EUデジタル・オムニバス提案 ―EUのAI規制戦略の大転換の足音―雑感③ / VZBV意見書ーーAI学習データの法的根拠を巡る攻防雑感

０　はじめに　

　2025年11月19日、欧州委員会は「デジタル・オムニバス（Digital Omnibus）」と呼ばれる規則案（COM(2025) 837）を提示した。これは、AIシステムの開発・運用における個人データ処理に関し、GDPR（一般データ保護規則）の改正を含んだ野心的な提案である。

　以下の続編的な位置付けも有する。いずれも1分で読める内容である。

　今回は、ドイツ消費者団体連盟（VZBV）が2025年12月8日付で公表した法的意見書（Legal Opinion: AI Systems - Legal Bases）を補助線として、この提案がもたらす実務への影響と、そこに潜む法的論点について検討する。

１　提案の背景：法的確実性の欠如と産業界の悲鳴

　生成AIの開発競争が激化する中、欧州のAI開発者は深刻な法的ジレンマに直面してきた。AIの学習データとしての個人データ利用が、GDPR第6条第1項(f)（正当な利益）に基づいて適法化されるか否かについて、監督当局や裁判所の判断が分かれていたからである。

　Luis Alberto Montezuma氏らが指摘するように、欧州のIT支出の約40%がコンプライアンス関連コストに消え、同一のルールに対し27通りの解釈が存在する現状は、スタートアップやスケールアップ企業にとって耐え難いものである。多くの企業が、自社製品がAI法の対象なのか、医療機器規制の対象なのか、あるいはその両方なのかさえ判然としない状況にある。現場の悲痛な叫びは、欧州の競争力低下を懸念したマリオ・ドラギ氏のレポートとも共鳴する。

　実際に、VZBVの意見書でも触れられている通り、ドイツ国内ですらケルン高等裁判所（2025年5月23日判決）はMeta社のAIトレーニングを適法とする一方、シュレースヴィヒ高等裁判所（2025年8月12日判決）は違反の可能性を示唆するなど、司法判断の分断が生じていた。この不確実性を解消するための回答が、今回のデジタル・オムニバスであった。

２　Art 88c：技術中立性の放棄と「AIシステム」の定義

　VZBV意見書がまず強い懸念を示しているのが、GDPRの根幹である「技術中立性」からの逸脱である。今回の提案は、AI法（AI Act）第3条第1項で定義される「AIシステム」の開発・運用という特定の技術的文脈に対し、特別な法的基盤（改正案第88c条）を与えようとするものである。

　問題は、この「AIシステム」の定義が極めて広範である点である。意見書はこれを「際限のない特別法域（boundless special legal zone）」を作り出すものだと批判している。現代のシステム開発において「AIの文脈」と無縁な処理は稀であり、実質的にあらゆるデータ処理がこの特例の射程に入りかねない。

　意見書では、AWS上のBNPL（後払い決済）与信スコアリングシステムを例に挙げ、Amazon SageMaker（AIモデル構築）、Lambda（関数実行）、DynamoDB（データベース）等が複雑に連携する「システム・オブ・システムズ（System of Systems）」の実態を示している。このようなアーキテクチャにおいて、どこまでが特権的な「AIシステム」で、どこからが通常のソフトウェアなのか、その境界線を法的に画定することは極めて困難である。静的な「製品」概念を前提とするAI法の定義を、動的な処理を規律するGDPRに持ち込むことには構造的な無理が生じていると言わざるを得ない。

３　規範的テキストとリサイタルの乖離

　実務家として最も注視すべきは、保護要件の配置場所に関する法技術的なトリックであろう。提案された第88c条（規範的テキスト）には、「無条件の異議申立権」や「透明性の強化」といった文言が並ぶ。しかし、実効的な保護に不可欠な具体的要件の多くは、法的拘束力のない「リサイタル（前文）」に記述されているに過ぎない。

　具体的には、以下の要素が前文（Recital 30, 31）にのみ記述されている。技術的なオプトアウト信号（robots.txt等）の尊重、利益衡量の基準となる「社会全体（society at large）」への利益、「合理的な期待（reasonable expectations）」の解釈、である。

　VZBVはこれを「規制上のごまかし（regulatory artifice）」と断じている。拘束力のない前文に要件を逃がすことで、データ管理者には広範な裁量を与えつつ、データ主体からは実効的な権利行使の手段を奪う構造になっているからである。特に「社会全体への利益」という基準は、AIシステムのリスク（これはAI法で扱われる）を捨象し、商業的利益を「公益」の名で隠す役割を果たしかねない。

４　Art 9(2)(k)：機微データ保護の「逆転」

　さらに衝撃的なのが、機微データ（センシティブデータ）の処理禁止に対する例外を設ける第9条第2項(k)および第5項の提案である。この規定は、技術的・組織的対策を講じてもなおデータセットに機微データが「残留（residual）」してしまう場合、一定の条件下でその処理を容認するものである。

　VZBVはこれを「保護ロジックの逆転」と厳しく批判している。従来のデータ保護法理（およびGDPR第24条）では、大規模な処理であればあるほどリスクが高まり、厳格な保護が求められる。しかし本提案は、「データ量が膨大で個別の選別が困難である」という事実をもって、逆に規制緩和を正当化しようとしている。

　これは、直近のRussmedia事件（CJEU 2025年12月2日判決）で示された「プロアクティブな確認義務」の法理とも緊張関係にある。同判決において欧州司法裁判所は、プラットフォーム上のセンシティブデータについて事業者による事前の確認義務を示唆しており、事後的な「残留」を許容する改正案とは相容れない可能性がある。本提案は、必要性（Necessity）の原則を侵食し、なし崩し的なデータ利用を追認するものになりかねない。

５　展望とVZBVの対案

　こうした欠陥に対し、VZBVは現在の第9条第2項(k)案を削除し、代わりにAI学習に特化した「第6条a」の新設を提言している。そこでは、合成データや匿名化データでは目的が達成できないことの証明（補充性）や、登録ユーザー以外も行使可能な実効的なオプトアウト手段の提供、未成年者の同意要件などがセットで提案されている。

　欧州委員会の提案は、イノベーション促進という政治的要請に強く突き動かされたものであるが、その手法としてGDPRの基本原則を修正しようとする試みは、パンドラの箱を開ける行為に等しい。「法的確実性」の名の下に個人の権利保護が空洞化されるのか、それともVZBVが提唱するようなSui Generis（独自）の規制枠組みへと修正が図られるのか。2025年の瀬戸際において、欧州のデータ法制は重大な岐路に立っていると言えるだろう。

（その他参考）

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。