アルゼンチンAI個人データ保護法案―GDPR型域外適用とAI Act型可視化の融合 / 海外のAIガバナンスの地図雑感

2025年11月8日 09:07

Ⅰ 　アルゼンチンAI個人データ保護法案―GDPR型域外適用とAI Act型可視化の融合雑感

１　はじめに

　AI規制に関する議論は、EUのAI Actや米国の動向が中心となりがちである。しかし、グローバルなAIガバナンスの潮流を的確に捉えるためには、これまで光が当たりにくかった地域、特にグローバルサウスの試みにこそ目を向ける必要がある。南米では、ブラジルをはじめとして独自の、しかしグローバルスタンダードと深く接続した規制構築が進んでいる。今回は、その中でも際立って野心的な試みであるアルゼンチンの「人工知能システムにおける個人データ保護法案」を取り上げる。
　この法案（法案番号 4243-D-2025）は、Gisela Marziotta下院議員によって2025年8月7日に提出され、現在（2025年10月末時点）、下院の委員会（Comisión de Ciencia, Tecnologíaなど）に付託され審議されている段階にある。
　一見すると、この法案はデータ保護規制の延長線上にあるように見える。しかし、本法案の本質は、AIの「使い方」そのものをデータ保護の技術法理で包摂しようとする、新たなアプローチにある。特に注目すべきは、欧州のGDPR（一般データ保護規則）が持つ強力な「域外適用」と、EU AI Actが目指すリスクベースの「可視化装置」を組み合わせた、ハイブリッドな構造だ。

２　法案の概要：広範な定義と域外への射程

　本法案は、AIシステムを「自律的に運用され、予測・推奨・意思決定・コンテンツ生成を行い、物理／仮想環境に影響を与えるシステム」と広範に定義し（Art.3）、生成AIを含む現代的なAI技術全般を射程に収めている。
　最も重要な特徴の一つは、その適用範囲がアルゼンチン国内に限定されない点だ。国内居住者にサービスを「提供」したり、その「行動監視」を行ったりするAI処理を広く対象としており（Art.2）、国外の事業者にも直接影響が及ぶ「域外適用」が設計されている。
　法案の骨格は、透明性の確保、データ主体の権利保証、リスク評価に基づく管理体制にある。

透明性義務（Art.5）：AIの目的、ロジック、自動化レベル、個人データ利用の程度について、明確でアクセスしやすい情報提供を義務付ける。

権利行使の接続：既存のアルゼンチン個人情報保護法（Ley 25.326）に基づき、アクセス・訂正・削除・異議申し立ての権利行使ルートを確保する。

リスクベース・アプローチ（Art.6-7）：AIシステムを基本的権利への影響に基づき「低・中・高」の3段階に分類する。

登録義務（Art.8）：中・高リスクのAIシステムは、国家レジストリへの強制登録が求められる。

監督と制裁（Art.9-10）：当局による独立監査、停止命令、事業規模に比例した制裁（GDPR型の抑止設計）が規定されている。

３　注目すべき「三つの装置」：GDPRとAI Actの融合

　この法案の革新性は、以下の三つの「装置」を組み合わせた点にある。これらは、今後のAI規制のプロトタイプとなりうる設計だ。

（i）域外適用の明記（GDPR型）

　国内での処理だけでなく、国内の自然人向けの「提供」や「行動監視」を鍵に適用を広げる構造（Art.2）は、GDPR第3条の効果基準（targeting）と機能的に平仄が取れている。これは、データ保護法制における「効果主義」的なアプローチをAI規制の文脈に持ち込んだものであり、デジタル空間における規制権限を確保しようとする明確な意思表示だ。これにより、アルゼンチン市場をターゲットとするグローバルなAI事業者も、本法案の遵守が求められることになる。

（ii）「説明責任の翻訳」の実装

　透明性義務（Art.5）と権利行使ルートを法文上で接続している点が重要だ。これは単なる技術的な情報開示義務ではない。AIモデルの複雑な“ふるまい”を、技術者だけでなく一般の利用者が理解できる「生活言語」に翻訳する義務を課すものであり、説明責任（アカウンタビリティ）を実質化する試みである。

（iii）リスク・ベース＋レジストリによる“可視化”（AI Act型）

　リスクの三段分類と、中・高リスクAIの国家レジストリへの強制登録（Art.8）は、AIの社会的監視を可能にする「可視化装置」として機能する。登録情報（開発者・機能説明・リスク類型・データ方針等）の公開を原則とする設計は、EU AI Actの高リスクAI公開データベース（Article 71）と制度目的を同じくする。
　ただし、EUとは異なり「中リスク」も対象に含める点で、対象の裾野をやや広く取っている点が特徴的だ。

４　法技術的な論点：実装に向けた課題

　この先進的な法案は、その設計ゆえに運用上の重要な法技術的論点も孕んでいる。

AI定義の広がりと「自律性」の評価：「推奨・意思決定・コンテンツ生成」を含め生成AI全般を捕捉する一方、「自律的運用」という要件（Art.3）が課されている。人間がどの程度関与するか（HITL: Human-in-the-Loop / HOTL: Human-on-the-Loop）の設計によって、規制対象か否かの評価にグラデーションが生じる可能性がある。自律性の閾値設定が、規制範囲を左右する。

透明性義務の実現可能性と営業秘密の調整：「ロジック」や「自動化レベル」を明確かつアクセスしやすい言語で示す義務（Art.5）は、企業の営業秘密やモデルセキュリティ保護と緊張関係に立つ。どの粒度での開示を求めるか、今後の政令・指針での具体化が不可欠だ。

リスク評価の客観化と文脈依存性：低・中・高の三分法は簡潔だが、AIのリスクは利用文脈（用途やユーザー層）に強く依存する。この文脈依存性をどこまでルールに反映し、客観性を担保できるかが鍵となる。EU AI ActのAnnex I/III＋用途連動という二段構え（Art.6）との距離感をどう詰めるかが問われる。

公開レジストリの“光と影”：可視化はアカウンタビリティと研究者による監視を促す反面、セキュリティ上の攻撃面の露出や、模倣的・形式的なコンプライアンスを誘発するリスクも孕む。公開項目の範囲は慎重な運用（最小限主義）が望ましい（Art.8）。

監督手段の実効性：独立監査・文書要求・停止命令（Art.9）の実効性を担保するためには、当局のキャパシティ確保、監査人の独立性確保・資格制度といった制度設計が未了である。“高リスク”の定義運用が、停止権限の濫用防止線になるだろう。

連邦制—州の“アドヒージョン”と規制の分岐：アルゼンチンは連邦制を採用しており、州・ブエノスアイレス市が任意に法案に「加入（アドヒージョン）」（Art.14）する設計となっている。連邦と州の二層の規制構造で細則が分岐し、国内での規制の断片化が生じる可能性も織り込むべきである。

５　むすびにかえて―「データ保護×AIガバナンス」の分水嶺

　アルゼンチンの法案が発するメッセージは明快である。すなわち、AIの“ふるまい”に対する説明可能性と社会的な可視化が、これからのAIガバナンスの入口になるということである。
　比較法的には、本法案はGDPRとEU AI Actの主要な要素を、ローカルな事情に合わせて簡素化し、機動的に実装しようとする動きと評価できる。特に、GDPR型の強力な「域外適用」を明確に採用した点は、アルゼンチン国内に物理的な拠点を持たない事業者に対しても規律を及ぼすことを意味し、グローバル展開する企業にとって無視できないインパクトを持つ。
　ブラジルでもAI規制法案（PL 2338/2023）が2024年12月に上院を通過し下院審議に入るなど、南米における規制のコンバージェンス（収斂）も進んでおり、この地域の動向はAI規制のグローバルスタンダード形成に影響を与え始めている。
　今後は、監査制度の詳細設計、公開レジストリの秘密保護、三分法リスク評価の運用指針などが宿題として残されている。法案は政令制定まで60日、事業者への経過措置として180日を設けており（Art.11-12）、法案の審議経過と、これらの期間における実装規範（標準・ガイドライン）の早期整備が、法案の実効性を左右する決め手となるだろう。南米発の新たな規制モデルの行方を注視したいところである。

Ⅱ　海外のAIガバナンスの地図

日本

アメリカ

EU

イタリア

中国

スイス