東南アジアにおけるAIとデータ保護法制の交錯―ベトナム新政令とインドネシア施行令案を題材に雑感

0　はじめに

　AI技術が法制度、金融実務に与える影響について検討を重ねてきた。とりわけ、リスクの細分化や個人の選別といった機能を持つAIが、伝統的な法理といかに調和あるいは衝突するかという点は、現代の法学における最重要課題の一つである。

　2025年末から2026年初頭にかけて、ASEAN主要国において、この論点に直結する重要な法的進展が見られた。具体的には、ベトナムにおける個人データ保護法（PDPL）の詳細を定める政令（Decree 356/2025/ND-CP）の公布と、インドネシアにおける個人データ保護法（PDP法）施行のための政府規則案（RPP PDP）の公表である。

　これらの法文書は、単なる個人情報保護の枠組みを超え、AI、ビッグデータ、さらにはメタバースといった先端技術に対する直接的な規律を含んでいる点で極めて示唆に富む。本稿では、これらの新たな一次資料に基づき、両国におけるAIと法規制の現在地を概観し、そこから読み取れる法的課題について考察するものである。

　以下は即効性を終止した雑感であり、翻訳が誤っている箇所や解釈を誤っている箇所がある可能性も否めない。必ず原典を確認頂きたい。

1　ベトナム：政令356/2025/ND-CPにおけるAIとデータ保護

1.1　政令の概要とAIへの直接的言及

　政府は2025年12月31日、個人データ保護法の詳細を定める「政令356/2025/ND-CP」を公布した。本政令は2026年1月1日より施行されるものであり、同国のデータガバナンスにおける実務的な指針となるものである。

　特筆すべきは、本政令が「人工知能（AI）」や「ビッグデータ」、「メタバース」といった特定の技術領域に対して、個別の条項を設けて規律している点である。これは、技術中立的な記述に留まることが多い従来のデータ保護法制とは一線を画すアプローチといえる。

　具体的には、第10条において「人工知能システムおよび仮想宇宙（メタバース）における個人データの保護」が規定されている。同条第1項は、組織や個人が自己学習アルゴリズムやAIシステムの研究開発に個人データを使用する権利を認めつつも、個人データ保護規制の遵守を義務付けている。

1.2　アルゴリズムの説明責任とオプトアウト権

　金融領域における与信審査や保険引受におけるAI利用を考える上で注目すべきは、第10条第3項である。同項は、個人データ管理者および処理者に対し、以下の義務を課している。

　第一に、自動化された個人データ処理についてデータ主体に通知すること。第二に、アルゴリズムの動作原理（operating principles）およびそれがデータ主体の正当な権利利益に与える影響について説明すること。そして第三に、データ主体に対してオプトアウト（不参加）の選択肢を提供することである。

　これは、EU一般データ保護規則（GDPR）における「プロファイリングを含む自動化された意思決定」に関する規律を想起させるが、ベトナムの規定は「動作原理の説明」を明示的に求めている点で、アルゴリズムの透明性に対してより踏み込んだ要求をしていると解釈できる。ブラックボックス化しやすいAIモデルを実務で運用する企業にとって、この「動作原理の説明」を法的リスクなく、かつ技術的に正確に行うことは相当な難題となることが予想される。

1.3　金融・信用情報活動における規律

　また、金融・保険分野に関連して、第8条では「金融、銀行、信用情報活動における個人データ保護」が規定されている。ここでは、信用スコアリング、信用格付け、信用情報評価などの目的で個人データを処理する場合、データ主体の同意取得時にその目的を明示することが求められている（第8条第2項a号）。

　さらに、第9条ではビッグデータ処理における保護措置が定められており、大量のデータを扱う金融機関や保険会社は、データの匿名化や仮名化技術の適用、従業員への定期的な教育などが義務付けられる。これらの規定は、フィンテックやインシュアテックの進展に伴うデータの利活用と保護のバランスを模索するベトナム当局の姿勢を反映しているといえる。

2　インドネシア：個人データ保護法施行令案（RPP PDP）における自動化処理への規律

2.1　施行令案の背景と構成

　一方、インドネシアにおいては、2022年の個人データ保護法（法律第27号）に基づく政府規則（RPP PDP）の草案が議論されている。この草案は2026年までの発出が期待されており、同国におけるデータ保護の実務運用を決定づける重要な文書である。

　本草案は、データ主体の権利、個人データ管理者の義務、越境データ移転、データ保護オフィサー（DPO）の設置、そして違反時の行政制裁（年間売上高の最大2%等）について詳細に規定している。

2.2　自動化された意思決定に対する異議申立権

　AIと法の観点から最も注目すべきは、第105条および第106条における「自動化された処理のみに基づく意思決定に対する異議申立権」である。

　第105条第1項は、データ主体に対し、プロファイリングを含む自動化された処理のみに基づき、かつデータ主体に法的効果または重大な影響を及ぼす決定に対して、異議を申し立てる権利を認めている。これはGDPR第22条の影響を色濃く受けた規定であるが、その運用においては「重大な影響（signifikan）」の解釈が鍵となる。

　金融機関による融資拒否や、保険会社による引受拒否あるいは保険料率の算定が、完全に自動化されたシステムによって行われる場合、この規定の適用対象となる可能性が高い。

2.3　説明義務と人間による介入

　第106条第2項は、データ管理者が意思決定に使用される技術およびその結果がデータ主体にもたらす影響について、十分な情報を提供する義務を負うと規定している。さらに、データ主体が異議を申し立てた場合、データ管理者はデータ処理を一時停止（penundaan）する義務を負うとされる（同条第3項）。

　興味深いのは、第107条においてデータ管理者が異議を拒絶できる場合として、「法的影響や重大な影響が発生しないことを証明できる場合」や「システムの精度が極めて高く、データ主体への悪影響を回避するための緩和策を有していることを証明できる場合」を挙げている点である。後者の「システムの精度」を抗弁事由とする規定は、AIの予測精度への信頼を法的にどの程度評価するかという極めて現代的な論点を含んでいる。

3　ASEANにおけるAI規律の潮流と商事法務への示唆

3.1　技術特化型規制と原則ベース規制の対比

　ベトナムとインドネシアの規制案を比較すると、アプローチの差異が浮かび上がる。ベトナムの政令356/2025/ND-CPは、「AI」「ビッグデータ」「メタバース」「ブロックチェーン」といった具体的な技術用語を用い、それぞれの技術特性に応じた規律を設けようとする「技術特化型」の傾向が見られる。例えば、ブロックチェーンに関しては、個人データを直接チェーン上に保存せず、非識別化またはハッシュ値として保存することを求めている（第11条第2項b号）。これは、一度書き込まれたデータの削除が困難なブロックチェーンの特性と、消去権（忘れられる権利）との整合性を図るための極めて具体的な技術的指針である。

　対してインドネシアのRPP PDP案は、GDPRに近い条文構成をとり、技術そのものよりも「自動化された処理」という行為類型に着目した「原則ベース」の規制を志向しているように見受けられる。

3.2　AI倫理からの視点

　AI設計の倫理という観点からは、両国の規制はいずれも「完全な自動化」に対する一定の警戒感と、人間の尊厳または自律性を保護しようとする意図を共有している。

　特に、AIによるプロファイリングやスコアリングが、個人の信用や保険契約の可否といった経済的生活に直結する今日において、アルゴリズムの「動作原理」の説明や、自動化された決定に対する「異議申立」を認めることは、手続き的公正（Due Process）を確保する上で不可欠な要素となりつつある。

　しかし、実務的な観点からは、高度なディープラーニングを用いたAIモデルの「動作原理」を、一般のデータ主体が理解可能な言語で説明することの困難性は論をまたない。法が求める「説明」と、技術的に提供可能な「説明」の乖離をどのように埋めるかが、今後のコンプライアンス実務における最大の争点となるであろう。

3.3　日本企業への影響

　日本企業、とりわけASEAN地域に進出している金融・保険・IT企業にとって、これらの規制強化は対岸の火事ではない。ベトナムの政令は越境データ移転における影響評価（TIA）を厳格に求めており（第17条、18条）、インドネシアの草案も十分性認定や拘束的企業準則（BCR）等のメカニズムを規定している。

　さらに、AIを用いたサービス展開においては、単なるデータの適法取得だけでなく、アルゴリズムの透明性確保や、自動化処理に対するオプトアウト機能の実装といったシステム設計レベルでの対応が求められることになる。これは、法務部門と技術部門のより密接な連携を不可欠とするものである。

4　雑感

　ベトナムとインドネシアにおける新たなデータ保護法制の展開は、AIという技術が社会実装されるフェーズにおいて、法がいかに関与すべきかという世界共通の問いに対するASEANからの回答である。

　そこには、欧州の厳格なプライバシー保護の理念を取り入れつつも、急速なデジタル経済の発展に対応しようとする各国の独自の工夫が見て取れる。特に、ベトナム政令におけるメタバースやブロックチェーンへの直接的な言及は、法の制定速度が技術の進歩に追いつこうとする野心的な試みとして評価できよう。

　日本における研究者としても、これらの「生きた法」の運用実態を注視し、AIと法、そして人間社会の望ましい関係性について、引き続き理論的かつ実践的な検討を深めていく必要があると痛感する次第である。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。