「『AI 規制』は1つでない」のタイトルバナー。日本・EU・米国の3極を地図状に配し、日本=振興(自主性)、EU=ハードロー(リスクベース)、米国=政権で振動+州法分散 の方向性の違いを示すモチーフ、サブに『どれが効くかを切り分ける』を配したデザイン。

この記事の要点

  1. 「AI 規制」はひとつの制度ではありません。日本・EU・米国で 効き方(規制思想)が全く違い、同じ「AI 規制」という言葉が指すものが法域ごとに別物です。まず必要なのは、自分のプロダクトに どの制度が効くか を切り分けることです。
  2. 対象読者: AI / DX プロダクトを作る個人開発者を主軸に、社内 AI ガバナンスや DX を担う企業の実務担当の方も対象とする日本在住の方。前提知識は不要です。
  3. 得られる成果: 3極の 効き方の差の地図(日本=振興・EU=ハードロー・米国=振動)+ 自分に効くかを見る 属性ベースの入口切り分け(EU 域外適用 / 高リスク用途 / 生成 AI 組込)+ この激変領域で どの一次ソースをどの順で当たるか の道筋。
  4. 扱わないこと(別途、弁護士・各論記事・一次ソースへ): 個別制度の条文比較・実務適合性評価の確定 / 特定プロダクトが規制対象かの最終判断 / 個別の契約・利用規約の解釈(AI サービスの利用規約 や AI 生成物の著作権 で別途扱います)。

Key Points (for international readers)

  1. "AI regulation" is not one thing. Japan, the EU, and the US each take a fundamentally different approach: Japan takes a promotion-oriented approach — its AI Promotion Act sets out statutory responsibilities (including a duty to cooperate with state measures) but carries no penal provisions; the EU enforces a risk-based hard law (the AI Act) with extraterritorial reach; the US swings with each administration at the federal level while states regulate piecemeal.
  2. The practical question is not "what does the law say" but "which regime applies to my product." Use an attribute-based filter: Do you have EU users or outputs used in the EU (extraterritorial reach)? A high-risk use case (employment / credit / education / health / housing / legal)? Japan-only scope? Embedded generative AI (transparency / output labeling)?
  3. As of 2026-07 this area is exceptionally fluid — Colorado's AI Act was repealed and reenacted (the new act takes effect 1 Jan 2027 and applies to consequential decisions made on or after that date), the EU formally adopted its high-risk delay in June 2026 and signed the final act on 8 July (awaiting Official Journal publication), and Japan's 2026 privacy-law reform cleared the Diet on 10 July 2026 (Lower House 26 May, Upper House 10 July) and was promulgated on 17 July 2026, with the commencement date still to be set by cabinet order. Treat every date as perishable and re-check primary sources right before you ship.
  4. Out of scope (consult a lawyer): confirming whether a specific product is regulated, clause-by-clause comparison, and individual contract/terms interpretation. This article is a map to which regime to investigate, not a compliance determination.

執筆時点: 2026-06 / 対象法域: 日本 / EU / 米国(法域別の差分を各 H2 で明示)/ last_updated: 2026-07-17 更新履歴: 2026-06-04 初版 / 2026-07-17 日本 個情法 令和 8 年改正の公布(2026-07-17、個人情報保護委員会 発表。施行日は政令待ち)を反映 + 既存記述を一次ソースで一括是正(米国: Colorado の日付を 署名法 5 条どおりに是正(原則発効 2027-01-01 / 一部規定のみ成立時発効 / 適用は 2027-01-01 以降の重要な決定)+ 訴訟上の執行停止と分離、xAI 訴訟への DOJ 介入(04-24)と共同申立てによる暫定執行停止(04-27)を追記、CA SB 942 の対象閾値を「訪問者・ユーザー」へ是正し AB 853 を注記、Texas HB 149・CA 雇用 ADS 規則を例示に追加 / 日本: AI 推進法 7 条・16 条と適正性確保指針・人工知能基本計画を追記、罰則がないことを自主性・予測可能性と一括りにする記述を除去、GL v1.2 を確認 / EU: 6 条 3 項の高リスク除外と 4 項の文書化義務、50 条の適用日(2026-08-02)、99 条 4 項の上限を追記 / NIST AI RMF の断定を緩和 / 用語集を配線し用語ミニ解説を圧縮 / 確認基準日を統一)/ 2026-07-16 日本 個情法 令和 8 年改正の成立(2026-07-10 参議院本会議で可決)を反映、公布日・法律番号が可決時点で未付与であることと施行期日を一次(両院の議案審議情報)どおりに記載、統計作成等の特例の対象を一次(個人情報保護委員会 法律案要綱)どおりに是正(第三者提供の特例は個人情報・個人関連情報が対象で要配慮個人情報に限られない / AI 学習一般の特例ではない)、Colorado 法の記述を「再延期」から「従前規定の廃止・再制定」へ是正し英語要点との記事内矛盾を解消(SB 26-189 公式サマリ "repeals and reenacts")、EU Digital Omnibus の最終法令署名(2026-07-08、欧州議会 手続ファイル "Final act signed")を追記し発効規定を採択テキスト 4 条どおりに記載 / 2026-07-11 EU Digital Omnibus の採択(欧州議会 06-16 / 理事会 06-29、官報掲載待ち)を反映、Colorado 法の義務主体を「導入事業者(deployer)」へ用語是正、AI Act の provider / deployer 定義を一次条文(3 条 3 項・4 項・11 項)どおりに是正(公的機関・職業として使う自然人も含む / 無償提供も provider / 「使用に供する」は EU 域内での自己使用を含む)、高リスク義務を主体別に整理(適合性評価は provider の義務、deployer は使用監視・ログ・該当時の基本権影響評価)、附属書 III の「医療」の範囲を限定(医療機器等は附属書 I 経由)、SME の制裁金上限が「低い方」である旨(99 条 6 項)を追記、域外適用の要件を AI Act(2 条 1 項)と GDPR(3 条 2 項)で分離、Colorado 法の deployer が EU AI Act とは別概念である旨を注記 / 2026-06-20 deployer の個人利用「対象外」に留保(AI Act 2 条 10 項に限定、5 条禁止・他法は主体不問)、用語注釈(SaaS / 影響評価 / GL 略号)・(※)の意味を明示、高リスク用途の附属書 III 限定と GDPR 域外適用の表記を精緻化

本記事は教材であり、法的助言ではない

AI / DX 関連法は 2024〜2026 年で激しく変動している領域 です。本記事の法令名・施行状況・日付・罰則上限は 2026 年 7 月 17 日時点で確認した値ですが、特に 米国は政権交代に伴う大統領令の撤回・州法の施行延期・連邦と州の preemption 訴訟が同時進行、EU は高リスク AI の適用日の延期が採択・署名済で官報掲載待ち(未発効)、日本は個情法改正が 2026-07-17 に公布され施行期日は政令に委任 と、いずれも数ヶ月単位で動きます。本記事は 教育目的の一般的な整理 であり、特定プロダクトが規制対象かを判断・保証するものではありません。扱わない範囲: 個別制度の適合性評価の確定 / 条文の逐条比較 / 特定案件の合法性判断。実際の判断は必ず 弁護士 / 各法域の当局 / 業界団体(日本: JEITA・経団連・IPA、米国: ITI・SIIA) にご確認ください。本記事の情報は「現状有姿(AS IS)」で提供され、利用・信頼した結果生じたいかなる損害についても、執筆者および YATA-NODE は一切の責任を負いません。ご利用は自己責任でお願いします。この領域は特に流動的なため、リリース直前に必ず一次ソースで最新版を確認してください。なお、本文中の （※） は「2026 年 7 月時点の整理で流動的＝利用時点で一次ソースの再確認を要する」印です。該当箇所の一覧と確認先は末尾の「最新動向(※ 利用時点で再確認を要する)」にまとめています。

本シリーズの位置づけ: ハブは 公開前の権利チェック。深掘りは AI サービスの利用規約(使う AI 側の契約)/ AI 生成物の著作権(出力の権利)。国境を越える別軸として 輸出管理が自分に効くか(外為法・海外規制)もあわせてどうぞ。各論記事は独立に読めます(順読不要)。

用語ミニ解説(はじめての方へ):

  • ハードロー(hard law): 法的拘束力を持つ法令(国会が成立させる法律と、行政が定める政省令)。違反したときの効果(罰則・行政処分・私法上の効果)は制度ごとに異なり、罰則があるとは限りません。EU の AI Act や日本の個人情報保護法がこれにあたります。
  • ソフトロー(soft law): ガイドライン・行政文書・業界自主基準。法的拘束力は弱いものの、事実上の標準として裁判や行政指導の参照基準になりえます。日本の AI 事業者ガイドラインが代表例です。
  • リスクベース規制: 規制対象を「人体・社会への影響度」でクラス分けし、高リスクには厳しい義務、低リスクには緩い義務を課す枠組み。EU AI Act や米国の一部州法が採用しています。
  • 高リスク AI(high-risk AI): 雇用 / 与信 / 教育 / 医療 / 住宅 / 法務など、人の重要な意思決定に実質的に寄与する用途の AI。法域ごとに個別に定義されます。「ここに踏み込むかどうか」が義務の重さの境界線です。
  • provider と deployer の区別: AI Act の中心概念。provider(提供者)= AI を開発し、自分の名前・商標で EU 市場に出す / 使用に供する側(3 条 3 項。有償・無償を問いません。EU 域内での自社利用も含む = 3 条 11 項 "for own use in the Union")。deployer(導入者)= その AI を自分の権限で使う側(3 条 4 項。行政機関や職業として使う個人も含む)。純粋に個人的・非職業的な利用は deployer 義務の対象外です(2 条 10 項。提供側の義務や GDPR 等は独立に効きます)。
  • 域外適用(いきがいてきよう): 自国の外にいる事業者にも法律を及ぼす仕組み。要件は法律ごとに別々です。AI Act(2 条 1 項)は「EU 市場に AI を投入する / EU 域内で使用に供する」(a)、「EU 域内に所在する deployer」(b)、「第三国の provider・deployer で、その AI の出力が EU 域内で使われる」(c) を対象にします(「ターゲットにしたかどうか」は AI Act の要件ではありません)。GDPR(3 条 2 項)は別要件で、「EU 域内にいる人への商品・サービスの提供」または「EU 域内での行動の監視」が必要です。「日本にいるから関係ない」が通らない点が要注意です。
  • 影響評価(impact assessment): AI が人に与えうる影響(差別・誤判定・権利侵害など)を導入前に洗い出し評価する手続き。高リスク用途で求められることがあります。

「AI 規制」とひとくくりにしない — 3極の方向性の違い

日本・EU・米国の AI 規制の方向性を3列で対比した図。日本=振興・自主性(『罰則なし』≠『無規制』)、EU=ハードロー・リスクベース(域外適用あり)、米国=政権で振動する連邦+州法分散(2025-12 EO は即時無効化でない・訴訟経由)、をそれぞれのアイコンと方向 + 一言で示した構造(2026-06 時点)。罰金率・制度名・EO の詳細は本文。

「AI 規制が厳しくなる」という言葉をニュースで見ても、それがどの国のどの制度の話なのかで、意味が正反対になります。主要3極の規制思想は次のように分かれます。まず効き方の地図を頭に入れると、その後の切り分けが一気に楽になります。

日本は「振興・自主性」の方向 です。中核となる AI 推進法(人工知能関連技術の研究開発及び活用の推進に関する法律)は 2025 年 6 月公布・2025 年 9 月全面施行ですが（※）、罰則を伴う禁止規定がありません。条文の主目的は研究開発の推進・国際競争力強化・人材育成で、いわば「規制法」ではなく「振興法」です。ただし「何もない」わけではありません。AI を事業活動で活用しようとする事業者(活用事業者)には国・自治体の施策への協力義務があり(7 条)、国は動向・事案の調査や指導・助言等を行います(16 条)。実務上の指針となる AI 事業者ガイドライン(以下 GL)もソフトロー(法的拘束力のないベストプラクティス集)で、最新は v1.2(2026-03-31 公表、AI エージェント対応を追記)です（※）。さらに政府レベルでは、AI 戦略本部が「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」を決定し(2025-12-19)、閣議決定の 人工知能基本計画(第Ⅰ期 2025-12-23、第Ⅱ期 2026-07-14)が全体の方向を定めています（※）。つまり日本は、罰則を伴う禁止で縛るのではなく、責務・指針・計画で方向づける枠組みで、明確な罰則ラインが薄いのが特徴です。

EU は「ハードロー・リスクベース」の方向 です。EU (Regulation (EU) 2024/1689)は 2024 年 8 月発効の、世界初の包括的 AI 規制です。「AI を 4 段階のリスク(許容不可=禁止 / 高リスク / 限定・透明性 / 最小)に分類する」と説明されるのが通例ですが、これは欧州委員会が説明のために使う整理で、規則本文にそのまま書かれた法定分類ではありません(条文構造は 5 条=禁止、6 条+附属書 III=高リスク、50 条=特定 AI の透明性義務、第 5 章=汎用 AI(GPAI)モデルの別建て規律)。高リスクほど厳しい義務(適合性評価・技術文書・リスク管理)が課されます。罰金は最大で 全世界年間売上の 7%(または €3,500 万のうち高い方、禁止慣行違反の場合)と桁違いです。ただし SME・スタートアップについては、この定額と売上割合のうち「低い方」が上限になります(99 条 6 項)。個人開発・小規模事業者にとっては、上限額そのものが下がる設計です。なお高リスク義務や 50 条の透明性義務などの違反は、これとは別の低い上限枠(全世界年間売上の 3% または €1,500 万の高い方、99 条 4 項)です。そして後述の 域外適用(2 条 1 項)により、EU 市場に AI を投入する / EU 域内で使用に供する、EU 域内に所在して使う、あるいは第三国にいてもその AI の出力が EU 域内で使われる場合には、日本の事業者も対象になります。「枠組みは安定的に厳格、ただし期日のみ流動的」という第三の型です。

米国は「政権で振動する連邦 + 州法分散」の方向 です。連邦レベルの大統領令(EO)は政権交代で撤回・新設を繰り返しており、Biden 政権の包括的 EO 14110 は 2025 年 1 月に Trump 政権が撤回、その後 2025 年 12 月には 州の AI 法に対する連邦 preemption(連邦法が州法を排除する原則)を狙う EO が出されました（※)。ただしこの 2025 年 12 月の EO は、それ自体が直ちに州法を無効化するものではありません。一方で「宣言だけ」でもなく、DOJ の訴訟タスクフォース設置(30 日以内)・商務省による州法評価(90 日)・連邦補助金(BEAD 等)の条件化・FCC 手続の開始 など期限付きの具体的措置を命じており、訴訟・行政措置・資金条件を通じた連邦からの圧力が進行中です。実際、2026 年 4 月には司法の場に移りました。xAI が Colorado AI Act(SB 24-205)の差止を求めて提訴し(4 月 9 日)、DOJ(公民権部門)が 4 月 24 日に平等保護条項を根拠として原告側で訴訟参加、4 月 27 日には当事者の共同申立て(執行を暫定停止する合意)に基づき、裁判所が同法の執行を暫定的に停止しました。停止の射程は「xAI の仮差止(preliminary injunction)申立てに対する裁判所の判断から 14 日後まで」で、本案の判断ではありません(事件番号 1:26-cv-01515, D. Colo.。2026-07-17 確認時点で取得できた docket の範囲 = 最新は必ず docket で再確認（※))。連邦が流動的なぶん、確実に効くのは既存のセクター規制(証券=SEC / 消費者保護=FTC / 雇用=EEOC / 金融=CFPB / 医療機器=FDA)+ 州法 です。なお技術標準の NIST AI RMF(AI リスク管理フレームワーク、任意適用)は、これまでのところ政権交代をまたいで維持されており、事実上の業界ベンチマークになっています。

3極の一言まとめ: 日本=「AI 推進法が中心。事業者の責務は定めるが、同法に罰則規定はない(まず守りやすい)」/ EU=「リスク分類次第、踏み込むと重い + 域外適用」/ 米国=「連邦は当てにせず、既存セクター法 + 州法を見る」。同じ「AI 規制」でも、効く力の種類がここまで違います。なお日本でも、個人情報保護法や著作権法といった別の法律は通常どおり効きます(「AI 推進法に罰則がない」=「日本では何も規制されない」ではありません)。

自分のプロダクトにどれが効くか — 属性ベースの入口切り分け

自分のプロダクトにどの規制が効くかを属性で切り分けるフローチャート風の図(簡素版)。4つの問い『EU の利用者・出力があるか(域外適用)』『高リスク用途か』『日本国内のみか』『生成 AI を組み込むか』を分岐として配し、それぞれが効く制度に矢印でつながる構造(高リスク用途の例や具体機関名は本文表参照。2026-06 時点)。

3極の地図が頭に入ったら、次は「自分のプロダクトに どれが効くか」を切り分けます。ポイントは、国名で考えるのではなく、プロダクトの属性で考える ことです。次の 4 つの問いを順に当てると、調べるべき制度が見えてきます。

問い(属性)はいの場合に効きうる主な制度
① EU の利用者・出力があるか(域外適用の入口)EU AI Act(2 条 1 項)/ GDPR(3 条 2 項)。日本にいても対象になりうる。※ここで「はい」なら 各法の要件で個別に判定 する(この設問自体は判定基準ではなく、調べるべき制度を見つけるための入口)
② 高リスク用途か(雇用 / 与信 / 教育 / 医療 / 住宅 / 法務 に関わるか)EU AI Act 附属書 III(分野一般ではなく列挙された具体的用途に限る。住宅一般は附属書 III になく、法務・医療も限定 = 後述)/ 米 州法(Colorado AI Act、CA 雇用 ADS 規則(2025-10-01 施行)等)/ 米 連邦セクター法(EEOC・CFPB・FDA)。※ 米国には用途を限定せず州内での AI 提供・利用を広く規律する州法もあります(例: Texas HB 149、2026-01-01 施行)= 高リスク用途でなくても米国で出すなら別途確認
③ 日本国内のみかAI 推進法 + AI 事業者 GL(いずれも罰則を伴う禁止規定なし)/ 個人情報保護法 / 著作権法 30 条の 4
④ 生成 AI を組み込むか(出力の透明性)EU AI Act 50 条(主体と出力の類型で義務が分かれる = provider は対話 AI の明示・合成出力の機械可読マーキング / deployer はディープフェイク等の開示)/ 米 一部州法

ここで個人開発者にとって朗報なのは、規模閾値・用途閾値で多くを回避できる 点です。たとえばカリフォルニア SB 942(生成 AI の透明性義務)は、対象(covered provider)を「月間 100 万訪問者・ユーザー超」("1,000,000 monthly visitors or users")の生成 AI を作る側に限っており、個人開発の規模なら対象外です(規模閾値は SB 942 固有で、州法一般の特徴ではありません。閾値を置かない州法もあります)(2025 年改正(AB 853)で法全体の適用開始は 2026-08-02 となり、月間ユニークユーザー 200 万超の large online platform 等には 2027-01-01 から別の義務が加わります)（※）。日本の AI 推進法・AI 事業者 GL は規模閾値こそありませんが、そもそも罰則を伴う禁止規定がありません。

逆に、個人開発者でも境界になるのが「域外適用」と「高リスク用途」の 2 点 です。

第一に、EU の域外適用 です。EU AI Act(2 条)は「EU 市場に AI を投入する」だけでなく「出力が EU 域内で使われる」第三国事業者も対象にします。(3 条 2 項)も「EU 域内にいる人(居住者に限らず、滞在中の旅行者なども含む)に商品・サービスを提供する / 行動を監視する」なら非 EU 事業者を対象にします。「日本で個人開発しているから EU は無関係」は誤り です。ただし負担はリスク分類次第で、一般的な SaaS(Software as a Service。ネット経由で使うソフトのサービス)なら 高リスク AI に固有の義務(適合性評価など)は通常生じません。ただし「だから何もいらない」ではなく、リスク分類に関わらず provider・deployer の双方に AI リテラシー確保の義務(4 条、2025 年 2 月 2 日適用開始)がかかり、生成 AI を扱うなら 50 条の透明性義務、禁止慣行(5 条)、汎用 AI モデル(第 5 章)は別途あてはまるかを確認する必要があります。なお採択済みの Digital Omnibus(2026 年 7 月時点で官報掲載は未確認)は 4 条を差し替えますが、義務の主体は provider・deployer のままです。水準が「十分なリテラシーを確保する」から「リテラシー向上を支援する措置をとる」へ緩和され、「個々人について特定の水準を保証することまでは求めない」と明記される内容で、義務の廃止ではありません(発効前の現時点では現行 4 条がそのまま適用されます)。また、自然人が業務・職業としてではなく純粋に私的に使うだけなら deployer 義務の対象外です(2 条 10 項。判定軸は「自分用かどうか」ではなく「職業・業務としての利用かどうか」です)。ただし対象外なのは AI Act 上の deployer 義務であって、提供側(provider)の義務は残りますし、刑事法・個人データ保護(個人情報保護法・GDPR)などは AI Act とは別の法律として、各法の適用要件を満たす限り独立に適用されます(5 条の禁止慣行が純粋な私的利用者にどこまで及ぶかは条文上一義的ではありません)。「個人利用なら危険な使い方でも野放し」ではない点に注意してください。生成 AI を組み込むなら透明性義務(50 条)だけは早めに意識しておくと安全です。50 条は「全出力に同じラベル」ではなく、提供者側の機械可読マーキング(合成だと判別可能にする)と、利用者側の開示(ディープフェイクや公共向けテキストである旨)に分かれます。適用開始は 2026 年 8 月 2 日です(113 条。採択済み・未発効の Digital Omnibus には、それ以前から市場にある生成 AI の 2 項マーキング適合を 2026-12-02 まで猶予する経過規定があります)。

第二に、高リスク用途 です。雇用・与信・教育・医療・住宅・法務 といった人の重要な意思決定に関わる用途に踏み込むと、EU では附属書 III の高リスク義務、米国では Colorado AI Act などの州法や EEOC・CFPB・FDA のセクター規制が一気に効いてきます。一般的なツール なら多くは対象外ですが、「採用支援」「与信スコアリング」「医療判断補助」に少しでも足を踏み入れた瞬間に高難度ゾーンに入る という感覚を、用途設計の段階で持っておくことが大切です。

ただし 義務の中身は主体で分かれます。適合性評価(43 条)・技術文書・品質管理・CE マーキングは provider の義務(16 条)であり、deployer に一律に課されるものではありません。deployer の義務は「使用指示に従った利用・人的監視・入力データの適切性・モニタリング・ログ保存」(26 条)が中心で、基本権影響評価(FRIA、27 条)は公的機関・公共サービス提供事業者と、与信・保険(附属書 III 第 5 号 (b)(c))の deployer に限られます。なお、既存の高リスク AI に自分の名前・商標を付ける / 大幅に改変する / 用途を変えて高リスクにする場合は、deployer でも provider として扱われます(25 条)。

また、EU AI Act の附属書 III は「住宅」一般・「法務」一般・「医療」一般をそのまま高リスクにしているわけではありません。住宅は附属書 III の列挙になく、法務は「司法機関(またはその代理)が事実調査・法解釈・法適用を行うのを補助する用途、および裁判外紛争解決(ADR)での同様の利用」(附属書 III 第 8 号 (a))に限定されます。一般的な法務支援ツールがただちに該当するわけではありません。医療も「医療」という分野そのものは附属書 III になく、公的機関(またはその委託先)が必須の公的扶助・給付やサービス(医療サービスを含む)の受給資格を判定し、給付を与える / 減らす / 取り消す / 返還を求める用途、生命保険・医療保険のリスク評価と価格設定、救急のトリアージ(附属書 III 第 5 号 (a)(c)(d))に限られます。医療機器や臨床判断支援ソフトは附属書 III ではなく、附属書 I の整合法令(医療機器規則など)経由で 6 条 1 項の高リスクに入る別ルートです。さらに、附属書 III に列挙された用途でも、健康・安全・基本権への重大なリスクを及ぼさない場合は高リスク扱いから除外されます(6 条 3 項)。除外は 4 類型 =(a)狭い手続的タスク /(b)人が済ませた作業の結果の改善 /(c)判断のパターン・逸脱の検知(人が済ませた評価を、適切な人のレビューを経ずに置き換えたり左右したりする意図がない場合)/(d)評価の準備作業 です。ただしプロファイリングを行う場合は常に高リスクで、除外に当たるという判断は市場投入前に文書化しておく義務があります(6 条 4 項)。本記事で挙げる「住宅 / 法務 / 医療」は 踏み込む前に必ず確認すべき領域の目印であって、あなたのツールが即高リスクという意味ではありません(米国の州法・セクター規制では別途論点になりえます)。

切り分けの目安: ①日本国内のみ + 高リスク用途でない → AI 推進法・AI 事業者 GL 自体には罰則がなく、まずは GL に沿った透明性開示が出発点(ただし個人データを扱うなら個人情報保護法、学習・生成に他者の著作物が絡むなら著作権法など、AI に固有でない既存法は別途効きます)。② EU の利用者・出力がある or 高リスク用途 → そこから先は本記事の射程を超えるので、該当制度を名指しで調べ、必要なら弁護士へ。生成 AI を組み込むなら、50 条は規模の閾値なしで効くので、自分の立場(provider か deployer か)と出力の類型ごとにどの義務が当たるかだけは頭の片隅に(一律に「全出力へラベル」ではありません)。

調べる順番 — この領域は「日付が陳腐化する」前提で当たる

一次ソースに当たる順番を示す図。法域別に、日本(e-Gov 法令検索 / 内閣府 / 個人情報保護委員会 / 文化庁 / デジタル庁)、EU(EUR-Lex / 欧州委員会デジタル戦略 / EDPB)、米国連邦(連邦官報 / NIST / 各規制機関)、米国州(各州議会)を縦に並べ、『施行日・最新状況は必ず一次で再確認』の注意を添えた構造(2026-06 時点)。

この領域で一番大事な心構えは、「日付や施行状況は陳腐化する前提で読む」 ことです。実際、本記事の初回の確認時点(2026 年 5 月)から数ヶ月のあいだに、次のように動いています。以下は 2026 年 7 月 17 日時点で一次ソースに当たり直した結果です。

  • 米国 Colorado AI Act: 2026 年 6 月施行・包括的なリスクベース規制と整理されていましたが、2026 年 5 月の改正(SB 26-189、Polis 知事 2026-05-14 署名)で 従前の規定が廃止・再制定 され(公式サマリは "The act repeals and reenacts those provisions with new requirements regarding the use of automated decision-making technology in consequential decisions")、日付は 3 つに分けて読む必要があります。①発効は原則 2027 年 1 月 1 日(署名法 5 条 1 項 "this act takes effect January 1, 2027"。ただし同条 2 項が列挙する一部の規定だけは成立時に発効します)②適用対象は 2027 年 1 月 1 日以降になされた重要な決定(5 条 3 項 "applies to consequential decisions made on or after January 1, 2027")= 開発者の技術文書提供義務の起算(公式サマリ "starting January 1, 2027")も AG 規則の制定期限("by January 1, 2027")もこの日です ③加えて、前述の xAI 訴訟で出た暫定的な執行停止は「SB 24-205 および今会期に成立したその置き換え・改正立法」を対象としており、この改正法も執行が止まっている状態です(仮差止の判断から 14 日後まで)（※)。当初のリスクベース義務(注意義務・影響評価・リスク管理プログラム)は削除されました。ただし「透明性だけ」になったわけではなく、開発者・導入事業者(deployer = 自動判断技術を自社の業務に導入して使う事業者。消費者としての個人は含みません。これは コロラド法の定義 で、EU AI Act の deployer とは別の法律の別概念です)の義務は残ります。ただし主体ごとに中身が違い、開発者には技術文書の提供、導入事業者には消費者への通知、両者に記録保持(3 年以上)が課されます。不利益な結果をもたらす自動判断の後は、導入事業者が 30 日以内に平易な言葉でその技術の役割を説明する義務を負い、消費者の側には 個人データの請求・訂正請求 と 意味のある人間によるレビュー・再考の請求 の権利が残ります。執行は州司法長官(AG)が担います（※)。「包括規制が間もなく施行」という前提のまま設計すると、過剰対応になりかねません。
  • EU AI Act の高リスク適用日: 整合規格の遅れを背景にした簡素化パッケージ「Digital Omnibus」で、延期が立法手続上は確定しました。欧州議会が 2026 年 6 月 16 日に可決、理事会が 6 月 29 日に採択し、2026 年 7 月 8 日に最終法令が署名されました(欧州議会の手続ファイルは "Final act signed" と記載)。ただし 2026 年 7 月 17 日時点で EU 官報(OJ)への掲載は確認できておらず(手続状態は "Procedure completed, awaiting publication in Official Journal")、採択テキスト 4 条により 官報掲載日の翌日から起算して 3 日目に発効します("shall enter into force on the third day following that of its publication in the Official Journal of the European Union")（※)。適用日は、附属書 III のスタンドアロン高リスクが 2026 年 8 月 2 日から 2027 年 12 月 2 日へ、製品組込型(附属書 I)が 2028 年 8 月 2 日へ後ろ倒しされる内容です(適用日そのものは官報掲載版で最終確認してください)。「暫定合意の段階」ではなく 「採択済み・官報掲載待ち」 が 2026 年 7 月時点の正確な理解です。
  • 日本 個情法 令和 8 年改正: 課徴金制度・統計作成等を目的とする場合の同意不要化(第三者提供の特例は個人情報・個人関連情報が対象で、要配慮個人情報に限られません。AI 学習一般を対象とする特例でもありません)などを含む改正法は、2026 年 7 月 10 日の参議院本会議で可決されて成立し、2026 年 7 月 17 日に公布されました(衆院は 5 月 26 日に可決。公布は個人情報保護委員会が同日発表)。施行は「一部を除き、公布の日から起算して二年を超えない範囲内において政令で定める日」です。したがって施行日はまだ決まっておらず、今後の政令・委員会規則・ガイドラインの検討を待つ段階です(法律番号は本記事では未確認)（※)。

このように、「半年前の解説記事や、生成 AI の回答」をそのまま最新として扱うと誤る のがこの領域の怖さです。だからこそ、最終確認は一次ソースに当たります。当たる順番の目安は次のとおりです。

  1. まず自分に効く法域を 1〜2 個に絞る(前章の属性切り分け)。全部を網羅しようとしない。
  2. その法域の一次ソースに当たる。日本なら e-Gov 法令検索・内閣府 AI 法ページ・個人情報保護委員会・文化庁・デジタル庁。EU なら EUR-Lex(eur-lex.europa.eu)・欧州委員会デジタル戦略・欧州データ保護会議(EDPB)。米国連邦なら連邦官報(federalregister.gov)・NIST・各規制機関(SEC/FTC/EEOC/CFPB/FDA)。米国州なら各州議会(leg.colorado.gov / leginfo.legislature.ca.gov 等)。
  3. 施行日・最新の改正状況を必ず確認する。特に施行日は頻繁に動くので、解説記事の日付ではなく当局の最新情報を見ます。
  4. 個別の適合性判断は専門家へ渡す。一次ソースで「どの制度が効きそうか」までは絞れますが、最終的な合法性判断は弁護士・当局・業界団体の領域です。

つまり本記事は 「どの制度を調べるべきか」の入口 までで、その先の確定判断は専門家にバトンを渡す設計です。激変領域だからこそ、入口を正しく選ぶことが、無駄な調査も過剰対応も減らす近道になります。

まとめ — 「どれが効くか」の自己診断チェックリスト

全部に「はい」が要るわけではありません。自分のプロダクトと出し先で「どの制度を調べるべきか」を切り分ける地図 として使ってください。下のリストは開発ノートや社内チェックシートに貼り付けて使えます。

text
【個人開発者・AI/DX プロダクト開発者】
□ 1. 自分のプロダクトに EU の利用者・出力があるか確認した(あれば域外適用=EU AI Act / GDPR を調べる)
□ 2. 用途が高リスク(雇用/与信/教育/医療/住宅/法務)に踏み込むか確認した(踏み込むなら EU 附属書 III・米州法を調べる)
□ 3. 生成 AI を組み込む場合、50 条の透明性義務を自分の立場で確認した(provider = 機械可読マーキング(2 項)・対話 AI である旨の明示(1 項)/ deployer = ディープフェイク等の開示(4 項)。50 条に規模の閾値はないが、標準的な編集補助にとどまる場合や入力データとその意味を実質的に変えない場合は 2 項のマーキング義務の対象外。なお「他社の生成 AI を API で呼んでいるだけだから deployer」とは限らない。API を組み込んだ AI システムを 自社の名前・商標で提供する なら、基盤モデルが他社製でも そのシステムの provider になりえます(3 条 3 項)。既存の高リスク AI への商標付与・大幅改変・用途変更でも provider 扱いです(25 条)。社内利用にとどまるのか、自社サービスとして提供するのかで分けて判定すること)
□ 4. 日本国内のみでも、AI 推進法・GL に罰則はないが個人情報保護法・著作権法等の既存法は別途効くことを理解した(AI 固有の罰則がない ≠ 無規制)
□ 5. 「半年前の解説や AI の回答」を最新と信じず、施行日は一次ソースで確認する運用にした
□ 6. 高リスク用途・域外適用に該当しそうなら、専門家(弁護士)に渡す用意がある

【企業の実務担当(DX/IT/法務)】
□ 1. 自社が provider(提供者)/ deployer(導入者)のどちらに当たるかを整理した(両方に当たる場合もあります)
□ 2. EU 顧客・出力があるかを確認した(社内 AI を内製して EU 域内で自己使用する場合、自分の名前・商標のもとで供する限り provider にも当たりえます)
□ 3. 高リスク用途の有無を棚卸しし、該当なら自社が provider か deployer かに応じた体制を検討した(provider = 適合性評価・技術文書 / deployer = 使用監視・ログ保存・該当時の基本権影響評価)
□ 4. 米国は連邦に依存せず、既存セクター法(SEC/FTC/EEOC/CFPB/FDA)+ 該当州法を確認した
□ 5. 施行日・改正状況の「リリース直前再確認」を社内フローに組み込んだ(特に CO AI Act / EU Omnibus / 個情法改正)
□ 6. NIST AI RMF(任意規格。これまで政権交代をまたいで維持)を社内基準として採用検討した

軸は 3 つです。①「AI 規制」は1つでない(日本=振興・EU=ハードロー・米国=振動の効き方の差をまず地図にする)、② 国名でなく属性で切り分ける(EU 域外適用 / 高リスク用途 / 生成 AI 組込の 3 点が個人開発者の境界)、③ 日付は陳腐化する前提で一次ソースに当たり、確定は専門家へ渡す(本記事は入口まで)。

ここから先、個別制度の適合性評価や、特定プロダクトが規制対象かの最終判断 は、本記事の射程を超えます。使う AI 側の契約は AI サービスの利用規約、出力の権利は AI 生成物の著作権、権利関係の全体像は 公開前の権利チェック のハブから辿るのが早いです。判断に迷えば、必ず 弁護士 / 各法域の当局 / 業界団体 に確認してください。

出典 / References

主要な根拠を一次情報中心にまとめます。AI / DX 関連法は法改正・運用が特に速く動くため、内容は原則として執筆時点(2026 年 6 月)の整理を 2026 年 7 月 17 日に主要事項について再確認したものです(参議院の議案ページ自体は「令和 8 年 7 月 10 日現在」表示)。(※)を付した最新動向は、後述のとおり利用時点での再確認を要します。

日本(一次・法令 / 行政)

EU(一次・法令 / 行政)

米国(一次・法令 / 行政)

最新動向(※ 利用時点で再確認を要する)

  • 日本 AI 推進法は 2025-06 公布・2025-09 全面施行とされる（※ 内閣府・e-Gov で要確認)。AI 事業者ガイドラインは v1.2(2026-03-31、AI エージェント対応)が最新とされる（※ 総務省・経産省で要確認)
  • 日本 個情法 令和 8 年改正は 2026-07-10 参院可決で成立(衆院は 2026-05-26 可決)し、2026-07-17 公布(個人情報保護委員会 同日発表)。施行は一部を除き公布から 2 年を超えない範囲で政令が定める日 = 施行日は未定(法律番号は本記事では未確認)（※ 個人情報保護委員会・官報で要確認)
  • EU AI Act 高リスク適用日は Digital Omnibus で延期が立法手続上は確定(欧州議会 2026-06-16 可決 / 理事会 2026-06-29 採択 / 2026-07-08 最終法令署名。2026-07 時点は 官報掲載を確認できず = 未発効。掲載の 3 日後に発効)。附属書 III のスタンドアロンは 2027-12-02、製品組込型は 2028-08-02（※ EUR-Lex・欧州議会 手続ファイル 2025/0359(COD) で要確認)
  • 米国 Colorado AI Act は 2026-05 改正(SB 26-189)で従前の規定を廃止・再制定("repeals and reenacts")。署名法 5 条により 発効は原則 2027-01-01("this act takes effect January 1, 2027"、一部の列挙規定のみ成立時発効)で、適用は 2027-01-01 以降になされた重要な決定("applies to consequential decisions made on or after January 1, 2027")。公式サマリも開発者の技術文書提供義務を "starting January 1, 2027"、不利益結果後の開示要件を明確化する AG 規則の制定期限を "by January 1, 2027" とする。当初のリスクベース義務(注意義務・影響評価・リスク管理)は削除されたが、技術文書・通知・人間レビュー/訂正請求権・AG 執行は残る。義務主体の deployer は「コロラドで事業を行い自動判断技術を導入する事業者」であり、一般消費者は含まない（※ Colorado 州議会 SB 26-189 で要確認)。2025-12 の州法 preemption EO は発令済で、DOJ 訴訟タスクフォース設置・州法評価・BEAD 資金条件化・FCC 手続等の具体的措置を命じる(直ちに州法を無効化はしない)。具体的な訴訟として、xAI の Colorado AI Act 差止訴訟に DOJ が 2026-04-24 介入し、04-27 に当事者の共同申立てに基づく暫定執行停止(PI 判断まで)が出ている(2026-07-17 確認時点で取得できた docket の範囲)（※ White House EO・DOJ リリース・docket で要確認)

AI 補助の透明性: 本記事は、執筆者が把握していた論点をもとに、調査・整理・要点化の補助として Claude(Anthropic)を用い、その上で執筆者が一次情報(法令・行政文書)を確認して構成しました。AI / DX 関連法は法改正や運用が特に速く動くため、法令名・施行状況・日付は執筆時点(2026 年 6 月)の整理を 2026 年 7 月 17 日に再確認したものです。(※)を付した箇所は流動的なため、利用時点での最新版を一次ソースで確認してください。

著者について

大手電機メーカーで制御工学から 20 年以上の電機・ソフトウェア開発、加えて個人開発 約 10 年の実務経験を持ちます。ハードとソフト、企業と個人の両面で「知らないとリスクになる」基礎から発信し、いずれは AI の実践的な活用法なども扱っていく予定です。詳しくは このブログについて。