EU AI Act Omnibus 5/7合意｜高リスクAI 2027/28延期とヌーディファイアー禁止
アイ
目次
EUのAI規制が現実路線に、わたしたちの仕事にどう影響？
EU AI Actって、わたしも正直よく分からなかったんだけど、これけっこう日本のわたしたちにも関係ある話。
2026年5月7日、EU CouncilとEuropean Parliamentが AI Act Omnibus改正に政治合意した。最大の変更が「高リスクAI規則の延期」。Annex IIIスタンドアロン型は2027年12月2日まで、Annex I組込型は2028年8月2日まで、適用開始が遅れる。
同時に「ヌーディファイアー（NCII／CSAM 生成 AI）禁止」を2026年12月2日から発効、ウォーターマーク義務も同日へ。緩めるとこは緩めて、止めるべきとこは止める、っていうメリハリのある改正。
なんで日本のわたしたちに関係あるかって、EU市場でビジネスする日本企業（ソニー、楽天、メルカリ、SaaS企業全般）が EU AI Actに対応する必要があるから。今回の延期で日本企業も準備期間が伸びた。
そう考える5つの理由
高リスクAI規則を2027/28まで延期、これ大事な判断
EU AI Actって、もともと2024年8月から段階的に発効してて、2026年8月2日に「完全実施」する予定だった。
その「完全実施」のうち、高リスクAI（医療、雇用、教育、信用評価、法執行など、人の権利に直接影響するAI）の規則を約1年半延期したのが今回の Omnibus。
なんで延期になったかと言うと、簡単に言えば「規則を運用するための標準が間に合ってない」から。AI Actは「リスク評価をやれ」「データガバナンスをやれ」って書いてあるけど、実務で何をどう測るかの技術標準（CEN/CENELEC等が策定）がまだ完成してない。
標準がないまま規則だけ動かすと、企業側は「何をすればコンプライアンスなのか」分からないまま、EU市場から撤退するリスクがある。それを避けたかったのが今回の延期。
延期は「規制を緩めた」じゃなくて、「現実的に運用できる形に調整した」って解釈が正しい。Hogan Lovells、White & Caseの法律事務所も「企業にとって朗報、ただし禁止系は前倒し」って分析してる。
ヌーディファイアー禁止は2026年12月発効、厳格化も同時に
緩めただけじゃなくて、明確に厳格化してる部分もある。
ヌーディファイアー（衣服を脱がせるAIアプリ）、NCII（非合意性的画像）、CSAM（児童性的虐待画像）の生成 AI 禁止が、2026年12月2日から発効する。これはOmnibus前のスケジュールより前倒し。
これ、なんで急いだかと言うと、Telegram やDiscordで「ヌーディファイアー bot」が拡散して、被害者が爆発的に増えてるから。特に未成年者のSNS写真を ヌーディファイアーで生成して脅迫する事件が、欧州で社会問題化してた。
法的には：
- ① ヌーディファイアー／NCII／CSAM 生成アプリの市場提供禁止
- ② 同アプリを使ってコンテンツ生成するデプロイヤーも禁止
- ③ 違反時は最大€35M または全世界売上の7%の罰金
これ、Discord／Telegram／X／Mastodonみたいなホスティングプラットフォームも対象になる可能性ある。「自社上でヌーディファイアー botが動いてた」だけで罰金対象になりうる、っていう厳しい設計。
日本企業でEU向けSNS／チャット／ホスティングサービス出してる場合、コンテンツモデレーションの強化を2026年12月までに完了させる必要ある。
ソース: EU AI Act Delayed: The Omnibus Deal Closed on 7 May 2026（Modulos）
透明性義務 grace period が6カ月→3カ月に短縮された理由
地味だけど効くのが、透明性義務の grace period 短縮。
Article 50(2)で「AIで生成されたコンテンツには表示・ウォーターマーク必須」っていう規則があって、これの猶予期間が6カ月から3カ月に短縮された。新しい発効日は2026年12月2日。
つまり、生成AIサービスを提供する企業は、2026年12月2日までに：
- ① 出力に「AI生成」のメタデータを含める
- ② 視覚／音声コンテンツにウォーターマーク
- ③ ディープフェイクには明示的な表示
をやらないと、EU市場では違法になる。OpenAI、Anthropic、Google、Microsoft、Stability AI、Midjourney、全部対象。
このgrace period短縮、ヌーディファイアー対策の流れと連動してる。「フェイクコンテンツの拡散を防ぐ」のが目的で、6カ月待ってる余裕がない、っていうのがEUの判断。
実装側はけっこう大変。C2PA（Content Provenance and Authenticity）標準を使うのが一般的だけど、SNSとかメッセージングアプリで圧縮されると透かしが壊れる問題がある。技術的にまだ完璧じゃない領域で、3カ月で対応するの大変。
規制サンドボックスとSME特典で「実験できるEU」に
Omnibusは「実験できる枠組み」も入れてる。
ひとつめが規制サンドボックス。各加盟国がAIスタートアップを「サンドボックス内で規制免除して実験させる」仕組みで、これの設置期限が2027年8月2日まで延期。同時にEU全体のサンドボックスも新設される。
これ重要で、AI Actは規則が厳しい分、スタートアップが実証実験できる場が必要だった。サンドボックスがちゃんと動けば、EU 内で「規制を満たした形での AI 実験」ができる。
ふたつめがSME（中小企業）特典の拡大。これまでSMEだけが受けられた簡素化対応が、small mid-cap企業（中堅企業）にも拡大される。具体的には：
- ① 技術文書作成の簡素化
- ② リスク管理の段階的実装
- ③ 罰金の上限引き下げ
中堅企業まで対象が広がることで、EU市場のAI実装が加速する。「規制が厳しすぎて中堅は撤退」みたいな事態を避けたい意図が見える。
日本の中堅企業がEU向けAIサービス出すときも、この特典の対象になりうる。EU子会社の規模次第だけど、コンプライアンスコストを大幅削減できる可能性ある。
ソース: What the EU AI Omnibus Deal Changes for the AI Act and What Lies Ahead（TechPolicy.Press）
OpenAIのEU解禁（前項2）と連動した戦略的合意
Omnibusのタイミング、絶妙すぎる。
5月7日にEUがOmnibus合意 → 5月11日にOpenAIがGPT-5.5-CyberをEUに開放（前項2）→ 5月12日にGoogleがGooglebookを発表（前項3）→ 5月12日にAnthropic $950B評価報道（前項1）。
これ、偶然じゃない。EUは「規制を現実的に調整して、AI企業の協力を引き出す」戦略で動いてる。OpenAI／Google／Anthropic／Microsoft、各社のEU向け投資を加速させるために、規制側が「やる気を見せた」のがOmnibus。
特に効くのが「規制側との対話プロセス」。OpenAIがGPT-5.5-CyberのTrusted Accessプログラムに EU AI Office を入れたのは、Omnibus合意の延長線。「規制当局と企業が共同設計する」モデルが、EUで定着しつつある。
これ、米国（強い反規制スタンス）と中国（強い国家管理）とは違う第三の道。「規制と業界が伴走する欧州モデル」が成立すれば、EUが AI 標準の輸出地として復活する可能性ある。
日本も似たアプローチ取れるかが、AI国際競争で重要。AI戦略会議とかAI事業者ガイドラインを「現実的に運用できる形」に調整しないと、企業側がEU・米国に逃げる。EUのOmnibusは日本にとっても参考になる事例。
まとめ：「規制でAIを止める」から「規制と伴走させる」へ
EU AI Actって最初は「AI業界を止める規制」って言われてた。
それが今回のOmnibusで「AIと伴走する規制」に変わった。これ、規制の歴史で見ても大きな転換点。「規制を作って終わり」じゃなくて、「現場と対話して調整する」が当たり前になる。
わたしたちの仕事レベルだと、いますぐ何かする必要はない。でも、EU向けSaaSやAIサービス出してる企業なら：
- 2026年12月2日までに：ウォーターマーク、AI生成表示、ヌーディファイアー対策
- 2027年8月2日までに：規制サンドボックス活用検討
- 2027年12月2日までに：高リスクAI完全コンプライアンス
このスケジュールを社内ロードマップに組み込む必要ある。延期されたとはいえ、最終的にやるべきことは変わらない。
「規制は敵」じゃなくて「規制は伴走者」っていう発想に切り替えれば、EU市場でのAI事業は意外と続けやすいんじゃないかな。
関連記事: Claude vs ChatGPT 徹底比較
ソース: