EUのデータ保護政策とAIガバナンスとの交錯 / GDPRとEUAI法の補完性と緊張関係雑感

0　はじめに

　欧州連合（EU）は人間の尊厳やプライバシー保護といった基本価値を掲げ、デジタル領域でも世界に先駆けた規制を整備してきた。2018年施行の一般データ保護規則（GDPR）は個人データの取扱いに包括的な規律を与え、データ駆動型社会におけるプライバシー権保障のグローバル・スタンダードとなった。一方で、AI技術の進展により、個人データ保護のみでは対処しきれない新たなリスクが顕在化しつつある。感情分析による監視、アルゴリズムの不透明性やバイアス、予測アルゴリズムによる人々への介入などがその例である。

　EUはこれらAIガバナンス上の課題に対応すべく、世界初の包括的AI規制である人工知能法（AI Act）を2024年に制定した。今回は、GDPRがAI開発・運用に及ぼしている規制上の影響を概観し、制定間もないAI法規則との関係性を分析する。さらに、感情認識AIやアルゴリズムの偏り、予測的介入といった新たなリスクに対するGDPRの対応力を検討し、企業や行政によるAI活用とデータガバナンスのバランス、そして2026年1月時点におけるEUのAIガバナンスの方向性について論じる。

1　問題の所在

　AI技術の急速な発展に伴い、従来のデータ保護法制では十分にカバーしきれない問題が浮上している。そもそもGDPRは、個人データの収集・利用に関する包括的なルールを定めるものであり、AIという特定技術を直接規制する枠組みではなかった。GDPR下でも自動化された意思決定やプロファイリングに対する一定の規制は存在するが、その適用範囲は限定的であり、高度に発展するAIがもたらす倫理的・社会的リスクのすべてに対応できるわけではない。

　たとえば、人間の感情をAIで推定して利用する技術は、個人の内面の分析という点で極めてセンシティブな領域であるが、GDPR上は生体データとしての扱いや同意取得の問題こそあれ使用自体を直接禁止する規定はない。同様に、予測アルゴリズムを用いた将来的行動の予測も、GDPR下では主に事後的なデータ権利保護に委ねられ、事前的に技術の利用そのものを制限する枠組みは乏しかったと言える。

　こうした状況を踏まえ、EUではAI技術に特有のリスクに対処するため新たな規制アプローチが模索されてきた。その中心が2024年に成立したAI法であり、リスクの程度に応じた段階的規制を採用している。AI法は許容できないリスクをもたらすAIの利用を原則禁止し、高リスクAIには厳格な要件遵守を課し、低リスクのAIについては情報開示など限定的な規制にとどめる枠組みである。この新法と既存のGDPRとの交錯が生じるのは、特に個人データを用いるAIシステムにおいてである。両者の関係が補完的に機能するのか、それとも規律の重複・齟齬が問題となるのかは、AIガバナンスの成否を左右する重要論点である。

2　法的枠組と交錯点

　まずGDPRとAI法の概観と、両者の交錯点を整理する。GDPRはEUにおける個人データ保護の基本法であり、個人データの収集・利用・保管・第三者提供など一連の処理行為について、目的限定、データ最小化、透明性、公正性、セキュリティ等の原則を包括的に定めている。AIの文脈で特に重要なのは、自動化された意思決定およびプロファイリングに関する規律であろう。GDPR第22条は、データ主体に法的または同様に重大な影響を及ぼすことを特徴とする完全自動化された意思決定について、原則としてデータ主体がこれを拒否する権利を保証している。

　ただし、この規定が適用されるためには、決定が完全に自動化された処理に基づいて行われ、しかも大きな影響を及ぼすという厳しい条件を満たす必要があり、実際には限定された場合にしか発動しない。言い換えれば、GDPRは高度にリスクのある自動決定のみを直接規制し、それ以外のAIによる判断については一般原則や他の条項による間接的な規律に委ねているに過ぎない。

　一方のAI法は、AIシステム全般を対象として2024年に制定されたEU規則であり、AI開発者・提供者やユーザーに対し、リスク度合いに応じた義務を課す横断的テクノロジー規制である。AI法は、深刻な人権侵害等を引き起こす許容不可リスクのAIシステムを明示的に禁止し、高度なリスクを伴うAIシステムには、事前のリスクアセスメント、データガバナンス、技術文書の作成、バイアス防止策、精度・安全性のテスト、人による監視など詳細なコンプライアンス措置を義務付けている。

　このようにAI法はプロダクト規制的な性格を持ち、AIシステム提供者に対して安全で信頼できるAIの実現責任を負わせるトップダウンの規律枠組みであるのに対し、GDPRは各データ管理者に対し個人情報の公正な取扱いを求めるボトムアップの枠組みと位置付けられる。両者はアプローチこそ異なるものの、基本的人権の保護を軸に相互補完的に機能することが志向されている。

　実際、AI法には「本規則はGDPRを補完するものであり、これに影響を与えるものではない」「本規則の下での個人データ処理はGDPRを遵守する必要がある」と明記されている。2024年に公布されたAI法の正式条文でも、適用除外等を定める第2条において「本規則はGDPR等の個人データ保護法の適用を妨げるものではない」との規定が置かれており、個人データの処理に関する限りGDPRのルールが常に優先的に守られねばならないことが確認されている。

　両規制の交錯点として重要な事項の一つは、透明性と説明責任である。GDPRはデータ主体に対する通知義務や、本人からのアクセス要求に応じてその保有データや利用目的等を説明する義務を課すほか、特に自動化意思決定を行う場合には当該処理のロジックに関する有意味な情報を提供することを求めている。他方、AI法もまた高リスクAIシステムに関し利用者への情報提供義務を定め、さらに全てのAIチャットボット等に対してAIシステムと相互作用している旨の表示の確保を要求する。

　もっとも、GDPRとAI法の間には一部調整を要する論点も存在する。典型例が差別防止のためのデータ利用に関する規律である。AI法は高リスクAIシステム提供者に対し、訓練データ等について偏りの検証と是正を行う義務を課しているが、その実効性を担保するため必要に応じてセンシティブな個人データを例外的に収集・利用することを第10条5項で認めた。しかしGDPR上は、こうしたデリケートな属性データの取扱いは原則禁止されており、両規則間の法技術的な齟齬が指摘されている。

3　GDPRがAI開発・運用にもたらす規制上の影響

　GDPRはAI開発・運用に多方面の影響を及ぼしている。第一に、個人データの大規模収集・活用への制約という点である。AIアルゴリズムの性能向上には大量のデータが不可欠だが、GDPRの下では目的限定原則と法的根拠の要求により、企業が保有する個人データを別目的で二次利用することにハードルが設けられている。たとえば、サービス提供目的で集めたユーザーデータを断りなくAIの訓練素材に使えば、当初の目的と両立しない目的での利用としてGDPR第5条1項(b)違反に問われる可能性がある。このため企業は、新たにデータ主体の同意を取得し直すか、あるいはデータを匿名化してGDPRの枠外で活用するかといった対応を迫られる。

　第二に、モデル学習・推論過程における個人の権利保障が挙げられる。GDPRはデータ主体に広範な権利を認めており、自己に関するデータのアクセス権や訂正権・消去権を行使された場合、企業はそれに対応しなければならない。AIモデルに組み込まれた個人データについて消去請求があれば、そのデータを訓練に使った機械学習モデルから影響を除去することが理論上必要となる。しかし実務上、完成済みモデルから特定データの影響を排除することは困難であり、この点はGDPRの消去権とAI技術の特性との緊張関係として議論されている。いわゆる機械学習モデルのアンラーニング問題である。

　第三に、GDPR第22条の自動化意思決定規制は、AIの社会実装における人的関与の確保を促す効果を持つ。完全自動のアルゴリズム判断でユーザーに不利益を与えるとGDPR上問題となり得るため、企業は意思決定プロセスに人間のレビュー工程を挿入したり、データ主体から異議申立てがあれば人手で再評価する手段を用意したりしている。

　最後に、GDPRの執行面での影響にも触れておく。GDPR違反には高額な制裁金が科され得ることから、企業はAI関連プロジェクトにおいてもデータ保護コンプライアンスを重視するようになった。実際に欧州のデータ保護当局は、AIを利用した個人データの違法活用に対し積極的な執行を行っている。米Clearview AI社はインターネット上の顔画像を無断収集して顔認識AIを開発していたが、これは本人同意も正当な権限もない違法なデータ処理として各国当局が是正勧告・罰金命令を下し、フランスでは2,000万ユーロの制裁金が科された。

4　AI規則とGDPRの関係についての補完か矛盾か

　GDPRはAIの開発・運用プロセス全般に横たわるデータ利活用上のルールを提供している。他方でAI法は、AI技術そのものが孕むリスクに対して個別に設計されたルールを提供する。両者は理念上は車の両輪として機能する関係であり、実際そのように位置付けられている。しかし規制内容が重なり合う領域では、調整や慎重な適用が必要となるケースもある。

　まず補完関係の側面として注目されるのは、個人の権利救済と事業者のリスク管理義務との組合せである。GDPRはデータ主体に異議申立権や説明要求権を与えることで、AIによる不当な扱いに対する個人の自己防衛手段を保障している。一方、AI法は個別の利用者の申し立てを待つまでもなく、高リスクAI提供者に対しプロアクティブな人間の監視を制度設計上組み込む義務を課している。言い換えれば、GDPRが個人の異議申立てという事後救済的アプローチを採るのに対し、AI法は開発・運用段階からの人間の関与という事前防止的アプローチを採る。

　また、GDPRがカバーしない領域をAI法が補完している例として、個人データ以外の保護がある。GDPRはあくまで個人データの保護に特化しているため、AIが個人データを使わずに人間や社会に害を与えるケースはGDPRの射程外となる。AI法はそのようなケースも視野に入れ、プロダクト安全規制的にAIの品質や安全性を確保しようとしている。

5　新たなAIリスクとGDPRの対応力

　AI技術の進展は、GDPR制定当時には十分想定されていなかった新たなリスク領域を浮上させた。ここでは特に感情認識AI、アルゴリズムのバイアス、予測的介入という三点に着目し、GDPRでどこまで対応可能か、また残された課題は何かを検討する。

5.1　感情認識AIのリスク

　人間の表情や音声、生体信号から感情を推定する感情認識AIは、マーケティングや雇用面接、教育現場、さらには法執行分野まで応用が模索されている。しかしこの技術は、個人の内面的状態をAIが推し量り評価を下すものであり、プライバシー・人間の尊厳に対する深刻な脅威となり得る。

　決定的なことは、GDPRには感情認識技術の利用そのものを禁止する規定は存在しないという点である。ここにGDPRの規制限界があり、AI法はそれを補う形で特定文脈での感情認識AIを明確に禁止した。AI法第5条1項(f)は職場や教育機関における感情認識システムの使用を原則として禁止しており、2025年2月にはこの規制が発動した。要するに、GDPR単独では対応困難だった感情認識AIの問題に対し、EUは新規制によって予防的・直接的な統制に乗り出したのである。

5.2　アルゴリズムのバイアスと差別の問題

　AIによる意思決定が人種・性別などの属性によって不当な格差を生む、いわゆるアルゴリズムのバイアス問題も、GDPR時代に顕在化した大きな課題である。GDPRはデータ処理の基本原則として公正を掲げ、特にプロファイリングに関連して処理結果が属性に基づく差別を生じさせてはならないとの趣旨を定めている。しかしこの規定はあくまで努力目標的な性格が強く、差別の発生を未然に検知・除去する具体的プロセスまでは規定していない。

　AI法はこの点で画期的な規定を設けている。すなわち、高リスクAIシステムに対し適切なデータセットを用いて訓練・テストし、統計的バイアスを除去する措置を講じることを義務付け、さらに人による監督のプロセスでバイアスによる不当な影響を監視・是正することも求めている。

5.3　予測的介入の問題

　AIを活用した予測は様々な形で社会に浸透している。犯罪発生のホットスポット予測による警察の巡回配置、個人の購買履歴から将来のニーズを推定して広告・割引を提示するマーケティング、ソーシャルメディア上の発言から自殺リスクを検知して介入するメンタルヘルス対策など、目的は多岐にわたる。

　GDPRは基本的にデータ処理のルールであり、特定の予測用途自体を禁ずるものではない。これに対しAI法は、公共当局によるAIを用いた予測的リスク評価を厳しく監視し、一部は実質禁止に近い形で扱っている。具体的には、社会全体への影響が重大な政府のソーシャルスコアリングをAI法は明示的に禁止し、また警察による犯罪予測システム等も高リスクAIに位置付けて基本的人権影響評価の実施を義務付けている。

　以上を総じると、新たなAIリスクに対するGDPRの対応力は限定的であり、AI法その他の新ルールによって初めて包括的なガバナンス体制が整備されつつあると言える。

6　企業・行政によるAI活用とデータガバナンスのバランス

　AIの利活用を推進したい企業・行政と、個人の権利保護や社会的信頼性確保を図りたい規制当局との間で、いかにバランスを取るかは常に課題となる。EUは人間中心の信頼できるAIという旗印を掲げ、イノベーション促進と基本的人権保障を両立させる方策を模索してきた。

　その一つの結晶がAI法であり、同規則には規制サンドボックス制度の整備や、中小企業への負担軽減策が盛り込まれている。また、オープンソースのAI部品については一定範囲でAI法上の義務適用を免除し、イノベーターへの過度な萎縮効果を避ける工夫もされている。

　他方、行政が自らAIを活用する場合にもデータガバナンスとのバランスが問われる。EUでは既に、行政領域で高リスクAIを導入する際には基本的人権影響評価の実施・公表を義務付ける規定が設けられ、社会への説明責任を果たす仕組みが用意されている。

　企業と行政の双方に言えるのは、データガバナンスなくしてAI活用の持続的発展はないという点である。個人データの乱用によって信頼を失えば、AI技術そのものの社会受容性が損なわれ、ひいては技術実装が停滞する恐れがある。

7　EUにおけるAIガバナンスの方向性

　2026年1月現在、EUのAIガバナンスは新段階への移行期を迎えている。2024年中に制定されたAI法は、公布の20日後に発効し、一部の規定が既に適用を開始している。具体的には施行から6か月後の2025年2月には禁止規定に基づき感情認識AIの職場等での利用禁止やリアルタイム遠隔生体認証の原則禁止等が発効した。さらに2年後の2026年8月までに高リスクAI制度が本格施行され、適合評価や登録義務など主要な規制措置が段階的に適用される予定である。

　また、EUはAI法成立後も技術動向に即した制度改良に乗り出している。2025年11月、欧州委員会は通称デジタル・オムニバスと呼ばれる法改正案を提出し、AI法の一部要件を簡素化・明確化することで企業・当局双方の負担を和らげ、実効的な施行を図ろうとしている。ただしEDPB・EDPSはこの提案に対し、簡素化自体には理解を示しつつも行政手続の軽減が基本権保護の後退につながってはならないと警告している。

　EUのAIガバナンスの方向性として特筆すべきは、法執行と国際連携のフェーズに入っている点である。規則の制定で終わりではなく、実際に各国での執行体制を整え効果を上げること、さらにEUの枠を越えて国際的なAIルール形成をリードすることが目標となっている。

8　おわりに

　EUのデータ保護政策とAIガバナンスの交錯は、デジタル社会における法規範の進化を示す象徴的なテーマである。GDPRは個人データ保護を通じてAI活用の基本的枠組みを提供し、透明性や公平性・アカウンタビリティの理念を浸透させてきた。一方、AI法はAI特有のリスクに焦点を当て、プロダクト規制的手法による予防的ガバナンスを導入した。両者は競合するものではなく、むしろ相互補完的な関係にあり、データ保護とAI倫理の融合した包括的なルールセットを形成しつつある。

　とはいえ、この新たな規制体制が直面する課題も小さくない。技術の発展は早く、法整備や解釈が追いつかない場面も出てくるだろう。AI法は2024年に成立したばかりで、その運用細則やガイドラインは今後詰められていく段階にある。GDPRとの整合性確保も引き続き重要であり、センシティブデータの扱いや規制当局間の協調など注意深い運営が必要だ。しかし、EUが一貫して人間の尊厳と信頼を軸に据え、規制を進化させ続けていることは特筆に値する。GDPRに始まるデータ保護の流れと、AI法に具現化したAI統制の流れが合流することで、私たちは監視資本主義や無制限なテクノロジー支配ではなく、人権と民主主義の原則に根差したAI社会への道筋をつけようとしている。

（参考）EU AI法まとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。