GDPRの基本とAI活用の注意：EUの個人データをAIで扱う日本企業が確かめること

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

GDPR（General Data Protection Regulation、EUの一般データ保護規則）は、EUの個人データの扱いを定めた決まりです。EUに顧客や拠点がある日本の会社が、問い合わせの対応や分析、人事などにAIを使う場面では、日本の個人情報保護法に加えてGDPRの観点も必要になります。この記事では、EUの公式の案内と個人情報保護委員会・ジェトロの資料にそって、基本と、AI活用で気をつける点を整理します。

GDPRは、どんな決まりですか？

個人情報保護委員会の資料によると、GDPRは2016年4月に制定され、2018年5月25日から適用されています。EUの加盟国に直接効力を持つ決まりです。

主な決まりを、EUの公式の案内（Your Europe）にそって整理すると次のようになります。

日本の会社にも関わるのは、どんな場合ですか？

個人情報保護委員会は、GDPRがEU域内の事業者だけでなく、EU域外の事業者にも適用されるとしています。EUの公式の案内は、EU域外の事業者が、EUの人に商品やサービスを提供することや、その行動を監視することに関連して個人データを処理する場合に、EU域内に代理人を置くことを求めています。

EUの顧客向けのWebサービスや、EUの人の行動を分析する使い方では、日本からの処理でもGDPRが関わる可能性があります。自社が当たるかの判断は、専門家にご確認ください。

AIで扱うときは、何を確かめればよいですか？

① 処理の法的な根拠

AIで個人データを扱う目的ごとに、6つの根拠のどれに当たるかを決めます。集めたときと違う目的（たとえば、問い合わせの記録をAIの学習に使う）で使う場合は、その目的について根拠があるかを改めて確かめます。GDPRは、処理を特定の正当な目的に限ることを求めています。

② 影響評価（DPIA）の要否

EUの公式の案内は、危険の高い処理の例として、個人を評価するための自動の処理やプロファイリング（個人の特徴を分析・予測すること）、公共の場の大規模な監視、特別な種類のデータ（健康など）の大規模な処理を挙げ、これらでは影響評価が必要としています。評価の結果、危険を十分に下げられない場合は、処理を始める前に監督機関に相談することになります。

顧客の分類や人事の評価にAIを使う場合は、影響評価が必要になる可能性が高いと考えて準備します。

③ 自動の決定についての本人の権利

EUの公式の案内は、個人には、法的な効果や同様に重大な影響を持つ、自動の処理だけにもとづく決定の対象とされない権利があるとしています。例として、オンラインの融資で、融資の可否と金利をアルゴリズムが決める場合が挙げられています。

例外として、契約に必要な場合、EUや加盟国の法律が認める場合、本人の明示の同意がある場合には認められますが、そのときも、自動の決定をしていること、その論理と予想される結果を本人に知らせること、人の関与を求め、異議を申し立てられるようにすることが求められます。AIの出力をそのまま人の評価や取引の可否に使う設計は避け、人が判断に関わる手順と、説明・異議の窓口を用意します。記録と説明の準備は「AIの判断の記録と説明の準備」をご覧ください。

④ EU域外への移転

ジェトロの資料は、EEA（欧州経済領域）で取得した個人データをEEA域外へ移すことは原則として禁止されているとしています。移転には、十分性認定、標準契約条項（SCC）などの条件が必要です。

ジェトロの資料によると、EUは2019年1月23日に日本に対する十分性認定を行いました。日本の民間事業者は、個人情報保護委員会の補完的ルールを守る限り、SCCなどの追加の措置なしで、EUから日本へ個人データを移せるとされています。

ただし、AIサービスの提供者が日本以外の国（十分性認定のない国）にある場合は、その国への移転について、別の条件が必要になることがあります。日本から外国の事業者へ個人データを渡すときの日本の決まりは「海外のAIサービスと個人データの外国への移転」をご覧ください。

社内では、どう準備しますか？

① EUの個人データを洗い出す：EUの顧客・社員・取引先の個人データが、どの業務・どのシステムにあるかを一覧にします。

② AIでの使い方を書き出す：そのデータをAIで扱う業務、使うAIサービス、提供者の所在国を書き出します。

③ 4つの点を確かめる：根拠・影響評価・自動の決定・移転を業務ごとに確かめ、結果を記録します。

④ 本人への説明を整える：プライバシーの通知に、AIでの使い方、自動の決定がある場合はその旨と問い合わせの先を書きます。

⑤ 漏えいへの備えを確かめる：72時間以内の報告に間に合う連絡の流れを、日本の個人情報保護法の報告の手順とあわせて用意します（「個人データの漏えい等の対応と報告」）。

⑥ EU AI法とあわせて見る：AIのリスクに応じた決まりであるEU AI法も関わる場合があります（「日本企業がEU AI法で確かめること」）。

判断の目安

• EUの個人データをAIに入れる使い方は、4つの点を確かめるまで始めないのが安全です。
• 判断に迷う場合は、EUの法令に詳しい専門家に早めに相談します。英語の原文と、個人情報保護委員会が掲載している仮の日本語訳をあわせて確かめると理解しやすくなります（仮訳は参考で、正確な内容は原文の確認が必要とされています）。

チェックリスト

• EUの個人データがある業務とシステムを一覧にした
• 自社にGDPRが及ぶかを確かめた（必要に応じて専門家に相談した）
• AIで扱う目的ごとに、処理の法的な根拠を決めた
• 影響評価（DPIA）の要否を判断し、必要なものは実施した
• 自動の決定に当たる使い方では、人の関与と異議の手順を用意した
• AIサービスの提供者の所在国と、移転の条件を確かめた
• プライバシーの通知にAIでの使い方を書いた
• 72時間以内の報告に間に合う漏えいの連絡の流れがある