EU AI Actは8月2日に一般適用開始——附属書IIIの高リスク義務は2027年12月へ

2026年8月2日、EU AI Actは原則的な一般適用日を迎えました。

ただし、同法がこの日に初めて発効したわけではありません。

AI Actは2024年8月1日にすでに発効しており、禁止されるAI慣行やAIリテラシー、一般目的AIモデルに関する規定などは、段階的に先行して適用されてきました。

一方で、附属書IIIに基づく高リスクAIシステムの主要義務は、2027年12月へ延期されています。

つまり今整理すべきなのは「AI Actが始まったかどうか」ではなく、どの規定がすでに適用され、どの規定に準備期間が残されているかです。

この線引きを取り違えると、金融機関の準備の優先順位そのものを誤ることになります。

2026年8月2日に何が起きたのか

欧州委員会が2026年7月31日付で公表した発表によれば、2026年8月2日はAI Actの一般適用が始まった日であり、同時にAI Officeおよび加盟国当局が、適用対象となる規定の執行を開始した日でもあります。

この日から新たに適用段階へ入った規定には、Article 50の透明性義務が含まれます。

自然人と直接対話するAIシステムや、合成コンテンツの生成に関わるシステムが、その対象です。

金融機関にとって身近なのは、顧客接点で使われる対話型AIでしょう。

ただし後述するとおり、透明性義務の中身は「AIだと表示すればよい」という一律のものではなく、システムの種類と、自社が提供者・導入者のどちらに当たるかによって異なります。

延期されたのは「附属書IIIそのもの」ではない

人の重要な機会や処遇に直接影響する用途は、AI Actの附属書IIIで高リスクAIシステムとして分類されています。

金融分野で附属書IIIが具体的に挙げているのは、自然人の信用力評価・信用スコア算出（金融詐欺の検知を目的とするものを除く）と、自然人を対象とする生命・医療保険のリスク評価・価格設定です。

この領域について、2026年7月27日に発効した「AI Omnibus（デジタル・オムニバス）」と呼ばれる改正が、適用時期を動かしました。

ここで正確に押さえておきたいのは、附属書IIIそのものが延期されたわけではない、という点です。

延期されたのは、Article 6(2)および附属書IIIに基づいて高リスクと分類されるAIシステムに対する、Chapter III 第1節から第3節（Article 6(5) を除く）の適用です。

これらは分類・システム要件・提供者や導入者の義務を定める規定で、適用開始は2027年12月2日となりました。

裏を返せば、この延期は指定された節に限られており、透明性義務のように別の章に置かれた規定までは止めていません。

延期対象外の規定はそれぞれの適用時期に従うため、たとえば個人に対する判断の説明を受ける権利を定めるArticle 86のような規定は、この観点で別途確認する価値があります。

「附属書III関連はすべて2027年まで関係ない」と読むと、いま効いている義務を見落とすことになります。

金融分野で附属書IIIの対象になる用途は、思ったより狭い

もう一つ取り違えやすいのが、対象範囲です。

「金融機関の与信・保険引受AI全般」が附属書IIIの対象になるわけではありません。

附属書IIIが金融分野の用途として挙げているのは、具体的には次の2つです。

• 自然人の信用力を評価する、または信用スコアを算出するために用いるAIシステム（ただし金融詐欺の検知を目的とするものは除く）
• 自然人を対象とする生命保険・医療保険について、リスク評価と価格設定に用いるAIシステム

法人向け融資や、損害保険・企業保険の保険料算定全般を広く指す規定ではありません。

さらに、附属書IIIに挙げられた用途に当てはまる場合でも、判断結果に実質的な影響を与えない狭い手続的作業にとどまるなど、Article 6(3)の条件を満たすときには高リスクと扱われない可能性があります。

一方で、自然人のプロファイリングを行う場合は常に高リスクとされます。

したがって「この業務に関係していれば全部高リスク」と決め打ちせず、実際の intended purpose（意図された目的）とArticle 6の分類基準に当てて確認する必要があります。

なぜ延期されたのか

延期の理由について、AI Omnibusの前文は、高リスクAIの要件を実装するための標準規格の準備や、各国のガバナンス・適合性評価体制の整備が遅れ、企業の遵守負担が当初の想定より重くなっていたことを挙げています。

欧州委員会も、標準規格・共通仕様・ガイダンスを整え、監督当局の体制を準備する時間を確保するための期限延長だと説明しています。

つまり今回の延期は、高リスクAIに対する規律の必要性が下がったことを意味するものではなく、実際に遵守できる環境を整えるための実装上の延期と捉えるのが正確です。

この理解は、次に述べる「延期は準備を止める理由にならない」という話に、そのままつながります。

透明性義務は、提供者と導入者で中身が違う

透明性義務は一種類ではなく、システムの種類と義務主体によって内容が分かれます。

Article 50(1)では、自然人と直接対話するAIシステムについて、提供者（provider）が、利用者にAIとの対話であることを知らせるよう設計・開発する義務を負います。

ただし、事情や利用文脈から、合理的な利用者にとってAIであることが明らかな場合には例外が置かれています。

合成音声・画像・映像・文章に機械可読なマークを付す義務も、主に提供者側のものです。

一方、ディープフェイクの開示や、公共の関心事項についてAIが生成した文章の開示は、導入者（deployer）側の義務とされています。

後者には、人によるレビューや編集管理があり、編集責任を負う主体がいる場合の例外も置かれています。

適用時期にも細かい違いがあります。

Article 50自体は2026年8月2日から適用されていますが、2026年8月2日より前に市場投入された合成コンテンツ生成システムについては、機械可読マークへの対応期限が2026年12月2日まで設けられています。

「透明性義務はすべて即日で全部」と単純化すると、この移行期限を見落とすことになります。

金融機関が第三者のAIサービスを利用している場合、自社が提供者と導入者のどちらに当たるのか、契約上・運用上どちらがどの表示を実装し確認するのかを整理しておく必要があります。

延期は「後回しにしてよい」という意味ではない

私たちが強調したいのは、Chapter IIIの適用延期を「信用評価・生命／医療保険AIのガバナンスは2027年まで手をつけなくてよい」と読むのは早計だという点です。

理由は2つあります。

1つは、延期が動かしたのは義務化の時期だけであり、これらのAIが誤った判断をするリスクそのものを消したわけではないことです。

もう1つは、AI Act上の高リスク義務が延期されても、個人情報保護・プライバシー・消費者保護や、金融分野の既存規制まで適用されなくなるわけではないことです。

AI Actは、これらの既存法の適用を妨げないと明記しています。

今回の延期は、AI Actの特定の高リスク義務の適用時期を動かしたものであって、既存法のもとで必要になる説明・差別防止・データ管理・顧客保護の確認を停止するものではありません。

私たちは、AIを実務に取り入れる設計をする際、「AIは間違える」ことを前提に置いています。

規制の適用開始日にかかわらず、信用評価や保険引受のように取り消しが難しく影響の大きい判断にAIを関与させるなら、判断の根拠を追跡できる仕組みと、人が介入・是正できるポイントをあらかじめ設計しておく必要があると考えています。

猶予期間中に確認すべきなのは、導入時点の平均精度だけではありません。

申請者の属性や利用環境ごとに性能の偏りが出ていないか、入力データの分布が変化していないか、人による上書きや異議申立てが特定の層に偏っていないかを、運用開始後も継続して確認する必要があります。

初期検証・稼働後の監視・停止と是正を、一続きの運用として設計することが要点だと私たちは考えています。

人の監督についても、形式的に人を置けば足りるわけではありません。

監督を担当する人に、出力を解釈し、使わない・上書きする・処理を停止するといった権限と能力を持たせ、最終的な業務上の責任の所在を組織内で明確にしておく必要があります。

猶予期間に確認しておきたい5つの論点

以下は「これが正解」という設定ではなく、猶予期間中に検討する項目を洗い出すための一例です。

自社のリスク許容度や既存の審査・引受プロセスに合わせて、埋める内容も優先順位も変わります。

• 用途・分類・立場: 対象システムは、自然人の信用力評価・信用スコア算出、または自然人向け生命／医療保険のリスク評価・価格設定に使われるか。Article 6の基準に照らして高リスクに当たるか。自社は提供者か、導入者か、あるいは改変により提供者とみなされる立場か
• 人の監督と判断の境界: 誰が出力を確認し、どの条件で上書き・停止・人手への切替を行うか。監督者に必要な権限・能力・訓練があるか
• データ・性能・偏りの監視: 入力データは用途に対して適切か。属性や利用環境ごとの性能差、データの分布変化、誤判定、人による上書き率をどう継続的に監視するか
• 記録・説明・再審査: どのデータ・モデル・バージョン・出力・人による修正にもとづく判断だったかを記録できるか。影響を受けた人から説明や再確認を求められたときに応じられるか
• 影響評価・苦情・停止手順: 運用開始前の影響評価、苦情処理、異議申立て、事故対応、利用停止と人手運用への切替をどう設計するか

最後の項目は、金融分野では特に重みがあります。

附属書IIIのうち、自然人の信用力評価と、自然人向け生命／医療保険のリスク評価・価格設定に用いる高リスクAI（5(b)・5(c)）については、延期された規定が適用された後、導入者に運用開始前の基本権影響評価（Fundamental Rights Impact Assessment）が求められることになります。

評価には、利用プロセス、影響を受ける対象者、想定されるリスク、人の監督の仕組み、リスクが顕在化した場合の措置、苦情処理などが含まれます。

なお、延期された高リスクの枠組みにおいて、適合性評価は主に提供者側の責任です。

第三者製品を導入する立場の金融機関が、提供者の適合性評価義務をそのまま引き継ぐわけではありません。

自社がどちらの立場かによって、準備すべき内容は変わります。

まとめ

2026年8月2日はAI Actの一般適用が始まった日であり、Article 50の透明性義務もこの日から適用段階に入りました。

一方、Article 6(2)および附属書IIIに基づく高リスクAIについては、Chapter III 第1節から第3節（Article 6(5) を除く）の適用が2027年12月2日へ延期されています。

この事実関係を正確に押さえることは、規制対応の負担を軽くするためではなく、限られた準備期間を正しい場所に振り向けるために必要です。

直近の実務では、すでに適用が始まった透明性義務の確認と、2027年に向けた高リスクAIの準備を、異なる時間軸で並行して進めることになります。

延期された期限は、後回しにしてよいという合図ではありません。

対象となる用途と自社の立場を分類し、人の監督・記録・影響評価・苦情処理と停止手順を実装するための期間だと、私たちは捉えています。

情報確認について

本記事は2026年8月時点で、Regulation (EU) 2024/1689（AI Act）の2026年7月27日時点の統合版、Regulation (EU) 2026/1744（AI Omnibus）、欧州委員会のAI Act実装スケジュール、および欧州委員会が2026年7月31日付で公表した透明性義務・執行開始に関する発表を主要な参照元として作成しています。

AI Actは2024年8月1日に発効し、原則として2026年8月2日に一般適用が始まりました。

AI Omnibusは2026年7月27日に発効し、Article 6(2)および附属書IIIに基づく高リスクAIについて、Chapter III 第1節から第3節（Article 6(5) を除く）の適用開始を2027年12月2日へ変更しています。

本稿でいう金融分野の附属書III対象用途は、自然人の信用力評価または信用スコア算出（金融詐欺の検知を除く）と、自然人を対象とする生命・医療保険のリスク評価・価格設定です。

実際の高リスク分類は、AIシステムの intended purpose やArticle 6の基準・例外によって異なります。

法令・ガイダンス・実装スケジュールは今後更新される可能性があります。

個別のシステムへの適用を判断する際は、最新の公式情報と専門家の助言をご確認ください。