Q6.GDPRや日本の個人情報保護法（APPI）を意識するとき、AIで押さえる論点は？
回答
目的限定・データ最小化・第三者提供・越境移転・開示・削除・自動化された意思決定への対応を、処理フロー単位でマッピングします。ベンダーのサブプロセッサ一覧も確認します。
EU向けサービスや欧州居住者データがある場合、GDPRの法的根拠（同意・正当利益・契約など）とDPA（データ処理契約）が必要です。日本では、要配慮個人情報・第三者提供・越境移転（外国にある第三者への提供）のルールがAI利用で問題になりやすいです。学習への再利用禁止、オプトアウト、問い合わせ窓口を契約とポリシーに揃えます。自動化された意思決定（プロファイリング）に該当するかは法務判断が必要で、「AIが補助、人が最終決定」と設計すると説明責任が取りやすい場合があります。
- ●処理目的と保持期間の明示・同意の要否
- ●越境・サブプロセッサ・再学習の有無
- ●削除・訂正・開示請求の運用手順