2024年12月17日、欧州データ保護会議（EDPB）は、AIモデルのトレーニングおよびデプロイにおける個人データの使用に関するEDPB意見28/2024を採択しました。この意見は、アイルランドのデータ保護機関（DPA）からの要請に応える形で出されたものです。 

EU内でAIモデルを提供するMetaやOpenAIなどの大手モデル開発者は、EUの政策立案者や規制当局による監視の対象となってきました。これらの開発者、その製品を使用する企業、そしてEU加盟国の規制当局は、GDPRに違反することなく個人データを用いてAIモデルをトレーニングし、デプロイする方法について、明確なガイダンスを求めていました。

EDPB意見28/2024は、これらの事項に関するガイダンスを提供しています。企業に対して法的拘束力はありませんが、DPAはGDPRを解釈し、法執行の優先順位を決定する際に、このガイダンスに整合させる可能性が高いと考えられます。 

モデルが匿名とみなされ、GDPRの対象外となるのはどのような場合ですか？

匿名のAIモデルはGDPRの対象外となりますが、トレーニング済みの基盤AIモデルが匿名であるかどうかについて、これまでのアナリストの意見は分かれています。

EDPB意見28/2024では、「(1) モデルの作成にデータが使用された個人を直接的または間接的に特定できる可能性が低く、かつ (2) クエリを通じてモデルから当該個人データを抽出できる可能性が低い」場合、そのようなモデルは匿名とみなすことができると述べています。この意見では、この分析はケースバイケースで行う必要があり、匿名性の達成に役立つ方法の非限定的かつ非排他的なリストが含まれていると指摘しています。

AI開発者はどのような場合に個人データを処理できますか？

GDPRに基づき、企業が個人データを処理するには法的根拠が必要です。アナリストは、利用可能な法的根拠のうち、主要な開発者が基盤AIモデルをトレーニングする方法に関連するのは「正当な利益」のみであると指摘しています。EDPB意見28/2024は、以下の3つの要素を分析した上で、企業が個人データを使用したAIモデルのトレーニングの根拠として「正当な利益」を利用できることを確認しています。 

目的：その利益が適法であり、明確かつ正確に表明されており、かつ現実的で現在のものであるかどうか。

必要性：目的を達成するために個人データの処理が必要であるかどうか。

利益衡量（バランシング）：データの処理対象となる個人の利益、不利益、および期待の分析に基づき、当該個人の利益と権利が企業の正当な利益を上回っていないかどうか。

また、EDPB意見28/2024は、GDPRに違反して個人データに基づいて開発されたAIモデルは、デプロイされないか、あるいは評価とセーフガードに従って限定的な方法でデプロイされるかのいずれかであることについても説明しています。

今後の展望は？

大手モデル開発者が優れた新しいモデルをリリースし続ける中でも、EUはGDPR、EU AI Act（AIA）、およびその他のEU法が基盤AIモデルにどのように適用されるかについての解釈とガイダンスを提供し続けます。

EDPB意見28/2024は、プライバシー・バイ・デザインや、その他の機微な情報（ユーザーの精神状態や政治的見解など）の処理を含む、プライバシーとAIが交差する他の多くの分野については明確にしていません。

AIシステムを使用する企業は、EUおよび世界中における規制の動向を注意深く監視し、関連する解釈やガイダンスを自社のAIガバナンスプログラムに組み込む必要があります。

Enzaiがお手伝いします

EnzaiのAI GRCプラットフォームは、EU AI Act、コロラド州AI法、NIST AI RMF、ISO/IEC 42001などの最新の規制、標準、フレームワーク、およびベストプラクティスに準拠したAIのデプロイを支援します。詳細については、こちらからお問い合わせください。

Enzaiは、組織が抽象的なポリシーから実践的なガバナンスへと移行できるよう特別に設計された、業界をリードするエンタープライズ向けAIガバナンスプラットフォームです。当社のAIリスク管理プラットフォームは、エージェンティックAIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI Actへの準拠を確実にするために必要な専門的インフラストラクチャを提供します。複雑なワークフローを自動化することで、Enzaiは企業がISO 42001やNISTなどのグローバル標準との整合性を維持しながら、自信を持ってAIの導入を拡大できるようにします。