EU AI Act の高リスク期限が 2027 年 12 月へ — 購買側にとって何が変わるのか
AI Omnibus は 2026 年 7 月 27 日に発効し、EU AI Act の高リスク義務を 2026 年 8 月 2 日から 2027 年 12 月 2 日へ移しました[1][2]。附属書 III の機微分野 — 生体認証、重要インフラ、教育、雇用、移民、庇護、国境管理 — に該当するシステムは 16 か月を得たことになります。2026 年 8 月という日付を軸に AI 調達計画を組み立てていた組織は、それが効き始める 6 日前に強制力を失いました。当社の見解は次のとおりです。これは標準の整備が間に合わなかったことによる延期であって、最終的に求められる内容の変更ではありません。この 16 か月を余裕と読むことこそ、高くつく解釈です。
7 月 27 日に実際に動いたもの
Omnibus は 2025 年 11 月 19 日に提案され、2026 年 5 月 7 日に政治合意に達し、2026 年 7 月 27 日に発効しました[2]。変更されたのは 2 つの日付です。附属書 III の機微分野における高リスクシステムは、2027 年 12 月 2 日から適用されます。規制対象製品に組み込まれた高リスク AI — 規則自体が挙げる例はエレベーターと玩具です — はさらに先の 2028 年 8 月 2 日へ移りました[1]。
動かなかったものが 3 つあります。禁止される慣行と AI リテラシー義務は 2025 年 2 月 2 日から適用されています。GPAI モデル義務とガバナンス枠組みは 2025 年 8 月 2 日から適用されています。そして 2026 年 8 月 2 日は、AI Office と加盟国当局が規則の監督と執行を開始した日付として変わりません[1]。
規則は有効であり、執行されています。そのうちの 1 章が予定より遅れて始まるということです。
延期は標準の問題であって、中身の問題ではない
CEN と CENELEC は、高リスク要件を支える整合規格を 2025 年 8 月までに策定するよう求められていましたが、提出しませんでした[3]。この空白こそが仕組みです。整合規格がなければ、deployer が準拠すべき確定した技術的基準は存在せず、評価の拠り所となる具体的なものもありません。だからこそ欧州委員会が示した理由は、規則がそれを支えるべき標準よりも速く動いていた、というものでした[3]。
この法案は、ASML、Airbus、Ericsson、Nokia、SAP、Siemens、Mistral AI による公開の圧力を受けて成立しました。各社は、欧州が規制によって世界の AI 競争から自らを締め出していると主張していました。しかし同法は負担を取り除くだけでなく、新たな禁止規定も書き込んでいます。同一の法文で、非同意の性的ディープフェイクおよび児童性的虐待素材を生成する AI システムの禁止が追加されました[3]。Omnibus を全般的な緩和と評するのは誤読です。
標準と並んで、ガイダンスも未整備のままです。欧州委員会の高リスクガイドラインのページは 2026 年 7 月 6 日に最終更新され、分類 — ある組織がそもそもシステムが高リスクに当たるかをどう判断するか — を扱っていますが、義務そのものに関するガイドラインは今後の課題だと記しています[4]。今日準備を進める側は、草案段階の資料で作業していることになります。
16 か月が実際にもつ価値
延長の先で待っている義務は、同じ義務です。人間による監督、モニタリング、ログの保存、そしてそれぞれを求めに応じて示す能力は、依然として deployer — 銀行、病院、行政機関 — に課され、モデルベンダーには課されません。これらの義務と導入アーキテクチャの対応関係は 2026 年における EU AI Act:オンプレミス導入がコンプライアンスにもたらす変化 で整理しています。
落とし穴はリードタイムの不一致にあります。ポリシー文書、リスク登録簿、社内手順一式は四半期のうちに書き上げられます。推論がどこで実行されるかを変えることは、そうはいきません。本番ワークフローをマネージド API から deployer 自身が運用する推論へ移し、監査を自社の SIEM へ流し、ID を自社の IdP の背後に置く作業は、調達サイクルに続いて導入サイクルが必要で、規制業種では調達サイクルだけで従来 9 〜 12 か月かかってきました。それを食いつぶすパターンはよく知られています。技術検証は通り、そのあと案件がコンプライアンス部門で止まるのです。
16 か月で買えるのはアーキテクチャ変更 1 回分です。2 回分ではありませんし、1 回分に加えて標準が固まるのを 1 年待つ余裕でもありません。
規則のカレンダーを無視する要因
データ所在地の要件は、コンプライアンス期日とは無関係にプロジェクトへ書き込まれています。Forrester のプリンシパルアナリストである Dario Maisto は、購買側がデータ所在地とソブリン AI アーキテクチャを後付けの統制としてではなく、計画段階で仕様化していると述べています[5]。欧州のプロバイダーが域内クラウドインフラ市場に占める割合は約 15% であり、Gartner は欧州のソブリンクラウド支出が 2025 年から 2027 年にかけて 3 倍以上になると見込んでいます[5]。
これらは市場の数字であって法定期限ではありません。そこが要点です。組織が自社のプロンプトをどこで処理させたいかについて、Omnibus は何も変えていません。
この猶予期間に当社なら何をするか
アーキテクチャ変更は今、高リスクではないワークロードで実施します。そこでの失敗が招くのは是正指摘ではなく作り直しで済むからです。実運用のもとで監査証跡を蓄積させます。附属書 III のワークロードについて証明が必要になる頃には、証拠を残す経路は 1 年稼働しており、コンプライアンス報告書はすでに存在するものを記述することになります。
Software Tailor の AI Suite は deployer が運用するハードウェア上で推論を実行し、AI Admin Console ではポリシー、ライセンス、内容を保持しない監査を管理します。製薬、金融、行政、法務、防衛、エネルギーの各分野にわたる 6 社の Fortune Global 500 顧客がこの形態を運用しています(これまでの顧客)。
deployer 自身のハードウェア上での 1 週間のパイロットがあれば、2027 年 12 月より前に問うべき本質的な問い — コンプライアンス部門が求めることになる証拠を、実際に提出できるのか — に答えられます。
参考文献
- European Commission.「AI Act — Regulatory framework on AI.」digital-strategy.ec.europa.eu。2026-08-04 閲覧。ページ最終更新 2026 年 8 月 3 日。
- European Commission.「AI Omnibus enters into force.」digital-strategy.ec.europa.eu。2026-08-04 閲覧。ページ最終更新 2026 年 7 月 31 日。
- The Register.「EU hits snooze on AI Act rules after industry backlash.」theregister.com。2026 年 5 月 7 日公開。2026-08-04 閲覧。
- European Commission.「Guidelines for providers and deployers of AI high-risk systems.」digital-strategy.ec.europa.eu。2026-08-04 閲覧。ページ最終更新 2026 年 7 月 6 日。
- The Register.「Tech buyers are baking in sovereignty from day one, says Forrester.」theregister.com。2026 年 7 月 31 日公開。2026-08-04 閲覧。
関連記事
16 か月はアーキテクチャ変更 1 回分です。着手しましょう。
deployer 自身のハードウェア上での 1 週間のパイロットは、実際のワークロードで推論、監査、ID を境界の内側に置きます。これにより deployer 義務の証拠は、期限に追われて設計されるのではなく、2027 年 12 月 2 日よりずっと前に存在することになります。