手に知らせる「透明性義務（第50条）」が2026年8月2日から適用されています。

欧州の会社に製品や部品を納めている日本の事業者にも、無関係ではありません。ただし、日本の中小企業の多くは、すぐに直接の義務を負う立場にはなりません。

先に答えをお伝えすると、判断の分かれ目と、今のうちにしておくことは次のとおりです。

1. 対象になる条件：AIの出力がEUの中で継続して使われていること
2. 義務を負う人：主にAIを作って自社の名前で動かす「提供者」
3. 現実に来るもの：欧州の取引先からの「AIの使い方」の確認
4. 備え：使っている業務・承認の範囲・記録・止め方を整理しておく

制度の細かい解説は最小限にし、自社が対象かの見分け方と、取引先から聞かれたときの答え方に絞ってお話しします。制度の内容は2026年9月時点の公式情報です。

当社は法律の専門家ではありません。この記事は実務の整理を目的としたもので、個別の法的な判断は弁護士にご相談ください。

EU AI法の透明性義務とは？

EU AI法の透明性義務とは、ひと言でいえば「AIを使っていることを、相手の人に分かるように知らせる義務」です。第50条に定められ、2026年8月2日から適用されています。

誰が何をするかは、条文の項ごとに分かれています。中小製造業で関係しそうなのは、主に1項と2項です。

第50条で求められる四つのこと

第50条の義務は、AIを作る側の「提供者」と、AIを使う側の「利用者」で分かれています。欧州委員会のFAQをもとに整理すると、次の表のとおりです。

項	義務を負う人	求められること	中小製造業で当たりうる場面
1項	提供者	人と直接やり取りするAIを、AIと分かるように作る	自社の名前で動かすチャットボット、電話の自動応答
2項	提供者	生成AIの出力に、機械が読める形のマークを付ける	自社で生成AIの仕組みを作って出す場合に限られる
3項	利用者	感情認識・生体分類のAIを使うとき、対象の人に知らせる	通話の感情分析などを入れた場合
4項	利用者	ディープフェイクや、公共の関心事についての文章を開示する	製造業の通常の取引ではまれ

知らせる時期と形も決まっています。遅くとも最初のやり取りの時点で、はっきり分かる形で知らせることが求められます。

一方で、相手から見てAIだと明らかな場合は、知らせなくてよいとされています。明らかかどうかは、ふつうの注意力を持つ人が見て分かるかで判断されます。

違反したときの制裁金

制裁金の上限は、違反の種類によって三つの段階に分かれています（第99条）。透明性義務の違反は、真ん中の段階です。

違反の種類	大企業の上限	中小企業（SME）の上限
禁止行為（第5条）への違反	3,500万ユーロか全世界売上高の7%の高い方	同じ二つのうち低い方
透明性義務などの違反	1,500万ユーロか全世界売上高の3%の高い方	同じ二つのうち低い方
当局への不正確な情報の提供	750万ユーロか全世界売上高の1%の高い方	同じ二つのうち低い方

売上高は、前の事業年度の全世界の売上高です。大企業には「高い方」が上限として当てはまるのに対し、中小企業には「低い方」が上限になります。

たとえば年商3億円の会社なら、3%で900万円が上限です。ここでいう中小企業はEUの定義で、従業員250人未満で、売上高5,000万ユーロ以下か総資産4,300万ユーロ以下の会社を指します。

EU AI法の全体像と適用の時期

透明性義務は、EU AI法の一部にすぎません。ニュースで報じられる「延期」の話と混ざりやすいため、法律の全体と時期を先に整理しておきます。

リスクで四つに分ける仕組み

EU AI法は、AIをリスクの大きさで四つに分け、分類ごとに規制の強さを変えています。この記事で扱う透明性義務は、上から三つ目に当たります。

分類	主な例	規制
禁止されるAI	職場や学校での感情の推定、人の行動をゆがめて害を与えるAI	使うことも売ることもできない
高リスクAI	生体識別、重要インフラ、教育、採用・雇用、与信審査	リスク管理や記録などの厳しい義務
透明性のリスクがあるAI	チャットボット、生成AI、ディープフェイク	第50条の告知とマーク
それ以外のAI	多くの業務用のAI	法律上の義務は特にない

一般的な製造業の受発注、見積りの作成、問い合わせ対応は、高リスクの分野に入っていません。「高リスクAIの厳しい対応」の報道と混同して、費用をかけすぎないようにしましょう。

適用の時期とデジタルオムニバス

EU AI法は2024年8月1日に発効し、決まりごとに段階を分けて適用されています。2026年7月には、手続きを簡単にする改正「デジタルオムニバス」が成立しました。

デジタルオムニバスは2026年7月8日に成立し、7月24日にEUの官報に載りました。延びたのは主に高リスクAIの規定で、透明性義務は予定どおり8月2日から適用されています。

決まり	改正前	デジタルオムニバスの後
透明性義務（第50条）	2026年8月2日	変わらず2026年8月2日
生成AIのマーク（2026年8月2日より前に市場に出したもの）	2026年8月2日	4か月の経過期間（2026年12月2日まで）
高リスクAI（附属書IIIの分野）	2026年8月2日	2027年12月2日
高リスクAI（製品に組み込むもの）	2027年8月2日	2028年8月2日

マークの経過期間は、生成AIを作って出している「提供者」向けのものです。生成AIを使って見積りの下書きを作るだけの会社が、何かを延ばしてもらったわけではありません。

社員のAIリテラシーの決まり（第4条）も、「確保する」から「高める取り組みを支える」へと改められました。

日本のAI法との違い

日本にも、2025年に「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）ができました。2025年6月4日に公布され、9月1日に全面施行されています。

日本のAI法は研究開発と活用を進めるための法律で、EU AI法のような制裁金の定めはありません。国が状況を調べ、指導や助言を行う仕組みです。

2025年12月には、事業者向けの「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が決まり、AI基本計画も閣議決定されました。基本計画は2026年7月にも閣議決定されています。

国内の取引だけなら、まずは日本の指針と社内のルールづくりが先です。社内ルールの作り方は生成AI利用ガイドラインの作り方で紹介しています。

自社が対象になるかの見分け方

自社が対象になるかを分けるポイントは、「AIの出力が、EUの中で継続して使われているか」です。会社がどこにあるかではなく、AIが出したものがどこで使われるかで判断されます。

EU域外の会社にも適用される場合

EU AI法は、EUの外にある会社にも適用される決まりを持っています。欧州委員会のFAQでも、EUの外の提供者も、AIの出力がEUで使われれば対象とされています。

ただし、2026年7月20日に公表されたガイドラインでは、範囲が広がりすぎないように整理されています。偶発的な利用、予見できない利用、許可のない下流での利用だけでは、義務は生じないという考え方です。

たとえば「ドイツから一度だけWebフォームで問い合わせがあった」という程度では当たりません。欧州の会社との取引ややり取りが継続してあるかが目安になります。

次の四つのどれかに当てはまるなら、対象になるかを詳しく確かめましょう。

• 欧州の拠点や駐在員が、AIの作った文書や分析を現地で使っている
• 欧州の取引先に、AIが作った見積書・納期回答・発注通知が届く
• 欧州の顧客向けに、AIのチャットボットや電話の自動応答を置いている
• 欧州からの問い合わせや受発注が、単発ではなく継続して発生している

一つも当てはまらない場合は、今のところ直接の対象外です。国内の取引だけで完結している会社は、特別な対応を急ぐ必要はありません。

提供者か利用者か

対象になりそうな場合は、次に自社が「提供者」か「利用者」かを確かめます。第50条の1項と2項で義務を負うのは、提供者です。

欧州委員会のFAQでは、提供者はAIを開発する、または開発させて、自社の名前や商標で市場に出したり使い始めたりする人と定義されています。利用者は、仕事でAIを自分の管理のもとで使う人です。

自社のAIの使い方	立場の目安	第50条で関係するところ
ChatGPTなどで英文メールの下書きを作り、担当者が直して送る	利用者	1項・2項の義務は提供者側。3項・4項に当たる使い方でなければ義務は少ない
外部のAIを組み込んだ自動応答を、自社の名前で欧州向けに動かす	提供者に当たりうる	1項（AIであることを知らせる）
ベンダーの自動応答サービスを契約して使う	利用者（ベンダーが提供者）	告知の設定がベンダーの製品で足りているかを確かめる

この表は目安で、きれいに分かれるものではありません。外部のAIを組み込んでいても、自社の名前で動かすと提供者に当たる場合があります。

AIに渡すデータの範囲や、AIに持たせる権限の決め方は、AIエージェントに社内システムの権限を渡すときの設計で整理しています。

対象になった場合の対応

自社が対象になった場合でも、中小製造業で求められやすい対応は限られています。多くは、人と話すAIでAIだと知らせることと、生成物のマークが誰の義務かを押さえることです。

AIであることを知らせる

第50条1項は、人と直接やり取りするAIについて、AIであることを最初に相手へ知らせることを求めています。電話の自動一次応答や、メールの自動返信が当たりやすい例です。

ガイドラインでは、発注者の代わりに応答や処理をするAIエージェントも対象とされました。求められるのは次の二つです。

1. 応答しているのがAIであること
2. どの会社の代わりに動いているか

次のような知らせ方は、ガイドラインで不十分とされています。

• 利用規約の奥のほうに書いておく
• 「アシスタント」とだけ表示する
• HTMLのメタデータやヘッダーの情報にだけ入れる

欧州からの連絡には、冒頭で次のような短い英文を流す、または書いておく方法があります。英文の中の社名の部分は、自社の英文社名に置き換えてください。

電話の自動応答のアナウンスの例です。

This is an automated assistant answering on behalf of [社名]. Your enquiry will be passed to our staff.

メールの自動返信の例です。

This is an automated reply generated by an AI assistant on behalf of [社名]. A member of our staff will review your message and respond.

この英文は告知の一例で、これを書けば法的に十分と保証するものではありません。自動応答の製品に告知の機能がある場合は、その設定も確かめてください。

AIが作った文章へのマーク

第50条2項は、生成AIが作った文章・画像・音声・動画に、機械が読める形のマークを付けることを求めています。義務を負うのは、生成AIを作って出している提供者です。

生成AIで見積りや英文メールの下書きを作って送るだけなら、マークの義務はAIの提供者側にあります。翻訳や文法の直しのように、標準的な編集を補うだけの機能も対象外です。

ガイドラインでは、マークが要らないものも示されています。

• 機械どうしのやり取りの出力、ソースコード、短い記号の並び
• 人が直接見聞きしない処理の途中のデータ
• 閉じた産業や製品開発の環境だけで使う出力

B2Bや産業の場面にも、誤った使い方を防ぐ対策があることなどを条件に、狭い範囲の除外が示されています。取引先向けの書類がすべて除外になるわけではないため、自社で生成AIの仕組みを作って出す場合は、個別に確かめましょう。

欧州の取引先から確認されたときの回答例

中小製造業にとって、法律への直接の対応より現実的なのが、欧州の取引先（親会社やサプライチェーンの元）からの確認です。

取引先が自社のサプライチェーンの管理の一環として、「AIの使い方と管理の体制」を尋ねてくることがあります。届いてから慌てないよう、答える材料を先に整理しておきましょう。

取引先から届く質問票全体の答え方は、次の記事で紹介しています。

先に整理しておく四つの情報

次の四つが整理できていれば、取引先からの多くの質問に、ぶれずに答えられます。記入例を添えておきます。

整理する情報	記入例
AIを使っている業務の一覧	見積りの下書き、英文メールの翻訳、問い合わせの一次受付
人が承認してから出す範囲と、自動で出る範囲	見積書と納期回答は担当者が承認して送る。受付の自動返信だけが自動
処理の記録（ログ）の保管期間と場所	処理の記録を社内サーバーに保管。期間は社内の文書管理の規程に合わせる
AIを止める手順と、手作業に戻す流れ	管理画面で自動処理を止め、担当者の手作業に戻す。判断するのは品質保証の責任者

表は書き方を示すための例です。自社の実際の運用どおりに書くことが大切で、していないことは書かないようにしましょう。

回答メールの英文例

回答は長文にせず、メールの本文で数行にまとめるのが目安です。説明が長くなるほど、追加の質問を招きやすくなります。

Thank you for your enquiry regarding our use of artificial intelligence.

We use AI-based tools in part of our order-handling process. Every document issued to our customers, including quotations and delivery-date confirmations, is reviewed and approved by a member of our staff before it is sent. All processing steps are logged and can be made available on request. Automated processing can be suspended at any time and the work returned to manual handling.

If you require further detail, please let us know which items you need.

日本語にすると、「受注の処理の一部でAIを使っている」「見積書や納期回答は、送る前に担当者が確認して承認している」「処理はすべて記録し、求めに応じて出せる」「自動の処理はいつでも止めて手作業に戻せる」という内容です。

回答に「当社はEU AI法に完全に準拠しています」といった適合の宣言は書かないでください。法的な保証をすると、責任の範囲が大きく広がります。例文のように、今どう運用しているかだけを示しましょう。

人の承認を入れた設計が説明の根拠になる

当社が中小製造業の会社に提供しているAIの仕組みでは、外に送る出力に必ず人が確認して承認する工程（Human-in-the-loop）を組み込んでいます。

これはEU AI法の対策として後から作ったものではありません。誤った見積りや誤記が顧客に届くのを防ぐ、製造業の実務の安全策として最初から設計したものです。

この設計にしておくと、取引先からの確認にも次のように答えられます。

• 送る前に担当者が承認している：責任の所在と、人が見ていることを示せる
• 処理をすべて記録している：あとから追跡できることを示せる
• いつでもAIを止めて手作業に戻せる：止める権限を自社が持っていることを示せる

実務の安全のために入れた仕組みが、そのまま対外的な説明の根拠になります。送る前に止める設計の考え方は、次の記事で紹介しています。

止める基準や月ごとの点検の仕方は、AIエージェント導入後の運用と保守にまとめています。

実務で避けたいこと

EU AI法への対応を考えるとき、現場でしてしまいがちなことを三つ挙げます。どれも、後から説明が難しくなるものです。

感情を推定する機能を足す

電話の応対AIなどで、「顧客の怒りや満足度をAIで分析する」機能を勧められることがあります。社員の感情を職場で推定するAIは、2025年2月2日から禁止されています。

顧客の感情を推定するものは禁止ではありませんが、職場以外の感情認識は高リスクAIに当たり、使うときは第50条3項で相手に知らせる必要があります。通話の分析は、文字にするところまでにとどめるのが無難です。

「AIは使っていない」と答える

その場しのぎで「AIは使っていません」と答えると、あとで食い違いが出るもとになります。

翻訳ツール（DeepLなど）や、Web会議の議事録の要約機能もAIの技術です。AIを使っている前提で、承認の工程と使う範囲を正しく伝えるほうが信頼につながります。

聞かれていないことまで書く

自社で使っていない機能や、補足の説明まで回答に書くと、相手の法務担当者からの追加の質問が増えるだけです。

回答は、取引先から示された質問の範囲に絞って作りましょう。社外に出してよい情報の線引きは、能動的サイバー防御法で中小企業がやるべきことで取引先対応とあわせて紹介しています。

まとめ

EU AI法の透明性義務への対応は、日本の中小製造業にとって、実質的には次の三つにまとまります。

1. 欧州向けの自動応答に、AIであることを知らせる一文を入れる
2. 処理の記録を保管する場所を決める
3. AIを止めて手作業に戻す手順を決めておく

直接の対象にならない場合でも、欧州の取引先から確認を受ける可能性は十分にあります。届いてから慌てないよう、回答に必要な材料（使う業務・承認の範囲・記録・止める手順）を社内で整理しておきましょう。