--- title: "GDPRの基本とAI活用の注意：EUの個人データをAIで扱う日本企業が確かめること｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/gdpr-basics-for-ai/ description: "EUの顧客や社員の個人データをAIで扱うなら、GDPRが日本企業にも及ぶ場合があります。処理の法的な根拠、影響評価（DPIA）、自動の決定への権利、EU域外への移転の4点を確かめると、AI活用での主な注意点を押さえられます。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 定着させる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/) # GDPRの基本とAI活用の注意：EUの個人データをAIで扱う日本企業が確かめること 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12制度の最終確認 2026-11-12出典 4件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 EUの顧客や社員の個人データをAIで扱うなら、GDPRが日本の会社にも及ぶ場合があります。①処理の法的な根拠、②影響評価（DPIA）の要否、③自動の決定についての本人の権利、④EU域外への移転の4点を確かめると、AI活用での主な注意点を押さえられます。 自社の「ガバナンスと法令」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) GDPR（General Data Protection Regulation、EUの一般データ保護規則）は、EUの個人データの扱いを定めた決まりです。EUに顧客や拠点がある日本の会社が、問い合わせの対応や分析、人事などにAIを使う場面では、日本の個人情報保護法に加えてGDPRの観点も必要になります。この記事では、EUの公式の案内と個人情報保護委員会・ジェトロの資料にそって、基本と、AI活用で気をつける点を整理します。 この記事でわかること - GDPRの基本と、日本の会社に関わる場面 - AIで個人データを扱うときに確かめる4つの点 - 社内で準備しておく手順 ## GDPRは、どんな決まりですか？ 個人情報保護委員会の資料によると、GDPRは2016年4月に制定され、2018年5月25日から適用されています。EUの加盟国に直接効力を持つ決まりです。 主な決まりを、EUの公式の案内（Your Europe）にそって整理すると次のようになります。 | 決まり | 内容 | |---|---| | 処理の根拠 | 処理は公正・適法で、特定の正当な目的に限ります。本人の同意、契約、法的な義務、本人の重大な利益、公共の利益のための業務、事業者の正当な利益（本人の権利が優先する場合を除く）の6つのいずれかの根拠が必要です | | 本人の権利 | 自分のデータを見る権利、訂正、消去、処理への異議、データを持ち運ぶ権利などがあります。求めには原則1か月以内に応じます | | 漏えいの報告 | 個人の権利に危険を生じる漏えいは、気づいてから72時間以内に監督機関へ報告します。危険が高い場合は本人への通知も要ることがあります | | 影響評価（DPIA） | 危険の高い処理では、事前に影響評価を行います | | 制裁 | 一部の違反では、2,000万ユーロまたは会社の世界全体の売上高の4%までの高額な制裁金の対象になることがあります | ### 日本の会社にも関わるのは、どんな場合ですか？ 個人情報保護委員会は、GDPRがEU域内の事業者だけでなく、EU域外の事業者にも適用されるとしています。EUの公式の案内は、EU域外の事業者が、EUの人に商品やサービスを提供することや、その行動を監視することに関連して個人データを処理する場合に、EU域内に代理人を置くことを求めています。 **EUの顧客向けのWebサービスや、EUの人の行動を分析する使い方では、日本からの処理でもGDPRが関わる可能性があります。**自社が当たるかの判断は、専門家にご確認ください。 日本の会社にGDPRが関わる可能性がある場面 - **EUの人に商品やサービスを提供する**：EU向けのWebサービスなどで、EUの人の個人データを処理する場合 - **EUの人の行動を監視する**：EUの人の行動を分析する使い方などで、個人データを処理する場合 - **当たる場合**：EU域外の事業者には、**EU域内に代理人を置く**ことが求められています 日本からの処理でもGDPRが関わる可能性があります。自社が当たるかの判断は、専門家にご確認ください。 ## AIで扱うときは、何を確かめればよいですか？ ### ① 処理の法的な根拠 AIで個人データを扱う目的ごとに、6つの根拠のどれに当たるかを決めます。集めたときと違う目的（たとえば、問い合わせの記録をAIの学習に使う）で使う場合は、その目的について根拠があるかを改めて確かめます。GDPRは、処理を特定の正当な目的に限ることを求めています。 ### ② 影響評価（DPIA）の要否 EUの公式の案内は、危険の高い処理の例として、個人を評価するための自動の処理やプロファイリング（個人の特徴を分析・予測すること）、公共の場の大規模な監視、特別な種類のデータ（健康など）の大規模な処理を挙げ、これらでは影響評価が必要としています。評価の結果、危険を十分に下げられない場合は、処理を始める前に監督機関に相談することになります。 **顧客の分類や人事の評価にAIを使う場合は、影響評価が必要になる可能性が高いと考えて準備します。** ### ③ 自動の決定についての本人の権利 EUの公式の案内は、個人には、法的な効果や同様に重大な影響を持つ、自動の処理だけにもとづく決定の対象とされない権利があるとしています。例として、オンラインの融資で、融資の可否と金利をアルゴリズムが決める場合が挙げられています。 例外として、契約に必要な場合、EUや加盟国の法律が認める場合、本人の明示の同意がある場合には認められますが、そのときも、自動の決定をしていること、その論理と予想される結果を本人に知らせること、人の関与を求め、異議を申し立てられるようにすることが求められます。**AIの出力をそのまま人の評価や取引の可否に使う設計は避け、人が判断に関わる手順と、説明・異議の窓口を用意します。**記録と説明の準備は「[AIの判断の記録と説明の準備](https://www.ai-ready.jp/guide/ai-records-and-explanation/)」をご覧ください。 ### ④ EU域外への移転 ジェトロの資料は、EEA（欧州経済領域）で取得した個人データをEEA域外へ移すことは原則として禁止されているとしています。移転には、十分性認定、標準契約条項（SCC）などの条件が必要です。 ジェトロの資料によると、EUは2019年1月23日に日本に対する十分性認定を行いました。日本の民間事業者は、個人情報保護委員会の補完的ルールを守る限り、SCCなどの追加の措置なしで、EUから日本へ個人データを移せるとされています。 ただし、AIサービスの提供者が日本以外の国（十分性認定のない国）にある場合は、その国への移転について、別の条件が必要になることがあります。日本から外国の事業者へ個人データを渡すときの日本の決まりは「[海外のAIサービスと個人データの外国への移転](https://www.ai-ready.jp/guide/cross-border-data-and-ai/)」をご覧ください。 AIで扱うときに確かめる4つの点 - **処理の法的な根拠**：目的ごとに6つの根拠のどれに当たるかを決めます。違う目的で使うなら改めて確かめます - **影響評価（DPIA）**：個人を評価する自動の処理やプロファイリングなど、危険の高い処理では事前に行います - **自動の決定への権利**：認められる場合も、本人に知らせ、**人の関与と異議の申し立て**をできるようにします - **EU域外への移転**：十分性認定やSCCなどの条件を確かめます。EUは2019年1月23日に日本に対する十分性認定を行いました 日本への移転は、個人情報保護委員会の補完的ルールを守ることが前提です。詳しくは専門家にご確認ください。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「ガバナンスと法令」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 社内では、どう準備しますか？ ① **EUの個人データを洗い出す**：EUの顧客・社員・取引先の個人データが、どの業務・どのシステムにあるかを一覧にします。 ② **AIでの使い方を書き出す**：そのデータをAIで扱う業務、使うAIサービス、提供者の所在国を書き出します。 ③ **4つの点を確かめる**：根拠・影響評価・自動の決定・移転を業務ごとに確かめ、結果を記録します。 ④ **本人への説明を整える**：プライバシーの通知に、AIでの使い方、自動の決定がある場合はその旨と問い合わせの先を書きます。 ⑤ **漏えいへの備えを確かめる**：72時間以内の報告に間に合う連絡の流れを、日本の個人情報保護法の報告の手順とあわせて用意します（「[個人データの漏えい等の対応と報告](https://www.ai-ready.jp/guide/personal-data-breach-response/)」）。 ⑥ **EU AI法とあわせて見る**：AIのリスクに応じた決まりであるEU AI法も関わる場合があります（「[日本企業がEU AI法で確かめること](https://www.ai-ready.jp/guide/eu-ai-act-for-japanese-companies/)」）。 ## 判断の目安 - EUの個人データをAIに入れる使い方は、4つの点を確かめるまで始めないのが安全です。 - 判断に迷う場合は、EUの法令に詳しい専門家に早めに相談します。英語の原文と、個人情報保護委員会が掲載している仮の日本語訳をあわせて確かめると理解しやすくなります（仮訳は参考で、正確な内容は原文の確認が必要とされています）。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [AIのリスク評価表](https://www.ai-ready.jp/templates/ai-risk-assessment/) - [AIの委託先・サービスの確認リスト](https://www.ai-ready.jp/templates/ai-vendor-checklist/) ガイド - [日本企業がEU AI法で確かめること：対象になる場面・自社の役割・適用の時期](https://www.ai-ready.jp/guide/eu-ai-act-for-japanese-companies/) - [海外のAIサービスと個人データの外国への移転：個人情報保護法で確かめること](https://www.ai-ready.jp/guide/cross-border-data-and-ai/) - [AIの判断の記録と説明の準備：何を残し、誰にどう説明するか](https://www.ai-ready.jp/guide/ai-records-and-explanation/) - [個人データの漏えい等の対応と報告](https://www.ai-ready.jp/guide/personal-data-breach-response/) - [顧客データをAIで活用するときの進め方と注意](https://www.ai-ready.jp/guide/customer-data-and-ai/) 用語 - [GDPR](https://www.ai-ready.jp/glossary/gdpr/) - [EU AI法](https://www.ai-ready.jp/glossary/eu-ai-act/) - [インパクトアセスメント](https://www.ai-ready.jp/glossary/impact-assessment/) - [個人データ](https://www.ai-ready.jp/glossary/personal-data/) - [プライバシー・バイ・デザイン](https://www.ai-ready.jp/glossary/privacy-by-design/) ## よくあるご質問 QEUに拠点がない日本の会社にも、GDPRは関係しますか？ A関係する場合があります。個人情報保護委員会は、GDPRがEU域外の事業者にも適用されるとしています。EUの公式の案内は、EU域外の事業者が、EUの人への商品やサービスの提供や行動の監視に関連して個人データを処理する場合に、EU域内の代理人を置くことを求めています。自社が当たるかは、専門家にご確認ください。 Q日本はEUから十分性認定を受けているので、AIで扱っても問題ありませんか？ A十分性認定は、EUから日本へ個人データを移すときの手続きを軽くするものです。日本の民間事業者は、個人情報保護委員会の補完的ルールを守ることが前提です。GDPRが適用される処理そのものについては、法的な根拠や本人の権利など、GDPRの決まりを守る必要があります。 QGDPRとEU AI法は、どちらを守ればよいですか？ A両方が関わる場合があります。GDPRは個人データの扱いの決まり、EU AI法はAIのリスクに応じた決まりで、対象と目的が異なります。EUの人の個人データをAIで扱う場合は、両方の観点で確かめます。 ## この記事に出てくる用語 - [個人データ](https://www.ai-ready.jp/glossary/personal-data/) - [GDPR](https://www.ai-ready.jp/glossary/gdpr/) - [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/) - [個人情報保護委員会](https://www.ai-ready.jp/glossary/personal-information-protection-commission/) - [分類（機械学習）](https://www.ai-ready.jp/glossary/classification/) - [アルゴリズム](https://www.ai-ready.jp/glossary/algorithm/) - [EU AI法](https://www.ai-ready.jp/glossary/eu-ai-act/) - [AI法（AI推進法）](https://www.ai-ready.jp/glossary/ai-promotion-act/) - [インパクトアセスメント](https://www.ai-ready.jp/glossary/impact-assessment/) - [プライバシー・バイ・デザイン](https://www.ai-ready.jp/glossary/privacy-by-design/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [広げる／ガバナンスと法令AIで作った名前・ロゴと商標の確認石田誠2026-11-12](https://www.ai-ready.jp/guide/trademark-and-ai-creations/)[広げる／ガバナンスと法令AIで作る広告と景品表示法の注意嵐保憲2026-11-12](https://www.ai-ready.jp/guide/advertising-law-and-ai/)[定着させる／ガバナンスと法令AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）石田誠2026-11-12](https://www.ai-ready.jp/guide/ai-risk-management-framework/) ## 出典 1. [個人情報保護委員会「EU（外国制度）」](https://www.ppc.go.jp/enforcement/infoprovision/EU/) 2. [日本貿易振興機構（ジェトロ）「EU一般データ保護規則（GDPR）について」](https://www.jetro.go.jp/world/europe/eu/gdpr/?guid=ON) 3. [Your Europe「Data protection under GDPR」](https://europa.eu/youreurope/business/dealing-with-customers/data-protection/data-protection-gdpr/index_en.htm) 4. [European Commission「Dealing with citizens」（自動の処理による決定）](https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/dealing-citizens_en) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. GDPRは、どんな決まりですか？ 2. AIで扱うときは、何を確かめればよいですか？ 3. 社内では、どう準備しますか？ 4. 判断の目安 5. チェックリスト 6. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「GDPRの基本とAI活用の注意：EUの個人データをAIで扱う日本企業が確かめること｜AI-Ready.jp」 https://www.ai-ready.jp/guide/gdpr-basics-for-ai/