EU AI法の罰金はいくら？売上高基準が定額を上回る分岐点
EU AI法の罰金は最大3,500万ユーロまたは世界売上高の7％。どの売上規模で割合基準が定額を上回るのか、中小企業の上限や対象システムとあわせて解説します。
👁 115閲覧数
規則（EU）2024/1689、通称AI法では、2025年8月2日から罰則規定が適用されています。「最大3,500万ユーロ、または世界売上高の7％」という説明だけでは、実際にどちらの基準が適用されるのか分かりにくいものです。そこで、罰金の定額と売上高に対する割合を比べ、どの売上規模で割合基準が上回るのかを計算しました。
最も重い罰則は、第5条で禁止されている行為に適用されます。社会的スコアリング、公共の場におけるリアルタイムの遠隔生体認証、職場や学校での感情認識システムなどが対象です。第99条第3項では、3,500万ユーロまたは世界全体の年間売上高の7％のうち、高い方が上限とされています。記事執筆時点の換算レートで約3,981万ドルです。第4項は、高リスクAIシステムの提供者や導入者の義務違反などを対象とし、1,500万ユーロまたは売上高の3％が上限です。約1,706万ドルに相当します。第5項は当局への虚偽情報の提供を対象とし、750万ユーロまたは売上高の1％が上限です。約853万ドルに相当します。
売上高の何％が定額を上回るのか
規則の条文から計算できる分岐点は、意外と見落とされがちです。罰金は2つの基準のうち高い方が適用されます。したがって、売上高の7％が3,500万ユーロを上回るのは、世界全体の年間売上高が5億ユーロを超えた場合です。第4項も、1,500万ユーロを3％で割ると同じく5億ユーロになります。第5項は750万ユーロを1％で割るため、分岐点は7億5,000万ユーロです。
つまり、一般的な罰金の仕組みでは、年商5億ユーロ未満の企業は、売上高に対する割合ではなく定額基準が上限になります。ただし、中小企業（スタートアップを含む）には、第99条第6項の特例があります。3つの違反類型すべてについて、罰金は割合基準と定額基準のうち低い方を超えないと定められています。
たとえば、年間売上高が約1,058万ドルの採用関連企業が、高リスクAIに関する義務に違反した場合を考えます。通常の基準では上限は1,500万ユーロ、約1,706万ドルです。一方、中小企業向けの仕組みでは、売上高の3％にあたる約31万7,000ドルが上限になります。禁止行為の場合も、売上高の7％にあたる約74万1,000ドルが上限となり、3,500万ユーロの定額基準がそのまま適用されるわけではありません。
高リスクAIに該当するシステムとは
附属書IIIに定められた対象は限定されており、見出しから想像されるほど広くはありません。雇用分野では、採用に使うシステム、特に求人広告の配信、応募書類の分析や絞り込み、候補者の評価に使うものが該当します。昇進や雇用契約の終了に関する判断、行動や個人の特徴に基づく業務の割り当て、仕事の成果の監視や評価に使うシステムも対象です。金融分野では、金融詐欺の検出システムを除く個人の信用力評価と、生命保険や医療保険におけるリスク評価・保険料設定が含まれます。
たとえば、応募者の履歴書を自動で順位付けするツールは対象になり得ます。個人向け融資の信用スコアリングモデルも同様です。問い合わせ対応の処理時間を測定し、その結果を賞与の配分に使うシステムも、業務成績を評価するなら対象となり得ます。一方、求人広告の文章作成にChatGPTを使う場合、SNS投稿用の画像生成ツール、メール要約アシスタントは、それだけで高リスクAIに該当するわけではありません。判断の基準は技術そのものではなく、用途です。
「中小企業（スタートアップを含む）については、本条で定める各罰金は、第3項、第4項および第5項に定める割合または金額を超えてはならず、そのうち低い方を適用する。」 - 規則（EU）2024/1689 第99条第6項（原文はポーランド語）
AI法の罰則が始まっていても、すべての義務が同時に適用されるわけではない
罰則規定は2025年8月から適用されています。一方、附属書IIIに定められた高リスクシステムに関する義務は、2026年8月2日から適用されます。第5条の禁止行為と、第4条のAIリテラシーに関する義務は、2025年2月2日から適用されています。第4条は、従業員にAIツールを業務で使わせる組織にも関係します。従業員がリスクを理解したうえでツールを使えるよう、適切な措置を講じる必要があります。
GDPRの自動化された意思決定にも注意
応募書類の選別をアルゴリズムで行う場合、GDPR第22条の自動化された意思決定に関する規定も関係することがあります。法的効果を生じさせる、または本人に同様に重大な影響を及ぼす決定を、本人に関する自動処理のみに基づいて行うことは、一定の例外を除いて制限されています。該当する場合、本人には人による介入を求め、自分の意見を述べ、決定に異議を申し立てる権利があります。GDPR上の制裁金は、最大2,000万ユーロまたは世界全体の年間売上高の4％です。記事内の換算レートでは、2,000万ユーロは約2,275万ドルに相当します。
雇用における差別禁止も重要です。過去の採用データを学習したアルゴリズムは、既存の偏りを反映するおそれがあります。欧州連合司法裁判所は2023年12月のC-634/21（SCHUFA）判決で、信用情報機関がスコアを算出し、そのスコアを受け取った側が実務上それに依拠する場合、その算出自体がGDPR第22条にいう自動化された意思決定に当たり得ると判断しました。
Google · あなたの情報源GoogleでKiramesuをもっと上位に表示-ワンクリックで設定お気に入りの情報源に追加 →AI法への対応で最初に確認したいこと
まずは、社内でアルゴリズムが人に関する判断に使われている場面を洗い出します。採用、昇進、賞与、解雇、融資、保険料の設定などが該当します。AIを文章作成や画像生成に使うだけなら、高リスクAIに関する義務は通常、用途だけを理由に適用されるわけではありません。人に関する判断に使っている場合は、規則上の「提供者」と「導入者」のどちらに当たるかを確認してください。第26条の導入者の義務は、第16条に定める提供者の義務とは異なります。導入者には、人による監督、ログを少なくとも6カ月保存すること、導入前に従業員とその代表者に知らせることなどが求められます。
次に、AIリテラシーに関する取り組みを記録します。第4条は認定証や外部講師を必須としていません。社内研修の記録、出席者リスト、研修資料などを残しておけば、講じた措置を説明する助けになります。
さらに、顧客との会話中に従業員の感情を測定するツールを使っている場合は、利用を見直してください。職場での感情認識は高リスクAIではなく、第5条で禁止されている行為に当たります。中小企業向けの上限が適用される場合でも、年間売上高が約1,058万ドルなら、売上高の7％にあたる約74万1,000ドルが上限となり得ます。禁止行為である以上、通常の高リスクAI向け対応を整えるだけでは解決しません。
事実確認日：2026年10月25日。金額は1ユーロ＝4.30ズウォティ、1ドル＝3.78ズウォティとして換算。罰金の上限と各規定の適用日は、規則（EU）2024/1689のポーランド語版で確認しました。
参考資料：
Kiramesuの関連記事
