AIと透明性 / オーストリアデータ保護当局によるスコアリングの説明可能性決定 / 2025年10月14日決定（GZ: 2025-0.328.963）の検討雑感

0　はじめに

　欧州におけるAIガバナンスと法規制の最前線で、実務に深甚な影響を与える決定が下された。2025年10月14日、オーストリアのデータ保護当局（Datenschutzbehörde、以下オーストリアDPA）は、信用調査機関に対するデータ主体のアクセス権侵害を認定する決定（GZ: 2025-0.328.963）を公表した。
　データ保護当局とは、GDPR第51条に基づき各EU加盟国に設置が義務付けられた独立の監督機関である。域内におけるGDPRの適用を監視し、データ主体からの苦情を処理し、違反に対して是正命令や制裁金を科す権限を有する。オーストリアDPAはウィーンに所在し、同国内のデータ保護法制の執行を一元的に担っている。本決定は、このオーストリアDPAが個人からの不服申立てを受けて下した行政決定であり、被申立人である信用調査機関は連邦行政裁判所に控訴している。

　この決定の核心は、GDPRの第15条第1項(h)が定める「自動化された意思決定の関与する論理」について、企業がいかなる粒度で説明責任を果たすべきかという点にある。当局は、企業側が主張する営業秘密や一般的なアルゴリズムの概要説明を退け、個々の入力データの偏差が結果にどのような影響を与えるかという、いわゆる反事実的説明の提供を義務付けた。

　AIによるスコアリングやプロファイリングが、融資、雇用、契約といった個人のライフチャンスに直結する現代において、ブラックボックス化された判断プロセスをどこまで透明化すべきか。今回は、このオーストリアDPAの決定を素材として、AIの説明責任と透明性の法的到達点について検討する。とりわけ、これまで抽象的な議論に留まりがちであった意味のある情報の内容が、本決定によっていかに具体的な実装要件として特定されたかに焦点を当てる。

1　問題の所在

1.1　事案の概要と当事者の主張

　本件の申立人である個人（Mag. Peter A）は、信用調査機関であるNGmbH（被申立人）に対し、GDPR第15条に基づく自己情報の開示請求を行った。これに対し被申立人は、申立人の氏名、住所、生年月日等の基本データに加え、算出された検証スコアやリスク指標を開示した。

　しかし、そのスコアが具体的にどのような計算式やロジックに基づいて算出されたかについては、営業秘密に該当するとして詳細の開示を拒んだ。被申立人は、検証スコアが身元の確認や支払履歴、情報源の種類等のパラメータに基づいているとの一般的なカテゴリ説明は行ったものの、個別の要素がどの程度の重みを持ち、具体的にどのデータがスコア低下の要因となったかについては言及しなかった。また、第三者から受領した、あるいは第三者に提供したデータの写しを提供せず、あくまでカテゴリの提示に留めた。

　これに対し申立人は、提供された情報は不完全であり、GDPR第15条が保障する処理の論理やデータの源泉に関する権利が侵害されているとして、オーストリアDPAに不服を申し立てた。

1.2　法的争点としてのブラックボックスと検証可能性

　本件の核心的な争点は、ブラックボックス的な性質を持つスコアリング・アルゴリズムにおいて、企業はいかなる深度と粒度で情報を開示すべきか、という点にある。

　企業側は従来、アルゴリズムの詳細な開示は知的財産権の侵害にあたるほか、システムに対するゲーミングを誘発するリスクがあるとして、抵抗を示してきた。また、複雑な数理モデルを使用している場合、その数式をそのまま開示しても一般のデータ主体には理解不能であり、かえって透明性を害するという主張もなされてきた。

　一方で、データ主体にとっては、単に総合的な判断としてスコアを通知されるだけでは、その基礎となるデータに誤りがないか、不当な差別的要素が含まれていないかを検証することができない。情報は断片化され、自己の評価に対するコントロール権が失われている状態といえる。

2　断片化という問題と因果関係の特定

2.1　複雑な数式の無用性と影響の説明義務

　オーストリアDPAは、被申立人の主張を退け、GDPR違反を認定した。その論理構成において特筆すべきは、DPAが数式の開示と理解可能性の関係をどのように整理したかという点である。

　決定文においてDPAは、2025年2月27日のCJEU判決（C-203/22）を引用し、複雑な数式の単なる送信や、各処理ステップの詳細な記述だけでは、要件を満たさないと明言した。技術的なアルゴリズムのソースコードやモデルパラメータをそのままダンプして提供したとしても、それは平均的なデータ主体にとって無意味な記号の羅列に過ぎず、GDPR第12条が求める透明かつ理解可能な形式には当たらないという判断である。

　では、数式の代わりに何が求められるのか。DPAは次の基準を提示した。すなわち、データ主体に対し、考慮された個人データの偏差が、どの程度異なる結果をもたらしたであろうかを通知することは、十分に透明かつ理解可能であると考えられる、と。

　これは、計算機科学におけるXAIの領域で反事実的説明と呼ばれる手法の実装を法的に求めていると解釈できる。もし入力データAがXではなくYであったなら、結果はZになっていただろう、という形式の説明である。

　このアプローチにより、データ主体は複雑な内部ロジックを理解せずとも、入出力の因果関係を把握し、自身のスコアに対する納得感を得るか、あるいは誤った入力データを特定して訂正を求めることが可能となる。断片化されたブラックボックスの中で、因果関係を特定するための補助線を引くことが企業に義務付けられたのである。

2.2　自動化された意思決定の認定とHuman-in-the-loop

　被申立人は、スコア算出の一部プロセスにおいて人間による評価が含まれる可能性があるとして、GDPR第22条および第15条1項(h)が対象とする完全な自動化された意思決定には該当しないとの抗弁も試みた。

　しかし、DPAはこの主張を事実認定レベルで排斥した。DPAの調査によれば、人間による介入は必須の要件ではなく、変数が入力されなくともスコアは自動計算される仕様となっていた。また、人間の関与は単なるオプションに過ぎず、決定に対する実質的な権限や影響力を持たないものであった。

　いわゆるHuman-in-the-loopを標榜していても、その介入が形式的なものに留まり、アルゴリズムの出力を追認するだけのゴム印であるならば、それは法的に自動化された意思決定として扱われる。本決定はこの原則を再確認し、形式的な人間介在による規制逃れを許さない姿勢を示した。

2.3　開示命令の具体的射程

　DPAは、被申立人に対し、4週間以内に以下の情報を提供するよう命令した。

　第一に、数理統計的原則の開示である。どの特定の個人データに基づき、どのような数理統計的原則に従ってスコア値が計算されたかを、理解可能な方法で開示しなければならない。

　第二に、入力データの重要性の透明化である。結果の計算における個々の入力データの重要性を明らかにし、それが結果にどのように影響するかを説明しなければならない。

　第三に、結果への影響の説明である。スコアリング値が、データ主体にとっての契約関係の締結、履行、終了に関する決定に対し、どのような影響を及ぼす可能性があるかを記述しなければならない。

　とりわけ第二の個々の入力データの重要性の開示命令は、実務的に極めて重い意味を持つ。これは、モデル全体の特徴量重要度だけでなく、当該個人の判定における各変数の寄与度の開示を求めていると解釈されるからである。

3　実務への含意

3.1　説明できないAIのコンプライアンスリスク

　本決定が企業実務に突きつける課題は、説明できないAIは法的リスクそのものであるという現実である。

　ディープラーニング等の高度なモデルを採用し精度を追求することは重要だが、その結果、なぜこのスコアになったのかを事後的に説明できないのであれば、GDPR第15条の遵守は不可能となる。企業は、AI開発の要件定義段階から、SHAP値やLIME等の解釈可能性技術を組み込み、個別の推論結果に対して主要な理由を抽出、提示できるシステムを構築しなければならない。

3.2　データリネージの管理とコピーの提供

　本件では、論理の説明だけでなく、第三者から受領したデータの写しを提供しなかった点も違反とされた。

　現代の信用スコアリングは、複数のデータソースを統合して行われることが多い。公共料金の支払履歴、SNSデータ、行動履歴等がその例である。DPAは、データ主体が処理の適法性を検証するために必要な範囲で、データの完全な複製を受け取る権利があるとした。これはC-487/21判決に準拠した判断である。企業は、学習データや推論データがどこから来たか、誰に提供されたかを正確に追跡、記録するデータリネージを徹底し、開示請求があった場合には、加工前の生データを含めて提示できる体制を整える必要がある。単なるデータカテゴリの回答では不十分なのである。

3.3　営業秘密の限界

　被申立人は営業秘密を盾に詳細開示を拒んだが、DPAはこれを認めなかった。これは、営業秘密の保護は重要な利益ではあるものの、データ主体の基本権を無効化する絶対的な理由にはならないという司法判断を踏襲したものである。C-634/22のSCHUFA判決等がその先例にあたる。

　企業は、アルゴリズムは秘伝のタレであるという従来のロジックから脱却し、なぜその結論に至ったかという論理的帰結を説明できるオープンさを備える必要がある。むしろ、透明性を確保することこそが、AIシステムへの社会的信頼を構築する最善の道であるといえる。

4　おわりに

　オーストリアDPAの2025年決定は、AIと法における透明性の議論を、抽象的な理念から具体的な実装要件へと一段階押し進めたものである。

　断片化された情報の提供でお茶を濁すことはもはや許されず、企業には、アルゴリズムの内部動作を人間に理解可能な因果関係の議論へと翻訳する能力が法的義務として課されたといえる。

　本件を俯瞰するとき、技術的な複雑性を理由に説明を省略する態度は、法が求める個人の尊厳と手続的適正に対する挑戦と受け取られかねないように思う。AIが社会の基盤的インフラとなるにつれ、法はAIが何を考えたかではなく、AIの判断によって人間がどのような影響を受けるか、その具体的因果は何かという問いへの誠実な回答を、より厳格に求め続けているといえよう。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。