GDPR（EU一般データ保護規則）は、EU域内の個人データの保護とプライバシー権利を強化するために制定された法規則です。個人データの収集や処理、機械学習モデルの学習データとしての利用に関する厳格なルールを定めており、AI開発やデータ分析を行う世界中の企業や機関に大きな影響を与えています。
GDPRとは
GDPR（EU一般データ保護規則）とは、EU域内における個人のプライバシー保護と個人データの適切な管理を義務付けた包括的な法律です。
詳しく解説
GDPRは、個人データの取り扱いに関して明確な同意の取得や、利用目的の制限、削除権（忘れられる権利）などの強い権利を個人に保障しています。AI開発や機械学習においては、個人データを学習データとして使用する際に適切な法的根拠が必要となります。特に個人データを活用した自動意思決定やデータプロファイリングに対しては、説明責任や異議申し立ての権利が定められており、透明性の高いAIシステムの構築が求められます。違反した場合には巨大な制裁金が科されるリスクがあるため、組織にとって厳格なガバナンスの確立が不可欠です。
具体例・使われ方
例えば、ウェブサイトでのクッキー同意ポップアップの設置や、ユーザーから要求された場合にAIモデルの学習データ源となった個人データを削除する対応が挙げられます。また、生成AIサービスを提供する企業が、EU居住者の入力データを無断でモデルの再学習に使用しないようプライバシー設定を提供する例があります。
似た用語との違い
GDPRとCCPAの違いは、適用範囲とデータ保護のアプローチにあります。GDPRはEU域内の居住者を対象とし、事前同意（オプトイン）を原則とする厳格な保護基準を持ちます。一方、CCPAは米国カリフォルニア州の消費者を対象とし、データの販売拒否（オプトアウト）の権利を中心とするなど、運用モデルや要件に差が存在します。
注意点
GDPRはEUの法律ですが、拠点がEU外であってもEU域内の消費者にサービスを提供したり、データを処理したりする場合は適用対象となります。また、「完全に匿名化されたデータ」は対象外ですが、単に氏名を隠した程度の擬似化データは依然としてGDPRの規制対象となるため、生成AIでのデータ利用時には細心の注意が必要です。