EU理事会、GDPR改正案を承認 AIの個人データ利用に同意不要

EU加盟国でつくるEU理事会が、GDPR（EU一般データ保護規則）にAI向けの新しい条文を加える案を承認しました。AIの開発や運用のために個人データを使う場合、企業には原則として「正当な利益」があるとみなす内容です。本人の同意は要らなくなります。プライバシー団体noybは10月23日、これを「欧州人のデジタル収用」と強く批判しました。まだ確定ではなく、今後は欧州議会との交渉に移ります。

背景と文脈
技術/ビジネス面
これからどうなるか
まとめ
参考リンク

背景と文脈

GDPRは2018年に始まった、世界で最も厳しい部類の個人データ保護ルールです。企業が個人データを使うには、本人の同意や契約の履行など、6つの「法的根拠」のどれかが必要になります。その1つが「正当な利益」で、企業の利益と本人の権利をてんびんにかけ、企業側が勝つ場合だけ認められます。

AI企業にとって、この仕組みは大きな壁でした。Web上の投稿や過去の会話ログを学習に使うたび、根拠が足りるかが争点になります。実際、MetaはEU域内の投稿でAIを学習させる計画を、規制当局やnoybの異議で何度も見直しています。

こうした状況を受け、欧州委員会は規制を簡素にする「Digital Omnibus（デジタル包括法案）」を提案しました。AI開発で米国や中国に後れを取っているという危機感が背景にあります。今回の条文はその一部で、委員会案ではArticle 88c、理事会の文書ではArticle 88bisと番号が振られています。

noybによると、委員会は早期処理の手続きを使い、基本権への影響評価や、データ保護の専門家グループの関与を省きました。ドイツなどの大国が支持し、理事会での承認につながっています。

技術/ビジネス面

graphical user interface, application — Photo by 2H Media on Unsplash

条文の中心は、「AIの文脈」での個人データ処理を正当な利益として扱う点です。対象は、AI企業が手にできるあらゆる個人データに及びます。何十年分のチャットやSNS投稿も含まれ、その企業の顧客でない人のデータも例外ではありません。

noybが特に問題視するのは、目的を問わない点です。たとえば、同意なしのパーソナライズ広告は今のGDPRでは違法になります。ところが処理にAIを使えば、合法になる余地が生まれるとnoybは指摘しています。代表のMax Schrems氏は「AIでやれば何でもあり」と同じだと述べました。

理事会は修正で、異議を唱える権利（第21条）や、技術的・組織的な安全措置（第24条）への言及を加えました。ただnoybは、これらはもともとすべての処理に適用されるため、新しい歯止めにはならないと見ています。

あわせて加盟国は、「個人データ」の定義を狭める案も出しています。ユーザーIDや追跡用ID、IPアドレスのような仮名データが、GDPRの対象から外れる可能性があります。何が個人データかを、規制される企業自身が判断しやすくなる点も懸念材料です。

これからどうなるか

法律として成立するには、欧州議会、理事会、欧州委員会の3者協議（トリローグ）を経る必要があります。欧州議会はまだ立場を決めていません。noybの見立てでは、中道右派のEPPは規制緩和に前向きで、中道左派は現状維持を求めています。極右会派にも、巨大テックへの「白紙委任」に反対する動きがあります。成立しても、EU司法裁判所で争われる可能性が残ります。

開発者やプロダクト側にとっては、EU向けサービスの設計に直結する話です。成立すれば、ログを使った学習や機能改善の法的なハードルは下がるでしょう。一方で、異議申し立てへの対応や、データの出どころを記録する仕組みは引き続き必要です。条文が固まるまでは、同意ベースの今の設計を崩さず、学習用データを用途ごとに分けて管理しておくのが無難です。