# AI ActとGDPR：企業のチャットボットでは何に注意すべきですか？

Mesterséges Intelligencia Központ Kft. は、ブダペストのソフトウェア開発会社です。企業のチャットボットで最も重要なルールは2つあります。AI Actに基づきAIが回答していることを示すこと、そしてGDPRに基づき個人データを適法に取り扱うことです。

> **要点：** AI Act第50条第1項は2026年8月2日から適用されています。チャットボットは、遅くとも最初のやり取りの時点で、利用者が人工知能と話していることを明確に示さなければなりません。ただし、それが明らかな場合は除きます。典型的なカスタマーサポートのチャットボットは高リスクAIシステムではありませんが、個人データを扱う場合はGDPRの規定も適用されます。たとえば法的根拠、情報提供、データ最小化、AIプロバイダーと結ぶデータ処理契約に関する規定です。これは情報提供であり、法的助言ではありません（2026年10月17日確認）。

## 対象となる2つの法令は何ですか？

AI Actは、人工知能に関する欧州連合の規則で、正式には[規則（EU）2024/1689](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689)です。規則であるため、すべての加盟国で直接適用されます。ハンガリー語の公式テキストではAIシステムを「MI-rendszer」と呼んでいますが、この記事では一般に広く使われている「AI」という語も使います。

規則の第3条は、2つの役割を区別しています。**提供者**（provider）とは、AIシステムを開発する者または開発させる者で、自らの名称または商標のもとで、それを市場に投入する者、または使用に供する者です。**導入者**（deployer）とは、自らの権限のもとでAIシステムを使用する者です。ただし、個人的で職業上のものではない使用は除きます。企業がチャットボットを開発させ、自社の名称でウェブサイト上で運用する場合は、両方の定義が当てはまることがあるため、義務を開発者だけに任せないことをお勧めします。

GDPR、つまり一般データ保護規則（正式には[規則（EU）2016/679](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679)）は、あらゆる個人データの処理に適用され、チャットボットが行う処理も例外ではありません。AI Act第2条第7項は、チャットボットには通常関係しないいくつかの限られた例外を除き、この規則がGDPRに影響を及ぼさないと定めています。2つのルールは並行して適用され、一方が他方に取って代わることはありません。

## AI Act第50条は何を定めていますか？

第50条は、特定のAIシステムの提供者と導入者に透明性義務を課しています。企業のチャットボットに主に関係するのは第1項ですが、ほかの項も知っておく価値があります。画像、音声、公開されるテキストも生成するアシスタントは、それらに該当する可能性があるためです。

| 項 | 義務を負う者 | 定めている内容 | チャットボットに関係する場合 |
|---|---|---|---|
| 第1項 | 提供者 | 人と直接やり取りするシステムでは、明らかな場合を除き、当事者がAIシステムとやり取りしていることを知らされるようにすること | ほぼ常に：チャットボットの基本的なケース |
| 第2項 | 合成のテキスト、画像、音声、動画を生成するシステムの提供者 | 出力を機械可読形式で表示し、人工的に生成されたものとして検出できるようにすること | システムがコンテンツを生成する場合。詳細は欧州委員会のガイドラインと行動規範で具体化 |
| 第3項 | 感情認識システムまたは生体分類システムの導入者 | システムの運用について当事者に知らせること | システムが生体データから感情や意図を推測する場合 |
| 第4項第1段落 | ディープフェイクを生成するシステムの導入者 | 画像、音声、動画のコンテンツが人工的に作られたものであることを開示すること | ボットが実在の人物と誤認させるほど似た画像、音声、動画を生成する場合 |
| 第4項第2段落 | 公共の利益に関する事項を一般に知らせる目的で公開されるテキストを生成するシステムの導入者 | テキストが人工的に作られたものであることを開示すること。ただし、人が確認し、誰かが編集上の責任を負う場合は除く | まれ：チャットボットの個々の回答は通常、このような公開テキストにはあたらない |
| 第5項 | 両方 | 情報提供は明確で識別しやすく、遅くとも最初のやり取りの時点で行い、アクセシビリティ要件を満たすこと | 常に：第1項に基づく表示とあわせて |

### 第1項は実際には何を意味しますか？

表示は、会話の冒頭で、利用者に見える場所に出す必要があります。利用規約の奥深くに置くものではありません。チャットウィンドウのヘッダーとボットの最初のメッセージの両方で「AIアシスタントが回答しています」と示すのが適切な方法です。ボットに独自の名前やアバターがある場合は、これが特に重要です。人間の名前は、社員が書いていると思わせやすいためです。

「明らかな場合」という例外は狭いものです。規則の本文によれば、その判断は、状況と使用の文脈を考慮したうえで、合理的に十分な情報を持ち、注意深く慎重な人の視点から行います。欧州委員会の質疑応答集によれば、この例外は人々から透明性を奪うものであるため、限定的に解釈すべきとされています。また質疑応答集は、人と直接やり取りするシステムの例として、チャットボット、AIエージェント、アバターを明示的に挙げています。そのため、カスタマーサポートのチャットでは、AIが回答していることを常に示すことをお勧めします。

## ルールはいつから適用されますか？

AI Actは2024年8月1日に発効し、その規定は段階的に適用されるようになりました（第113条）。欧州委員会は2025年11月19日に規則の簡素化を提案し、これが2026年7月8日に採択された[規則（EU）2026/1744](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32026R1744)となりました。名称は「Digital Omnibus on AI」（日本語では「AIに関するデジタル・オムニバス」の意）です。2026年7月24日にEU官報に掲載され、2026年7月27日に発効しました。第50条第1項の適用日は延期されませんでしたが、ほかのいくつかの日付が変更されました（2026年10月17日確認）：

| ルール | 適用 | 定めている箇所 |
|---|---|---|
| 禁止されるAI慣行とAIリテラシー（第1章・第2章） | 2025年2月2日から。改正による2つの新たな禁止は2026年12月2日から | AI Act第113条(a) |
| AIリテラシーの新しい、より緩やかな文言（第4条） | 2026年7月27日から | 規則（EU）2026/1744の発効 |
| 透明性義務（第50条第1項を含む） | 2026年8月2日から | AI Act第113条、一般的な適用日 |
| 2026年8月2日より前に市場に投入された生成システムにおける機械可読の表示（第50条第2項） | 2026年12月2日までに対応が必要 | AI Act第111条第4項（改正により追加） |
| 附属書IIIに基づく高リスクシステム | 2027年12月2日から | AI Act第113条(c)（改正後の文言） |
| 製品に組み込まれた高リスクシステム（附属書I） | 2028年8月2日から | AI Act第113条(c)（改正後の文言） |

欧州委員会のAI Actのページと、第50条に関する質疑応答集も、同じ主要な日付を示しています。今後さらに改正が行われた場合は、EUR-Lexの規則のページで確認することをお勧めします。

## AIリテラシー：チームは何を知っておく必要がありますか？

第4条の当初の文言は、提供者と導入者に対し、可能な限り、自らのスタッフが十分なレベルのAIリテラシーを備えるよう確保することを求めていました。2026/1744による改正以降、義務は、スタッフと自らに代わって行動する者のAIリテラシーの向上を支援する措置を講じることになりました。本文は、これが特定のリテラシーのレベルを保証する義務を課すものではないと明記しています。欧州委員会と加盟国は、特に中小企業を対象に、この取り組みを支援する役割を担います。

チャットボットを運用する企業にとって、これは実際には、役割に合わせた短い研修を意味します。ボットに何ができて何ができないのか、誤った回答をどう見分けるのか、いつ、どのように会話を引き継ぐのか、どのデータをAIツールに入力してはならないのか、といった内容です。これは文書に残しておくことをお勧めします。

## カスタマーサポートのチャットボットは高リスクですか？

このカテゴリーは、規則の英語版では「high-risk AI system」（日本語では高リスクAIシステム）と呼ばれます。第6条は、2つの経路でシステムをこのカテゴリーに含めます。1つは、システムが附属書Iに列挙されたEUの製品法令の対象となる製品の安全コンポーネントである場合（またはそれ自体がそのような製品である場合）で、その製品が第三者による適合性評価を受ける必要があるときです。もう1つは、その使用が附属書IIIのいずれかの分野に該当する場合です。附属書IIIの分野は、生体データ（バイオメトリクス）、重要インフラ、教育、雇用、必要不可欠な民間サービスと公共サービスへのアクセス、法執行、移民と国境管理、そして司法と民主的プロセスです。

製品、配送、営業時間、注文状況について回答するチャットボットは、どの分野にも該当しないため、高リスクではありません。このようなチャットボットには、第50条の透明性に関するルールが適用されます。ただし、同じ技術でも、使用目的によっては高リスクになることがあります。たとえば次のような場合です：

- 求人への応募を選別する場合、または候補者を評価する場合（附属書III第4項(a)）。
- 自然人の信用力を評価する場合、または信用スコアを設定する場合（第5項(b)）。
- 生命保険や健康保険で、自然人のリスクを評価する場合、または価格を設定する場合（第5項(c)）。
- 公的機関に代わって、公的給付や公共サービスを受ける資格を評価する場合（第5項(a)）。

第6条第3項によれば、附属書IIIのシステムでも、重大なリスクをもたらさない場合は、例外的に高リスクにあたりません。たとえば、限られた手続き的なタスクを行う場合や、人の判断を準備するだけの場合です。ただし、自然人のプロファイリングを行う場合は、常に高リスクです。この例外に依拠する者は、その評価を文書化しなければなりません。高リスクシステムの詳細な要件は、附属書IIIのケースでは2027年12月2日から適用されます。チャットボットがこのような判断に近づく場合は、開発を始める前に、分類を弁護士と確認しておくことをお勧めします。

## GDPRはチャットボットに何を求めていますか？

チャットボットの会話には、氏名、メールアドレス、注文番号、クレームの内容といった個人データが含まれることがよくあります。この場合、自社のカスタマーサポートでチャットボットを運用する企業は一般的に管理者であり、言語モデルのプロバイダーは一般的に処理者です。欧州委員会は2025年11月19日にGDPRの改正も提案しましたが（[COM(2025) 837](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0837)）、GDPRを改正する法令はまだEU官報に掲載されていません（2026年10月17日確認）。以下の内容は、現行の本文に基づいています。

### 法的根拠（第6条）

処理の目的ごとに、第6条第1項に基づく法的根拠が必要です。チャットボットで最も多いのは、契約の履行（たとえば注文状況についての回答）、正当な利益（利益衡量を行ったうえで）、同意（たとえばニュースレターの購読時）です。会話をあとで別の目的、たとえば分析や開発にも使う場合は、その点を別途検討する必要があります。当初の目的と両立しない追加の処理には、当初の法的根拠では足りないためです（第6条第4項）。

### 情報提供（第13条）

データを取得する際には、データ主体に対し、特に次の事項を知らせなければなりません。管理者が誰か、目的と法的根拠、受領者、第三国への移転の有無、保存期間、データ主体の権利、そして監督機関に苦情を申し立てられることです。ハンガリーでは、監督機関はハンガリー国家データ保護・情報自由局（NAIH）です。AI Actに基づく「AIが回答しています」という表示は、これに代わるものではありません。チャットウィンドウでは、プライバシーポリシーも参照できるようにしておく必要があります。

### データ最小化と保存期間の制限（第5条）

第5条によれば、処理できるのは目的に必要なデータだけで、その期間も目的に必要な間に限られます。チャットボットの場合、これは3つの具体的な判断になります。ボットが回答に必要な以上のデータを求めないようにすること、モデルにはタスクに必要なデータだけを、可能な場合はマスキングまたは仮名化して渡すこと、そして会話ログに保存期間と削除の手順を定めることです。データのセキュリティ（アクセス権限の管理、暗号化、ログ記録）も、同じ条文の一部です。

### AIプロバイダーとのデータ処理契約（第28条）

言語モデルのプロバイダーが企業に代わって個人データを処理する場合は、そのプロバイダーと書面によるデータ処理契約を結ぶ必要があります。第28条第3項によれば、この契約には特に次の事項を定めなければなりません。処理者は管理者の文書化された指示に従ってのみデータを処理すること、守秘とセキュリティを確保すること、許可を得た場合にのみ別の処理者を利用すること、データ主体からの請求への対応を支援すること、サービスの終了時にデータを消去または返還すること、そして監査を可能にすることです。そのため実務上は、消費者向けチャットアプリの条件ではなく、プロバイダーのビジネス向け（API）の利用条件とデータ処理補遺を確認する必要があります。データがどこに、どのくらいの期間保存されるのか、そしてモデルの学習に使われるのかどうかです。

### EU域外へのデータ移転（第5章）

データがEU域外の、いわゆる第三国で処理される場合は、GDPR第5章に基づく根拠が必要です。十分性認定（第45条）か、標準データ保護条項などの適切な保護措置（第46条）です。米国については、EU-米国データプライバシーフレームワークに関する欧州委員会の[実施決定（EU）2023/1795](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023D1795)が十分性認定にあたりますが、対象はデータプライバシーフレームワークのリストに掲載されている米国の組織に限られます。この決定は有効です。その無効を求める訴えは[2025年9月3日に一般裁判所が棄却し](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62023TJ0553)、この判決に対しては[司法裁判所で上訴が係属中です（C-703/25 P）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62025CN0703)（2026年10月17日確認）。そのため、プロバイダーがEU域内でのデータ保存や処理を提供しているかどうかも確認することをお勧めします。

### データ保護影響評価（第35条）

影響評価が必要になるのは、処理が、特に新しい技術を用いる場合に、データ主体の権利に対して高いリスクをもたらす可能性が高いときです。第35条第3項は一部のケースで影響評価を明示的に義務づけており、NAIHも独自の[影響評価リスト](https://naih.hu/hatasvizsgalati-lista)を公表しています。このリストには、プロファイリング、法的効果を伴う自動化された意思決定、子どものデータのプロファイリングやマーケティングへの利用、異なる情報源から得たデータの結合などが含まれています。製品に関する質問に答えるシンプルなボットで必要になることはまれですが、ボットがCRMの顧客データを結合する場合、プロファイリングを行う場合、健康データを大規模に処理する場合は、必要になる可能性が高くなります。結果が「不要」であっても、検討の内容は書面に残しておくことをお勧めします。

### 自動化された意思決定（第22条）

データ主体は、法的効果を生じる決定、または同様に重大な影響を及ぼす決定について、自動化された処理のみに基づく決定の対象とされない権利を持っています。たとえばチャットボットがクレーム、返金、申請を自ら却下するのであれば、このルールも関係します。そのような決定が契約の履行に必要な場合や、明示的な同意に基づく場合でも、少なくとも人の介入を求める権利、自らの見解を表明する権利、決定に異議を申し立てる権利は確保しなければなりません。最もシンプルなのは、ボットはそのような決定を準備するだけにとどめ、決定は社員が行う方法です。

## 実践チェックリスト

| やるべきこと | 理由 | 根拠となる規定 |
|---|---|---|
| 最初のメッセージとチャットウィンドウで、AIが回答していることを示す | 透明性 | AI Act第50条第1項・第5項 |
| 誰が提供者、導入者、管理者、処理者なのかを明確にする | 責任の分担 | AI Act第3条、GDPR第28条 |
| ボットの使用目的とリスク分類を記録する | 高リスクの排除または管理 | AI Act第6条、附属書III |
| 目的ごとに法的根拠を定める | 適法なデータ処理 | GDPR第6条 |
| チャットウィンドウでプライバシーポリシーを参照できるようにする | 情報提供 | GDPR第13条 |
| 必要なデータだけを求め、モデルに渡す | データ最小化 | GDPR第5条第1項(c) |
| 会話ログに保存期間を設ける | 保存期間の制限 | GDPR第5条第1項(e) |
| AIプロバイダーとデータ処理契約を結ぶ | 処理者の利用 | GDPR第28条 |
| EU域外へのデータ移転の根拠を確認する | 第三国への移転 | GDPR第5章 |
| 影響評価の要否を検討し、文書化する | 高リスクのデータ処理 | GDPR第35条、NAIHのリスト |
| 重大な影響を伴う決定には人を関与させ、求めに応じて社員に引き継ぐ | 自動化された意思決定 | GDPR第22条 |
| ボットを運用する社員を研修する | AIリテラシー | AI Act第4条 |

## よくある失敗

- **隠れた表示：** 「AIが回答しています」という表示が利用規約にしかなく、会話の中にはありません。
- **表示のない人間のペルソナ：** ボットに人間の名前と写真が与えられ、機械であることを示すものが何もありません。
- **プロンプトに顧客レコード全体：** 回答には2つの項目で足りるのに、モデルがCRMの顧客レコード全体を受け取っています。
- **企業データを消費者向けツールで：** 社員が顧客データを、データ処理契約なしに無料のチャットアプリに貼り付けています。
- **永久に保存されるログ：** 削除のルールがないまま会話が蓄積されていきます。
- **人による管理のない自動判断：** ボットが重大な案件を自ら却下し、それを見直す人がいません。

## よくあるご質問

### AIが回答していることを示す必要がありますか？

一般的には、はい。AI Act第50条第1項によれば、人と直接やり取りするAIシステムは、合理的に十分な情報を持つ人の視点から見て明らかな場合を除き、当事者がAIシステムとやり取りしていることを認識できるように設計しなければなりません。第5項によれば、このことは遅くとも最初のやり取りの時点で、明確かつ識別しやすい形で伝える必要があります。そのため、カスタマーサポートのチャットでは、最初のメッセージで示すのが最も確実です。

### いつから義務になりますか？

第50条は2026年8月2日から適用されており、改正規則（EU）2026/1744もこれを変更していません。生成システムの出力の機械可読な表示（第50条第2項）については、2026年8月2日より前に市場に投入されたシステムの提供者は、2026年12月2日までに対応する必要があります。AIリテラシーに関する第4条は2025年2月2日から適用されており、2026年7月27日からはより緩やかな文言になっています。

### カスタマーサポートのチャットボットは高リスクにあたりますか？

通常はあたりません。製品、注文、サービスについて案内するチャットボットは、AI Actの附属書IIIの分野に該当しないため、透明性に関するルールが適用されます。ただし、たとえば求人の応募者を選別する場合、信用力を評価する場合、生命保険や健康保険のリスクに価格を付ける場合は、高リスクになることがあります。

### AIプロバイダーに個人データを渡してもよいですか？

はい。ただし、処理に法的根拠があり、データ主体がそれについて情報提供を受け、プロバイダーとのデータ処理契約があり（GDPR第28条）、データがEU域外に出る場合はその移転にも根拠があること（第5章）が条件です。渡すデータはタスクに必要な分だけにとどめ、プロバイダーがそのデータをモデルの学習に使うかどうかを確認することをお勧めします。

### データ保護影響評価は必要ですか？

処理がデータ主体の権利に対して高いリスクをもたらす可能性が高い場合に必要です（GDPR第35条）。シンプルな案内用のボットで必要になることはまれです。プロファイリング、法的効果を伴う自動化された意思決定、子どものデータのプロファイリング、大規模に処理される特別な種類のデータ、複数の情報源のデータの結合では、必要になる可能性が高くなります。これらはNAIHの影響評価リストにも挙げられています。いずれの場合も、判断の内容を書面に残しておくことをお勧めします。

## 当社がお手伝いできること

当社は[AIチャットボットとAIエージェント](https://www.mestersegesintelligenciakozpont.hu/ja/services/ai-chatbots-and-agents)を開発しており、当社が開発するチャットボットは、最初のメッセージでAIアシスタントが回答していることを明示します。言語モデルを組み込む際には（これについては[AI統合](https://www.mestersegesintelligenciakozpont.hu/ja/services/ai-integration)のページでご説明しています）、タスクに必要なデータだけがモデルに渡るようにし、プロバイダーのデータ取り扱い条件を確認し、モデルが参照できる範囲を質問したユーザー自身が閲覧できる範囲に限り、会話をあとから追跡できるようにします。技術的な詳細については、[チャットボットか、AIエージェントか？](https://www.mestersegesintelligenciakozpont.hu/ja/knowledge-base/chatbot-vs-ai-agent)と[企業独自の文書を活用するAI（RAG）](https://www.mestersegesintelligenciakozpont.hu/ja/knowledge-base/ai-on-company-documents-rag)の記事をご覧ください。

この記事は情報提供であり、法的助言ではありません。具体的なデータ処理が法令に適合しているかどうかについては、弁護士やデータ保護責任者にもご相談になることをお勧めします。初回のご相談は無料です。チャットボットをご検討中でしたら、[お問い合わせ](https://www.mestersegesintelligenciakozpont.hu/ja/contact)のページに記載の連絡先までご連絡ください。

## 出典

- [EUR-Lex：人工知能に関する規則（EU）2024/1689（AI Act）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689)
- [EUR-Lex：規則（EU）2026/1744（Digital Omnibus on AI）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32026R1744)
- [EUR-Lex：規則（EU）2016/679（一般データ保護規則、GDPR）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679)
- [EUR-Lex：COM(2025) 837、Digital Omnibusの提案](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0837)
- [EUR-Lex：欧州委員会の実施決定（EU）2023/1795（EU-US Data Privacy Framework）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023D1795)
- [EUR-Lex：T-553/23事件における一般裁判所の判決（Latombe v Commission）](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62023TJ0553)
- [EUR-Lex：C-703/25 P事件の上訴](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62025CN0703)
- [European Commission: AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)
- [European Commission: Transparency obligations under Article 50 of the AI Act, questions and answers](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act)
- [NAIH: DPIA list（ハンガリー語）](https://naih.hu/hatasvizsgalati-lista)