AIリテラシー GDPR（EU一般データ保護規則）
GDPR（EU一般データ保護規則）とは
GDPR（General Data Protection Regulation）は、欧州連合（EU）における個人情報の保護を強化・統合するための規則です。2018年の施行以来、世界で最も厳格なプライバシー法として知られています。EU域内に拠点を置く企業だけでなく、EU居住者に商品やサービスを提供する、あるいはその行動をモニタリングするEU域外の企業にも適用されます（域外適用）。
AIエージェントの文脈においてGDPRが極めて重要なのは、主に「自動化された意思決定（Automated Decision Making）」に関する条項（第22条）が存在するためです。これは、プロファイリングを含む自動処理のみに基づいた決定により、法的効果や重大な影響を受けることを拒否する権利を個人に認めるものです。
AIエージェント監査における重要ポイント
自律型AIエージェントが、人間の介入なしにローンの審査、採用の合否、保険料の算定などの決定を行う場合、GDPRの規制対象となる可能性が高まります。監査においては以下の点が検証されます。
- 説明を求める権利への対応: データ主体（ユーザー）が決定の根拠について説明を求めた場合、AIエージェントはその論理を人間が理解できる形で提示できるか。
- 人間の関与（Human-in-the-loop）: 重要な決定プロセスにおいて、人間が介入し、AIの判断を覆すことができる仕組みが担保されているか。
- データ最小化の原則: エージェントの学習や推論において、目的に必要のない過剰な個人データを収集していないか。
- 忘れられる権利: ユーザーから削除要請があった際、エージェントの対話ログや（場合によっては）学習モデルから個人情報を適切に削除できるか。
実務でのトラブルと対策
私たちが監査を行う中でよく遭遇するのは、「対話ログの中に予期せず個人情報が含まれてしまっている」ケースです。例えば、カスタマーサポートエージェントが顧客との会話の中で、本来取得する予定のなかった健康状態や思想信条に関する機微情報（センシティブデータ）を聞き出してしまい、それが暗号化されずに平文でログ保存されている場合があります。
このようなリスクを防ぐため、監査では「PII（個人識別情報）スキャナ」をエージェントの入出力パイプラインに組み込むことを推奨しています。対話データがデータベースに保存される前に、正規表現やNER（固有表現抽出）モデルを用いて電話番号、メールアドレス、クレジットカード番号などを自動的にマスキングする仕組みです。GDPR違反は最大で全世界売上高の4%という巨額の制裁金を招くため、技術的な安全策の徹底が不可欠です。
失敗例・トラブル事例
- 同意取得の不備: AIエージェント利用開始時のプライバシーポリシー同意画面において、「データを学習目的に利用する」という項目がデフォルトでチェックが入っていたため、「自由な意思による同意」とみなされず、監督機関から是正命令を受けました。GDPRでは「デフォルトON」の同意取得は認められません。
- 開示請求への対応遅延: ユーザーから「自分に関するすべてのデータを開示せよ」という請求があった際、AIエージェントの対話ログが分散システム上に散在しており、30日以内の回答期限に間に合わず、コンプライアンス違反となりました。