スクレイピング / CNILによるAI学習データの透明性確保に関するガイドラインの検討 / 情報提供義務の実践的解釈

0　はじめに

　現在、個人的に情報法の文脈で最も興味関心があるのがスレレイピング（プログラムを用いてウェブサイト上のデータを自動的に収集する技術）である。海外ではスクレイイングを扱っている学術論文が複数見受けられるが、日本では管見の限り皆無である。一方、実務ではスクレイピングが実装、問題が顕在化しつつある。
　ここでも他のAIと法の文脈同様、実務の先行が顕著である。スクレイピングについてはいずれ論文かインサイトのかたちでもまとめたいと考えている。

　欧州におけるAI規制とデータ保護法の交錯領域において、フランスのデータ保護機関であるCNIL（情報自由国家委員会）は常に先鋭的な解釈指針を提示してきた。2026年1月5日、CNILはAIシステムの開発における個人データ処理に関し、データ主体への情報提供（Informing data subjects）に焦点を当てた新たなガイドライン（以下「本ガイドライン」という）を公表した。

　今回は、AI開発における最大のボトルネックの一つである「透明性の確保」について、CNILが示した具体的かつ実務的な解決策を詳細に検討する。特に、ウェブスクレイピング等による大規模データ収集に際して、GDPR第14条が定める「不均衡な労力（disproportionate effort）」の免除規定がどのように適用されるか、そしてAI規則（AI Act）との整合性がどのように図られているかについて、実務的観点から論考を加えるものである。

1　問題の所在――AI開発における通知の困難性

　AIモデル、とりわけ大規模言語モデル（LLM）や基盤モデルの開発においては、膨大な量のデータが必要となる。これらのデータ収集には、契約に基づく直接収集だけでなく、ウェブスクレイピングやデータブローカーを経由した間接収集が多用される。

　GDPRの原則において、透明性は核心的な要素である。データ主体は、自己のデータが「なぜ」「どのように」使われるかを理解し、異議申立権等の権利行使が可能でなければならない。しかし、インターネット上の公開情報から数億、数十億のデータを収集する場合、個々のデータ主体に対して個別に通知を行うことは物理的に不可能に近いか、極めて高コストである。

　ここで法的な緊張関係が生じる。すなわち、GDPR第13条（直接収集）および第14条（間接収集）が要請する厳格な通知義務と、AI開発の実務的要請との乖離である。本ガイドラインは、この乖離を埋めるべく、どのような場合に個別通知が免除され、代わりにどのような措置（公衆への情報提供等）が求められるのかという境界線を明確化しようとするものである。特に、2024年11月28日の欧州司法裁判所（CJEU）判決（Case C-169/23）により、管理者自身が生成したデータも個人データ処理に含まれることが確認された現在、この基準の明確化は急務であった。

2　情報提供のタイミングと待機期間の推奨

　本ガイドラインは、情報提供のタイミングについて厳格な基準を示している。直接収集の場合は収集時、間接収集の場合は「可能な限り速やかに」、遅くとも最初の通信時または第三者への開示時、そしていかなる場合でもデータ取得から1ヶ月以内に通知しなければならない。

　特筆すべきは、CNILがグッドプラクティス（推奨事項）として提示した合理的期間の設定である。特にセンシティブなデータが含まれる場合、組織はデータ主体に対して「データセットに含まれていること」を通知してから、実際にモデルの学習を開始する（またはデータセットを公開する）までの間に、合理的な期間を空けることが求められる。

　これは、データ主体が学習前に異議申立権（オプトアウト）を行使する実質的な機会を保障するための措置である。一度モデルが学習してしまえば、そこから特定の個人データの影響のみを除去すること（Machine Unlearning）は技術的に困難であり、モデル自体への権利行使にはリスクが伴う。したがって、学習プロセスに入る前に権利行使の時間を確保するというアプローチは、AI特有の技術的不可逆性を考慮した極めて合理的な配慮といえる。開発企業にとっては、データ収集から学習開始までのリードタイムを考慮したプロジェクト管理が必須となるだろう。

3　不均衡な労力の解釈とウェブスクレイピング

　本ガイドラインの中核をなすのが、GDPR第14条5項(b)に基づく、個別通知義務の免除規定である不均衡な労力の解釈である。

　CNILは、単にデータ量が膨大であるという理由のみで直ちに個別通知が免除されるわけではないと釘を刺しつつも、AI開発の文脈において現実的な解釈を示している。具体的には、プライバシーへの侵害度合いと、個別通知にかかる負担とを比較考量（バランシング）するアプローチを採用する。

　ウェブスクレイピングによるデータ収集の場合、多くの場合においてデータ主体の連絡先を保有していないか、連絡先を特定するためにさらなるデータ収集（実名の特定等）が必要となり、かえってプライバシー侵害を招くパラドックスが生じる。このような場合、CNILは個別通知を不均衡な労力と認め、ウェブサイト等での一般的な情報公開（General Information）をもって足りるとする立場を明確にした。

　例えば、オープンソースのデータセットや、SNS上の公開投稿（間接的に識別可能なデータ）をスクレイピングする場合、一般情報の公開で十分とされる可能性が高い。一方で、既存顧客のデータをAI学習に流用する場合など、企業が既にメールアドレスを保有しているケースでは、依然として個別通知（メール等）が必須となる。

　興味深いのは、CNILが科学的研究目的の場合、この免除規定がより適用されやすいとしている点である。例として、ディープフェイク検知アルゴリズムの研究のために、自由にアクセス可能な顔写真データセットを使用する場合、一般情報の提供で十分であると明記されている。これは、イノベーションと研究の自由に対する一定の配慮であると解される。

4　提供すべき情報の粒度　ソースの明示

　個別通知が免除され、ウェブサイト等での一般公表を行う場合、具体的に何を記載すべきか。本ガイドラインは、GDPR第13条・14条が求める基本事項（管理者、目的、権利等）に加え、AI特有の記載事項を求めている。

　特に重要なのが「データソース」の明示である。CNILは、データソースが少数である場合は具体的なソース名を明示すべきとする一方で、ウェブスクレイピングのように多数のソースから収集する場合は、ソースのカテゴリの提示で足りるとした。

　例えば、「以下のプラットフォームからデータをスクレイピングした」として、具体的なURLやドメイン名を列挙することが推奨されるが、数が膨大な場合は、「ニュースサイト」「一般公開されたSNS」「専門フォーラム（教育、健康等）」といったカテゴリ区分での記述も許容される。ただし、データ主体が自己の影響を予測し、元データでの権利行使を容易にするため、可能な限り透明性を高めることが求められる。

　また、再利用（Re-use）の文脈においては、元のデータセット管理者へのリンクや、元のデータ収集時の条件（アノテーションの方法等）についても言及することがグッドプラクティスとして推奨されている。これは、データサプライチェーン全体を通じたトレーサビリティの確保を志向するものといえる。

5　AI規則（AI Act）との交錯

　本ガイドラインは、GDPR単独の文書ではなく、欧州AI規則（AI Act）との整合性を強く意識して作成されている。特に、汎用AI（General-Purpose AI）モデルのプロバイダーに対しては、AI規則第53条および前文107に基づく情報公開義務が存在する。

　CNILは、AI規則に基づき欧州AI局（AI Office）が2025年7月に公表した「学習データの要約テンプレート」の活用について言及している。このテンプレートに従って作成された要約（主要なデータセットやアーカイブのリスト等）は、GDPR上の情報提供義務の一部を満たすツールとして機能する。

　これは、二重規制の負担を軽減する実務的な配慮であると同時に、GDPRとAI規則が車の両輪として機能することを示唆している。企業は、AI規則対応のために作成したドキュメントを、GDPRコンプライアンスにも流用できる体制を整えるべきである。

　また、AIモデル自体が個人データを「記憶（memorization）」してしまった場合のリスクについても言及がある。生成AIが学習データをそのまま吐き出す「リガージテーション（regurgitation）」のリスクがある場合、管理者はそのリスクの性質と、リスク低減策（発生時の報告窓口等）についても情報提供を行うことが推奨されている。これは、技術的リスクを法的な透明性要件に組み込む先駆的なアプローチである。

6　結語

　CNILの「Informing data subjects」ガイドラインは、AI開発者に対して、不可能を強いるのではなく、透明性という原則を維持しつつ現実的な運用を可能にするための迂回路を示したものであるといえる。

　ウェブスクレイピングを事実上容認しつつも、不均衡な労力の立証責任を管理者に課し、代替措置としての詳細なウェブ公表を義務付ける構成は、産業界と個人の権利保護のバランスを腐心して調整した結果であろう。特に、学習前の待機期間の設定や、AI規則テンプレートとの連携といった具体的指針は、企業のコンプライアンス担当者にとって明確なロードマップとなる。

　しかし、これは「何もしなくてよい」ことを意味しない。むしろ、個別通知ができないからこそ、ウェブサイト上のプライバシーポリシーやAI説明ページにおける情報の質、特にデータソースや権利行使の方法に関する記述の具体性が、これまで以上に厳しく問われることになる。AI開発企業は、単なる定型文の掲載に留まらず、自社のデータガバナンスの透明性を対外的に証明する積極的な姿勢が求められるのである。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。