2026年11月12日、イベロアメリカ・データ保護ネットワーク（RIPD）は「AIシステムにおける個人データ利用に関するイベロアメリカ基準」を全会一致で採択し、スペイン・データ保護庁（AEPD）が同日発表した。この文書はラテンアメリカ、スペイン、ポルトガルの6億人以上を対象とし、AIにおける個人データ保護を体系的に定めた世界初の国際文書である。新しい法律を作るものではないが、各国のデータ保護当局がAIについて共有する立場を、項目ごとに照合できる文書にした。
公開データは無料の学習素材ではない
最も直接的なルールはこうだ。個人データがネット上で公開されていても、AIの学習に使ってよいことにはならない。使うには法的根拠が必要で、本人が公開したときに合理的に想定できた範囲も考慮しなければならない。ネットで見られる投稿、履歴書、写真が、自動的に学習データになるわけではない。AIが推論したデータも個人データである。システムが一見中立な情報から健康状態、政治的見解、性的指向を推論する場合、機微データとして強化された保護を受けなければならない。推論には不確実性が伴い、推測を確定した結論として扱ってはならない。
顧客データでモデルを学習させる前に、許可の有無を確認する
基準は責任の連鎖を細かく切り分ける。ベンダーが顧客データを使って自社モデルを学習・改善するには、まず十分な法的根拠が必要である。第三者のAIシステムを使った企業も、責任をベンダーに押し付けることはできない。目的と主要な手段を決めた者が責任を負う。透明性も厳しくなった。ページの隅に「AIを使用しています」と一言書くだけでは、情報提供義務を果たしたことにはならない。企業は一般の人が理解できる言葉で、システムの用途と結果を説明しなければならず、営業秘密は説明しない理由にならない。すでに学習済みのモデルについて、個人は自分のデータが使われたかどうかを知る権利、自動化された決定に異議を唱え、真の人間による介入を求める権利を持つ。AIの提案に判を押すだけの審査は、有効な介入にはならない。個人データを完全に削除できない場合、理由を説明し、本人に通知し、そのデータを今後の学習から除外しなければならない。
ラテンアメリカでAI事業をするなら、まずこの4点を確認する
第一に、学習データの出所を棚卸しする。どれが公開されたネット上のものか、法的根拠はあるか、本人が公開したときに合理的に想定できた範囲は何か。第二に、ベンダーとの契約を見直し、顧客データをベンダー自身のモデルの学習に使えるかどうかを確認する。明確な許可がなければ、まず利用を止めて再交渉する。第三に、自動化された意思決定のプロセスを確認する。融資、採用、カスタマーサービスの振り分けにおいて、人間による見直しがAIの結論を本当に覆せるのか、それとも形式だけなのか。第四に、プライバシーポリシーと製品の表示を改め、「AIを何に使い、どんな結果をもたらすか」をユーザーが理解できる場所に書く。
この基準自体に直接の拘束力はなく、各国の法律と並行する新たな義務を生み出すものでもない。その位置づけは、各国規制当局の共通の解釈である。しかし、まさにそこにリスクがある。ラテンアメリカ各国のデータ保護当局は、法執行や立法の際にこの基準を参照する。今日の「提言」が、明日の処分の根拠になる可能性がある。適用範囲にも限りがある。イベロアメリカ加盟国だけを対象とし、EUや米国に当てはめることはできない。EU域内では引き続きGDPRとAI法が適用される。欧州の法執行はすでに先行している。Scale AIは、noybからGDPR違反の疑いで告発された。ラテンアメリカでAI製品を展開する企業は、各国の立法を待つのではなく、この基準をコンプライアンスの最低ラインとして使うべきである。
