欧州データ保護委員会（EDPB）、AIモデルデプロイメント時のデータ処理に関する意見を発表

欧州連合（EU）のプライバシー機関は、GenAIの合法性に関する新興問題について意見を述べました。委員会は、AI開発者が現在の立法に違反せずに個人データを処理するために悪用できる抜け穴を探りました。.  

欧州データ保護委員会（EDPB）は、AI開発者がユーザーの個人データを処理する法的根拠について疑問を提起しました。意見書 公開した 12月17日、委員会はGDPR第64条(2)に準拠して、一般的な適用事項に関するさまざまな事項に対処しました。  

EUプライバシー機関、データ保護とAIデプロイメントの問題について意見を表明 

欧州データ保護委員会（EDPB）は、アイルランドの監督当局の要請を受けて意見書を発行しました。委員会は、 一般データ保護規則（GDPR） に基づき、EU内の複数の加盟国に影響を与える事項について意見書を発行する法定権限を有すると指摘しました。 

同機関は、アイルランド当局から提示された要請が、人工知能（AI）の開発およびデプロイメントフェーズにおける個人データの処理に関連していることを指摘しました。委員会は、EU内のデータ保護に関連する4つの事項に意見書を絞り込みました。 

これらの事項には、AIモデルがいつどのように匿名と見なされるか、および管理者がデプロイメントにおける正当な関心の必要性をどのように示すかという問題が含まれます。委員会はまた、AIモデルの開発フェーズにおける違法なデータ処理が、その後のAIモデルの運用にどのような影響を与えるかを探りました。 

AIモデルの匿名性をいつ、どのように決定できるかという質問について、同機関は、適切な地方当局がケースバイケースでそのような決定を行うべきだと述べた。同審議会は 表現した 個人情報を使用してトレーニングされたすべてのAIモデルが匿名化されているとは考えていない。 

同機関は、国家監督当局が、コントローラーが提供する関連文書を評価してモデルの匿名性を決定することを推奨した。また、コントローラーはトレーニング中の個人情報の収集を制限し、潜在的な攻撃を軽減するための関連措置を講じるべきだと付け加えた。

AIモデルの展開中に個人データを処理するための適切な法的根拠として「正当な利益」に関する質問について、同審議会は、そのようなデータを処理するための適切な法的根拠をコントローラーが決定することに委ねた。 

EDPBは、監督機関による正当な利益の決定のための3段階テストを強調した。この手順には、実際の正当な利益の特定とその必要性の分析が含まれる。コントローラーは、正当な利益がデータ主体の権利と自由と均衡しているかどうかを評価しなければならない。 

結果の評価において、同機関は裁量を各州の監督当局に委ねた。また、SAs（監督当局）は、各シナリオの事実に応じて適切な結果を選択すべきだと付け加えた。 

アイルランドデータ保護委員会、EDPBのAIモデル規制に関する意見へのコメント 

アイルランドデータ保護委員会は、この意見がEUにおける効果的で一貫性のあるAIモデルの規制を促進すると指摘する声明で対応した。委員のデール・サンダーランドは次のようにコメントした：

また、これはEU市場に登場する前に新しいAIモデルを開発する企業とのDPCの関与、およびDPCに提出された多くのAI関連の苦情の処理を支援することになる。

デール・サンダーランド 

過去数ヶ月、ChatGPTの開発元であるOpenAIに対する苦情が取り上げられていたと報じられている。ポーランドのデータ保護当局は昨年、同AI開発者のGDPR遵守について疑問を呈した。 

当局は、OpenAIが個人情報漏洩のリスクがある場合の規制当局との事前協議などの要件を見落としたと主張した。規制当局は、OpenAIがGDPRガイドラインに違反して、現地の規制当局と協議せずにChatGPTを立ち上げたことに注意を促した。 

イタリアのガランテ また、2023年に同社が同プラットフォームで特定した問題を解決する前に、OpenAIに個人情報の処理停止を命じた。同社は、サンフランシスコを拠点とする同社が、法律で要求されているように、未成年者が技術にアクセスすることを防止する措置を欠いていたと指摘した。 

規制当局は、ガイドラインを遵守しない場合、年間の売上高の4パーセントまたは2,000万ユーロのいずれか高い方を含む罰則が科されると警告した。