2026年は規制実装の年
- 年までの生成 AI 規制は「原則と枠組みの策定」フェーズだったが、2026年は「実装と執行」のフェーズに移行した。EU AI Act の高リスク AI システム規定が本格施行され、違反事例への制裁金が現実に科されるようになった。米国では新政権下で executive orders が改定され、日本では AI 基本法の政令レベルの詳細が固まりつつある。
企業視点で重要なのは、規制が「遵守しないと事業継続できないリスク」になった点だ。金融、医療、雇用、公共サービスの領域で AI を使うなら、コンプライアンス設計がプロダクト設計と一体でなければならない段階に入った。
EU AI Act 執行段階の焦点
EU AI Act は2026年2月に高リスク AI システム規定（Title III）の完全執行が始まり、既に5件の制裁事例が公表された。最大額はドイツの HR テック企業への2,300万ユーロの制裁金で、採用スクリーニング AI の透明性義務違反が理由だった。
特に実務的な影響が大きいのは、高リスク AI システムの「conformity assessment（適合性評価）」義務だ。第三者認証機関による事前審査が必須となり、審査に平均4〜8ヶ月を要する。製品リリースのリードタイムが大幅に延び、アジャイル開発と規制要件の調整が経営課題化している。
汎用 AI モデル（GPAI）規定も注目点だ。訓練計算量 10^25 FLOPS を超える基盤モデルは「システミックリスク」として追加義務を負う。モデルカード公開、重大インシデント報告、adversarial testing 実施が義務付けられ、Anthropic、OpenAI、Google DeepMind、Mistral、Meta などが対象だ。
米国の Executive Order 改定
米国は2025年の政権交代を経て、バイデン政権時代の AI EO 14110 が大幅に改定された。安全性評価義務が緩和された一方、critical infrastructure 保護、中国向け高性能 AI 輸出管理は強化されている。NIST AI Risk Management Framework は任意ガイダンスに戻ったが、連邦調達基準として事実上の必須規範になっている。
州レベルでは California の SB 1047 再提出案が議論されており、10億ドル超の訓練コストを要する基盤モデルへの KYC と安全テスト義務付けが焦点だ。テキサス、ニューヨーク、イリノイでも州独自の AI 規制法案が進んでおり、連邦と州の規制重複がコンプライアンス複雑性を増している。
日本の AI 政策の現状
日本は2025年に成立した「AI 基本法」の政令細目を2026年上半期中に策定する段階にある。特定分野（医療、金融、公共）での AI 利用にはリスク評価と届出が求められ、重大インシデント発生時の所管官庁への報告義務が定義された。
日本の特徴は「ソフトロー重視」で、EU 型の事前規制ではなく、ガイドラインと業界自主規制の組み合わせを軸にする。経産省、総務省、個人情報保護委員会の三者連携で分野別ガイドラインが整備され、医療は厚労省、金融は金融庁と所管省庁が上乗せで詳細指針を定める構造だ。
「広島 AI プロセス」の国際枠組みもアップデートされ、2026年4月の G7 デジタル・技術大臣会合で「Advanced AI Code of Conduct v2」が合意された。基盤モデル開発企業の自主的な安全性報告テンプレートが統一化される。
グローバルガバナンスの現状
UNESCO の AI Ethics Recommendation を起点に、193カ国のうち147カ国が何らかの AI 関連規制・ガイドラインを整備した（2026年3月時点）。ただし相互運用性には課題が残り、同じ AI システムが地域ごとに異なる評価を受けるコストが企業負担となっている。
特に困難なのは、中国、ロシアなどの独自ガバナンス圏と、西側民主国家圏との断絶だ。中国の「生成式AI服務管理暫行辦法」はコンテンツ規制とセキュリティ審査を重視し、モデルの国内登録義務を課す。グローバル展開する企業は、地域ごとに別モデル・別フィルタ・別データセットを運用する necessity に直面している。
企業がとるべき実務対応
実装レベルの対応は4点。第一に「AI インベントリ」の整備。社内で利用中の全 AI システムとユースケースをカタログ化し、リスク分類（禁止／高リスク／限定リスク／最小リスク）を付与する。第二にモデルカード/システムカードの内部文書化。訓練データ、評価結果、既知のリスクを構造化記録する。
第三にインシデント対応プロセスの整備。AI のハルシネーション、差別的出力、セキュリティ事故を検知・報告する仕組みを CSIRT と統合する。第四に第三者監査対応の準備。外部評価機関が審査に入った場合に即座に提出できる形で文書・ログ・テスト結果を維持する。
KGA ではクライアント支援として「AI Compliance Playbook」を2026年版で刷新し、EU/US/日本/中国の4地域対応のテンプレート文書を提供している。規制はもはやリーガル部門の話ではなく、プロダクト・エンジニアリング・経営が一体で取り組むべき技術課題となっている。