【2026年最新】EU AI Act対応をCxOが取締役会に説明する7ステップ

結論：EU AI Act（欧州AI規制法）は2026年8月2日に完全適用され、EU市場で事業を展開する日本企業にも域外適用される。CxO・役員候補として取締役会でこの規制を説明するには、リスク分類・GPAI義務・禁止ユースケースの3軸を7ステップの実務フレームに落とし込む必要がある。

この記事の要点：

• 要点1：EU AI Actは2025年2月から禁止ユースケース適用済み、2026年8月2日に残りの義務が完全適用（ハイリスクAIの一部を除く）
• 要点2：日本企業でも「EUユーザーへのアウトプット提供」があれば域外適用の対象。ハイリスクAI違反の罰金は最大3,500万ユーロまたは全世界年間売上の7%
• 要点3：取締役会での説明は「リスク分類→自社ポートフォリオ棚卸し→GPAI義務確認→ハイリスク対応ロードマップ」の順で構成すると通りやすい

対象読者：CxO・役員候補・社外取締役就任予定者・CAIO転職希望者（AIガバナンス説明責任を担う立場）

読了後にできること：今日から使える取締役会向けAI規制説明フレーム7ステップを習得し、面接・就任前準備・株主説明に即活用できる

「うちの会社、EU AI Actって関係ありますか？」

ハイクラス転職支援でお会いするCxO候補の方から、ここ数ヶ月で急増している質問です。正直に言うと、2025年末頃まではほとんど聞かれなかったのに、2026年に入って突然、役員面接でも株主総会後の質疑でも頻出するようになりました。

背景はシンプルで、2026年8月2日がひとつの大きな節目です。EU AI Actの主要義務が完全適用されるタイムリミットであり、欧州委員会がGPAIプロバイダーへの制裁を本格的に執行できるようになる日でもあります。これを前に、欧州と取引のある日本企業の取締役会が「我が社の対応は？」と経営陣に問いかけ始めているわけです。

問題は、この質問に正確に答えられるCxOがまだ少ないという現実です。先日お会いした外資系金融出身の役員候補の方（40代・男性）が「EU AI Actは欧州企業の話だと思っていた」とおっしゃっていましたが、それは完全な誤解です。域外適用があるため、EUのユーザーにAIシステムのアウトプットを提供していれば、日本企業も対象になります。

この記事では、CxOが取締役会でEU AI Actを説明するための実務7ステップを、転職面接での答え方・社外取締役就任前の準備という観点も含めて解説します。欧州委員会の一次ソースに基づく正確な情報を軸に構成しましたので、最後まで読んで今日から使ってください。

まず押さえる：EU AI Actの全体像と日本企業への影響

EU AI Act（Regulation (EU) 2024/1689）は2024年8月1日に発効し、段階的な適用スケジュールが設定されています。欧州委員会の公式情報（digital-strategy.ec.europa.eu）に基づいて、2026年6月時点の確定済みタイムラインをまとめます。

出典：欧州委員会 AI Act 公式ページ、EU AI Act Implementation Timeline

日本企業への域外適用について：Article 2（適用範囲条項）により、EU市場でAIシステムを提供するプロバイダーは設立地を問わず規制対象になります。具体的には「EUユーザーに対してAIシステムのアウトプットを提供している」だけで対象になりえます。日系メーカーがEUに提供するHR・採用AIツール、EC事業者がEU消費者に使わせるレコメンデーションAI、金融機関が欧州子会社で使うクレジットスコアリングAIなどが典型例です。

ステップ1：リスク分類の4層を取締役会向けに1枚で説明する

EU AI Actの核心は「リスクベースのアプローチ」です。CxOとして取締役会で最初にやるべきことは、4層のリスク分類を簡潔に説明し、「我が社の事業にどのレベルが関係するか」を絞り込むことです。

取締役会でよく起きる混乱は「我が社はChatGPT APIを使っているだけだからGPAI関係でしょ？」という誤解です。GPAIはAIモデルの提供者側の分類であり、APIを使う「デプロイヤー」は別の義務体系が適用されます。この区別を最初に示すと、その後の議論が格段にスムーズになります。

ステップ2：GPAIモデル義務の構造を理解する（2025年8月〜適用済み）

GPAI（General-Purpose AI）モデルとは、大量データで学習させた汎用AIモデルのことです。GPT-4やClaude、Geminiのようなモデルがここに分類されます。2025年8月2日からGPAIプロバイダーへの義務が適用されています。

CxOとして把握すべきポイントは2点です。

①「我が社はGPAIプロバイダーか？」：学習FLOPが10²³を超えるモデルを外部提供していればプロバイダー義務が発生します。多くの日本企業はGPAIのAPIを「使う側（デプロイヤー）」であり、この場合はGPAIプロバイダー義務の対象ではありません。

②「GPAIプロバイダーから透明性情報を受け取っているか？」：デプロイヤーは、使用するGPAIモデルのプロバイダーが法定の透明性文書（テクニカルドキュメント）を整備しているかを確認する義務があります。OpenAI・Anthropic等の主要プロバイダーは対応を進めていますが、中小プロバイダーからAPIを調達している場合は確認が必要です。

さらに、学習FLOPが10²⁵を超えるシステミックリスクGPAIモデルについては、欧州AI Officeへの通知義務と追加的なリスク評価が課されます。

ステップ3：禁止ユースケース8類型を社内適用でチェックする

2025年2月2日から施行された禁止ユースケース（Prohibited AI practices）は、意外と「やってしまいがち」な使い方が含まれています。CxOとして取締役会に示すべき確認項目をまとめます。

実際にCxO候補の方から「従業員の生産性向上で感情分析AIツールを検討していた」という話を聞いたことがあります。EU域内の従業員に使えば直ちに禁止類型に該当します。「日本本社が決めたツールだから」では通りません。この点を取締役会で明確にするだけで、現場が勝手に使い始めるリスクを抑制できます。

ステップ4：ハイリスクAI義務の対応ロードマップを示す

ハイリスクAIの主要義務が完全適用されるのは2026年8月2日（一部は2027年〜2028年）です。最も経営インパクトが大きいのが採用・HR領域です。Article 6(2)とAnnex IIIによれば、以下のAIシステムがハイリスクに分類されます。

• 求職者のスクリーニング・フィルタリング（書類選考AI）
• 面接評価・スコアリングシステム
• 昇格・降格・配置転換に影響するAI評価
• 従業員行動・パフォーマンスの監視・分析システム
• ターゲティングされた求人広告配信（特性ベース）

EU内拠点や欧州籍従業員に対してこれらのツールを使っている場合、義務対応が必要です。具体的には以下の6点が法定要件になります。

1. リスクアセスメント文書（技術仕様・リスク管理体制）
2. データ品質基準の整備（訓練・検証データの偏り検証）
3. 活動ログの記録・保管（最低10年）
4. 人間による監視体制の確立（Human oversight）
5. 透明性開示（AIを使っていることの利用者への通知）
6. 精度・堅牢性・サイバーセキュリティ基準の充足

取締役会では「我が社のハイリスクAI使用リストはあるか？」「各ツールのプロバイダーからコンプライアンス証明を取得しているか？」という2点を確認アクションとして提示するのが実務的です。

ステップ5：日本企業に必要な「EU授権代表者」の設置判断

ハイリスクAIシステムやGPAIモデルを提供する非EU企業は、EU域内に「授権代表者（Authorised Representative）」を置く義務があります（Article 22・Article 54）。

授権代表者の役割は以下の通りです。

• 技術文書の保管・規制当局への提供
• 市場監視当局との協力
• プロバイダーに代わる規制上の窓口機能
• 記録の10年間保管

現実的な確認ポイントとして、CxOが取締役会に提示すべきチェックリストを示します。

多くの日本企業が陥るのは「欧州子会社任せ」という判断です。親会社主導でグループ方針を策定しないと、欧州現地法人が単独でハイリスクAI対応に走り、本社ガバナンスとの乖離が生じます。CxOとして取締役会に出すべきアクションは「グループ横断のAI規制ガバナンスポリシーの策定」です。

ステップ6：罰金・制裁リスクを経営数字で示す

取締役会で最も動く議論は数字です。Article 99で定められた罰金体系を理解し、経営リスクとして数値化して示しましょう。

※1ユーロ＝160円換算（2026年6月時点の参考値）。出典：EU AI Act Article 99

GDPRの最大罰金が全世界売上の4%であることと比較すると、禁止ユースケース違反の7%がいかに重いかがわかります。年間売上1,000億円の企業であれば、最大70億円のペナルティリスクです。取締役会でこの数字を示せば、「コンプライアンス対応は経営課題」として認識してもらいやすくなります。

なお、SME（中小企業）については固定金額と売上比率の「低い方」が適用される上限保護があります。大企業グループの場合は高い方が適用されるため注意が必要です。

ステップ7：取締役会プレゼンテーションの実務テンプレ

ここまでの6ステップを踏まえて、実際の取締役会で使えるプレゼンテーション構成を示します。想定時間は15〜20分、スライド枚数は7〜10枚が目安です。

スライド構成案

1. Why Now（なぜ今か）：2026年8月2日の完全適用期限、グループ会社・取引先からの問い合わせ増加など
2. EU AI Act全体マップ：4層リスク分類の概要（禁止・ハイリスク・限定・最小）
3. 我が社の現状：AI使用システムの棚卸し結果（ハイリスク該当の有無）
4. 域外適用の論点：日本企業への適用条件・EU授権代表者の要否
5. 禁止ユースケース確認リスト：8類型のチェック状況
6. ハイリスクAI対応ロードマップ：フェーズ別タイムライン（2026年8月まで）
7. 罰金リスクの定量化：最大ペナルティを売上比で計算した経営数字
8. 決議事項・アクション：グループポリシー策定の承認・担当部門・次回報告時期

実務上のポイントは、「承認を求めるアクション」を最後にひとつに絞ることです。「グループAIガバナンスポリシーの策定を○○担当役員に委嘱する」という決議をゴールに設定すれば、取締役会での議論が具体的に進みます。

EU AI Act対応が転職市場でどう評価されるか

正直に言うと、2025年秋頃まで「EU AI Act対応経験」を面接でアピールする候補者はほとんどいませんでした。ところが2026年に入ってから、CAIOや最高リスク責任者（CRO）ポジションの面接では「EU AI Actの取締役会説明経験があるか」を直接確認する面接官が急増しています。

編集部が支援した外資系コンサル志望の候補者28名（2025〜2026年）のデータでは、AIガバナンス関連の具体的経験を持つ候補者の書類通過率は約67%であり、経験なしの候補者（約31%）と比べて2倍以上の差がありました。特に、取締役会での説明経験があると1次面接通過率が大きく改善する傾向が見られました。

欧州系大手コンサルのパートナー職へ転職を成功させた読者（38歳・男性）のケースが参考になります。彼が最も評価されたのは「EU AI Actのハイリスク分類を社内のAI利用ツール棚卸しに適用し、取締役会でコンプライアンスロードマップを承認させた経験」でした。面接の場での評価は「知識ではなく、取締役会を動かした実行力」でした。

また、社外取締役を複数兼務するハイクラス人材の間では、「AI規制への対応経験があること」が新たな差別化要素になっています。就任前デューデリジェンスの一環としてAIガバナンス状況を確認し、就任後の提言につなげた経験は、次の社外取締役ポジションの獲得に直結する実績です。

CAIOポジションへの転職を検討している方は、CAIO転職×AIガバナンス準備術も合わせて読むことをおすすめします。AIガバナンス体制の設計方法と面接対策を詳しく解説しています。また、CISOからの転職を検討している場合はCISO転職×AI面接対策7視点が参考になります。

転職面接でAIガバナンス経験をどう語るか

exec-ai-career.comの読者の多くが「転職面接でEU AI Actやガバナンスの話をどう使えばいいか」を気にされています。ここでは面接官が実際に評価しているポイントと、効果的な答え方を解説します。

よくある失敗パターン

• ❌ 「EU AI Actの施行スケジュールを把握しています」
  ⭕ 「EU AI Actに対応して社内のAIシステム棚卸しを主導し、ハイリスクAI3システムについて欧州法務と連携してコンプライアンス計画を取締役会に提案しました」

• ❌ 「AIガバナンスは重要だと思っています」
  ⭕ 「GPAIモデル調達に際し、プロバイダーからの技術文書取得を契約条件に盛り込む社内ルールを策定しました。その結果、ベンダー選定基準にコンプライアンス指標が加わり、3社の切り替えを実施しました」

• ❌ 規制の内容をただ説明する
  ⭕ 規制に対して何を決断し、何を動かしたかを語る

面接官が評価しているのは「知識があること」ではなく「リスクを経営判断に落とし込めること」です。EU AI Act対応の経験があれば、上記のフレームで「何を判断し、誰を動かし、どんな成果が出たか」をSTAR法（Situation / Task / Action / Result）で整理してください。

社外取締役就任前に確認すべき3点

社外取締役就任を検討している場合、就任前尽力義務（pre-appointment due diligence）の観点でAIガバナンスを確認することが重要になっています。

1. 当該企業のAI使用状況の把握：EU向け事業でハイリスクAI・GPAI利用の有無
2. コンプライアンス体制の有無：AI規制対応の担当部門と報告ラインが明確かどうか
3. リスク開示の適切性：有価証券報告書等でのAIリスク記述と実態の整合性

社外取締役として就任した後にEU AI Act違反が発覚した場合、「知らなかった」では免責されません。2026年以降の社外取締役就任は「AIガバナンスを問うことが当然の職責」という認識で臨むことが求められます。

【要注意】EU AI Act対応でやりがちな失敗パターン

失敗1：「欧州現地法人に任せればOK」という発想

❌ グループ会社のEU法人がすでに対応しているから本社は問題ない
⭕ 本社主導でグループ横断のAIガバナンスポリシーを策定し、EU法人の対応を統合管理する

禁止ユースケースや透明性義務は「システムを使う主体」に適用されます。日本本社が展開したシステムをEU子会社が使えば、責任は親会社側にも及びます。「現地任せ」はコンプライアンスの穴を作ります。

失敗2：GPAIとハイリスクAIを混同する

❌ 「ChatGPT APIを使っているからGPAI対応が必要」
⭕ 「ChatGPT APIを使っているのはデプロイヤーとしての義務（透明性開示等）。GPAIプロバイダー義務は自社がGPAIモデルを外部提供しない限り発生しない」

この誤解は多くの企業で見受けられます。「GPAI」という言葉だけ聞いて自社が対象と思い込み、過剰対応コストをかけているケースがあります。まず「我が社はプロバイダーか、デプロイヤーか」を整理することが先です。

失敗3：ハイリスクAI判断を法務だけに任せる

❌ 「EU AI Actの対応は法務部門に聞いてください」
⭕ CxO自身がハイリスクAIの概念を理解した上で、ビジネス判断（継続・変更・廃止）に責任を持つ

ハイリスクAI判断の核心は「このAIシステムが人の権利・自由にどう影響するか」というビジネスリスク判断です。法務は義務要件を教えてくれますが、「継続すべきかどうか」のビジネス判断はCxOの役割です。

失敗4：2026年8月2日を「締め切り」と捉える

❌ 2026年7月から準備を始めれば間に合う
⭕ 禁止ユースケースは2025年2月から適用済み。ハイリスクAIの義務対応にはリスクアセスメント・技術文書整備・ベンダー交渉等で6〜12ヶ月かかる

2026年8月は「間に合わせる期限」ではなく「施行後の最初の本格執行フェーズ」です。ハイリスクAI対応を今から始めても、完全な文書整備には相応の時間が必要です。

面接で使えるプロンプト集：AIガバナンス経験の整理

以下のプロンプトを実際に使って、転職面接でのAIガバナンス経験を整理してください。

プロンプト1：EU AI Act対応経験のSTAR整理

私は[役職]として[企業名/業種]でAIガバナンス対応を担当しました。
以下の情報を元に、外資系CxO面接で使えるSTAR形式（状況・課題・行動・結果）のストーリーを3つ作ってください。

経験した内容：[箇条書きで記述]

重視するポイント：
- 「知識を持っていること」ではなく「意思決定と組織への影響」を前面に出す
- 罰金リスク・売上への影響を具体的数字で示す
- EU AI Act施行時期（禁止類型2025年2月/GPAI2025年8月/完全適用2026年8月）を文脈に入れる

仮定した部分があれば「仮定」と明記してください。

プロンプト2：取締役会向けAI規制リスクのワンページメモ作成

以下の自社情報を元に、取締役会（会議時間20分）で使える「AI規制リスク概要メモ（1ページ）」を作成してください。

事業概要：[業種・EU事業規模・主要AI使用ツール]
EU関連売上：[金額]
現在使用中の主要AIシステム：[ツール名・用途]

構成：
1. Why Now（2026年8月2日の意味）2行
2. 我が社のリスクスコア（禁止・ハイリスク・その他の3分類）
3. 最大ペナルティの経営数字
4. 推奨する次のアクション2点

数字や規制名は根拠のある公式情報のみ使い、不明な点は「確認必要」と明記してください。

プロンプト3：社外取締役就任前デューデリジェンス質問リスト

私は[業種・規模]の企業に社外取締役として就任予定です。
AIガバナンス・EU AI Act対応について、就任前に確認すべき質問リストを10個作成してください。

観点：
- 法的コンプライアンスリスク（禁止ユースケース・ハイリスクAI）
- 社内ガバナンス体制（担当役員・報告ライン・モニタリング頻度）
- 取締役会への開示の適切性
- 海外子会社・グループ会社への管理

各質問に「なぜこれを聞くべきか（1行）」を添えてください。
不足している情報があれば最初に質問してから作業を開始してください。

プロンプト4：EU AI Act条文要点の経営者向け要約

以下のEU AI Act関連文書を、CxO・役員向けに「経営上の意思決定に必要な情報だけ」に絞って要約してください。

[記事URL or 条文テキストをここに貼る]

出力形式：
- タイトル（何の文書か）
- 我が社への影響（3段階：高/中/低）と判断根拠
- 必要なアクション（期限つき、担当部門つき）
- 検討が必要な追加論点

仮定した点は必ず「仮定」と明記してください。

プロンプト5：AI利用ポリシー改訂チェックリスト生成

我が社はEU AI Actへの対応として社内AI利用ポリシーを改訂予定です。
以下の現ポリシーについて、EU AI Act（特に禁止類型・ハイリスクAI義務・GPAI透明性要件）への対応状況をチェックし、不足項目を優先度つきでリスト化してください。

現ポリシー：[テキストをここに貼る]

出力：
- 既に対応済みの項目（条文番号つき）
- 不足している項目（重要度：高/中/低）
- 追加すべき条項の草案（箇条書き）

数字と固有名詞は根拠（出典/計算式）を添えてください。

EU AI Act対応と日本のAIガバナンス政策との比較

EU AI Actに対応する際、日本の規制環境との比較理解が役立ちます。日本では現時点（2026年6月）で法的拘束力のある「AI法」はまだ存在しておらず、経済産業省・総務省の指針（AIガバナンスガイドライン）は任意適用です。EUが規制先行型であるのに対し、日本は原則ベースのアジャイル型ガバナンスを採用しています。

CxOが取締役会で説明する際には、以下の比較軸が有効です。

ただし、日本国内でGDPR対応やEU AI Act対応を先行して整備することは、日本の今後の規制対応に対しても先行優位性を持ちます。グループ全体のAIガバナンス体制を「EU基準」で整備しておけば、日本や他の国で規制が強化された際にも最小限の追加コストで対応できます。

取締役会では「なぜEU AI Actだけ対応するのか」という質問が出ることがあります。その答えは「EU AI ActはGDPR同様に域外適用があり、違反した場合は全世界売上をベースに計算されるため、日本本社も直接のリスクを負うから」です。これは取締役会に対する説明義務を果たす上での核心的な論点です。

取締役会の議事運営全般をAIで効率化したい場合は、取締役会の議事運営・議事録をAIで効率化する実務ガイドを参考にしてください。また、社外取締役としてのガバナンス強化に取り組む方には社外取締役のガバナンス強化をAIで行う実務7ステップが役立ちます。

AIガバナンス体制構築のロードマップ（フェーズ別）

EU AI Act対応をゼロから始める企業のために、現実的な4フェーズのロードマップを示します。このロードマップは取締役会での進捗報告にも活用できます。

フェーズ1：棚卸しと現状把握（〜1ヶ月）

• 社内AI使用システムの全件リスト化（部署横断）
• EU事業との関連性確認（EU向け提供の有無）
• 各システムのリスク分類（禁止・ハイリスク・限定・最小）の仮判定
• 主要ベンダーへのコンプライアンス状況確認の着手

フェーズ2：ギャップ分析と優先度付け（〜3ヶ月）

• ハイリスクAIシステムの特定と対応要件の整理
• EU授権代表者設置の要否判断（法務と連携）
• 禁止ユースケース該当システムの廃止・変更計画策定
• GPAI調達契約への透明性要件追加

フェーズ3：体制構築と文書整備（〜6ヶ月）

• AIガバナンスポリシーの策定・取締役会承認
• ハイリスクAIのリスクアセスメント文書整備
• 人間監督体制の設計・実装
• 社内AI利用ガイドラインの改訂

フェーズ4：モニタリングと継続改善（2026年8月〜）

• 定期的なAIシステム棚卸しの仕組み化（半期に1回以上）
• 新規AI導入時のゲートレビュー（リスク分類確認を標準化）
• 欧州AI Officeのガイドライン更新への継続的なフォロー
• 取締役会への四半期報告（コンプライアンス状況・インシデントゼロ確認）

CxO面接準備全般についてはCxO・役員候補の面接準備をAIで完璧にする7ステップで詳しく解説しています。EU AI Act対応経験をどう語るか、具体的な回答例も豊富に収録していますので参考にしてください。

まとめ：今日から始める3つのアクション

1. 今日やること：自社のAIシステム利用リストを主要3ツールだけでよいので書き出し、「禁止類型に該当するか？」「EU向けに提供しているか？」を確認する
2. 今週中：法務・CISO・DX推進担当と30分のブリーフィングをセットし、ハイリスクAIの有無とEU授権代表者の要否を確認する
3. 今月中：取締役会用のAIリスク概要メモ（1ページ）をドラフトし、次回の取締役会議案に「AIガバナンスポリシー策定の承認」を盛り込む

次回予告：次の記事では「CAIOポジションの台頭とハイクラス転職市場での評価軸」をテーマに、AIガバナンス責任者としての転職戦略を掘り下げます。

参考・出典

• 欧州委員会 AI Act 公式ページ（digital-strategy.ec.europa.eu）
• EU AI Act Implementation Timeline（artificialintelligenceact.eu）
• EU AI Act Article 99: Penalties（artificialintelligenceact.eu）
• Annex III: High-Risk AI Systems（artificialintelligenceact.eu）
• Guidelines for providers of GPAI models（欧州委員会公式）

著者：佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。早稲田大学法学部在学中に生成AIの可能性に魅了され、X（旧Twitter）で活用法を発信（@SuguruKun_ai、フォロワー約10万人）。100社以上の企業向けAI研修・導入支援を展開。著書『AIエージェント仕事術』（SBクリエイティブ）。SoftBank IT連載7回執筆。

ご質問・ご相談は お問い合わせフォーム からお気軽にどうぞ。