フランス CNIL AIシステムの開発：正当な利益に関する勧告（AIの学習のためのウェブスクレイピングの問題等）(2025.06.19)
こんにちは、丸山満彦です。
CNILが正当な利益に関する勧告を発表していますね...AIによる学習の際に、ウェブスクレイピングをすることもあると思いますが、その際に個人情報を取得することになるわけですが、合法的にそれを行うためには、どのようにすればよいのか？ということが問題となりますよね...ということで...
GDPRの場合は、第6条で、個人情報の適法な取り扱いについて6つの類型（a.同意、b.契約、c.法的義務、d.公益、e.重大な利益の保護、f.正当な利益）が示されています。
で、AIによる学習の際のウェブスクレイピングにより個人データを取得して取り扱う際は、f.正当な利益ということで処理をすればよいということになるのですが、「正当な利益」というのはどういう条件を満たせば認められるのかということが気になりますよね...ということで、この勧告です...
GDPRの第6条はつぎのようになっていますね...（個人情報保護委員会の仮訳をつかってます...）
| Article 6 Lawfulness of processing | 第6 条 取扱いの適法性 |
| 1. Processing shall be lawful only if and to the extent that at least one of the following applies: | 1. 取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で、適法である： |
| (a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes; | (a) データ主体が、一つ又は複数の特定の目的のための自己の個人データの取扱いに関し、同意を与えた 場合。 |
| (b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; | (b) データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結 の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合。 |
| (c) processing is necessary for compliance with a legal obligation to which the controller is subject; | (c) 管理者が服する法的義務を遵守するために取扱いが必要となる場合。 |
| (d) processing is necessary in order to protect the vital interests of the data subject or of another natural person; | (d) データ主体又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合。 |
| (e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller; | (e) 公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要となる場合。 |
| (f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child. | (f) 管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利及び自由のほうが優先する場合、特に、そのデータ主体が子どもである場合を除く。 |
| Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks. | 第1 項(f)は、公的機関によってその職務の遂行のために行われる取扱いには適用されない。 |
日本の個人情報保護法でもいわゆる3年毎の見直しで検討されていたように思いますが、法案が国会に提出されませんでしたからね...
でCNILの発表...
● CNIL
・2025.06.19 Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime
| Développement des systèmes d’IA : la CNIL publie ses recommandations sur l’intérêt légitime | AIシステムの開発：CNILが「正当な利益」に関する指針を公表 |
| À l’issue d’une consultation publique, la CNIL publie de nouvelles recommandations sur le développement des systèmes d’intelligence artificielle. Elles précisent les conditions pour recourir à l’intérêt légitime, notamment en cas de moissonnage (web scraping). | 公開協議の結果、CNIL は人工知能システムの開発に関する新たな勧告を発表した。この勧告では、特にウェブスクレイピング（ウェブの情報を収集・抽出）の場合に、正当な利益のために人工知能システムを利用するための条件について詳しく規定している。 |
| Le RGPD contribue à une IA innovante et respectueuse des données personnelles | GDPRは、個人データを尊重する革新的なAIの発展に貢献している |
| Consciente des enjeux de clarification du cadre juridique, la CNIL s’emploie, à travers l’ensemble de ses actions, à sécuriser les acteurs afin de favoriser l’innovation en IA tout en assurant le respect des droits fondamentaux des Européens. | 法的枠組みの明確化の重要性を認識しているCNILは、そのすべての活動を通じて、欧州市民の基本的権利を尊重しつつ、AIのイノベーションを促進するために、関係者の安全確保に努めている。 |
| Depuis le lancement de son plan d’action sur l’IA en mai 2023, la CNIL a adopté une série de recommandations pour le développement de systèmes d’IA afin d’apporter de la sécurité juridique aux entreprises. Ainsi éclairé et clarifié, l’application du RGPD est un facteur de confiance pour les personnes. | 2023年5月にAIに関する行動計画を発表して以来、CNILは、企業に法的安定性をもたらすため、AIシステムの開発に関する一連の勧告事項を採用してきた。このように明確化され、明確化されたGDPRの適用は、人々にとって信頼の要因となる。 |
| Plusieurs fiches ont déjà été publiées, permettant en particulier aux acteurs de : | すでにいくつかの資料が公表されており、特に関係者は以下のことが可能になっている。 |
| ・déterminer le régime juridique applicable ; | ・適用される法的枠組みの決定 |
| ・définir une finalité ; | ・目的の設定 |
| ・déterminer la qualification juridique des acteurs ; | ・関係者の法的地位の決定 |
| ・définir une base légale ; | ・法的根拠の決定 |
| ・effectuer des tests et vérifications en cas de réutilisation des données ; | ・データの再利用の場合のテストおよび検証の実施 |
| ・réaliser une analyse d’impact si nécessaire ; | ・必要に応じて影響評価の実施 |
| ・tenir compte de la protection des données dès les choix de conception du système ; | ・システムの設計段階からデータ保護を考慮 |
| ・tenir compte de la protection des données dans la collecte et la gestion des données ; | ・データ収集および管理におけるデータ保護を考慮する |
| ・informer les personnes ; | ・個人に情報を提供する |
| ・garantir et faciliter l’exercice des droits. | ・権利の行使を保証し、容易にする |
| Consulter les recommandations | 勧告事項を参照 |
| Les nouvelles recommandations de la CNIL | CNIL の新しい勧告事項 |
| Une concertation avec les parties prenantes | 関係者との協議 |
| La CNIL publie aujourd’hui deux nouvelles recommandations, élaborées à la suite d’une consultation publique, pour assurer que le développement des systèmes d’IA soit respectueux des données personnelles. Les parties prenantes (entreprises, chercheurs, universitaires, associations, conseils juridiques et techniques, syndicats, fédérations, etc.) ont ainsi pu s’exprimer et permettre à la CNIL de proposer des recommandations au plus proche de leurs questionnements et de la réalité des usages de l’IA. | CNIL は本日、公開協議を経て、AI システムの開発が個人データを尊重したものとなるよう確保するための 2 つの新しい勧告事項を発表しました。関係者（企業、研究者、学者、団体、法律・技術顧問、労働組合、連盟など）は、それぞれの意見を発表し、CNIL が彼らの疑問や AI の実際の利用状況により近い勧告事項を提案できるようにした。 |
| Consulter la synthèse des contributions | 意見の概要を見る |
| L’intérêt légitime, une base légale possible sous conditions | 正当な利益、条件付きでの法的根拠 |
| Dans le prolongement de l’avis adopté par le CEPD en décembre 2024, la CNIL considère que le développement des systèmes d’IA ne nécessite pas systématiquement le consentement des personnes. L’intérêt légitime est une base légale possible pour le développement des systèmes d’IA, sous réserve de prendre des garanties fortes : | 2024年12月にCEPDが採択した意見を受けて、CNILは、AIシステムの開発には必ずしも個人の同意が必要ではないと考えている。正当な利益は、強力な保証措置を講じることを条件として、AIシステムの開発における法的根拠となり得る。 |
| ・Dans ces recommandations, la CNIL aide les acteurs à évaluer les cas dans lesquels ils pourront mobiliser cette base légale, en fournissant les critères permettant de faire l’analyse, y compris dans le cas spécifique du moissonnage de données en ligne (web scraping). Elle propose des exemples de garanties concrètes et adaptés aux différents types de systèmes d’IA : exclusion de certaines données de la collecte, transparence accrue, facilitation de l’exercice des droits, etc . |
・この勧告では、CNILは、関係者がこの法的根拠を利用できるケースを評価するための分析基準を提供し、オンラインデータ収集（ウェブスクレイピング）の具体的なケースも含め、関係者の支援を行っている。また、さまざまな種類の AI システムに適した具体的な保証の例も提案している。例えば、特定のデータの収集からの除外、透明性の向上、権利の行使の容易化などだ。 |
| ・Les recommandations donnent des exemples concrets de traitements de données qui peuvent se fonder ou non sur l’intérêt légitime. Ainsi, par exemple, la réutilisation des conversations futures des utilisateurs d’un agent conversationnel pour l’amélioration du modèle d’IA peut se fonder sur l’intérêt légitime à condition de mettre en place certaines garanties fortes : information des personnes, droit d’opposition discrétionnaire, limitation du traitement à certaines données pseudonymisées/anonymisées, etc. | ・この勧告では、正当な利益に基づく、あるいは正当な利益に基づかないデータ処理の具体例も挙げている。例えば、会話型エージェントのユーザーの将来の会話の再利用は、AI モデルの改善のために、特定の強力な保証措置（個人への情報提供、任意での反対権、特定の仮名化/匿名化されたデータへの処理の制限など）を講じることを条件として、正当な利益に基づいて行うことができる。 |
| Les prochaines étapes | 今後の予定 |
| Les travaux de la CNIL pour assurer une application entière et pragmatique du RGPD dans le domaine de l’IA se poursuivront dans les prochains mois avec de nouvelles recommandations. Elle publiera prochainement des recommandations concernant le statut d’un modèle d’IA au regard du RGPD, les enjeux de sécurité du développement d’un système d’IA et l’annotation des données. Elle annoncera également son programme de travail à venir à cette occasion. | CNIL は、AI 分野における GDPR の完全かつ実用的な適用を確保するため、今後数カ月にわたって新たな勧告を発表する予定です。また、GDPR における AI モデルの地位、AI システムの開発におけるセキュリティ上の課題、およびデータの注釈に関する勧告も間もなく発表する予定です。また、その際に今後の作業計画も発表する予定だ。 |
| Par ailleurs la CNIL poursuit les travaux au sein du Comité européen de la protection des données (CEPD) sur l’articulation entre le RGPD et le RIA ainsi que sur le moissonnage de données dans le contexte de l’IA générative. | さらに、CNIL は、欧州データ保護委員会（CEPD）において、GDPR と RIA の連携、および生成型 AI の文脈におけるデータハーベスティングに関する作業を継続している。 |
| Elle suit également les travaux du bureau de l’IA de la Commission européenne pour l’élaboration d’un code de bonnes pratiques sur l’IA à usage général et s’articule avec le travail de clarification du cadre légal mené au niveau européen. | また、欧州委員会 AI 事務局による汎用 AI に関する行動規範の策定作業もフォローし、欧州レベルで進められている法的枠組みの明確化作業と連携している。 |
| La synthèse des contributions | 意見の要約 |
| Consultation publique - Fiches pratiques IA sur la mobilisation de l’intérêt légitime pour le développement de systèmes d’intelligence artificielle - Synthèse des contributions | 公開協議 - AI に関する実践的情報シート AI システムの開発における正当な利益の動員 - 意見の要約 |
| Pour approfondir | 詳細 |
| Les fiches pratiques IA | AI 実践ガイド |
| Modèles d’IA et RGPD : le CEPD publie son avis pour une IA responsable | AI モデルと GDPR：CEPD が責任ある AI に関する意見書を公表 |
| Texte de référence | 参考文書 |
| Le règlement général sur la protection des données (RGPD) | 一般データ保護規則（GDPR） |
・[PDF]
AI実践ガイド...
| Les fiches pratiques IA | AI 実践ガイド |
| Fiche synthèse | 概要 |
| Les recommandations de la CNIL en bref | CNIL の推奨事項の概要 |
| Les recommandations de la CNIL sur l’application du RGPD au développement des systèmes d’IA permettent de concilier innovation et respect des droits des personnes. Que faut-il retenir ? | AI システムの開発における GDPR の適用に関する CNIL の推奨事項は、イノベーションと個人の権利の尊重の両立を可能にする。重要なポイントは何ですか？ |
| Note : cette synthèse ne concerne que les fiches « Introduction » à 7 pour le moment. | 注：この概要は、現時点では「導入」の 7 つのシートのみを対象としている。 |
| > En savoir plus | > 詳細 |
| Introduction | 導入 |
| Quel est le périmètre des fiches pratiques sur l’IA ? | AI に関する実践的情報シートの範囲 |
| La CNIL apporte des réponses concrètes pour la constitution de bases de données utilisées pour l’apprentissage des systèmes d’intelligence artificielle (IA), qui impliquent des données personnelles. | CNIL は、個人データを含む人工知能（AI）システムの学習に使用されるデータベースの構築について、具体的な回答を提供している。 |
| > En savoir plus | > 詳細 |
| Fiche 1 | シート 1 |
| Déterminer le régime juridique applicable | 適用される法的枠組みの決定 |
| La CNIL vous aide à déterminer le régime juridique applicable aux traitements de données personnelles en phase de développement. | CNIL は、開発段階にある個人データの処理に適用される法的枠組みの決定を支援している。 |
| > En savoir plus | > 詳細 |
| Fiche 2 | シート 2 |
| Définir une finalité | 目的の設定 |
| La CNIL vous aide à définir la ou les finalités en tenant compte des spécificités du développement de systèmes d’IA. | CNIL は、AI システムの開発の特殊性を考慮して、目的を設定する支援を行っている。 |
| > En savoir plus | > 詳細 |
| Fiche 3 | シート 3 |
| Déterminer la qualification juridique des fournisseurs de systèmes d’IA | AI システムプロバイダーの法的資格を決定する |
| Responsable de traitement, responsable conjoint ou sous-traitant : la CNIL aide les fournisseurs de systèmes d’IA à déterminer leur qualification. | データ管理者、共同管理者、または委託業者：CNIL は、AI システムプロバイダーが自らの資格を決定するお手伝いをしている。 |
| > En savoir plus | > 詳細 |
| Fiche 4 | シート 4 |
| (1/2) | (1/2) |
| Assurer que le traitement est licite - Définir une base légale | 処理が合法であることを確認する - 法的根拠を定義する |
| La CNIL vous aide à déterminer vos obligations en fonction de votre responsabilité et des modalités de collecte ou de réutilisation des données. | CNIL は、お客様の責任およびデータの収集または再利用の方法に応じて、お客様の義務を決定するお手伝いをします。 |
| > En savoir plus | > 詳細 |
| Fiche 4 | シート 4 |
| (2/2) | (2/2) |
| Assurer que le traitement est licite - En cas de réutilisation des données | 処理が合法であることを確認する - データの再利用の場合 |
| La CNIL vous aide à déterminer vos obligations en fonction de votre responsabilité et des modalités de collecte ou de réutilisation des données. | CNIL は、お客様の責任およびデータの収集または再利用の方法に応じて、お客様の義務を決定するお手伝いをします。 |
| > En savoir plus | > 詳細 |
| Fiche 5 | シート 5 |
| Réaliser une analyse d’impact si nécessaire | 必要に応じて影響評価を実施する |
| La CNIL vous explique comment et dans quels cas réaliser une analyse d’impact sur la protection des données (AIPD) en tenant compte des risques spécifiques au développement de modèles d’IA. | CNIL は、AI モデルの開発に特有のリスクを考慮して、データ保護に関する影響評価 (AIPD) を実施する方法と、その実施すべき場合について説明している。 |
| > En savoir plus | > 詳細 |
| Fiche 6 | シート 6 |
| Tenir compte de la protection des données dans la conception du système | システムの設計においてデータ保護を考慮する |
| Pour assurer le développement d’un système d’IA respectueux de la protection des données, il est nécessaire de mener une réflexion préalable lors de la conception du système. La CNIL en détaille les étapes. | データ保護に配慮した AI システムを開発するには、システムの設計段階で事前の検討を行う必要がある。CNIL はその手順を詳しく説明している。 |
| > En savoir plus | > 詳細 |
| Fiche 7 | シート 7 |
| Tenir compte de la protection des données dans la collecte et la gestion des données | データの収集および管理においてデータ保護を考慮する |
| La CNIL donne les bonnes pratiques pour sélectionner les données et limiter leur traitement afin d’entraîner un modèle performant dans le respect des principes de protection des données dès la conception et par défaut. | CNIL は、設計段階から、そしてデフォルトでデータ保護の原則を遵守しながら、高性能のモデルをトレーニングするために、データの選択と処理の制限に関するベストプラクティスを紹介している。 |
| > En savoir plus | > 詳細 |
| Fiche 8 | シート 8 |
| Mobiliser la base légale de l’intérêt légitime pour développer un système d’IA | AI システムの開発における正当な利益の法的根拠の活用 |
| La base légale de l’intérêt légitime sera la plus couramment utilisée pour le développement de systèmes d’IA. Cette base légale ne peut toutefois pas être mobilisée sans en respecter les conditions et mettre en œuvre des garanties suffisantes. | AI システムの開発には、正当な利益の法的根拠が最もよく利用される。ただし、この法的根拠は、その条件を守り、十分な保証措置を講じなければ利用できない。 |
| > En savoir plus | > 詳細 |
| Fiche 8 bis | シート 8 bis |
| Fiche focus moissonnage | フォーカスシート データハーベスティング |
| La base légale de l’intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) | 正当な利益の法的根拠：データハーベスティング（ウェブスクレイピング）によるデータ収集の際に講じるべき措置に関するフォーカスシート |
| La collecte des données accessibles en ligne par moissonnage (web scraping) doit être accompagnée de mesures visant à garantir les droits des personnes concernées. | ウェブスクレイピングによるオンラインでアクセス可能なデータの収集には、関係者の権利を保証するための措置を講じる必要がある。 |
| > En savoir plus | > 詳細 |
| Fiche 9 | シート 9 |
| Informer les personnes concernées | 関係者への情報提供 |
| Les organismes qui traitent des données personnelles pour développer des modèles ou des systèmes d’IA doivent informer les personnes concernées. La CNIL précise les obligations en la matière. | AI モデルやシステムの開発のために個人データを処理する機関は、関係者にその旨を通知しなければならない。CNIL は、この点に関する義務を明確にしている。 |
| > En savoir plus | > 詳細 |
| Fiche 10 | シート 10 |
| Respecter et faciliter l’exercice des droits des personnes concernées | 関係者の権利の尊重と行使の促進 |
| Les personnes dont les données sont collectées, utilisées ou réutilisées pour développer un système d’IA disposent de droits sur leurs données qui leur permettent d’en conserver la maîtrise. Il appartient aux responsables des traitements de les respecter et d’en faciliter l’exercice. | AI システムの開発のためにデータが収集、使用、再利用される個人は、そのデータに関する権利を有しており、そのデータを管理することができる。データ処理責任者は、これらの権利を尊重し、その行使を促進する義務がある。 |
| > En savoir plus | > 詳細 |
| Fiche 11 | シート 11 |
| En cours de finalisation | 最終ドラフト段階 |
| Annoter les données | データの注釈 |
| La phase d’annotation des données est cruciale pour garantir la qualité du modèle entraîné. Cet enjeu de performance peut être atteint au moyen d’une méthodologie rigoureuse garantissant le respect de la protection des données personnelles. | データの注釈段階は、トレーニングされたモデルの品質を確保するために非常に重要だ。このパフォーマンス上の課題は、個人データの保護を確実に遵守する厳格な方法論によって達成することができる。 |
| > En savoir plus | > 詳細 |
| Fiche 12 | シート 12 |
| En cours de finalisation | 最終ドラフト段階 |
| Garantir la sécurité du développement d’un système d’IA | AI システム開発のセキュリティ保証 |
| La sécurité des systèmes d’IA est une obligation afin de garantir la protection des données tant lors du développement du système que par anticipation de son déploiement. Cette fiche détaille les risques et mesures à prendre recommandées par la CNIL. | AIシステムのセキュリティは、システムの開発段階から展開前の段階まで、データの保護を保証するために必須の要件である。この資料では、CNILが推奨するリスクと対応策を詳細に説明する。 |
| > En savoir plus | > 詳細 |
| IA : Mobiliser la base légale de l’intérêt légitime pour développer un système d’IA | AI：正当な利益の法的根拠を活用してAIシステムを開発する |
| La base légale de l’intérêt légitime sera la plus couramment utilisée pour le développement de systèmes d’IA. Cette base légale ne peut toutefois pas être mobilisée sans en respecter les conditions et mettre en œuvre des garanties suffisantes. | 正当な利益の法的根拠は、AIシステムの開発において最も一般的に利用される法的根拠となるでしょう。ただし、この法的根拠は、その条件を満たし、十分な保証措置を講じない限り、活用することはできません。 |
| L’intérêt légitime est l’une des 6 bases légales prévues par l’article 6 du RGPD. | 正当な利益は、GDPR第6条で定められた6つの法的根拠の一つだ。 |
| Elle est souvent adaptée pour fonder le développement, par des organismes privés, de systèmes d’IA, notamment quand la base de données utilisée ne repose pas sur le consentement des personnes (souvent complexe à collecter à grande échelle ou en cas de collecte indirecte). | これは、民間組織によるAIシステムの開発の基盤としてよく採用されている。特に、使用するデータベースが個人の同意に基づいていない場合（大規模に収集することが困難な場合や間接的に収集する場合など）に有効である。 |
| Concernant les organismes publics, l’intérêt légitime peut être utilisé lorsqu’une autorité publique souhaite développer un système d’IA uniquement lorsque les activités visées ne sont pas strictement nécessaires à l’exercice de ses missions spécifiques mais pour d’autres activités légalement mises en œuvre (comme par exemple, les traitements de gestion des ressources humaines). | 公的機関に関しては、正当な利益は、公的機関が AI システムを開発する場合に、その活動が特定の任務の遂行に厳密に必要なものではなく、他の合法的に実施される活動（例えば、人事管理のための処理など）のためにのみ使用される場合に利用することができる。 |
| Pour plus d’informations sur le recours à l’intérêt légitime par un organisme public, voir notamment le cas illustré dans « Comment choisir la base légale d’un traitement ? Cas pratiques avec certains traitements mis en œuvre par la CNIL ». | 公的機関による正当な利益の行使に関する詳細については、「処理の法的根拠の選択方法：CNIL が実施した特定の処理事例」で説明されている事例を参照すること。 |
| Le recours à l’intérêt légitime est toutefois soumis à trois conditions : | ただし、正当な利益の行使には 3 つの条件がある。 |
| ・L’intérêt poursuivi par l’organisme doit être « légitime » ; | ・機関が追求する利益は「正当」でなければならない。 |
| ・Le traitement envisagé doit être nécessaire pour la réalisation de l’intérêt légitime poursuivi ; | ・予定されている処理は、追求される正当な利益の実現のために必要であること。 |
| ・Le traitement ne doit pas porter une atteinte disproportionnée aux droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. Une « mise en balance » des droits et intérêts en cause doit donc être réalisée au regard des conditions concrètes de sa mise en œuvre. | ・処理は、データ処理の対象となる個人の合理的な期待を考慮して、その権利および利益に不均衡な侵害をもたらしてはならない。したがって、具体的な実施条件を踏まえて、関係する権利と利益の「均衡」を判断する必要がある。 |
| Le responsable du traitement est tenu d’examiner la conformité de son traitement à ces trois conditions. A cette fin, il est recommandé, à titre de bonne pratique, de la documenter. En tout état de cause, lorsqu’une AIPD est nécessaire, les garanties apportées pour limiter l’atteinte susceptible d’être portée au droits des personnes doivent y être décrites par le responsable de traitement (voir fiche « Réaliser une AIPD si nécessaire »). | 処理責任者は、その処理がこれらの3つの条件に適合しているかどうかを検証する義務がある。この目的のため、文書化することが良い慣行として推奨されている。 いずれにせよ、AIPD が必要な場合、個人の権利に与える影響を制限するための保証は、処理責任者によって AIPD に記載されなければならない（シート「必要に応じて AIPD を実施する」を参照）。 |
| D’autres bases légales peuvent également être envisagées pour le développement de systèmes d’IA (voir la fiche « Assurer que le traitement est licite – Définir une base légale »). | AI システムの開発には、その他の法的根拠も検討できる（シート「処理の合法性を確保する – 法的根拠を定義する」を参照）。 |
| Première condition : l’intérêt poursuivi doit être « légitime » | 最初の条件：追求する利益が「正当」であること |
| L’intérêt poursuivi, bien qu’étroitement lié à la finalité du traitement, ne doit pas être confondu avec elle. La finalité est la raison spécifique pour laquelle les données sont traitées, alors que l’intérêt correspond au bénéfice plus large qu'un responsable du traitement ou un tiers peut avoir. | 追求する利益は、処理の目的と密接に関連しているが、それとは混同してはならない。目的は、データが処理される具体的な理由であり、一方、利益は、データ管理者または第三者が得るより広範な利益に相当する。 |
| Pour plus d’informations sur la définition de la finalité en phase de développement : voir la fiche « Définir une finalité » | 開発段階における目的の定義に関する詳細情報については、シート「目的を定義する」を参照のこと。 |
| Le caractère légitime de l’intérêt peut s’entendre largement. Il n’existe pas de liste exhaustive des intérêts considérés comme légitimes mais il est possible de considérer que le caractère légitime de l’intérêt poursuivi par un organisme peut être présumé si l’intérêt est à la fois: | 利益の正当性は広く解釈することができます。正当とみなされる利益の包括的なリストは存在しませんが、組織が追求する利益の正当性は、その利益が以下の条件を満たしている場合に推定できると考えられます。 |
| ・manifestement licite au regard du droit ; | ・法律上明らかに合法であること。 |
| ・déterminé de façon suffisamment claire et précise ; | ・十分に明確かつ具体的に決定されていること。 |
| ・réel et présent (c’est-à-dire non-hypothétique ou avéré) pour l’organisme concerné. | ・当該機関にとって現実的かつ現在の（つまり、仮定的ではなく、実証されている）ものである。 |
| Ainsi, dans le cas du développement de systèmes d’IA, les intérêts suivants pourraient être considérés a priori comme légitimes : | したがって、AIシステムの開発の場合、以下の利益は、原則として正当な利益とみなすことができる： |
| ・mener des travaux de recherche scientifique (notamment pour les organismes qui ne peuvent pas se fonder sur la mission d’intérêt public) ; | ・科学的研究の実施（特に、公共の利益に基づく使命を根拠とできない機関の場合）； |
| ・faciliter l’accès du public à certaines informations ; | ・特定の情報の一般市民へのアクセスを容易にする； |
| ・développer de nouveaux systèmes et fonctionnalités pour les utilisateurs d’un service ; | ・サービスのユーザーのための新しいシステムや機能の開発； |
| ・proposer un service d’agent conversationnel pour assister les utilisateurs ; | ・ユーザーを支援するための会話型エージェントサービスの提供； |
| ・améliorer un produit ou un service pour augmenter sa performance ; | ・製品やサービスの性能向上のための改善； |
| ・développer un système d’IA permettant de détecter des contenus ou comportements frauduleux. | ・不正なコンテンツや行動を検出するためのAIシステムの開発。 |
| Un intérêt commercial constitue un intérêt légitime pour autant qu’il ne soit pas contraire à la loi et que le traitement soit nécessaire et proportionné (CJUE, 4 octobre 2024, Tennisbond, C-621/22). | 商業的利益は、法律に違反せず、処理が必要かつ比例的である限り、正当な利益とみなされる（CJUE、2024年10月4日、Tennisbond、C-621/22）。 |
| À l’inverse, certains intérêts ne peuvent pas être considérés comme légitimes, notamment quand le système d’IA envisagé n’a aucun lien avec la mission et l’activité de l’organisme ou si celui-ci ne peut pas être déployé légalement. | 一方、AI システムが組織の使命や活動と無関係である場合や、合法的に導入できない場合など、一部の利益は正当な利益とはみなされない。 |
| Exemple : adresser de la publicité ciblée reposant sur du profilage à des personnes mineures est interdite par l’article 28.2 du DSA. Un système d’IA destiné à réaliser le profilage automatique de personnes mineures en vue de leur adresser de la publicité ciblée ne peut donc pas être déployé légalement. L’intérêt de développer un tel système ne peut, par conséquent, pas être considéré comme licite. | 例：プロファイリングに基づくターゲット広告を未成年者に送信することは、DSA第28条2項で禁止されている。したがって、ターゲット広告を送信するために未成年者の自動プロファイリングを行うAIシステムは、合法的に導入することはできない。このようなシステムを開発する利益は、したがって、合法的な利益とはみなされない。 |
| À noter : plus généralement, ne pourrait pas être considérés comme légitime le développement de systèmes qui sont catégoriquement interdits par d’autres réglementations que le RGPD. A cet égard, il convient d’accorder une attention particulière à la catégorisation propre à l’IA, prévue par la proposition de règlement européen sur l’intelligence artificielle. Ce texte interdit la mise sur le marché, la mise en service ou l’utilisation de certains systèmes d’IA. Le développement de systèmes qui seraient exclusivement destinés à de tels usages ne pourra, par conséquent, pas être considéré comme licite et il ne sera pas possible de mobiliser l’intérêt légitime, ni aucune autre base légale, pour opérer le traitement. Il reviendra au responsable du traitement de respecter la future réglementation et de se tenir à jour des évolutions à venir. | 注：より一般的には、GDPR以外の他の規制により明確に禁止されているシステムの開発は、合法とはみなされない。この点に関しては、人工知能に関する欧州規則案で規定されているAI固有の分類に特に注意を払う必要がある。この規則案は、特定のAIシステムの販売、運用、または使用を禁止している。したがって、そのような用途のみを目的としたシステムの開発は、合法とはみなされず、処理を行うための正当な利益やその他の法的根拠を主張することはできない。処理責任者は、将来の規制を遵守し、今後の動向を常に把握しておく必要がある。 |
| L’intérêt poursuivi doit être défini de manière suffisamment précise et porté à la connaissance des personnes dans le cadre des obligations de transparence du responsable du traitement. Ainsi, s’agissant du développement et de l’amélioration d’un système d’IA à usage général, même lorsque l’utilisation précise du modèle n’est pas connue, il est recommandé de faire référence à l’objectif visé par le développement du modèle (en indiquant notamment si celui-ci est d’ordre commercial, public, de recherche scientifique, et s’il est interne ou externe à l’organisme). | 追求される利益は、十分に明確に定義され、処理責任者の透明性義務の範囲内で関係者に通知される必要がある。したがって、汎用AIシステムの開発および改善に関しては、モデルの具体的な使用目的が不明な場合でも、モデルの開発目的（特に、その目的が商業的、公共的、科学的研究目的であるか、組織内か組織外かなど）を明示することが推奨される。 |
| Dans certains cas, le consentement de la personne pourra être nécessaire au titre d’autres réglementations. Cela peut être par exemple le cas lorsque le responsable du traitement est également un contrôleur d’accès au sens du Digital Markets Act (DMA) et que le traitement pour la constitution de la base de données d’entraînement implique de mettre en œuvre l’une des pratiques listées à l’article 5.2 du DMA (utilisation de manière croisée des données personnelles provenant du service de plateforme essentiel dans le cadre d’autres services fournis par le contrôleur d’accès, par exemple). | 場合によっては、他の規制に基づき、個人の同意が必要となる場合がある。例えば、データ管理者がデジタル市場法（DMA）におけるアクセス管理者でもある場合、トレーニングデータベースの構築のための処理が、DMA 第5条に列挙された実践の1つを実施することを含む場合などが該当する。2（プラットフォームサービスから取得した個人データを、アクセスコントローラーが提供する他のサービスで相互利用する場合など）。 |
| Deuxième condition : le traitement doit être « nécessaire » | 第2の条件：処理は「必要」でなければならない |
| La condition de nécessité implique de s’assurer que le traitement envisagé permette d’atteindre l’intérêt poursuivi et qu’il n’existe pas de moyens moins intrusifs pour la vie privée que de mettre en œuvre le traitement envisagé. | 必要性の条件とは、検討中の処理が目的とする利益を達成するために必要であり、検討中の処理を実施することよりもプライバシーへの侵害が少ない手段が存在しないことを確認することを意味する。 |
| À ce titre, si le développement du système d’IA nécessite d’utiliser des données personnelles, le responsable du traitement doit s’assurer, en l’état des informations dont il dispose, que le développement de ce système est bien nécessaire pour atteindre l’objectif qu’il s’est donné, qu’il s’agisse d’un objectif de recherche, d’un objectif commercial, d’un objectif de lutte contre la fraude, etc. Lorsque l’utilisation du modèle est connue dès la phase de développement, il sera pertinent d’en tenir compte. Si le développement du système ne nécessite pas d’utiliser des données personnelles, le RGPD n’est pas applicable à ce développement et la question ne se pose pas. | この点において、AI システムの開発に個人データの使用が必要な場合、データ管理者は、保有する情報に基づき、当該システムの開発が、研究目的、商業目的、不正防止目的など、設定した目的を達成するために本当に必要であることを確認しなければならない。モデルの使用が開発段階で既に判明している場合は、これを考慮することが適切だ。システムの開発に個人データの使用が必要でない場合、GDPRは当該開発には適用されず、この問題は生じない。 |
| Cette condition relative à la nécessité du traitement est également à examiner en lien avec le principe de minimisation des données (voir la fiche « Tenir compte de la protection des données dans la conception du système »). Cela implique notamment pour le responsable du traitement de s’assurer de la nécessité de traiter des données personnelles ou de les conserver sous une forme permettant l’identification directe ou indirecte des personnes, ainsi que de la nécessité d’avoir recours, le cas échéant, à une solution technique qui implique de traiter un volume important de données personnelles. À cet égard, il convient de tenir compte des évolutions technologiques, qui peuvent permettre le développement de modèles dont l’entraînement nécessite de traiter moins de données personnelles. Les responsables de traitement sont encouragés à participer au développement de telles technologies. | この処理の必要性に関する条件は、データ最小化の原則とも関連して検討する必要がある（参照：「システム設計におけるデータ保護の考慮」）。。これは、特に、処理責任者が、個人データを処理したり、個人を直接または間接的に識別できる形で保存したりする必要性、および必要に応じて、大量の個人データを処理することを伴う技術的解決策を採用する必要性を確認することを意味する。この点に関しては、より少ない個人データの処理でトレーニングが可能なモデルの開発を可能にする技術的進歩を考慮する必要がある。処理責任者は、このような技術の開発に参加することが奨励されている。 |
| Troisième condition : s’assurer que l’objectif poursuivi ne menace pas les droits et libertés des individus | 第3の条件：追求する目的が個人の権利と自由を脅かさないことを確保すること |
| Il convient de s’assurer que les intérêts légitimes poursuivis ne portent pas une atteinte disproportionnée aux intérêts, droits et libertés des personnes concernées. | 追求する正当な利益が、関係者の利益、権利、自由を不当に侵害しないことを確保する必要がある。 |
| Le responsable du traitement doit donc opérer une mise en balance entre les droits et intérêts en cause. Pour cela, il doit mesurer les avantages de son traitement (bénéfices anticipés, dont notamment ceux présentés ci-dessous) mais aussi les impacts sur les individus concernés. Si nécessaire, il faut mettre en place des mesures additionnelles permettant de limiter ces risques et de protéger les droits et libertés des personnes. | したがって、処理責任者は、関係する権利と利益のバランスを判断する必要がある。そのためには、処理のメリット（特に以下に示すメリット）だけでなく、関係者に与える影響も評価する必要がある。必要に応じて、これらのリスクを制限し、個人の権利と自由を保護するための追加措置を講じる必要がある。 |
| Cette analyse doit être effectuée au cas par cas, en tenant compte des circonstances spécifiques du traitement. | この分析は、処理の具体的な状況を考慮して、ケースバイケースで行う必要がある。 |
| Les bénéfices apportés par le système d’IA contribuent à justifier le traitement de données personnelles | AI システムがもたらす利益は、個人データの処理の正当性を立証する一因となる |
| Plus les bénéfices que l’on peut anticiper du traitement sont importants, plus l’intérêt légitime du responsable du traitement est susceptible de prévaloir sur les droits et libertés des personnes. | 処理から予想される利益が大きいほど、処理責任者の正当な利益が、個人の権利および自由よりも優先される可能性が高くなる。 |
| Les éléments suivants permettent de mesurer l’impact positif des intérêts poursuivis : | 以下の要素は、追求される利益のプラスの影響を測定するのに役立つ。 |
| ・L’ampleur et la nature des bénéfices attendus du traitement, pour le responsable de traitement mais aussi pour des tiers, tels que les utilisateurs finaux du système d’IA ou encore l’intérêt du public ou de la société. La diversité des applications mettant en œuvre des systèmes d’IA montre qu’il peut y avoir de nombreux bénéfices, comme l’amélioration des soins de santé, une meilleure accessibilité de certains services essentiels, la facilitation de l’exercice de droits fondamentaux comme l’accès à l’information, la liberté d’expression, l’accès à l’enseignement, etc. | ・処理から期待される利益の規模と性質。これは、処理責任者だけでなく、AI システムのエンドユーザーや、公衆や社会の利益などの第三者にも適用される。AI システムを実装するアプリケーションの多様性は、医療の改善、 特定の必須サービスの利用しやすさの向上、情報へのアクセス、表現の自由、教育へのアクセスなどの基本的権利の行使の促進など、多くの利益がある可能性がある。 |
| Exemple : un système de reconnaissance vocale permettant aux utilisateurs de transcrire automatiquement leurs propos et, par exemple, aider au remplissage de formulaires administratifs, peut présenter des bénéfices significatifs pour permettre l’accessibilité de certains services pour des personnes en situation de handicap. L’importance de ces bénéfices peut être prise en compte dans la mise en balance des intérêts lors du développement d’un tel système. | 例：ユーザーが自分の発言を自動的に文字起こし、例えば行政書類の記入を支援する音声認識システムは、障害のある人にとって特定のサービスへのアクセスを可能にするという大きなメリットがある。このようなメリットの重要性は、このようなシステムを開発する際の利益の均衡を考慮する際に考慮されるべきだ。 |
| En général, le fait qu’un responsable du traitement agisse non seulement dans son propre intérêt mais aussi dans l’intérêt de la collectivité, peut donner plus de «poids» à cet intérêt. | 一般に、データ処理責任者が自身の利益だけでなく、社会の利益のために行動する場合、その利益に「重み」が加わる可能性がある。 |
| Exemple : une société privée souhaite développer un système d’IA permettant de lutter contre la fraude immobilière en ligne. L’intérêt commercial qu’elle poursuit est renforcé du fait de la convergence avec l’intérêt des utilisateurs et celui de la collectivité de réduire les activités frauduleuses. | 例：民間企業が、オンラインでの不動産詐欺と闘うための AI システムを開発したいと考えている。同社が追求する商業的利益は、ユーザーと社会の利益である詐欺行為の削減と一致しているため、さらに強化される。 |
| ・L’utilité du traitement mis en œuvre pour se conformer à d’autres réglementations. | 他の規制への準拠のために実施される処理の有用性。 |
| Exemple : le fournisseur d’une très grande plateforme ou d’un très grand moteur de recherche en ligne qui développe un système d’IA pour mieux répondre aux dispositions de l’article 35.1 du DSA sur l’adaptation des processus de modération de contenu en ligne, peut prendre cet objectif en compte dans l’évaluation de son intérêt. | 例：大規模なプラットフォームまたはオンライン検索エンジンのプロバイダーが、DSA第35条1項のオンラインコンテンツのモデレーションプロセスの適応に関する規定に準拠するためAIシステムを開発する場合、この目的を利益の評価に考慮することができる。 |
| ・Le développement du modèle en source ouverte, qui, sous réserve de la mise en place de garanties suffisantes (voir l’article qui y est consacré) peut présenter des bénéfices importants pour la communauté scientifique, l’évolution de la recherche, l’éducation et l’appropriation de ces outils par le public. Il peut également comporter des avantages en matière de transparence, de réduction des biais, de responsabilisation du fournisseur du système d’IA ou encore de contrôle par les pairs. Cela peut témoigner de l’objectif du responsable du traitement de partager les bénéfices de son traitement pour participer au développement de la recherche scientifique. | ・オープンソースでのモデル開発は、十分な保証が講じられている場合（該当する記事を参照）、科学コミュニティ、研究の発展、教育、およびこれらのツールの一般市民による普及に重要なメリットをもたらす可能性がある。また、透明性の向上、バイアスの軽減、AI システム提供者の責任の明確化、ピアレビューによる監視などのメリットも期待できる。これは、処理責任者が処理の利益を共有し、科学研究の発展に貢献するという目的を反映したものと言える。 |
| ・La précision des intérêts poursuivis : plus un intérêt est défini de manière précise, plus il pourra peser dans la mise en balance, du fait de la possibilité d’appréhender spécifiquement la réalité des bénéfices à prendre en compte. A l’inverse un intérêt défini de manière trop large (par exemple « offrir de nouveaux services à ses utilisateurs ») est moins susceptible de prévaloir sur les intérêts des personnes . |
追求する利益の明確さ：利益が明確に定義されているほど、考慮すべき利益の現実を具体的に把握できるため、その利益が利益の均衡に与える影響が大きくなる。逆に、利益が過度に広く定義されている場合（例えば、「ユーザーに新しいサービスを提供する」など）、個人の利益よりも優先される可能性が低くなる。 |
| Les incidences négatives sur les personnes doivent être identifiées | 個人に対する悪影響を特定する必要がある |
| Il convient de mettre en balance ces bénéfices avec les incidences des traitements sur les personnes concernées. Concrètement, l’organisme doit identifier et évaluer les conséquences de toutes sortes, potentielles ou effectives, que le développement du système puis sont utilisation pourraient avoir sur les personnes concernées : sur leur vie privée, sur la protection de leurs données et sur leurs autres droits fondamentaux (liberté d’expression, liberté d’information, liberté de conscience, etc.) ainsi que les autres impacts concrets du traitement sur leur situation. | これらの利益と、処理が関係者に与える影響を比較検討する必要がある。具体的には、組織は、システムの開発およびその後の利用が、関係者に与える可能性のある、または実際に与えるあらゆる種類の影響（プライバシー、データ保護、その他の基本的権利（表現の自由、情報の自由、良心の自由など）に対する影響、および処理が関係者の状況に与えるその他の具体的な影響）を特定し、評価する必要がある。 |
| Les impacts réels du traitement sur les personnes, tels que listés ci-dessous, sont à évaluer en fonction de la vraisemblance que les risques se concrétisent et de la gravité des conséquences, qui dépendent des conditions particulières du traitement, ainsi que du système d’IA développé. | 以下に挙げるような、処理が個人に与える実際の影響は、リスクが現実化する可能性と影響の重大性に応じて評価する必要がある。これらは、処理の具体的な条件や開発されたAIシステムによって異なる。 |
| Pour cela, il convient de tenir compte de la nature des données (sensibles, hautement personnelles), du statut des personnes concernées (personnes vulnérables, mineurs, etc.), du statut de l’entreprise ou de l’administration développant et/ou déployant l’IA (les effets étant démultipliés en cas d’usage très large de l’IA), de la façon dont les données sont traitées (croisement de données, etc.) ou encore le type de système d’IA et de l’usage opérationnel envisagé. Dans certains cas, les incidences pour les personnes seront donc limitées, soit parce que les risques sont faibles, soit parce que les conséquences présentent peu de gravité au regard des données utilisées, du traitement effectué et de l’intérêt poursuivi (par exemple, le développement d’un système d’IA utilisé pour la personnalisation d’une fonctionnalité d’auto-saisie d’un logiciel de traitement de texte présente peu de risques pour les personnes concernées). | そのため、データの性質（機密性、高度に個人的な情報など）、関係者の地位（脆弱な個人、未成年者、 など）、AIを開発および/または導入する企業または行政機関の地位（AIが広く使用される場合、影響は倍増する）、データの処理方法（データの照合など）、AIシステムの種類、および想定される運用方法など。場合によっては、リスクが低い、または使用されるデータ、処理方法、および目的を考慮すると影響が軽微であるため、個人への影響は限定的となる。例えば、ワードプロセッサの自動入力機能のカスタマイズに使用されるAIシステムの開発は、関係者にとってリスクは低いと考えられる。 |
| Il convient donc de prendre en compte les incidences suivantes sur les personnes et d’évaluer dans le cas étudié le niveau des risques associés. Deux types de risques peuvent être distinguées : | したがって、個人に対する以下の影響を考慮し、検討対象の場合における関連リスクのレベルを評価する必要がある。リスクは 2 種類に分類できる。 |
| (1) Les incidences liées au développement du modèle d'IA | (1) AI モデルの開発に関連する影響 |
| ・Les risques relatifs à la collecte de données accessibles en ligne, notamment à l’aide d’ outils de moissonnage (scraping), susceptible de porter atteinte à la vie privée des personnes et aux droits garantis par le RGPD, ainsi qu’à potentiellement d’autres droits comme les droits de propriété intellectuelle ou certains secrets, ou encore à la liberté d’expression, au regard du sentiment de surveillance que peut créer la collecte massive et généralisée de données en ligne. | ・オンラインでアクセス可能なデータの収集、特にスクレイピングツールを使用した収集に関連するリスク。これは、個人のプライバシーおよび GDPR によって保証されている権利、ならびに知的財産権や特定の秘密などのその他の権利を侵害する可能性がある。あるいは、オンラインでの大規模かつ広範なデータ収集によって生じる監視感により、表現の自由を侵害するリスク。 |
| Pour plus d’information : voir la fiche focus sur la collecte des données par moissonnage (web scraping)) . |
詳細については、データハーベスティング（ウェブスクレイピング）によるデータ収集に関するフォーカスシートをご覧ください。 |
| ・Les risques de perte de confidentialité des données contenues dans la base de données ou dans le modèle : les risques liés à la sécurité des bases de données d’apprentissage sont susceptibles d’augmenter les risques pour les personnes concernées liés à des détournements de finalité, notamment en cas de violation de données, ou les risques liés aux attaques spécifiques aux systèmes d’IA (attaque par empoisonnement, par insertion d’une porte dérobée ou encore par inversion du modèle). | ・データベースまたはモデルに含まれるデータの機密性が失われるリスク： 学習用データベースのセキュリティに関するリスクは、特にデータ侵害の場合、目的外使用による関係者へのリスクを高める可能性があるほか、AI システムに特化した攻撃（ポイズニング攻撃、バックドアの挿入、モデル反転など）によるリスクも高まる可能性がある。 |
| Pour plus d’information : voir l’article « Petite taxonomie des attaques des systèmes d’IA ». | 詳細については、記事「AI システムに対する攻撃の分類」を参照してください。 |
| ・Les risques liés à la difficulté de garantir l’effectivité de l’exercice des droits des personnes, notamment du fait des obstacles techniques à l’identification des personnes concernées ou des difficultés pour transmettre les demandes d’exercice de droits lorsque la base de données ou le modèle est partagé ou diffusé en source ouverte. Il est également complexe voire impossible techniquement de mettre en œuvre l’exercice des droits sur certains objets comme les modèles appris. | ・個人データの主体が権利を行使することの有効性を確保することが困難であることに関連するリスク。特に、個人データの主体を特定するための技術的な障害、またはデータベースやモデルが共有またはオープンソースで公開されている場合に権利行使の請求を伝達することが困難であることが挙げられる。また、学習済みモデルなどの特定のオブジェクトについて権利行使を実施することは、技術的に複雑あるいは不可能な場合もある。 |
| ・Les risques liés à la difficulté d’assurer la transparence des traitements auprès des personnes concernées : ces risques peuvent également résulter de la technicité des sujets, des évolutions technologiques rapides, et de l’opacité structurelle du développement de certains systèmes d’IA (par exemple, d’apprentissage profond). Cela complexifie en effet la possiblité d’une information intelligible et accessible pour les personnes sur les traitements réalisés . |
・関係者に対する処理の透明性を確保することの難しさに関連するリスク：これらのリスクは、技術の専門性、急速な技術進化、および一部のAIシステム（例えば、深層学習）の開発の構造的な不透明性からも生じる可能性がある。これにより、処理内容に関する理解可能でアクセス可能な情報を個人に提供することが複雑になる。 |
| (2) Les incidences pour les personnes liées à l’utilisation du système d’IA | (2) AI システムの使用に関連する個人への影響 |
| Certains risques, dont les conséquences peuvent se matérialiser lors de l’utilisation du système d’IA, sont à prendre en compte lors du développement du fait de leur caractère systémique. Il est en effet nécessaire d’anticiper dès la phase de conception les garanties permettant de limiter effectivement ces risques pour les personnes. Ces risques dépendent des usages du système d’IA. De façon générale on peut notamment mentionner : | AI システムの使用中に発生しうる結果をもたらすリスクの中には、その体系的な性質から、開発時に考慮すべきものがある。実際、個人に対するこれらのリスクを効果的に制限するための保証措置を、設計段階から事前に検討しておく必要がある。これらのリスクは、AI システムの使用方法によって異なる。一般的に、以下のようなリスクが挙げられる。 |
| ・Les risques de mémorisation, d'extraction ou de régurgitation (pour les systèmes d'IA générative) de données personnelles lors de l’utilisation de certains systèmes d’IA, susceptibles de porter atteinte à la vie privée. Il est possible dans certains cas d’inférer, accidentellement ou par des attaques (inférence d’appartenance, extraction ou inversion du modèle), des données personnelles contenues dans la base de données d’apprentissage à partir de l’utilisation de systèmes d’IA (voir notamment l’article du LINC « Petite taxonomie des attaques des systèmes d’IA »). Cela présente un risque pour la vie privée des personnes dont les données pourraient apparaître lors de l’utilisation du système d’IA (risque d’atteinte à la réputation, risque de sécurité selon la nature des données mémorisée, etc.). | ・特定の AI システムを使用する際に、個人データを記憶、抽出、または再生（生成型 AI システムの場合）し、プライバシーを侵害するリスク。場合によっては、AI システムの使用により、学習データベースに含まれる個人データを、偶然または攻撃（所属の推論、モデルの抽出または反転）によって推測することが可能になる（LINC の記事「AI システムに対する攻撃の簡単な分類」を参照）。これは、AIシステムの使用時にデータが表示される可能性のある個人のプライバシーにリスクをもたらす（評判の毀損、記憶されているデータの性質に応じたセキュリティリスクなど）。 |
| ・Les risques d’atteinte à la réputation, de propagation de fausses informations ou encore d’usurpation d’identité, lorsque le système d’IA (particulièrement d’IA générative) produit du contenu sur une personne physique identifiée ou identifiable (par exemple, un système d’IA générative d’images peut être utilisée pour générer de fausses photographies à caractère pornographique de personnes réelles dont les images sont contenues dans la base de données). A noter que ce risque peut également advenir avec des systèmes d’IA n’ayant pas été entraînées avec des données personnelles. | ・AIシステム（特に生成AI）が特定または特定可能な個人に関するコンテンツを生成する場合、評判の毀損、虚偽情報の拡散、または身分盗用のリスクがある。（例：画像生成AIシステムが、データベースに保存されている実在の人物の画像を使用して、ポルノ的な偽の写真を生成する場合）。このリスクは、個人データで訓練されていないAIシステムでも発生する可能性があることに注意してください。 |
| Exemple : un article de presse généré par un système d’IA est susceptible de présenter des informations diffamatoires sur une personne réelle, bien que la base de donnée ne contienne pas d’informations sur cette personne, notamment lorsque le texte a été généré à la demande d’un utilisateur qui précise l’identité de la personne concernée dans le prompt. | 例：AI システムによって生成された新聞記事は、データベースにその人物に関する情報が含まれていない場合でも、実在の人物に関する名誉を毀損する情報を掲載する可能性がある。特に、そのテキストが、対象者の身元をプロンプトで指定したユーザーの要求に応じて生成された場合、その可能性が高くなる。 |
| ・Les risques d’atteinte à certains droits ou secrets prévus par la loi (par exemple, le droit de propriété intellectuelle, comme le droit d'auteur, le secret des affaires ou encore le secret médical) en cas de mémorisation ou de régurgitation de données protégées. | 保護されたデータの記憶または再生成により、法律で規定されている特定の権利または秘密（例えば、著作権、営業秘密、医療秘密などの知的財産権）が侵害されるリスクがある。 |
| Exemple : un système d’IA générative de texte entraînée sur des œuvres littéraires protégées par le droit d’auteur est susceptible de générer un contenu constitutif de contrefaçon, notamment dans le cas où celui-ci résulte de la régurgitation du contenu qui aurait été mémorisé par le système d’IA. | 例：著作権で保護された文学作品を学習した生成型AIシステムは、特にAIシステムが記憶した内容を再生成した場合、著作権侵害に該当するコンテンツを生成する可能性がある。 |
| ・Les risques éthiques graves, qui portent atteinte à certaines règles générales de droit ou au bon fonctionnement de la société dans son ensemble, liés au développement de certains systèmes d’IA. Ils doivent être pris en compte dans l’évaluation (par exemple, discrimination, sécurité des personnes en cas d’utilisation malveillante, incitation à la haine ou à la violence, désinformation, qui risquent de porter atteinte aux droits et libertés des personnes ou à la démocratie et à l’état de droit). Le développement de systèmes d’IA peut ainsi porter atteinte à certains droits et libertés fondamentaux en phase de déploiement si des garanties ne sont pas anticipées dès leur conception (par ex. l’amplification de biais discriminatoires dans la base de données d’apprentissage, le défaut de transparence ou d’explicabilité, de robustesse ou encore les biais d’automatisation, etc.). | 特定のAIシステムの開発に関連する、一般的な法規範や社会全体の適切な機能に重大な影響を及ぼす倫理的リスク。これらは評価において考慮される必要がある（例えば、差別、悪意のある使用の場合の人々の安全、憎悪や暴力の扇動、偽情報など、個人の権利や自由、民主主義や法の支配を侵害するおそれがあるもの）。。AIシステムの開発は、設計段階から適切な保証措置が講じられていない場合、展開段階で特定の基本的権利や自由を侵害する可能性がある（例：学習データベースにおける差別的バイアスの増幅、透明性や説明可能性、堅牢性の欠如、自動化バイアスなど）。 |
| Prendre en compte le RIA : | RIA を考慮する： |
| Lorsque le responsable du traitement est un fournisseur d’IA à haut risque au sens de l’article 6 du RIA, il pourra utilement tenir compte des risques identifiés dans le cadre du système de gestion des risques qu’il doit mettre en place au titre de l’article 9 du RIA. De la même manière, lorsqu’il est fournisseur d’un modèle d’IA à usage général présentant des risques systémiques au sens de l’article 51 du RIA, il pourra tenir compte des risques identifiés dans le cadre de la mise en œuvre de ses obligations au titre de l’article 55 du RIA. | データ処理者が RIA 第 6 条に規定する高リスク AI 提供者である場合、RIA 第 9 条に基づき導入すべきリスク管理システムにおいて、特定されたリスクを考慮することが有用である。同様に、IA 規則第 51 条で定義されるシステムリスクを伴う汎用 AI モデルを提供するサプライヤーは、IA 規則第 55 条に基づく義務の実施において特定されたリスクを考慮することができる。 |
| Les attentes raisonnables des personnes sont un facteur clé pour apprécier la légitimité du traitement. | 個人の合理的な期待は、処理の正当性を評価する上で重要な要素だ。 |
| L’organisme doit tenir compte des attentes raisonnables des personnes concernées pour évaluer l’incidence du traitement sur les personnes. En effet, l’intérêt légitime requiert de ne pas surprendre les personnes dans les modalités de mise en œuvre comme dans les conséquences du traitement. | 機関は、処理が個人に与える影響を評価する際、関係者の合理的な期待を考慮しなければならない。実際、正当な利益は、処理の実施方法および結果において個人を驚かせないことを要求する。 |
| Les attentes raisonnables constituent un élément de contexte dont le responsable du traitement doit tenir compte dans la pondération des droits et intérêts en cause. A cette fin, l’information des personnes peut être prise en compte afin d’évaluer si les personnes concernées peuvent raisonnablement s’attendre au traitement de leurs données ; il ne s’agira toutefois que d’un indicateur. | 合理的な期待は、処理責任者が関係する権利と利益のバランスを判断する際に考慮すべき背景要素の一つだ。この目的のため、関係者が自分のデータの処理について合理的に期待できるかどうかを評価するために、関係者に提供された情報を考慮することができる。ただし、これは単なる指標に過ぎない。 |
| Dans le cadre du développement d’un système d’IA, certains traitements sont susceptibles de sortir des attentes raisonnables des personnes. Il appartient au responsable du traitement de mener cette analyse en tenant compte notamment du faisceau d’indices suivant : | AI システムの開発において、一部の処理は、個人の合理的な期待の範囲を超える可能性がある。処理責任者は、特に以下の指標を考慮して、この分析を行う必要がある。 |
| Pour les données collectées directement auprès des personnes : | 個人から直接収集したデータの場合： |
| ・La relation entre le responsable du traitement et la personne concernée. | ・処理責任者と個人との関係。 |
| ・Les paramètres de confidentialité des données partagées. | ・共有されるデータの機密性に関する設定。 |
| Exemples : | 例 |
| Une plateforme qui fournit un service de coaching en ligne souhaite utiliser les échanges entre les personnes et leurs interlocuteurs pour procéder au réglage fin (fine-tuning) d’un modèle d’IA génératif de texte afin de développer un agent conversationnel capable de répondre aux questions des utilisateurs. Dans ce cas, les personnes qui échangent avec leurs interlocuteurs en ligne s’attendent à un certain niveau de confidentialité, compte tenu notamment de la sensibilité des informations qui pourraient être partagées, et ne peuvent pas raisonnablement s’attendre à ce que les données soient utilisées à des fins d’entraînement. Il faudra alors recueillir le consentement des personnes. | オンラインコーチングサービスを提供するプラットフォームは、ユーザーと対話者間のやり取りを利用して、テキスト生成 AI モデルの微調整を行い、ユーザーの質問に対応できる会話エージェントを開発したいと考えている。この場合、オンラインで相手とやり取りを行う個人は、特に共有される情報の機密性を考慮して、一定の機密性を期待しており、データがトレーニング目的で使用されることは合理的に予想できない。そのため、個人から同意を取得する必要がある。 |
| L’utilisation d’échanges privés entre deux personnes qui utilisent un service de réunion virtuelle en ligne pour le développement ou l’amélioration d’un modèle d’IA permettant de résumer des réunions n’entre pas dans les attentes raisonnables des personnes. | オンラインの仮想会議サービスを利用する2人の個人間のプライベートなやり取りを、会議を要約するAIモデルの開発や改善のために利用することは、個人の合理的な期待の範囲外だ。 |
| ・Le contexte et la nature du service où les données ont été collectées (par exemple, service fourni ou non par l’intermédiaire d’un système d’IA) ; | ・データが収集されたサービスの文脈と性質（例えば、AIシステムを介して提供されるサービスかどうか） |
| ・Si le traitement des données des utilisateurs n’affecte que le service fourni à l’utilisateur en question ou s’il est utilisé pour améliorer le service tel que commercialisé (par exemple, si une entreprise collecte les données collectées de ses clients afin de développer un outil qu’elle utilise seule mais qui n’est pas commercialisé par ailleurs). | ・ユーザーデータの処理が、当該ユーザーに提供されるサービスのみに影響する場合、または販売されているサービスを改善するために使用される場合（例えば、企業が顧客から収集したデータを、自社で利用するツールの開発のために収集する場合で、そのツールが別途販売されていない場合）。 |
| En cas de réutilisation de données publiées sur internet : | インターネット上に公開されたデータの再利用の場合： |
| Compte tenu des évolutions technologiques des dernières années (big data, nouveaux outils d’IA, etc.), les personnes peuvent avoir conscience que certaines des données qu’elles publient en ligne sont susceptibles d’être consultées, collectées et réutilisées par des tiers. Elles ne peuvent néanmoins pas s’attendre à ce que de tels traitements aient lieu dans toutes les situations et pour tous les types de données accessibles en ligne les concernant. Il convient notamment de tenir compte : | 近年の技術進歩（ビッグデータ、新しい AI ツールなど）を踏まえると、個人は、オンラインで公開したデータの一部が、第三者によって閲覧、収集、再利用される可能性があることを認識している場合がある。ただし、そのような処理が、あらゆる状況において、オンラインでアクセス可能な自分に関するあらゆる種類のデータに対して行われることを期待することはできない。特に、以下の点を考慮する必要がある。 |
| ・du caractère publiquement accessible des données ; | ・データの公開性 |
| ・du contexte et de la nature des sites web sources (réseaux sociaux, forums en ligne, sites de diffusion de jeux de données, etc.) | ・ソースとなるウェブサイトのコンテキストおよび性質（ソーシャルネットワーク、オンラインフォーラム、データ配信サイトなど） |
| ・des restrictions que ces sites imposent, par exemple dans les CGU, ou par la mise en place de mesures techniques comme l’utilisation de fichiers d’exclusion tels que robots.txt, ou la mise en place de mesures bloquantes comme les CAPTCHA. La CNIL considère à cet égard que le traitement ne pourra pas entrer dans les attentes raisonnables des personnes si son responsable n’exclut pas de la collecte les sites qui s’opposent clairement au moissonnage par l’intermédiaire des protocoles d’exclusion robots.txt ou des CAPTCHA. | ・これらのウェブサイトが、利用規約や、robots.txt などの除外ファイルの使用、CAPTCHA などのブロック措置の導入など、課している制限 CNIL は、この点に関して、データ処理者が、robots.txt または CAPTCHA によるスクレイピングを明確に拒否するサイトからの収集を排除しない場合、その処理は個人の合理的な期待の範囲内とはみなされないと考えている。 |
| Exemple : Si une personne met en ligne ses données sur une plateforme de partage de contenu qui interdit le scraping par l’utilisation de fichiers robots.txt, et qui indique expressément sur son site ne pas utiliser les données de ses utilisateurs pour le développement de modèles d’IA, elle ne peut pas raisonnablement s’attendre à ce que des tiers moissonnent ces données à cette fin. | 例：ある人が、robots.txtファイルを使用してスクレイピングを禁止し、そのサイト上でユーザーのデータをAIモデルの開発に使用しないことを明示的に記載しているコンテンツ共有プラットフォームに自分のデータを掲載した場合、その人は、第三者がそのデータをその目的のために収集することを合理的に期待することはできない。 |
| ・du type de publication (par exemple, un article publié sur un blog librement accessible n’a aucun caractère privé, alors qu’un post sur un réseau social publié avec des restrictions d’accès peut conserver un caractère privé pour lesquels l’internaute a moins conscience de s’exposer à une collecte et à une réutilisation par des tiers). | ・公開の種類（例えば、自由にアクセス可能なブログに掲載された記事はプライベートな性質を持たないが、アクセス制限付きのソーシャルメディアに投稿された投稿は、ユーザーが第三者による収集や再利用にさらされる可能性にあまり気づいていないため、プライベートな性質を維持する可能性がある）。 |
| ・de la nature de la relation entre la personne concernée et le responsable du traitement. | ・データ主体とデータ管理者との関係の性質。 |
| Il peut être difficile d’appréhender la multiplicité des usages possibles d’une base de données, d’un modèle, notamment en cas de diffusion ou de partage. | データベースやモデルが、特に拡散や共有された場合、その多様な利用可能性を把握することは困難である。 |
| Or, certains de ces usages peuvent sortir des attentes raisonnables des personnes, notamment en cas de réutilisation illicite dans la mesure où une personne ne pourrait pas s’attendre à ce que ses données permettent le développement de systèmes d’IA réutilisés à certaines fins. | しかし、これらの利用の一部は、特に違法な再利用の場合、個人がそのデータが特定の目的で再利用されるAIシステムの開発に利用されることを予想できないため、個人の合理的な期待の範囲を超える可能性がある。 |
| Exemple : les personnes concernées ne pourraient pas s’attendre à ce que leurs données soient utilisées pour développer un un modèle de classification d’images disponible en source ouverte, qui soit utilisé ensuite pour classer les personnes en fonction de leur orientation sexuelle. | 例：関係者は、自分のデータが、オープンソースで入手可能な画像分類モデルの開発に使用され、そのモデルがその後、性的指向に基づいて人を分類するために使用されることを予想できない。 |
| Exemple d’un traitement qui peut entrer dans les attentes raisonnables des personnes : | 個人の合理的な期待の範囲内とみなされる処理の例： |
| Un fournisseur d’agent conversationnel souhaite réutiliser les conversations futures des utilisateurs avec le système d’IA pour améliorer le modèle d’IA. Il informe précisément les personnes des risques associés à cette réutilisation dont, le cas échéant, les risques de mémorisation, en alertant sur les risques liées à la collecte de données sensibles, et leur permet de s’opposer préalablement et de manière discrétionnaire au traitement, ainsi qu’à tout moment ultérieurement, sans que cela ne porte atteinte à l’utilisation du service. Il prévoit en outre de collecter uniquement les données conversationnelles à l’exclusion de toute autre donnée concernant la personne, s’assure de pseudonymiser fortement les données collectées, , et s’assure de limiter les risques de mémorisation et de régurgitation des conversations. Dans ce cas, il peut être considéré que le traitement entre dans les attentes raisonnables des personnes. Le traitement pourra, dans ce cas, se fonder sur l’intérêt légitime sous réserve que la mise en balance soit atteinte. | 会話型エージェントのサプライヤーは、AI システムとのユーザーの将来の会話内容を再利用して、AI モデルを改善したいと考えている。この再利用に伴うリスク（必要に応じて記憶のリスクを含む）について、個人に正確に通知し、機密データの収集に関連するリスクについて警告し、サービス利用に影響を与えることなく、事前に任意で処理に反対する権利を付与する。さらに、個人に関するその他のデータを除き、会話データのみ収集し、収集したデータを高度に匿名化し、会話の記憶および再生のリスクを制限することを確保する。この場合、処理は個人の合理的な期待の範囲内であるとみなすことができる。この場合、処理は、利益の均衡が達成されることを条件として、正当な利益に基づいて行うことができる。 |
| Mesures additionnelles permettant de limiter les incidences du traitement | 処理の影響を制限するための追加措置 |
| L’organisme peut prévoir des mesures compensatoires ou additionnelles à mettre en place en vue de limiter les impacts du traitement sur les personnes concernées. Ces mesures seront souvent nécessaires pour atteindre un équilibre suffisant entre les droits et intérêts en cause et permettra au responsable du traitement de se fonder sur cette base légale. | 機関は、処理が関係者に与える影響を制限するために、補償措置または追加措置を講じることを予定することができる。これらの措置は、多くの場合、関係する権利と利益の十分な均衡を達成するために必要であり、処理責任者がこの法的根拠に基づいて処理を行うことを可能にする。 |
| Ces mesures s’ajoutent à celles qui sont nécessaires au respect des autres obligations posées par le RGPD, sans se confondre avec elles : le respect de ces dispositions est impératif, quelle que soit la base légale du traitement (minimisation des données, protection dès données dès la conception et par défaut, sécurité des données, etc., voir les fiches pratiques dédiées). Les mesures compensatoires consistent en des garanties supplémentaires aux exigences du RGPD. | これらの措置は、GDPR が定めるその他の義務の遵守に必要な措置に追加されるものであり、それらと混同してはならない。これらの規定の遵守は、処理の法的根拠にかかわらず、必須である（データの最小化、設計段階およびデフォルトでのデータ保護、データのセキュリティなど、関連する実践ガイドを参照）。補償措置とは、GDPR の要件に追加される保証のことだ。 |
| Elles peuvent être de nature technique, organisationnelle ou juridique et doivent permettre de limiter le risque d’atteinte aux intérêts, droits et libertés précédemment identifiés. | これらは、技術的、組織的、または法的措置であり、事前に特定された利益、権利、および自由の侵害のリスクを制限するものでなければならない。 |
| Les mesures suivantes ont été identifiées comme pertinentes pour limiter l’atteinte aux droits et libertés des personnes concernées. Elles doivent être adaptées aux risques lors des différents traitements au cours de la phase de développement. | 以下の措置は、関係者の権利および自由の侵害を制限するために適切であると特定されている。これらは、開発段階におけるさまざまな処理におけるリスクに合わせて調整する必要がある。 |
| Pour plus de détails sur les mesures à prendre en cas de moissonnage (web scraping) des données, voir la fiche focus dédiée. | データハーベスティング（ウェブスクレイピング）の場合に講じるべき措置の詳細については、専用のフォーカスシートを参照してください。 |
| 1. Mesures qui permettent de limiter la collecte ou la conservation de données personnelles : | 1. 個人データの収集または保存を制限するための措置： |
| ・Prévoir l’anonymisation à bref délai des données collectées ou, à défaut, la pseudonymisation des données collectées. Dans certains cas, l’anonymisation des données sera nécessaire, lorsque des données anonymes suffisent à atteindre les objectifs définis par le responsable du traitement. | ・収集したデータを速やかに匿名化するか、それが不可能な場合は収集したデータを仮名化すること。場合によっては、匿名化されたデータで処理責任者が定めた目的を達成できる場合は、データの匿名化が必要になる。 |
| Exemple : si une entreprise souhaite constituer une base de données d’apprentissage à partir de commentaires accessibles en ligne pour développer un système d’IA permettant d’évaluer la satisfaction de clients ayant acheté ses produits, la pseudonymisation des données collectées à bref délai après la collecte peut constituer une mesure additionnelle pour limiter les risques liés à la collecte de données susceptibles de révéler de nombreuses informations sur la personne à l’origine des commentaires. | 例：企業が、自社製品を購入した顧客の満足度を評価する AI システムを開発するために、オンラインでアクセス可能なコメントから学習用データベースを構築したい場合、収集したデータを収集後速やかに仮名化することは、コメントの投稿者に関する多くの情報を明らかにするおそれのあるデータの収集に関連するリスクを制限するための追加的な措置となる。 |
| ・Lorsque cela ne nuit pas à la performance du modèle développé, privilégier l’utilisation de données synthétiques. Cela peut également présenter certains avantages, notamment de rendre disponibles ou accessibles certaines données et de modéliser certaines situations spécifiques, d’éviter l’utilisation de données réelles, notamment sensibles, d’augmenter le volume de données pour l’entraînement ou encore de minimiser les risques liés à la confidentialité des données, etc. Il faut garder à l’esprit que les données synthétiques ne sont pas systématiquement anonymes. | ・開発するモデルの性能に悪影響を与えない場合は、合成データの使用を優先すべきだ。合成データを使用することには、特定のデータを利用可能またはアクセス可能にする、特定の状況をモデル化できる、実際のデータ（特に機密性の高いデータ）の使用を回避できる、トレーニング用のデータ量を増加できる、データの機密性に関するリスクを最小限に抑えることができる、などの利点もある。合成データは必ずしも匿名であるとは限らないことを念頭に置いておく必要がある。 |
| Exemple : si un fournisseur souhaite développer un système de classification d’images permettant de détecter automatiquement le port ou l’utilisation d’une arme, l’utilisation d’images de synthèse permet par exemple d’éviter la collecte de données susceptibles de présumer la commission d’une infraction ou de faire varier plus facilement les configurations possibles ou encore améliorer la représentativité de la base de données, notamment du fait de la possibilité de décliner les caractéristiques de l’image synthétique de la personne (taille, poids, couleur de peau, etc.) et de l’arme à détecter (forme, couleur, etc.). | 例：サプライヤーが、武器の所持や使用を自動的に検出する画像分類システムを開発したい場合、 合成画像を使用することで、犯罪の発生を推測させる可能性のあるデータの収集を回避したり、可能な構成を容易に変更したり、データベースの代表性を向上させたりすることができる。特に、合成画像の人物の特徴（身長、体重、肌の色など）や検出対象の武器の特徴（形状、色など）を調整できる点が有効だ。など）や検出対象武器の特性（形状、色など）を変化させることができるため、犯罪の発生を予測したり、犯罪の発生を予測したりすることができる。 |
| ・Adopter des mesures pour limiter les risques de mémorisation, d’extraction, de régurgitation, dans le cadre des IA génératives, ou d’attaque des modèles ou systèmes d’IA. Sans préjudice des évolutions technologiques qui pourront permettre l’émergence d’autres mesures, la CNIL recommande la mise en place des mesures suivantes : | ・生成型 AI における記憶、抽出、再生のリスク、または AI モデルやシステムに対する攻撃のリスクを制限するための措置を採用する。技術の発展により他の措置が登場する可能性があることを妨げることなく、CNIL は以下の措置の実施を推奨する。 |
| ・Des mesures limitant les risques de mémorisation : | ・記憶のリスクを制限する措置： |
| La suppression des données rares ou aberrantes ; | 希少または異常なデータの削除 |
| La déduplication des données d’apprentissage ; | 学習データの重複排除 |
| La réduction du rapport du nombre de paramètres du modèle sur le volume de données d’entraînement ; | モデルパラメータの数とトレーニングデータ量の比率の低減 |
| La régularisation de la fonction objectif de l’entraînement ; | トレーニングの目的関数の正規化 |
| Les algorithmes d’apprentissages permettant de garantir un certain niveau de confidentialité, comme cela peut être mesuré en terme de confidentialité différencielle ; | 差分プライバシーなどの指標で測定可能な一定のプライバシーレベルを保証する学習アルゴリズム； |
| Toute mesure visant à limiter le surapprentissage ; | 過学習を制限するためのあらゆる措置； |
| ・Des mesures limitant les risques d’extraction ou de régurgitation dans le cadre des IA génératives ou d’attaque : | ・生成AIや攻撃の文脈における抽出や再帰のリスクを制限する措置： |
| ・・Mesures qui en limitent la vraisemblance : | ・・その可能性を制限する措置： |
| Les restrictions d’accès au modèle ; | モデルへのアクセス制限； |
| Les modifications apportées aux sorties du modèle (comme les filtres par exemple, ou la limitation apportée à la précision des sorties) ; | モデル出力の変更（フィルターや出力精度の制限など） |
| Les mesures de sécurité qui visent à empêcher ou détecter des tentatives d’attaque (qui pourraient toutefois être exigées au titre d’autres obligations du RGPD) ; | 攻撃の試みを防止または検出するためのセキュリティ対策（ただし、GDPR の他の義務により要求される場合がある） |
| ・・Mesures pour en limiter la gravité : | ・・深刻度を制限するための措置： |
| Prévoir un recours juridique ou technique en cas d’extraction, de régurgitation dans le cadre des IA génératives ou d’attaque fructueuse, comme par exemple l’ouverture d’un guichet auprès du fournisseur auquel les personnes peuvent indiquer le constat d’une régurgitation. | 生成型AIまたは攻撃型AIにおける抽出、リガレーションが発生した場合の法的または技術的な対応策を講じる。例えば、リガレーションの発生を報告するための窓口をサプライヤーに設置する。 |
| Dans certains cas, l’adoption de ces mesures pourra permettre au responsable du traitement de conclure à l’impossibilité d’extraction de données personnelles ou de régurgitation, dans le cadre des IA génératives, et donc au caractère anonyme du modèle ou système développé (une fiche à venir sur le statut des d’IA au regard du RGPD doit préciser ces cas de figure). L’anonymat du modèle ou du système constituera une garantie particulièrement forte pour limiter les atteintes aux personnes dont les données sont traitées pour l’entraînement du modèle d’IA. | 場合によっては、これらの措置を採用することで、生成AIにおいて個人データの抽出や再利用が不可能であると判断し、開発されたモデルまたはシステムの匿名性を確保することができる（GDPRにおけるAIの地位に関する今後の資料で、これらのケースを明確にする必要がある）。モデルまたはシステムの匿名性は、AI モデルのトレーニングのためにデータが処理される個人に対する侵害を制限するための特に強力な保証となる。 |
| Si le responsable du traitement n’est pas en mesure de conclure au caractère anonyme du modèle ou du système développé, ces mesures constitueront tout de même des garanties additionnelles. | データ管理者が、開発されたモデルまたはシステムの匿名性を判断できない場合、これらの措置は追加の保証となる。 |
| 2. Les mesures permettant aux personnes de conserver le contrôle de leurs données | 2. 個人によるデータの管理を維持するための措置 |
| Prévoir des mesures techniques, juridiques et organisationnelles s’ajoutant aux obligations prévues par le RGPD afin de de faciliter l’exercice des droits : | RGPD で規定されている義務に加えて、権利の行使を容易にするための技術的、法的、組織的な措置を講じる。 |
| ・Prévoir un droit d'opposition discrétionnaire et préalable afin de renforcer le contrôle des personnes sur leurs données. | ・個人によるデータに対する管理を強化するため、事前の任意による反対の権利を規定する。 |
| L’exercice de ce droit pourrait être facilité par la diffusion de l’information concernant son existence sur le site du responsable du traitement, par la mise en place d’une simple case à cocher, accessible rapidement. Par exemple, les utilisateurs d’un service en ligne dont les données sont utilisées pour le développement ou l’amélioration d’un système d’IA devraient pouvoir accéder rapidement à la page leur permettant de s’opposer à la collecte de leurs données à cette fin. Le responsable du traitement devra s’assurer que la personne peut s’opposer à ce traitement sans que son utilisation du service en dépende ; | この権利の行使は、その存在に関する情報を処理責任者のウェブサイトに掲載し、簡単にアクセスできるチェックボックスを設置することで容易にする。例えば、AI システムの開発または改善のためにデータが使用されるオンラインサービスのユーザーは、その目的でのデータの収集に反対するためのページに迅速にアクセスできる必要がある。データ管理者は、そのサービスの利用に依存することなく、個人がこの処理に反対できることを確保しなければならない。 |
| En cas de collecte de données accessibles en ligne, la CNIL encourage le développement de solutions techniques permettant de faciliter le respect de l’exercice du droit d’opposition en amont de la collecte des données. Outre les dispositifs d’opt out mis en place en matière de propriété intellectuelle (voir la fiche focus sur le moissonnage), des mécanismes de « liste repoussoir » pourraient par exemple être mis en œuvre lorsque c’est adapté au traitement. Cela permettrait au responsable du traitement de respecter l’opposition des personnes en s’abstenant de collecter les données de ces dernières. | オンラインでアクセス可能なデータを収集する場合、CNIL は、データ収集に先立って反対権の行使を容易にする技術的ソリューションの開発を奨励している。知的財産権に関するオプトアウト制度（データハーベスティングに関するフォーカスシートを参照）に加え、処理に適している場合には、「拒否リスト」のような仕組みを導入することも考えられる。これにより、データ管理者は、当該個人の反対を尊重し、その個人に関するデータの収集を控えることができる。 |
| ・Prévoir un droit discrétionnaire à l’effacement des données contenues dans la base de données ; | ・データベースに含まれるデータの消去に関する裁量権を設定する。 |
| ・Mettre en place des mesures pour faciliter l’identification des personnes : des mesures techniques et organisationnelles devraient être envisagées pour conserver un certain nombre de métadonnées ou d’autres informations sur la source de la collecte des données afin de faciliter la recherche d’une personne ou d’une donnée au sein de la base. Cela sera particulièrement pertinent lorsqu’il s’agit d’informations publiquement accessibles et dont la conservation n’engendre pas de risques supplémentaires pour les personnes concernées. | ・個人を容易に特定するための措置を導入する：個人またはデータをデータベース内で検索しやすくするため、収集元に関するメタデータやその他の情報を一定量保存するための技術的および組織的な措置を検討すべきだ。これは、公開されている情報であり、その保存が関係者に追加のリスクをもたらさない場合に特に重要だ。 |
| Exemple : Dans le cas d’un jeu de données d’images constitué à partir d’un moissonnage (web scraping) de données librement accessibles en ligne sur une série limitée de sites internet, conserver le nom d’affichage et l’adresse URL de la source de chaque image ainsi collectée permettrait de faciliter l’identification des personnes. En effet, ces dernières pourraient directement fournir les adresses URL en cause en retrouvant les données les concernant à partir d’un moteur de recherche généraliste, ou d’un site ou d’une bibliothèque d’archivage du web. | 例：オンラインで自由にアクセス可能なデータからウェブスクレイピングにより作成された画像データセットの場合、収集した各画像の表示名とソースのURLを保持することで、個人の特定を容易にすることができる。実際、関係者は、一般的な検索エンジン、ウェブサイト、またはウェブアーカイブサイトから自分に関するデータを検索し、該当するURLを直接提供することができる。 |
| Mettre en place des mesures qui permettent de garantir et de faciliter l’exercice des droits des personnes lorsque le modèle est soumis au RGPD (voir la fiche à venir sur le statut des modèles d’IA au regard du RGPD) comme observer un délai raisonnable entre la diffusion ou la collecte d'un jeu de données d'entraînement et son utilisation (en particulier lorsque l'exercice des droits sur le modèle est difficile) et/ou prévoir un réentraînement périodique du modèle afin de permettre la prise en compte de l’exercice des droits lorsque le responsable de traitement dispose toujours des données d’entraînement. | モデルがGDPRの対象となる場合（GDPRにおけるAIモデルの地位に関する今後の資料を参照）、個人の権利の行使を保証し、容易にする措置を講じる。例えば、トレーニングデータセットの公開または収集からその利用までの合理的な期間を設ける（特に、モデルに関する権利の行使が困難な場合）。および/または、処理責任者が依然としてトレーニングデータを持っている場合に、権利の行使を考慮できるように、モデルの定期的な再トレーニングを計画する。 |
| Pour plus de détails sur les mesures à prendre pour l’exercice des droits, voir la fiche « Respecter et faciliter l’exercice des droits des personnes concernées ». | 権利の行使のために講じるべき措置の詳細については、「関係者の権利の行使の尊重と促進」を参照してください。 |
| ・Lorsque le modèle est partagé ou diffusé en source ouverte, identifier et mettre en place des mesures qui permettent d’assurer la transmission de l’exercice des droits à travers la chaîne des acteurs, notamment en prévoyant dans les conditions générales l’obligation de répercuter les effets de l’exercice des droits d’opposition, de rectification ou d’effacement sur les systèmes développés ultérieurement. | ・モデルがオープンソースとして共有または公開されている場合、権利行使が関係者の連鎖を通じて確実に伝達されるよう、措置を特定し実施すること。特に、反対権、訂正権、削除権の行使の効果を、後に開発されるシステムにも反映させる義務を、利用規約に明記すること。 |
| ・Faciliter la notification des droits : par exemple, lorsque cela est possible, la CNIL recommande l’usage d’interfaces de programmation applicatives (API) (en particulier dans les cas les plus à risque), ou à minima des techniques de gestion des journalisations des téléchargements de données. | ・権利の通知を容易にする：例えば、可能な場合は、CNIL はアプリケーションプログラミングインターフェース（API）（特にリスクの高い場合）の使用、または少なくともデータダウンロードのログ管理技術の使用を推奨している。 |
| ・Prévoir de communiquer plus largement sur les mises à jour des bases de données ou des modèles, par exemple dans la documentation du jeu de données ou sur le site web des fournisseurs, pour permettre aux personnes concernées de savoir dans quelle mesure leurs demandes ont été respectées. Cela implique également d’inciter les destinataires des versions antérieures à les supprimer ou à les remplacer par la dernière version. | ・データベースやモデルのアップデートについて、データセットのドキュメントやサプライヤーのウェブサイトなどで広く周知し、関係者が自分の要求がどの程度尊重されたかを知ることができるようにすること。これには、以前のバージョンの受信者に、そのバージョンを削除するか、最新バージョンに置き換えるよう促すことも含まれる。 |
| Assurer une transparence accrue concernant les traitements effectués pour le développement ou l'amélioration du système d'IA, outre les obligations prévues aux articles 12 à 14 du RGPD, en prévoyant les mesures suivantes : | AI システムの開発または改善のために実施される処理について、GDPR 第 12 条から第 14 条で規定されている義務に加え、以下の措置を講じて透明性を高めること。 |
| Fournir une information sur les risques liés à l’extraction, ou la régurgitation des données dans le cadre des IA génératives, lorsque le modèle ou le système d’IA développé est soumis au RGPD (voir la fiche à venir sur le statut des modèles d’IA au regard du RGPD) : | 生成型AIにおいて、開発されたAIモデルまたはシステムがGDPRの適用対象である場合、データの抽出または再利用に関連するリスクに関する情報を提供する（GDPRにおけるAIモデルの地位に関する今後の情報シートを参照）： |
| la nature du risque lié à l’extraction des données à partir du modèle ou du système, comme le risque de régurgitation de données dans le cas de l’IA générative ; | モデルまたはシステムからのデータ抽出に関連するリスクの性質（生成型AIの場合のデータ再利用のリスクなど） |
| les mesures prises afin de limiter ces risques, et les mécanismes de recours existants dans le cas où ces risques se manifesteraient, comme la possibilité de signaler à l’organisme une occurrence de régurgitation ou d’extraction. | これらのリスクを制限するための措置、およびこれらのリスクが発生した場合の既存の救済措置（再利用または抽出の発生を機関に報告する可能性など） |
| Prévoir la publication de l’AIPD éventuellement réalisée (cette publication pouvant être partielle lorsque certaines sections sont soumises à des secrets protégés comme le secret des affaires) ; | 作成された AIPD の公開を予定すること（一部のセクションが営業秘密などの保護対象である場合は、公開を一部制限することができる）。 |
| Prévoir la publication de toute documentation concernant la base de données constituée (par exemple sur la base du modèle proposé par la CNIL), le processus de développement, ou encore le système d’IA et son fonctionnement ; | 構築されたデータベース（例えば、CNIL が提案するモデルに基づくもの）、開発プロセス、AI システムとその機能に関するすべての文書の公開を予定すること。 |
| ・Prévoir la publication d’informations permettant une meilleure acculturation au fonctionnement de ces outils : la CNIL considère que l’acceptation par le grand public des techniques d’IA ne pourra se faire sans cela. Elle invite ainsi les acteurs du domaine, concepteurs et utilisateurs, à des efforts de transparence et de vulgarisation sur leurs pratiques, ainsi que sur le fonctionnement et les risques associés à l’utilisation des méthodes d’IA. Cela peut notamment passer par la mise en œuvre de pratiques de transparence recommandées dans le domaine, telles que : | ・これらのツールの機能に関する理解を深めるための情報の公開を計画すること：CNIL は、一般市民が AI 技術を接受するには、これが不可欠であると考えている。そのため、この分野の関係者、設計者、ユーザーに対し、その実践、および AI 方法の使用に伴う機能とリスクに関する透明性と普及に努めるよう求めている。具体的には、この分野において推奨されている透明性に関する実践、例えば以下のような実践の実施が考えられる。 |
| l’adoption des pratiques liées au développement en source ouverte, comme la publication des poids du modèle, du code source, etc. | オープンソース開発に関連する実践、例えばモデルウェイト、ソースコードなどの公開 |
| la transparence sur des pratiques qui ne sont pas liées à la protection des données, comme : | データ保護に関連しない実践に関する透明性、例えば |
| les concepts clés de l’apprentissage automatique, comme l’apprentissage, l’inférence, la mémorisation, ou les différents types d’attaque sur les systèmes d’IA ; | 機械学習の主要な概念（学習、推論、記憶、AIシステムに対するさまざまな種類の攻撃など） |
| les mesures mises en œuvre afin de limiter les utilisations malfaisantes ou dangereuses du système ; | システムの悪用や危険な使用を制限するために実施されている措置 |
| ・Mener des campagnes médiatiques pour tenter de diffuser le plus largement possible l’information auprès des personnes, notamment lorsqu’il s’agit de modèles nécessitant une collecte de grande ampleur, tels que les grands modèles de langage (ou LLM) et multiplier les formes alternatives d’information des personnes | ・メディアキャンペーンを実施して、特に大規模なデータ収集を必要とするモデル（大規模言語モデル（LLM）など）の場合、情報をできるだけ広く人々に広めるよう努める。 |
| ・Mettre en place les mesures et procédures qui garantissent un développement transparent du système d’IA, afin de permettre notamment l’auditabilité du système d’IA en phase de déploiement (documentation de l’ensemble du processus de développement, journalisation des activités, la gestion et le suivi des différentes versions du modèle, l’enregistrement des paramètres utilisés, ou encore la réalisation et la documentation d’évaluations et de tests). Cela peut également être nécessaire pour éviter les biais d’automatisation ou de confirmation en phase de déploiement. | ・AI システムの開発の透明性を確保するための措置と手順を導入し、特に AI システムの展開段階における監査可能性を確保する（開発プロセスの全工程の文書化、活動ログの記録、モデルの各バージョンの管理と追跡、使用されたパラメーターの記録、評価とテストの実施と文書化など）。これは、導入段階における自動化バイアスや確認バイアスを回避するためにも必要となる場合があります。 |
| 3. Les mesures qui permettent de limiter les risques en phase d’utilisation | 3. 使用段階におけるリスクを制限するための措置 |
| Dans le cas des systèmes d’IA à usage général, limiter le risque de réutilisation illicite du système d’IA en mettant en place des mesures techniques (par exemple, tatouage numérique des productions d’un système d’IA pour éviter l’utilisation du système à des fins trompeuses ou limitation des fonctionnalités en excluant par conception celles qui pourraient donner lieu à des utilisations illicites) et/ou juridiques (par exemple, prévoir l’interdiction contractuelle de certaines utilisations illicites ou non éthiques de la base de données ou du système d’IA, auxquelles les personnes concernées ne pourraient pas raisonnablement s’attendre). | 汎用 AI システムの場合、技術的措置（例えば、AI システムの出力にデジタルタトゥーを付与して、システムを不正な目的で使用することを防止する、または設計上、不正な使用につながる可能性のある機能を排除して機能を制限する）および/または法的措置（例えば、データベースや AI システムの一部の不正または非倫理的な使用を禁止する契約上の禁止条項を定める）を講じて、AI システムの不正な再利用のリスクを制限する。（例えば、データベースやAIシステムの一部の不正または非倫理的な使用を契約で禁止し、関係者が合理的に予想できないようにすること）。 |
| Mettre en place des licences restreignant les usages visant à réidentifier une personne. | 個人を再識別することを目的とした使用を制限するライセンスを導入する。 |
| Mettre en place des mesures permettant d’assurer la prise en compte de certains risques éthiques graves. | 特定の重大な倫理的リスクを考慮に入れるための措置を導入する。 |
| Par exemple, garantir la qualité de la base de données d'apprentissage pour limiter les risques de biais discriminatoires en phase d’utilisation notamment en assurant la représentativité des données et en vérifiant et corrigeant la présence de biais dans la base de données ou résultant des annotations effectuées (voir fiche « Annoter les données »). | 例えば、学習用データベースの品質を確保して、特にデータの代表性を確保し、データベース内のバイアスや注釈によるバイアスの有無を確認・修正することで、使用段階における差別的なバイアスのリスクを制限する（データ注釈に関するシートを参照）。 |
| 4. Autres mesures | 4. その他の措置 |
| Au regard de la gravité et de la vraisemblance des risques identifiés, mettre en place un comité éthique, ou, selon la taille et les ressources de la structure concernée, un référent éthique afin de prendre en compte, en amont et tout au long du développement de ces systèmes, les enjeux éthiques et de protection des droits et libertés des personnes concernées (pour plus d’informations, voir la fiche « Tenir compte de la protection des données dans la conception du système »). | 特定されたリスクの重大性および発生の可能性を考慮し、倫理委員会、または関連する組織の規模およびリソースに応じて、倫理担当者を設置し、これらのシステムの開発の初期段階から開発全体を通じて、 関係者の権利と自由の保護に関する倫理的課題を事前に、また開発の全過程を通じて考慮する（詳細については、「システムの設計におけるデータ保護の考慮」を参照）。 |
| Exemples | 例 |
| Exemple où l’intérêt légitime ne peut pas être mobilisé : | 正当な利益が主張できない例： |
| Un responsable de traitement souhaite développer un système d’IA génératif d’images. Il constitue la base de données d’entraînement à partir d’images collectées en ligne de manière indiscriminée sur de nombreux sites , sans s’assurer d’exclure certaines catégories de sites contenant par exemple des données sensibles comme les sites pornographiques, sans prévoir de garanties en limitant les risques de mémorisation ou d’extraction des données par le modèle, et ce, pour un objectif défini par le responsable du traitement dans sa politique de confidentialité comme « la fourniture de nouveaux services ». Dans de tels cas, il est peu probable que la mise en balance puisse être considérée comme atteinte. | データ管理者が、画像生成AIシステムを開発したいと考えている。彼は、多くのウェブサイトから無差別に収集した画像からトレーニング用データベースを作成しているが、ポルノサイトなど、機密データを含む特定の種類のサイトを排除することを確認しておらず、モデルによるデータの記憶や抽出のリスクを制限する保証も設けていない。これは、データ管理者がプライバシーポリシーで「新しいサービスの提供」と定義した目的のために行われている。このような場合、利益の均衡が侵害されるとは考えにくい。 |
| Exemples où l’intérêt légitime peut-être mobilisé : | 正当な利益が主張できる例： |
| Un réseau social proposant un forum en ligne, dont le principe même est de rendre librement accessible les échanges entre ses utilisateurs, souhaite développer un agent conversationnel qui permet de faciliter la recherche dans les publications sur la plateforme, en synthétisant notamment les résultats de la recherche en répondant à la question posée. Afin d’entraîner le modèle, il collecte les données que les utilisateurs ont rendu librement accessibles et manifestement publiques, à l’exclusion donc des données privées des utilisateurs (conversations privées, informations du compte, etc.), et met en place des garanties fortes en prévoyant notamment un mécanisme d’opposition préalable et discrétionnaire, en mettant en place une information accrue (par exemple en ajoutant une information sur la page d’accueil du site qui renvoie directement vers la possibilité de s’opposer au traitement), etc. Dans ce cas, la mise en balance pourra en général être considérée comme atteinte. Pour rappel, dans ce cas de figure, si la finalité du traitement n’était pas prévue et portée à la connaissance des personnes, il sera nécessaire d’effectuer un test de compatibilité au titre de l’article 6.4 du RGPD (voir la fiche Assurer que le traitement est licite - Définir une base légale pour plus d’informations). | オンラインフォーラムを提供するソーシャルネットワークは、その基本原則として、ユーザー間の交流を自由にアクセス可能にすることを目指しており、プラットフォーム上の投稿の検索を容易にするチャットボットを開発したいと考えている。モデルを訓練するため、ユーザーが自由にアクセス可能かつ明らかに公開したデータを収集し、ユーザーのプライベートデータ（プライベートな会話、アカウント情報など）は除外し、事前の異議申し立てや裁量権のある拒否権などの強力な保証措置を講じ、情報提供を強化する（例えば、ページに情報追加など）など、強力な保証措置を講じ、プラットフォーム上の投稿を分析してデータを収集する。など）を除き、事前に反対する権利を付与する任意のメカニズムを設け、情報提供を強化する（例えば、サイトのトップページに処理に反対する方法を直接リンクする情報を追加するなど）など、強力な保護措置を講じています。この場合、利益の衡平性は一般的に侵害されると判断される可能性があります。なお、このケースでは、処理の目的が事前に予定されておらず、個人に通知されていない場合、GDPR第6条第4項に基づく適合性評価を実施する必要がある（詳細については、「処理の合法性を確保する - 法的根拠を定める」を参照）。 |
| Un organisme souhaite développer un système d’IA génératif de texte. Il utilise pour cela exclusivement des données issues de sources librement et publiquement accessible en ligne, qui ont été manifestement rendues publiques par les personnes concernées et excluant tout contenu protégé par les droits d’auteur (contenu qui appartient au domaine public, ou pour lequel les titulaires de droit ne se sont pas opposées à la fouille de textes et de données prévue par la directive 2019/790 sur le droit d’auteur et les droits voisins dans le marché unique numérique). En outre, il prend une série de mesures permettant de limiter la mémorisation et la régurgitation de données ; il limite techniquement ou contractuellement la génération de contenu problématique ; il facilite l’exercice des droits des personnes lorsqu’elles peuvent être réidentifiées, et indique précisément les sources des données dans sa politique de confidentialité qu’il rend publique. Dans ce cas, la mise en balance pourrait en général être considérée comme atteinte. | ある機関が、テキストを生成する AI システムを開発したいと考えている。このシステムには、オンラインで自由に公開されている情報源からのデータのみを使用し、関係者が明らかに公開した、著作権で保護されていないコンテンツのみを使用している。（パブリックドメインに属するコンテンツ、または著作権者らが、2019/790 指令（デジタル単一市場における著作権および関連権利に関する指令）で定められたテキストおよびデータの検索に反対していないコンテンツ）。さらに、データの保存と再生を制限するための一連の措置を講じ、問題のあるコンテンツの生成を技術的または契約的に制限し、個人を再識別できる場合に個人の権利の行使を容易にし、公開するプライバシーポリシーにおいてデータの出典を明確に示している。この場合、一般的には、利益の均衡が侵害されているとみなされる可能性がある。 |
| Une enseigne qui utilise une caisse automatique munie d’une caméra augmentée permettant de détecter automatiquement une erreur du client lors du passage en caisse souhaite réutiliser les données collectées afin d’améliorer le système d’IA utilisé. Elle ne conserve à cette fin que des données sous une forme limitant la réidentification des personnes, et s’assure notamment d’informer le client de la mise en œuvre de ce dispositif, ainsi que de le mettre en mesure de s’y opposer de manière discrétionnaire. Dans ce cas, la mise en balance pourrait en général être considérée comme atteinte. | 顧客がレジで支払いを済ませる際に、顧客のミスを自動的に検出できる拡張カメラを搭載した自動レジを使用している小売業者は、収集したデータを AI システムの改善に再利用したいと考えている。この目的のため、個人を再識別できない形式でデータのみを保持し、特に顧客にこの措置の実施を通知し、顧客が任意に反対できる手段を提供している。この場合、利益衡量は一般的に侵害とみなされる可能性がある。 |
« フランス CNIL サイバーセキュリティ：GDPR の経済的メリット (2025.06.24) | Main | 内閣官房 国家サイバー統括室になりました...サイバーセキュリティ2025、重点計画 »
Comments