10月23日、madrobot.blogが「EU governments back letting AI companies train on Europeans' personal data without consent」と題した記事を公開した。EU加盟国がGDPRを改正し、AI企業がユーザーの同意なしに個人データをAI学習に利用できる根拠を法律に明記する方向で合意したことを報じている。数年前にSNSに投稿した自分のデータや、AIサービスを一度も使ったことがないユーザーのデータまでが対象になりうるという点で、欧州市民にとって直接的な含意を持つ動きだ。

EU理事会がGDPR改正案に合意——AI学習への「同意不要」を法制化へ

EU加盟27カ国の大使で構成される常駐代表委員会（Coreper）は、「デジタル・オムニバス」と呼ばれる規制パッケージのGDPR関連部分について、EU理事会としての交渉方針を合意した。この条項が最終的に法制化されれば、AI企業は欧州市民の個人データをAIシステムの開発・運用に利用する際、同意を取らなくても「正当な利益（legitimate interest）」を根拠に処理できるようになる。

現時点では法律ではない。EU理事会の合意は欧州議会との三者協議（トリローグ）に向けた交渉マンデートであり、欧州議会が独自の立場を固めた後、欧州委員会を交えた三者協議で最終版が決まる。トリローグのプロセスについては欧州議会の解説ページも参照されたい。

「正当な利益」とは何か

GDPRには個人データ処理を正当化する6つの法的根拠がある。そのうちの一つ「正当な利益（Article 6(1)(f)）」は、本人の同意を必要とせず、企業が自社の利益と本人の権利を天秤にかけて判断する仕組みだ。本人には異議申し立て（opt-out）の権利があるが、企業側が「やむを得ない正当な理由」を示せば申し立てを退けることができる。

Metaは2025年5月、EU域内の成人ユーザーのFacebook・Instagramへの公開投稿をAI学習に利用する際にこの根拠を使用した。このため欧州ユーザーには異議申し立てフォームが提供されているが、それ以外の地域のユーザーには存在しない。今回の改正案はこの法的根拠を条文として明記するもので、すべてのAI開発者が同じ立場を得ることになる。

理事会が削除・修正した内容

欧州委員会が2025年11月に提案した原案（Article 88c）と比べ、理事会案にはいくつかの重要な変更がある。なお、この提案は2025年11月時点のものであり、本記事執筆時点（2026年10月）ではすでに理事会による修正を経た段階にある。

原案にあった「データ主体には異議申し立ての無条件の権利がある」という文言が削除された。代わりに「適切な技術的・組織的措置及び保護手段を講じること、Article 21に基づく異議申し立ての権利を含む」という表現に置き換えられた。Article 21のもとでは、企業が「やむを得ない正当な根拠」を示せば異議を退けられるため、実質的に権利が弱まる構造だ。

一方で理事会は、「AI開発・運用それ自体は正当な利益を構成しない」「各ケースに応じた個別判断が必要」「特に対象者が子どもの場合、本人の権利が企業の利益に優先する」といった留保条件も加えた。健康情報や宗教的信条などのセンシティブデータについては、学習データセットに「偶発的・残存的に」含まれた場合に限り例外扱いとし、発見次第削除するか、出力推定や第三者への提供に使わないことを義務付けている。

プライバシー団体は「デジタル収奪」と批判

ウィーンを拠点とするプライバシー擁護団体**noyb**（代表：Max Schrems）は、ドイツなど主要加盟国がこの条項を支持したと指摘し、強く反発している。以下はnoybおよびSchremsの主張であり、批判的見解の一つとして紹介する。

GoogleやMeta、Microsoftは、何らかの「AI」要素を含むプロジェクトであれば、ほぼ無制限に収集済みのデータを利用できるようになる。EU加盟国が米国ビッグテックにこれほどの贈り物をしたことはかつてなかった。

— Max Schrems（noyb代表）

Schremsはさらに、この条項が特定の目的ではなく「AI」という技術カテゴリ全体を正当化するものだと主張する。つまり、数年前に投稿したデータや、AIサービスを一度も使ったことがない人のデータにまで適用されうる。

Excelスプレッドシートでやれば違法なことが、AIエージェントでやれば合法になる。高リスク技術を他のすべてのコンピューターシステムより優遇するのは、まったく馬鹿げている。

— Max Schrems（noyb代表）

noybはまた、EU理事会議長国であるアイルランドが米国・中国の主要AI企業のEU本社を多数抱えていることも指摘している。

エンジニアが押さえるべき実務的影響

この規則が最終的に成立した場合、EU・EEA（欧州経済領域）域内のユーザーのデータを処理するすべての企業に適用される。企業の所在地は問わない。日本企業でも欧州ユーザーを持つサービスは対象になりうる。なお、英国は独自のUK GDPRを持つため、今回の改正の影響を直接受けない。

欧州議会が独自の立場を採択した後に三者協議が始まり、条文はまだ変わる余地がある。同意不要でのAI学習が欧州で「当然の前提」になるかどうかは、欧州議会の対応次第だ。GDPRの現行条文についてはEUR-Lexの公式テキストも参照されたい。

詳細はEU governments back letting AI companies train on Europeans' personal data without consentを参照していただきたい。