「8月2日にすべてが延期された」は誤解
homulaは、特定ベンダーに縛られず、エンタープライズ企業が自社にとって最適なAI構成を選び、統制を効かせながら使い続けられるよう支援するAIインテグレーターです。その立場から、2026年8月2日というひとつの節目を整理します。
この日は、もともとEU AI法（EU Artificial Intelligence Act）で**高リスクAIシステムの義務が本格発効する「本命の期日」**として、世界中の企業が準備を進めてきた日でした。ところが直前に成立した簡素化パッケージ「Digital Omnibus」によって、高リスクの義務は2027年12月へ延期されました。ここまでは報道でも広く伝わっています。
問題は、その先で生まれた誤解です。「8月2日の期限は丸ごと消えた」と受け止めてしまうと、実はこの日に確かに発効したものを見落とします。延期されたのは高リスクの一部であって、透明性義務（Article 50）はそのまま8月2日に発効しました。そして罰則を科す権限も、この日から各国当局に与えられています（European Commission）。
「延期された」という見出しだけで安心し、自社の顧客向けチャットボットやAIエージェントの表示を放置していると、いま発効している透明性義務に抵触しかねません。まず「何が延び、何が今日から効いているか」を正確に分けることが出発点です。
事実整理：延びたもの／今日から効いているもの
Digital Omnibus は、EU AI法の採択（2024年6月）以来はじめての本格的な改正パッケージです。欧州委員会が2025年11月19日に提案し、2026年5月7日に暫定政治合意、6月16日に欧州議会が承認、6月29日に理事会が最終承認して成立しました（Council of the EU）。当初案にあった「標準の整備状況に応じて発効する」条件付きトリガー方式は、最終的に固定日に置き換えられました。
主な変更点と、変わらなかった点を分けると次のようになります（Gibson Dunn）。
| 対象 | 従来 | 変更後 |
|---|---|---|
| Annex III 高リスク（用途ベース：採用・与信・教育・重要インフラ等） | 2026年8月2日 | 2027年12月2日へ延期 |
| Annex I 高リスク（製品組込：医療機器・機械等） | 2027年8月2日 | 2028年8月2日へ延期 |
| 各国の規制サンドボックス設置義務 | 2026年8月2日 | 2027年8月2日へ延期 |
| 透明性義務（Article 50） | 2026年8月2日 | 延期なし・そのまま発効 |
| 罰則を科す当局の権限 | 2026年8月2日 | そのまま発効 |
つまり8月2日を境に「高リスクの重い適合性評価は先送りされたが、透明性と罰則は動き出した」という状態です。既発効の義務を時系列で押さえると、全体像がはっきりします（European Commission）。
- 2025年2月2日：禁止されるAI利用（社会的スコアリング等）とAIリテラシー義務が適用開始。
- 2025年8月2日：汎用AI（GPAI）モデルの義務・ガバナンス体制・罰則規定が適用開始。
- 2026年8月2日：透明性義務（Article 50）が適用開始。当局の制裁権限が発効。
- 2027年12月2日：Annex III の高リスク義務が適用開始（延期後）。
- 2028年8月2日：Annex I の高リスク義務が適用開始（延期後）。
なぜ日本企業が「EUの法律」の対象になるのか
「EUの規制だから自社には関係ない」という前提は危険です。EU AI法は Article 2 で**域外適用（extraterritorial reach）**を定めており、事業者の所在地ではなく「システムがEU市場に置かれるか」「その出力がEU域内で使われるか」で適用が決まります（William Fry）。
これはGDPRよりもさらに広い建て付けです。GDPRのような「EU居住者を狙った」というターゲティング要件や意図の判定はなく、AIの出力がEUの個人に届いた時点で在圏になり得ます。日本企業でも、EUの応募者を選考するAI採用ツール、EUの顧客を評価するスコアリング、EU向けの多言語カスタマーサポート・エージェントなどを運用していれば、対象になります。高リスクに該当する非EU事業者は、EU域内に**代理人（authorised representative）**を置く義務も生じます。
自社が「提供者（provider）」なのか「導入者（deployer）」なのかで義務の中身は変わりますが、域外適用の入口はどちらも同じです。まずは「EUに出力が届くAIを、どこで、どう使っているか」を棚卸しすることが、コンプライアンス判断の前提になります。
いま効いている「透明性義務」の実務
8月2日に発効した Article 50 は、企業の日常業務に直結します。要点は次の3つです（EU AI Act – Article 50）。
- AIとの対話を隠さない：人間がAIシステム（チャットボット等）と対話していることが明らかでない場合、その旨を利用者に知らせる。
- 合成コンテンツに機械可読の印を付ける：AIが生成・加工した音声・画像・動画・テキストに、機械可読な形式で「AI生成」であることを示す。
- ディープフェイク・公共的テキストの開示：ディープフェイクや、公共の関心事項について生成・加工されたテキストは、その旨を開示する。
ひとつだけ緩和がありました。機械可読なマーキング（Article 50(2)）については、2026年8月2日時点で既に市場に出ているシステムに限り、適用が2026年12月2日まで4か月猶予されます。新規に出すものはこの猶予の対象外です。
そして見過ごせないのが罰則です。8月2日以降、AI Office および各国当局は、透明性義務を含む提供者・導入者の義務違反に対し、最大1,500万ユーロ、または全世界年間売上高の3%のいずれか高い方の制裁金を科す権限を持ちます（usercentrics）。「延期されたから様子見でよい」という判断が、そのまま透明性義務のリスクに直結する構図です。
2027年までの猶予は「準備の時間」であって「休止」ではない
高リスク義務が2027年12月へ延びたことは、多くの企業にとって歓迎すべき猶予です。標準（harmonised standards）の整備が遅れており、適合性評価の前提が整っていなかったからです。ただし、延期の理由が「作業を止めてよい」ではなく「作業に必要な時間が足りなかった」である点は重要です。
Annex III が求める高リスクの要件は、AIエージェントを安全に運用するうえで規制の有無に関係なく必要になる統制とほぼ重なります。要件を、企業がいま構築すべき制御点として読み替えると、次のように整理できます（EU AI Act – Annex III、European Commission）。
| 高リスクの要件（提供者・導入者） | 企業が実装すべき統制 |
|---|---|
| リスク管理体制（継続的なリスク評価） | ユースケースごとのリスク台帳と、可逆／不可逆の線引き |
| データ・ガバナンス | 入力データの範囲管理、DLP、目的外利用の抑止 |
| 記録・ログ保持（自動記録） | エージェントの全操作を残す監査ログ（長期保持） |
| 人間による監督（human oversight） | 重要操作の承認ゲート（human-in-the-loop） |
| 透明性・情報提供 | 利用者・導入者への説明可能性とAI利用の開示 |
| 正確性・堅牢性・サイバーセキュリティ | プロンプトインジェクション対策と権限の最小化 |
つまり、高リスク義務への準備は「特別なコンプライアンス作業」ではなく、信頼できる業務エージェントを運用するための設計そのものです。猶予期間を「一度作れば規制にも実務にも効く統制」を整える時間として使うのが、最も費用対効果の高い進め方になります。
homulaの観点：規制対応と実運用を「同じ制御層」で満たす
homulaは、規制のためだけの一過性の対応ではなく、業務で毎日使える統制として設計することを推奨します。EU AI法が求める「記録・人間監督・データ統制」は、私たちがエンタープライズ向けエージェントで常に置いている制御点と一致します。
- 統制は Agens Control に一点集約する：承認フロー・DLP・5年分の監査ログ・RBAC を提供します。「誰が・どのエージェントで・何をしたか」を記録し、重要操作は人間の承認を挟み、権限は最小化する——高リスク要件の「ログ保持」「人間監督」「データ・ガバナンス」に、そのまま対応する層です。
- 透明性は運用の初期設定にする：顧客接点のチャット／音声エージェントには、AI利用の開示と合成コンテンツの表示を最初から組み込む。後付けではなく既定値にすることで、Article 50 の抜け漏れを防ぎます。
- 実装は段階的に：homula は n8n / Dify / LangGraph などで役割分担型のエージェントを構成し、戦略策定 → PoC（最短5日）→ 実装 → 運用 → 内製化までを一気通貫で支援します。まず低リスクのタスクから自動化し、承認ゲート越しに行動範囲を広げる。業務の棚卸しから始めたい場合は、AIエージェント・ブートキャンプ（3〜5日）が入口になります。
規制の期日は動きます。しかし「記録し、人が要所を承認し、権限を絞る」という統制の骨格は、期日に関係なく必要です。関連する制御点の考え方は、AIエージェントの統制は『ツール単位』へでも整理しています。
まとめ
2026年8月2日、EU AI法は「全面延期」されたのではありません。高リスク義務（Annex III）は2027年12月へ延びた一方、透明性義務（Article 50）と当局の制裁権限はこの日に発効しました。域外適用により、AIの出力がEUに届く日本企業も対象です。
やるべきことは2つに分かれます。いますぐ——顧客接点のAIに透明性の表示を組み込み、Article 50への抵触を避ける。2027年12月まで——延期された猶予を、記録・人間監督・データ統制という「規制にも実務にも効く制御層」を整える時間に充てる。この2つを同じ統制基盤で満たせた企業だけが、規制の期日に振り回されずにエージェント活用を前へ進められます。
EU AI法をきっかけに、エージェントの統制と透明性を「実運用で毎日効く形」に落とし込みたい方へ。homula が承認・監査・権限の設計から実装までを伴走します。