GDPRとは？

詳しい解説

GDPR (General Data Protection Regulation / 一般データ保護規則) は EU が 2018 年に施行した個人データ保護規則で、EU 域内に居住する個人のデータの収集・処理・保管・移転に対して厳しい義務を課します。

生成AIの文脈では、ユーザーがプロンプトに入力した個人情報・社内データの扱い、LLM 提供事業者によるログ保存・学習利用、EU 域外サーバーへのデータ転送、データ主体の権利 (削除権・アクセス権) 行使などが論点になります。

OpenAI など主要 AI プロバイダはエンタープライズ契約での「学習データ不使用」「データ所在地選択」「監査ログ提供」などのオプションを用意していますが、無料版/標準版での使用は機密情報入力に注意が必要です。

実務での使いどころ

生成AIに顧客情報を入力する場面で直接関わってきます。EU域内の個人データを扱う場合、AIサービスへの送信が第三国への移転に当たらないか、利用目的の範囲内かを確認する必要があります。

社内でAIツールを選定する際、提供元がどこにデータを保存し、学習に使うかどうかを確認するのは、この観点からです。

混同しやすい用語との違い

日本の個人情報保護法と目的は近いものの、適用範囲・同意の要件・違反時の制裁金の規模が異なります。日本法をクリアしていればGDPRも大丈夫、とは言えないため、EU域内の顧客がいる場合は個別の確認が必要です。