GDPRとAIツールは、人工知能システムを用いて欧州居住者の個人データを処理するあらゆる組織にとって、極めて重要な交差点に位置しています。同規則はAIの導入に対しても全面的に適用されます。つまり、個人データを収集・処理し、あるいはそれに基づいて行動するすべてのツールは、GDPRが定める法的根拠、透明性、データ最小化の要件を満たす必要があり、満たさない場合は重大な執行措置を受けるリスクがあります。

多くの組織は、自社の新しいツールが欧州データ保護法の下で実際に合法であるかを問うことなく、AI導入を急速に進めてきました。その答えは必ずしも心地よいものではありません。AIは、GDPRが当初想定していなかった、しかし既存の枠組みの下で確実に対象となるデータ処理活動を持ち込みます。自動化されたプロファイリング、大規模な個人データの処理、クラウドAIインフラストラクチャによって引き起こされる国境を越えたデータ移転、そして不透明な意思決定システムは、いずれも明確にGDPRの規制対象範囲に含まれます。義務がどこにあるのか、そしてそれを満たすAI導入をどのように構築するのかを正確に理解することは、欧州市場で事業を行う、あるいは欧州市場に販売する企業にとって、もはや任意ではありません。本ガイドでは、コンプライアンスが実際に何を要求するのか、そしてほとんどのチームがどこでつまずきがちなのかを解説します。

多くのチームが認識している以上に、GDPRがAIツールに広く適用される理由

個人データを伴うすべてのAIインタラクションは処理イベントである

GDPRはデータ処理を広範に定義しています。個人データに対して行われるあらゆる操作、すなわち収集、保存、検索、利用、開示、消去は、すべて同規則の適用範囲に含まれます。AIツールが氏名、メールアドレス、行動パターン、音声録音、その他識別可能な人物に関連する情報を受け取ったとき、そのデータがシステムに入った瞬間から、GDPRの定義に基づき個人データを処理していることになります。

これは多くの組織にとって意外なことです。GDPRコンプライアンスの直感的なメンタルモデルは、データベースとストレージを中心に据えているからです。顧客記録を保存し、保存に関する規則を遵守する。しかし、AIによる処理は、何かが永続的に保存されるかどうかにかかわらず、処理にあたります。カスタマーサービスのトランスクリプトを分析して感情を分類し、その後直ちに当該トランスクリプトを破棄するAIツールも、依然として個人データを処理しています。そのための法的根拠と、それに伴う透明性の義務は、その一回のインタラクションにも適用されます。

実務的な含意は、GDPRコンプライアンス評価をデータベースやCRMシステムで完結させてはならないということです。組織が利用するすべてのAIツールについて、どのような個人データに触れ、どの法的根拠の下で、どのような条件で処理しているかを評価する必要があります。

AIツールにおける法的根拠の課題

GDPRは、個人データを伴うすべての処理活動に有効な法的根拠を持つことを要求します。利用可能な6つの根拠は、同意、契約の履行、法的義務、生命に関わる利益、公共の任務、正当な利益です。ほとんどの商用AI導入では、関連する選択肢は同意、契約の履行、正当な利益となります。

AIツールにおける課題は、それらが実行する処理活動が、同意や正当な利益の比較衡量に関するGDPRの透明性要件を満たすために十分なほど具体的に記述することがしばしば困難である点にあります。利用者に対し、「サービス改善のためにAIシステムによってデータが処理されます」と伝えるだけでは具体性として不十分です。規則が実際に要求しているのは、どのデータがどのAIシステムを通じて、どの目的のために流れ、どの程度の期間保持され、どの処理者と共有され、どの意思決定に利用されるかを正確に説明することです。

AIにおけるデータフローを詳細にマッピングしていない組織は、何を開示しているのかを実際には把握していないため、この要件を満たすことができません。コンプライアンスの作業と透明性の作業は、同じ作業なのです。

法的根拠	AIに適用される場面	主要な要件
同意	サービスに必須ではないAI処理、明確に任意であるもの	自由に与えられ、特定的、説明を受けた上で、曖昧でないこと
契約の履行	契約されたサービスを提供するためにAIが直接必要な場合	処理は契約で必要とされる範囲に限定すること
正当な利益	ビジネス上の利益が存在し、個人の権利に優先しない場合	正当な利益評価が文書化されていること
法的義務	法的要件を遵守するためにAIが用いられる場合	特定の法的義務が存在し、文書化されていること
公共の任務	公的権限を有する当局および公的使命を持つ組織	EU法または加盟国法に根拠を有していること

AI securityと法的根拠の文書化を導入の早期段階で整合させておくことで、技術的には安全なAIシステムが法的に脆弱な基盤の上で稼働するという事態を防ぐことができます。

GDPRの変化がAIに特に意味すること

進化する規制解釈

GDPRは2016年に最終化され、2018年に施行されました。現世代のLarge Language Modelsよりも数年早い時期にあたります。規則の条文には、Generative AI、Foundation Models、Inferenceパイプラインへの言及はありません。しかし、規則が備えているのは、これらの技術を捉えるのに十分なほど広範な原則ベースの枠組みであり、EU加盟各国のデータ保護当局は、それらの原則がどのように適用されるかを明確化するガイダンスを継続的に発行してきました。

2023年にイタリアのデータ保護当局がChatGPTに対して行った執行措置は、規制当局がAI固有のGDPR上の懸念に対して行動を起こす用意があることを示す、最も明確なシグナルでした。この措置は、OpenAIがイタリア人ユーザーのデータを処理するための明確な法的根拠を欠いていたこと、年齢確認の仕組みが欠如していたこと、個人データがモデル学習にどのように用いられているかに関する透明性が不十分であったことに焦点が当てられていました。同ツールはイタリアで一時的に停止され、OpenAIが特定のコンプライアンス上の変更を行った後にのみ再開されました。

その後、EU内の他の国家データ保護当局も、AI学習データ、自動化された意思決定、そしてAIが生成する出力がモデル学習に用いられたデータの当事者に関する個人データの処理に該当する条件を扱うガイダンスを発行してきました。

進む方向は明確です。GDPRの執行はAI固有の領域に深く進入しつつあり、AIコンプライアンスを将来の課題として扱ってきた組織は、それが現在の課題になっていることに気づきつつあります。

EU AI ActがどのようにGDPRの上に重なるか

2024年に発効したEU AI Actは、GDPRを置き換えるのではなく、GDPRと並んで機能する並行的な規制レイヤーを加えるものです。GDPRが個人データに何が起こるかを規律するのに対し、AI ActはAIシステム自体の特性と挙動、特に高リスクと分類されるものを規律します。

個人データとやり取りするAIツールを導入する企業にとっては、両方の枠組みが同時に適用されます。雇用スクリーニング、信用評価、医療トリアージなどに用いられるAIシステムは、透明性、人間による監督、正確性に関するAI Actの要件の対象となると同時に、処理するあらゆる個人データについてGDPRの要件の対象となります。

AI architectureに関する判断が、両方の枠組みの下でのコンプライアンスにどのように影響するかを理解することは、組織が片方の規則を最適化して他方を犠牲にするのではなく、規制の全体像を満たすシステムを設計するのに役立ちます。

第22条と自動化された意思決定

第22条が実際に禁止していること

GDPR第22条は、プロファイリングを含む、専ら自動化された処理に基づき、本人に対して法的効果またはそれに準ずる重大な影響を生じる決定の対象とならない権利を個人に付与しています。これは規則の中でも最もAIに直接関連する条項のひとつであり、最も誤解されやすいもののひとつでもあります。

この禁止は、意思決定プロセスでAIを利用すること自体を対象としているわけではありません。具体的に対象としているのは、自動化されたシステムのみによって行われる決定のうち、結果が本人に影響する前に人間が意味ある形で結果を再確認しないものです。信用スコアリングAIが推奨を生成し、人間の融資担当者がそれを検討して承認または却下するシステムは、第22条を発動させません。アルゴリズムの出力に基づき、意思決定の輪に人間が存在しないまま自動的にローン申請を承認または却下するシステムは、これに該当します。

人事、顧客セグメンテーション、不正検知、その他類似の文脈で利用されるAIツールにとって、第22条の分析は不可欠です。AIツールが人々のサービスへのアクセス、雇用機会、金融商品に影響する意思決定を行っており、それらの意思決定が本人に影響する前に人間が真に再確認していない場合、貴社には第22条上のコンプライアンス問題が存在します。

第22条の例外は、契約上の必要性、明示的な同意、法律上の許諾の3つです。それぞれに、人間によるレビューを受ける権利、決定に異議を申し立てる権利、関与しているロジックの説明を求める権利を含む、固有の追加要件が伴います。

自動化された意思決定の類型	第22条が発動するか	コンプライアンスの経路
AIの推奨を、行動前に人間が確認する	いいえ	通常のGDPR処理義務が適用される
法的効果を伴う、完全に自動化された承認または却下	はい	人間によるレビューを受ける権利を備えた例外に依拠する必要がある
マーケティングリストを分割するために用いられる自動化されたプロファイリング	重大性による	影響が法的に重大かどうかを評価する
雇用に関する意思決定に影響を与える、AI生成のコンテンツスコア	はい	契約または同意の例外に加えて、人間によるレビューが必要
アカウントへの措置前に人間による調査を要する不正フラグ	いいえ	人間によるレビューが「専ら自動化された」連鎖を断ち切る

導入を検討しているツールのAI featuresを確認することで、どのツールが意味のある人間のチェックポイントを組み込んでおり、どのツールが人間によるレビューを伴わず自動的に意思決定を行うかを見極めることができます。

第37条とData Protection Officerの要件

AI導入がDPOを必要とする場合

GDPR第37条は、一定の組織にData Protection Officerの指名を義務付けています。この要件は、公的機関および公的団体、中核業務として個人の大規模かつ体系的なモニタリングを必要とする組織、中核業務として特別な種類のデータまたは刑事上の有罪判決に関するデータを大規模に処理する組織に適用されます。

AIツールはしばしばこの評価を発動させます。数百万の顧客とのインタラクションにわたる行動分析にAIを導入する小売企業は、大規模かつ体系的なモニタリングに従事しています。患者記録を大規模に処理するためにAIを利用する医療組織は、特別な種類のデータを大規模に処理しています。いずれのシナリオも、DPOの設置を義務付ける可能性を示しています。

DPOの設置が厳密には必須でない場合でも、その役割が果たす機能、すなわちデータ処理活動の監督、監督当局との連絡、独立したコンプライアンス助言は、相当量の個人データに関わるAIシステムを運用する組織にとって、実務上不可欠です。技術的にはDPOの指名を求められていない多くの企業も、運用上の価値がそれを正当化するため、DPOを設置しています。

DPOはAI導入が稼働を開始する前に関与する必要があります。問題が表面化してから事後的に相談されるべきではありません。ツール評価、Data Protection Impact Assessment、ベンダー契約のレビューにDPOを関与させることで、規制当局が確認することを期待する、文書化された監督の経路が形成されます。

AIに関するData Protection Impact Assessment

GDPR第35条は、個人に高いリスクを生じさせる可能性のある処理を導入する前にData Protection Impact Assessmentを実施することを要求しています。大規模なプロファイリング、体系的なモニタリング、または重大な影響を伴う自動化された意思決定を含むAIシステムは、ほぼ常にこの要件を発動させます。

AIツールに関する適切なDPIAは、システムがどのような個人データを何のために処理するか、その処理の必要性と比例性、個人に対するリスクとその緩和方法、そしてコンプライアンスを実証するために講じている措置を網羅します。これは一度きりの文書ではありません。AIツールが変更されたとき、入力データが変更されたとき、またはビジネスの文脈が実質的に変化したときには、DPIAを再検討する必要があります。

AIシステム向けのDPIA方法論に関する実践的なAI guideは、コンプライアンスチームが、表面上は詳細に見えても規制当局が求める実質的なリスク分析を欠いた文書ではなく、監督当局の期待を満たす評価を構成するのに役立ちます。

知っておくべきこと

GDPRとAIツールに関する重要なポイントのうち、問題が発生した後にようやく表面化しがちなものをいくつか挙げます。

個人データに基づくAIモデルの学習には、独自の法的根拠評価が必要です。顧客データ、従業員データ、その他組織が保有する個人データを用いてモデルをファインチューニングしている場合、その学習活動は元の収集目的とは別個の処理目的にあたり、独自の法的根拠を必要とします。

データ主体の権利はAIが処理したデータにも適用されます。AIシステムによって処理された場合であっても、個人は引き続き自らの個人データへのアクセス、訂正、消去、ポータビリティの権利を有します。AIツールがこれらの権利を運用上サポートできない場合、そのツールの他のセキュリティ対策がどれほど優れていても、それはコンプライアンス上のギャップです。

処理者および再委託先処理者は文書化されなければなりません。貴社に代わって個人データを処理するすべてのAIベンダーは、貴社のRecords of Processing Activitiesに記載されなければなりません。彼らの再委託先処理者、すなわち依拠しているインフラ事業者、ホスティング企業、その他のベンダーも、貴社との間のData Processing Agreementで開示する必要があります。

仮名化はリスクを低減しますが、GDPR上の義務を消滅させるものではありません。仮名化されたデータ、すなわち識別子がコードに置き換えられたデータは、再識別が合理的に可能である限り、GDPRの下では依然として個人データです。仮名化データを処理するAIツールも、引き続き個人データを処理していることに変わりはありません。

AIインフラによって生じる越境移転には、移転のための仕組みが必要です。AIベンダーがEUまたはEEA外のインフラ上でデータを処理する場合、Standard Contractual ClausesやTransfer Impact Assessmentといった有効な移転のための仕組みが必要となります。多くのクラウドAIサービスは、デフォルトで米国またはアジアのデータセンターを経由して処理を行っています。

AIが処理したデータについては保存期間を定義する必要があります。GDPRは個人データを必要以上に保持しないことを要求しています。会話ログ、入力データ、出力データを文書化された保存スケジュールなしに無期限に保持するAIシステムは、他の保護措置がどうあれ、非準拠です。

GDPR対応のAI実践を構築する

GDPRとAIツールにうまく対処している組織には共通のアプローチがあります。彼らは導入後ではなく導入前にコンプライアンスを評価し、AIにおけるデータフローのドキュメントを生きたものとして維持し、GDPRコンプライアンスを完了日のあるプロジェクトとしてではなく、継続的な運用上の規律として取り扱います。

欧州におけるAI関連の規制環境は、緩和されるのではなく強化されつつあります。GDPRの執行がよりAIに焦点を当てるようになり、EU AI Actが並行的な枠組みを加える、その組み合わせは、AIガバナンスの基盤が脆弱な組織が、新しいツールを導入するたびにコンプライアンス上のエクスポージャーを蓄積していくことを意味します。

その基盤を構築することは、聞こえるほど複雑ではありません。データフローをマッピングする。法的根拠を確立する。処理を文書化する。高リスクの導入を評価する。ベンダー契約を整える。これらは、新しい技術カテゴリに適用された確立されたコンプライアンス実践です。これに体系的に取り組む組織は、コンプライアンスと効果的なAI導入が対立するものではないことに気づきます。正しく行えば、両者は互いを強化し合います。

よくある質問

AIツールはGDPRの対象となりますか?

はい、AIツールがEU内の個人に関連する個人データを処理する場合、AI企業の所在地やサーバーの所在地にかかわらず、GDPRの対象に完全に該当します。 この規則は技術提供者ではなくデータ主体の所在地に基づいて適用されます。すなわち、欧州の顧客や従業員のデータに対して利用されるAIツールはいずれも準拠していなければなりません。

AIにおける30%ルールとは何ですか?

AIにおける30%ルールとは、AIによる自動化がワークフローの約30%をカバーし、残りの70%は人間の判断と監督が担うべきであることを示唆する実践的なガイドラインです。 GDPRの文脈において、この枠組みは特に第22条の遵守に有用であり、組織が自動化された出力を形式的に追認するのではなく、人間が真に意思決定に関与し続けるAI導入を設計するのに役立ちます。

AIに関するGDPRの変更点は何ですか?

GDPR自体はAIのために正式に改正されたわけではありませんが、EU内のデータ保護当局は、既存のGDPRの原則をAIシステムに適用する、より具体的なガイダンスをますます発行しており、特に学習データの法的根拠、自動化された意思決定、AIが生成する出力に関する透明性要件の領域でそれが顕著です。 EU AI ActはGDPRを置き換えるのではなくこれと並んで機能し、個人データを処理する高リスクAIシステムに追加の義務を加えます。

GDPR第22条とAIの関係は?

GDPR第22条は、専ら自動化された処理に基づき、法的効果またはそれに準ずる重大な影響を生じる決定の対象とならない権利を個人に付与しており、これは意味のある人間のレビューなしに人々について重要な決定を行うAIシステムに直接適用されます。 信用スコアリング、雇用スクリーニング、サービスへのアクセスにAIを利用する組織は、決定が確定する前に人間が真にAIの出力をレビューしているか、もしくは法定の3つの例外のいずれかが、必要な追加保護措置を伴って適用されていることを担保する必要があります。

GDPR第37条とは何ですか?

GDPR第37条は、一定の組織にData Protection Officerの指名を求める要件を定めており、これは大量の個人データを処理するAIシステムを運用する、あるいは体系的な行動モニタリングを行う企業にとって実務上不可欠な役職となります。 中核となるAI活動が大規模なプロファイリング、特別な種類のデータの処理、個人に対する体系的なモニタリングを含む組織は、本条に基づき、DPOの指名が必須となる可能性が高いです。