GDPR

GDPR（General Data Protection Regulation、一般データ保護規則）は、EU が2018年に施行した、個人データの保護に関する法律です。EU 域内にいる人の個人データを扱う事業者に、適法な理由での取得、利用目的の明示、安全な管理などを求めます。事業者が EU の外にあっても、EU 域内の人に商品やサービスを提供したり、行動を監視したりする場合は適用対象になりえるため、日本の企業にも無関係ではありません。

基本的な考え方

GDPR は、個人データの取扱いについて、いくつかの原則を定めています。

• 適法性・公正性・透明性：法的根拠にもとづき、本人に分かる形で扱う
• 目的の限定：特定の目的のために集め、無関係な目的には使わない
• データの最小化：必要な範囲にとどめる
• 保存期間の限定：必要な期間を過ぎたら消す
• 完全性と機密性：不正アクセスや漏えいから守る

本人には、自分のデータへのアクセス、訂正、削除（いわゆる「忘れられる権利」）、処理の制限などを求める権利があります。違反した場合は、高額の制裁金が科されることがあります。

AIとの関わり

AIサービスでは、次の点が論点になります。

• 入力に個人データを含めるとき、外部の事業者への委託にあたり、契約（データ処理契約）が必要になること
• データが EU の外へ移転される場合の、法的な手当て
• 学習データに個人データが含まれる場合の、適法性や本人の権利への対応
• 本人に重大な影響を与える自動的な判断について、説明や人の関与を求める規定
• 出力に個人についての誤った情報が含まれたときの、訂正の問題

2024年に成立した EU AI法は、GDPR とは別の法律で、AIシステムそのものに対するリスクに応じた規則を定めています。両方が関係する場面もあります。

具体例

日本の会社が、EU の顧客の問い合わせ対応にAIチャットボットを導入するとします。この場合、顧客の氏名や注文内容を含む入力が、どこのサーバーで処理され、どれくらい保存されるのかを、ベンダーに確認します。必要に応じて、プライバシーポリシーでAIの利用を明示し、データ処理契約を結びます。

注意点

• 個人情報保護法とは別の法律です。 日本の個人情報保護法とは、定義や求められる対応に違いがあります。
• ベンダーが「GDPR対応」と言っても、自社の責任は消えません。 取得の根拠の確保や本人への説明は、事業者側の義務です。
• この項目は法的助言ではありません。 具体的な対応は、法務の専門家に相談してください。

関連する考え方

データの保存はデータ保持期間、第三者による確認は SOC 2、AI規制は EU AI法の項目も参照してください。