AIはGDPRに適合するのか：EDPB意見28/2024で押さえる要点

結論から言うと、AIは「AIだからGDPR適合」とは言えません。反対に、「AIだから違法」とも言い切れません。GDPR（EU一般データ保護規則。ドイツ語ではDSGVOと呼ばれます）で重要なのは、開発や利用のどこかで個人データが処理されるのか、その処理にどのような目的・法的根拠・リスクがあるのかです。

この点で、欧州データ保護会議（EDPB）の Opinion 28/2024 は、現時点で重要な参照材料です。同意見は、AIモデルの文脈で個人データを処理する際の「一定のデータ保護上の側面」を扱っています。つまり、AI全般への包括的な許可証でも、全面禁止の宣言でもありません。

まず押さえるべきファクトチェック

「AIはGDPRに適合するのか」という問いは、少し大きすぎます。正確には、どのAIモデルで、どの段階で、どの個人データを、何のために、どの根拠で処理しているのかを見ます。

EDPBは2024年12月18日の発表で、Opinion 28/2024が主に3つの論点を扱うと説明しています。第一に、AIモデルがいつ、どのように匿名とみなされ得るか。第二に、AIモデルの開発または利用について、正当な利益（legitimate interest）を法的根拠として使えるか。第三に、違法に処理された個人データを使ってAIモデルが開発された場合に何が起きるか、です。

したがって、ドイツでの利用であっても、ここから「AIなら常にOK」や「AIなら常にNG」という特別な結論は出せません。確認すべきなのは、個々の処理の中身です。

EDPB Opinion 28/2024が見ている範囲

Opinion 28/2024は、AIモデルに関するすべての法的問題を解く文書ではありません。対象は、AIモデルの文脈で個人データを処理する際の特定のデータ保護上の論点です。

実務上の意味は明確です。AIプロジェクトは、技術のラベルだけでは評価できません。モデルの開発、導入、運用などの各場面で、個人データ処理があるかどうかを確認する必要があります。

1. AIモデルは自動的に匿名とは限らない

よくある誤解は、「元のデータがそのまま見えないなら、モデルは匿名だ」というものです。しかしEDPBの発表では、AIモデルが匿名かどうかは、データ保護監督機関がケースごとに評価すべきだとされています。

そのため、「このモデルは匿名です」と説明するだけでは足りません。具体的なモデル、具体的な利用状況、具体的なリスクを踏まえて、匿名といえるだけの根拠が必要です。

特に、個人データがモデル内に残っている場合は注意が必要です。ENISAのウェビナー資料は、モデル内に個人データが保持されている場合、後続の処理の適法性に影響し得る場面があり、個別評価が必要だと説明しています。

2. 正当な利益は使える場合があるが、万能ではない

EDPB Opinion 28/2024は、AIモデルの開発または利用について、正当な利益を法的根拠として使えるか、またどのように使えるかを扱っています。

ただし、これは「AIなら正当な利益で処理できる」という意味ではありません。正当な利益が成り立つかどうかは、対象となる処理ごとに検討する必要があります。

さらに、過去の処理に問題があった場合は、判断が複雑になります。ENISA資料は、後続の処理が正当な利益に基づく場合でも、最初の違法性をその評価に含める必要がある例を挙げています。

3. 訓練データの来歴は後からも問題になり得る

Opinion 28/2024の重要な論点の一つは、違法に処理された個人データを使ってAIモデルが開発された場合にどうなるかです。

実務的には、問題のあるデータ処理が、モデルの完成によって自動的に消えるわけではありません。個人データがモデル内に残っている場合、後続の処理の適法性に影響し得るため、ENISA資料はここでも個別評価が必要だとしています。

複数の関係者がいる場合も注意が必要です。ENISA資料は、同一の管理者が関わる場合と、別々の管理者が関わる場合を分けて検討し、それぞれの管理者が自分の処理の適法性を確保すべきだとしています。

AIプロジェクトのためのGDPR確認リスト

以下は、法的助言ではなく、EDPBとENISAの資料から読み取れる実務上の確認ポイントです。

1. 開発なのか、利用なのかを分ける

まず、AIモデルの開発段階の話なのか、導入・利用段階の話なのかを切り分けます。EDPBの発表は、AIモデルの開発と導入における個人データ利用を対象にしています。

2. 個人データ処理の有無を確認する

どの時点で個人データが処理されるのかを記録します。Opinion 28/2024が扱うのは、AIモデルの文脈における個人データ処理です。

3. 匿名性は主張ではなく根拠で示す

モデルを匿名と位置づけるなら、その判断を支える説明が必要です。EDPBの発表では、AIモデルが匿名かどうかはケースごとに評価されるとされています。

4. 法的根拠を処理ごとに確認する

正当な利益を使う場合も、「AIだから可能」とは考えないほうが安全です。開発または利用の具体的な処理について、その根拠が成り立つかを確認する必要があります。

5. モデル内のデータと訓練履歴を見る

個人データがモデル内に残っていないか、開発段階で個人データが適法に処理されたかを確認します。これらは後続の処理にも関係し得ます。

6. 関係者ごとの責任を整理する

開発者、提供者、利用者など複数の主体が関わる場合、誰がどの処理に責任を持つのかを明確にします。ENISA資料は、各管理者が自分の処理の適法性を確保すべきだとしています。

よくある誤解

「生データが見えなければ、AIモデルは匿名である」 とは限りません。AIモデルが匿名かどうかは、ケースごとに評価されます。

「正当な利益を使えば、AI利用は問題ない」 とは言えません。EDPB Opinion 28/2024は、正当な利益を使えるかどうかを扱っていますが、すべてのAI利用を自動的に正当化するものではありません。

「一度モデルになれば、訓練データの問題は消える」 とも言えません。Opinion 28/2024は、違法に処理された個人データで開発されたAIモデルの扱いを明示的に取り上げています。また、個人データがモデル内に残る場合、後続の処理に影響し得ます。

まとめ

AIのGDPR適合性は、技術名で決まるものではありません。問われるのは、個人データがどこで処理されているか、匿名といえるのか、どの法的根拠に立つのか、そして開発段階のデータ処理に問題がなかったかです。

ドイツとEUでの実務的な答えは、シンプルですが厳格です。AIは自動的に適法ではない。しかし、自動的に禁止でもない。必要なのは、モデルと処理ごとの具体的なGDPR評価です。