EUのAI学習データ規制、第88c条案が意味すること

「EUが、同意なしで企業に個人データをAI学習させる」という説明は、やや単純化しすぎている。

議論の対象は、GDPR（EU一般データ保護規則）に追加することが提案されている第88c条だ。この条文案は、AIシステムまたはAIモデルの適法な設計、開発、利用に機能的に必要な個人データ処理について、GDPR第6条1項(f)の**「正当な利益」**を法的根拠として用い得ることを明示するものだ。GDPRを適用除外にするものでも、ウェブ上のデータ収集を自動的に適法化するものでも、他の規則が同意を求める場合に同意を不要にするものでもない。13

重要なのは、これはすでに成立した「AIに関するデジタル・オムニバス」とは別の、データに関するデジタル・オムニバス案に含まれる点である。このデータ法案はEUの立法手続の途中にあり、最終的な条文も結論も決まっていない。

第88c条案で何が変わるのか

提案文言では、AIシステム・モデルのライフサイクルにおける個人データ処理について、適法な設計、開発または利用のために機能的に必要であれば、管理者または第三者の正当な利益に基づける可能性がある。3

これは、GDPRの下ですでに成立し得る法的ルートを、AIの文脈でより明確にする試みといえる。欧州データ保護会議（EDPB）も、AIモデルやシステムの開発・導入において、状況によっては正当な利益が適切な法的根拠となり得るとしてきた。45

ただし、ここでの「なり得る」は大きな限定を伴う。企業が「AIを作る利益がある」と一方的に宣言するだけでは足りない。通常の正当な利益の枠組みに従い、少なくとも次を満たす必要がある。

• 実在する正当な利益を特定すること
• その利益のために処理が必要であると示すこと
• 処理対象者の権利・自由と利益を比較衡量すること15

さらに、EU法や加盟国法で同意が必要とされる場面では、その要件は残る。したがって第88c条案は、公開・非公開を問わず、あらゆる個人データをモデル学習用に集めてよいという一般許可ではない。1

焦点となる保護策

第88c条案をめぐる論点は、「正当な利益がAIに適用され得るか」そのものよりも、どのような保護策を伴わせるべきかにある。

議論されている措置には、データソースの選定および学習時のデータ最小化、技術的・組織的保護措置、実質的な透明性、機械可読な異議申立てやオプトアウトを認識する仕組みがある。関連するAI処理については、無条件の異議申立権も提案されている。13

これらは形式的な付加条件ではない。データ最小化は、「後で役に立つかもしれない」という理由だけで開発者があらゆるデータを集めることを抑える。透明性は、本人が自分のデータ処理を知る前提となる。そして実効的な異議申立権は、見つけにくい設定画面を置くだけでは足りないことを意味する。

機微な個人データまで自由に使えるわけではない

関連する機微な個人データの例外規定について、EU理事会での議論はより狭い場面を想定している。すなわち、付随的かつ残存的な処理だ。管理者が機微なデータを処理する意図はなかったものの、主たる処理の中に不可避的に含まれてしまう場合を指す。機微な個人データを学習素材として意図的に収集することとは異なる。2

EDPBとEDPSが懸念する理由

EDPBと欧州データ保護監督官（EDPS）は、正当な利益がAI関連の処理を支え得る場合があること自体は否定していない。その中心的な主張は、既存のGDPRの分析でも、適切な場合にはその結論に到達できるため、AI専用の第88c条は不要だというものだ。45

懸念は法律論だけではなく、実務にも及ぶ。AIに特化した新条文は、単なる明確化を超えるものと読まれ、従来のGDPR保護との関係を不透明にしかねない。両機関の意見は立法者を法的に拘束しない諮問的なものだが、立法協議では重要な位置を占める。5

「復活」したのか――法案の状況は未確定

入手可能な立法資料からは、理事会での協議が難航していることが分かる。理事会の交渉権限に関するCOREPER（加盟国常駐代表委員会）の予定投票は、未解決の論点で合意できず中止され、その後の作業はアイルランド議長国の下で続けられた。

アイルランド議長国のプログラムは、2026年末までに欧州議会とデジタル・オムニバス・パッケージで合意する目標を掲げる。 もっとも、提示された公式資料だけでは、第88c条が最終的な理事会の立場として確定的に復活したとは確認できない。

現時点で最も慎重かつ正確な表現は、第88c条は政治的に争点となっており、なお交渉可能な段階にある、というものだ。企業が既存GDPRの要件に代えて依拠できる、拘束力ある法的根拠として扱うことはまだできない。

混同しやすい2つの「デジタル・オムニバス」

混乱の一因は、別の法令であるAIに関するデジタル・オムニバスが、すでに規則（EU）2026/1744として成立していることだ。

このAI関連法令はAI法の一部の実施時期を変更した。特に、附属書IIIに挙げられる単独型の高リスクAIシステムの義務は、2027年12月2日から適用される。規制対象製品に組み込まれる高リスクAIには、さらに後の適用時期が設定されている。1920

附属書IIIの義務が適用されると、リスク評価・低減、差別的な結果を抑えるための高品質なデータセット、ログと追跡可能性、文書化、導入者への情報提供、人間による監督、堅牢性・サイバーセキュリティ対策などが求められる。20

こうしたAI法上の義務は、AI学習で個人データを処理できるかというGDPR上の問題とは別である。高リスクAI義務の延期は、第88c条を成立させたことを意味しない。

開発者とデータ主体にとっての意味

AI開発者にとって、第88c条案は法的根拠の説明をしやすくする可能性がある一方、コンプライアンスの近道ではない。防御可能な対応には、必要性と利益衡量の文書化、データ最小化、透明な情報提供、異議申立てを実際に処理できる運用が引き続き必要となる。

自分のデータが利用され得る人にとっての焦点は、最終法が実質的な歯止めを維持するかどうかだ。データ利用が本当に必要か、機微なデータの扱いが狭く限定されるか、異議申立てが象徴的な機能にとどまらず技術的に有効かが問われる。

EUが予防的なAI規制を放棄したわけではない。成立済みのAIオムニバスは一部の高リスク義務を後ろ倒しにし、別途進むデータ法案は、一定のAI関連データ処理についてより明確な経路を探っている。最終的な均衡は、理事会と欧州議会の交渉、そして採択後の解釈・執行に左右される。19