.svg)
欧州の個人データにAIを向けるまえに
日本にはEUの十分性認定があります。それでも、欧州拠点が負うGDPRの義務は消えません。業務にAIを入れた時点で個人データの扱い方が変わり、記録と評価をやり直す必要があります。
- GDPR
- GDPR とは、規則（EU）2016/679、EU一般データ保護規則のことです。欧州で人の個人データを扱うすべての組織に適用され、本社がどこにあるかは適用の分かれ目になりません。
移転できることと、義務がないことは別です。
2019年、日本とEUは互いの制度を十分な水準にあると認めました。おかげで欧州から日本へ個人データを送るのに、追加の手当ては要りません。ここまでは正しく理解されています。
そこから先で話が飛びます。移転が自由なのだから、日本の体制のままでよいという理解です。そうではありません。欧州拠点が欧州で人のデータを扱っている限り、記録を残す義務も、本人からの請求に応じる義務も、その拠点に残ります。
日本本社が国内の個人情報保護法に沿って整えた体制を、そのままドイツやオランダの子会社に持ち込むと、記録と委託先契約のところで足りなくなります。
AIを入れると、処理の中身が変わります。
同じデータを扱っていても、そこにモデルを挟んだ時点で、目的も、渡す相手も、保存される場所も変わります。GDPRが見ているのはまさにそこです。
目的が増える
採用管理のために集めた履歴書を、要約や下書きに使い始めた時点で、当初の目的の外に出ています。記録に書き足す必要があります。
渡す相手が増える
モデルの提供事業者は委託先になります。第28条の契約が要りますし、そこからさらに再委託が続いていないかも見る必要があります。
処理の場所が変わる
どの地域のサーバーで動くのか。既定のままだと欧州の外に出ていることがあります。契約と設定の両方を確認します。
保存期間が曖昧になる
入力した内容がどれだけ残るのか。ログ、履歴、キャッシュ。消したはずのものが別の場所に残っている構成はよくあります。
削除が効かなくなる
本人から削除の請求があったとき、検索用の索引や埋め込みベクトルまで消えますか。ここは設計しておかないと後から効きません。
自動的な判断になる
人を選別する場面に出力を使うなら、第22条の話になります。人が実質的に判断しているかどうかが分かれ目です。
日本の制度との違い
似ている部分が多いだけに、違うところが見落とされます。実務で効いてくるのは次の六点です。
| 論点 | 日本の個人情報保護法 | GDPR（欧州拠点） |
|---|---|---|
| 適用のきっかけ | 事業者が個人情報を取り扱うこと。 | 欧州で人に向けてデータを扱うこと。本社がどこにあるかは分かれ目になりません。 |
| 越境移転 | 原則として本人の同意、または基準を満たす体制。 | 日本向けは十分性認定により追加の手当てなしで移転できます。 |
| 記録 | 一定の場合に作成します。 | 第30条で処理活動の記録が必要です。AIを入れたら更新が要ります。 |
| 影響評価 | 法律上の義務ではありません。 | 第35条。高いリスクが見込まれる処理では必須です。 |
| 委託先 | 委託先を監督します。 | 第28条の契約が必要です。モデルの提供事業者も委託先になります。 |
| 侵害したとき | 個人情報保護委員会へ報告します。 | 気づいてから72時間以内に監督機関へ。 |
お渡しするもの
照会が来てから集めるのではなく、そのまま出せる形で残します。
4つの段取り
個人データを扱っている処理から着手します。全部を同時に進めても、照会で先に問われるのはそこだからです。
記録は編集できる形式でお渡しします。半年後に自分たちで書き足せない形式では、運用に耐えません。
洗い出し
どの業務でAIが使われ、そこにどんな個人データが入っているか。
記録の更新
第30条の記録に追記し、足りない項目を埋めます。
契約と設定の確認
委託先契約、処理される地域、学習に使われない設定。
削除の導線を実装
請求が来たときに索引まで消える仕組みを作り、引き渡します。
EU AI Actとの関係
対象が違います。EU AI ActはAIシステムそのものを、GDPRは個人データを見ています。
ひとつの社内チャットボットが両方にかかることは珍しくありません。従業員の質問に答えるだけの仕組みでも、AI規制の側では表示義務が、データ保護の側では記録と保存期間の話が出てきます。
別々に進めると、同じシステムを二回棚卸しすることになります。私たちはひとつの台帳で両方を管理し、重複した作業が起きないようにします。
AI規制のほうだけを先に知りたい場合は、EU AI Act 対応のページをご覧ください。
5つの問い
この中の3つに即答できない場合は、記録を見直す価値があります。
- どの業務でAIに個人データが入っていますか。各部署が個別に契約したツールも数に入ります。
- その処理は記録に載っていますか。載っているとして、いつ更新しましたか。
- 入力したデータは学習に使われますか。契約と設定の両方で確認できますか。
- 処理はどこで行われていますか。既定のリージョンのまま動いていませんか。
- 削除の請求が来たら、索引まで消えますか。それを試したことはありますか。
GDPRとAI：よくある質問
あわせて読む
記載の根拠
条番号、期限、十分性認定の年はいずれも一次資料に当たれます。こちらに挙げておきます。
2026年8月時点。法令や認定の状況が変われば、記載を見直します。
欧州拠点で何にAIを使っているか、お聞かせください。
30分あれば、記録の見直しが要るかどうかの見立てはお出しできます。要らなければ、その旨をお伝えします。