EUデジタル規制は緩和に向かうのか――オムニバス法案が変える企業対応

GDPR改正でAI活用はどこまで広がるのか

林：
次にGDPRの改正について伺います。最初に、こちらも課題を整理します。

AIの開発・利用が広がる中、個人データをどこまで利用できるのか、自動意思決定をどのような条件で行えるのかなど、GDPRとの関係が企業にとって大きな論点になっています。

具体的には、人が実質的に関与しないまま、AIなどによる自動処理だけで個人に重大な影響を及ぼす意思決定を行うことは、原則として禁止されています。契約の履行に必要な場合など例外的に認められるケースもありますが、その要件はこれまで厳格に解釈されてきました。また、AIの学習データにセンシティブな個人データが混入した場合の取扱いも明確ではなく、企業がAI開発に慎重にならざるを得ない面もあります。

今回の改正案では、こうしたAI活用に関するルールはどのように見直されるのでしょうか。主な改正点と、企業のAI開発・利用への影響を教えてください。

石川：
今回のGDPR改正案では、AIの開発・利用に関わるルールで主に四つの見直しが提案されています。

図表2：GDPR改正でAI活用はどこまで広がるか

一つ目は、個人データの定義の見直しです。これまでは「世界の誰かが個人を識別できれば、それは個人データである」と広く解釈される傾向がありました。しかし今回の改正案では、「その情報から本人を識別できるか」を一律に判断するのではなく、「誰がその情報を扱うか」によって、個人データに当たるかどうかを判断する考え方を明確にすることが提案されています。

例えば、別の企業なら本人を識別できる情報でも、自社には本人を識別するための追加情報や現実的な手段がなければ、自社にとっては個人データに当たらない、という考え方です。こうした判断基準を明確にすることで、どのデータがGDPRの適用対象となるのかを企業が判断しやすくし、データ利活用を進めやすくすることが狙いです。

二つ目は、AI開発における「正当な利益」^（※5）の位置づけの明確化です。GDPRでは、個人データを利用するには法的な根拠が必要で、その一つが「正当な利益」です。AIモデルの開発も、一定の条件を満たせば正当な利益を根拠に個人データを利用できることは、これまでもEU当局が示していました。しかし、「どのような条件を満たせばよいか」は必ずしも明確ではありませんでした。今回の改正案では、「どのような要素を考慮し、どのような追加措置を講じるべきか」といった判断基準が、より具体的に示されています。

三つ目は、センシティブデータの取扱いです。人種・民族、政治的見解、宗教、健康情報、生体データなど、特に慎重な取扱いが求められるセンシティブデータの処理には通常、本人の明示の同意など厳格な要件が必要です。しかし、スクレイピング（ウェブサイトなどから情報を自動収集する手法）で大量のデータを取得する場合、意図せずにセンシティブデータが混入することもあります。改正案では混入を防ぐ措置と、混入した場合に除去する措置を講じていれば、排除しきれず結果的に処理した場合でも、その処理を認めるとしています。また、AI法の改正の方で、バイアスの検知等の目的でのセンシティブデータの処理も認められています。

四つ目は、自動意思決定に関する要件の見直しです。GDPRでは、契約の締結・履行に必要な場合など、一定の条件を満たせば自動意思決定が認められています。ただし、この「必要」に当たると言えるためには、これまでは「自動意思決定以外に現実的な代替手段がないこと」まで厳格に求められ、企業にとって実務上のハードルとなっていました。今回の改正案では、この要件を緩和し、自動意思決定を活用しやすくする方向が示されています。

この四つの見直しが実現すれば、AI開発や利用に関するルールが明確になり、企業のAI活用は進めやすくなります。一方で、「データ保護を弱めることになるのではないか」という反対意見もあります。欧州委員会は保護水準を引き下げるものではないとしていますが、今回の改正案がそのまま採択されるかは、現時点では不透明です。

林：
エレドンさんにお聞きします。今回の改正によって、企業実務にはどのような利点がありますか。

エレドン：
企業実務への影響として大きいのは、AI開発に個人データを利用できる範囲が広がることです。センシティブデータの扱いが明確になれば、バイアス検知など、個人データが必要な工程も設計しやすくなります。

自動意思決定を活用できる場面も広がりそうです。典型例は、金融・保険業界の与信判定やスコアリングです。これまではGDPR上の扱いが分かりにくく、自動化をためらう企業もありました。しかし、ルールが明確になれば、金融機関や保険会社にとって導入のハードルは下がるでしょう。また、人事分野でも、採用や人事評価でAIを使う際の自動意思決定に関する要件が緩和されれば、AI活用がさらに進む可能性があります。

ただし、適用される法令への対応が不要になるわけではありません。欧州委員会も「データ保護の水準を引き下げるものではない」としています。個人データを扱うならGDPR、AIを開発・利用するならAI法など、該当する法令への対応は引き続き必要です。企業には、活用の選択肢が広がる一方で、法令遵守に向けた体制を着実に整えていくことが求められます。

制裁金だけではない、データ法で企業が備えるべきリスクとは

林：
次は、すでに適用が始まっているデータ法について伺います。今回のオムニバス法案では、このデータ法の見直しも提案されており、EU加盟国では罰則規定の整備も進んでいます。石川先生、現在の適用状況と企業が注意すべきポイントを教えてください。

石川：
データ法は2025年9月12日に適用が始まり、2026年9月12日からは、コネクテッド製品から生成されるデータに利用者がアクセスできるよう製品を設計する「アクセス・バイ・デザイン義務」も適用が始まりました。

企業がデータ法への対応で注意すべきリスクは、大きく二つあります。

一つは、当局によるエンフォースメント（法執行）です。データ法の所管や制裁金は加盟国ごとに定められており、ドイツやオランダでは当局の指定や罰則規定の整備が進んでいます。例えばドイツではデザイン義務やアクセス義務への違反に対して、最大50万ユーロの制裁金が科される可能性があります。

もう一つは、民事・事業継続上のリスクです。データ法の要件を満たさない製品をEUで流通させれば、日本の契約不適合責任に相当する問題が生じ、損害賠償や契約解除を求められる可能性があります。また、製品から得られる非個人データを利用するために必要な利用者との契約上の根拠を整えないまま利用を続ければ、データ利用の停止を求められる可能性もあります。

データ法の適用開始当初は比較的緩やかなスタートでしたが、この一年で欧州企業の対応は大きく進んでいます。今後、紛争事案が出てくれば、実務への影響もさらに大きくなるでしょう。企業は当局によるエンフォースメントリスクに目を向けがちですが、データ法への対応は、単に制裁金を避けるためのものではありません。対応が不十分であれば、EUで製品を販売し、事業を安定的に継続すること自体が難しくなりかねない。この点を意識する必要があります。

図表3：データ法で企業が備えるべきリスク

林：
エレドンさん、企業は実務面でどのような対応を進めるべきでしょうか。

エレドン：
PwCでもデータ法の適用開始以降、多くの企業を支援してきましたが、この一年で対応は明らかに本格化しています。今後は、利用者がデータにアクセスできる仕組みを製品設計の段階からどう組み込むか、また、データをどのように共有するかを具体的に検討する必要があります。

特に課題となるのが、データ共有と営業秘密の関係です。データ法では、利用者は製造者にデータの共有を求めることができますが、対象となるデータに製造者の技術情報や営業秘密が含まれ、切り離せない場合があります。これが企業にとってデータ共有をためらう大きな要因の一つでした。

今回の改正では、データの共有先が営業秘密の保護が不十分な国の影響下にあると証明できれば、そのデータを提供しないことが認められる方向です。企業には、どのデータが営業秘密に該当するのかを特定・分類・文書化しておくことが求められます。さらに、営業秘密として実際に管理・保護していることを客観的に示せる体制や証拠を整えておくことも重要です。

インシデント報告の一本化で何が変わるのか

林：
ここからは、インシデント報告の見直しについて伺います。

EUではデータ侵害やサイバーセキュリティインシデントが発生した場合、GDPR、NIS2指令^（※6）、CRA^（※7）など、複数の法令に基づく報告が求められる場合があります。しかも、法令や加盟国によって報告先や期限、様式が異なり、企業にとって大きな負担になってきました。

今回の改正案では、こうした報告を受け付ける単一窓口の導入が提案されています。石川先生、今回の見直しで実務上の負担はどこまで軽減されるのでしょうか。

石川：
ご指摘のとおり、インシデント報告を求める法令は複数あり、それを所管する当局も加盟国ごとに設けられています。さらに同じ国でも、データ保護とサイバーセキュリティでは所管当局が異なります。そのため企業は、インシデントが発生するたびに、適用される法令と国を確認し、複数の当局それぞれの様式や言語で報告しなければならず、これが大きな実務負担になっています。

今回の見直しでは、GDPRに基づくデータ侵害の当局報告について、報告対象を高リスクの場合に限定し、報告期限を従来の72時間以内から96時間以内に延長することが提案されています。また、ENISA^（※8）が運用する単一窓口を設け、企業がそこに報告すれば、関係する各国当局へ情報が振り分けられる仕組みも提案されています。

ここで注意が必要なのは、「法律上の報告先そのものが変わるわけではない」という点です。報告の相手方は従来どおり各国の所管当局で、一本化されるのは「最初に提出する窓口」、つまり報告の入り口だけです。それでも報告先を調べたり、当局ごとの言語や様式に対応したりする負担は大きく軽減されます。一方で、報告後に当局とやり取りする段階は、依然として加盟国ごとの個別対応が必要です。その先の対応がどこまで簡素化されるかは、引き続き注視する必要があります。

林：
エレドンさん、企業側ではどのような影響や対応が考えられるでしょうか。

エレドン：
単一窓口によって、報告先や言語、様式を個別に調べる手間は減ります。ただし、報告後の各国当局とのやり取りや、本社でのインシデント判断・情報収集は残るため、企業全体の労力やコストが大幅に減るとは限りません。

むしろ重要なのは、これを機に社内の対応体制を見直すことです。日本企業ではGDPRへの認識が比較的高い一方、NIS2指令が製造業やマネージドサービス事業者にも適用されることや、金融機関ではDORA^（※9）も関係することなど、複数のデジタル規制が同時に適用される実態を十分に把握できていないケースもあります。法令ごとに担当部門を分ける縦割り型の対応では非効率になりやすく、今後は組織横断的な体制整備が必要です。

規制の簡素化でも「様子見」は禁物――問われる横断的な対応体制

林：
最後に、今後の展望について伺います。まず、オムニバス法案の行方についてです。これまでご説明いただいたとおり、企業負担の軽減を図る内容が多く盛り込まれていますが、法案の内容はまだ固まっていません。今後、どのような修正が加えられる可能性があるのでしょうか。また、日本企業はどのような視点で今後の動向を見ていくべきでしょうか。

石川：
オムニバス法案の四つの見直し案は、今後の見通しがそれぞれ異なります。GDPR改正は反対意見が根強く、内容が絞り込まれる可能性があります。一方、データ関連法制の統合とインシデント報告窓口の一本化は、大きな反対は見られず、おおむね現在の提案が維持されると考えています。また、P2B規則の廃止は、デジタルサービス法（DSA）やデジタル市場法（DMA）^（※10）でその役割を代替できるかをめぐる議論があり、先行きは不透明です。

ただし、企業が注視すべきなのはオムニバス法案だけではありません。EUではデジタル法制全体の見直しも並行して進んでいます。欧州委員会は2026年3月に「デジタル・フィットネス・チェック」^（※11）として、エビデンス提供の呼びかけを開始しており、今後も他のデジタル規制の見直しが続く見込みです。

また、規制の簡素化が進んだからといって、新たな法規制が出てこなくなるわけではありません。デジタル分野の未成年者保護については2026年9月に「キッズ・アクト」^（※12）が提案されましたし、ダークパターンなどデジタル分野の消費者保護については、「デジタル・フェアネス・アクト」^（※13）の提案も予定されています。

したがって日本企業は、個別の法案だけを追うのではなく、EUがデジタル規制全体をどの方向へ再設計しようとしているのかを捉える必要があります。EUで生まれた規制の考え方は、いずれ日本を含む各国の制度にも反映されていく可能性があるからです。

林：
企業側の対応について、エレドンさんにお聞きします。オムニバス法案によって一部のルールや手続きが簡素化されても、複数のデジタル規制への対応が必要な状況は変わりません。企業は今後、どのような体制を整えるべきでしょうか。

エレドン：
オムニバス法案によって手続きは簡素化されても、規制対応の負担そのものが軽くなるわけではありません。例えば、インターネットに接続する製品で個人データを扱えばGDPR、AIを搭載していればAI法、製品セキュリティではCRAと、一つの製品に複数の法令が同時に適用されます。

だからこそ、法令ごとに担当部門を分ける縦割り型の対応には限界があります。今後は製品・サービスを軸に、関係部門が横断的に連携して法令準拠に取り組む体制を整えることが重要です。

林：
石川先生、エレドンさん、ありがとうございました。次回はCRAと改正製造物責任（PL）指令についてお話を伺います。