LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

自社のシステムはAIを使っていないから、自動化された決定の規制とは関係がない。最後は人が判断しているから、プログラムは補助にすぎない——。海外の個人情報保護の規制について、企業ではこうした受け止め方が起こりがちです。豪州のADM透明性義務とは、個人の権利や利益に重大な影響を及ぼしうる決定にコンピュータープログラムを使う場合に、プログラムによる決定、つまり自動化決定（ADM）について3つの項目をプライバシーポリシーに書くよう求める義務です。^*1

2024年の法改正（Privacy and Other Legislation Amendment Act 2024）で、豪州のプライバシー法のAPP 1（オーストラリア・プライバシー原則の第1原則）に第1.7項から第1.9項が加わり、2026年12月10日に施行されます。対象となるプログラムは表計算ソフトの計算式まで含みうる広さですが、何でも対象になるわけではなく、プログラムが決定にどう関わるかで対象が絞られています。本記事では、豪州に利用者を持つ企業や、そうしたシステムの開発を受託する立場の方に向けて、ポリシーに書く3つの項目、対象となるプログラム、「実質的かつ直接的」と「重大な影響」の意味、そして外部に委託するときに確認したい点を整理します。

豪州のADM透明性義務とは

豪州情報コミッショナー室（OAIC、個人情報保護を所管する機関）は、APP 1のガイドラインのページで、自動化された決定に関する新しいAPP 1の義務が2026年12月10日に施行されると説明しています。^*1 根拠は、この改正で設けられたプライバシー法の附則1の第1.7項、第1.8項、第1.9項です。第1.7項が対象になる条件を、第1.8項がポリシーに書く項目を、第1.9項が決定や影響の意味を定めています。

同じページによると、個人の権利または利益に重大な影響を及ぼすと合理的に見込まれる決定を行うために、個人情報を用いるコンピュータープログラムを手配している場合、APP entity（この原則に従う義務を負う事業者や機関）は、プライバシーポリシーに一定の情報を含めることが求められます。全体を図にまとめると、次のようになります。

ポリシーに書く3つの項目

書く内容は、OAICの論点整理（Issues Paper、意見を募るために論点をまとめた文書）に整理されています。^*2 施行日からは、プライバシーポリシーに次の3つの情報を開示する必要があるとされています。

3つのうち、実務で見落としやすいのは(3)です。(2)が、人が関わらずにプログラムだけで行う決定を指すのに対して、(3)は人が最終的な判断を下す決定まで含みます。判断を支える処理をプログラムが担っているなら、その決定の種類をポリシーに書くことになります。

「コンピュータープログラム」はどこまで含むのか

実務への影響がいちばん大きいのが、この語の広さです。OAICの論点整理は、コンピュータープログラムの意味は広く解されることが意図されているとし、立法趣旨説明（法案とともに政府が示した説明書）の第336項を引いています。^*2 APP 1.7(a)の「コンピュータープログラム」は通常の意味で使われ、事前にプログラムされたルールベースの処理、人工知能、機械学習の処理まで幅広く含むことが意図されている、という説明です。

そのうえでOAICは、広く使われているソフトウェア、アプリ、文書作成ツールを含む多様な技術が定義に当たりうるとしています。さらに、テキスト、画像、動画、コード、要約を生成する生成AIツールは、チャットボットを含めて、いずれもADM義務における「コンピュータープログラム」の定義に当たると述べています。

裏を返すと、「AIは使っていません」という説明だけでは対象から外れません。社内の既存システムに組み込まれた点数計算や、しきい値（ある値を超えたら次の処理に進める基準）による判定も、条件を満たせば対象に入ります。一方で、対象を絞る言葉も置かれています。OAICは、コンピュータープログラムが広い概念である一方、APP 1.7(a)は「決定を行うことに実質的かつ直接的に関係する」ものに限る形で、プログラムの種類を狭めていると指摘しています。^*2

ほかの法域と比べると、この書き方の特徴が分かります。ミネソタ州法やコネチカット州法は、個人の傾向を分析する処理（プロファイリング）を中心に、決定への異議や影響評価を求める形で組み立てられています。豪州は、技術の呼び名ではなく、プログラムが決定にどう関わっているかで対象を決める書き方です。

「実質的かつ直接的」とは

OAICは、立法趣旨説明の第337項を引いて、この語の趣旨を説明しています。^*2 「決定を行うことに実質的かつ直接的に関係する事柄を行う」という表現は、コンピュータープログラムが人間の意思決定者に決定を推奨したり、判断を導いたりするために使われうる場面を想定した表現だ、とされています。対象になるのは、実質的であることと直接的であることの両方を満たす場合です。

実質的（substantially）とは、プログラムの処理が、人の意思決定を促すうえで鍵となる要素である場合を指します。直接的（directly）とは、その事柄が、決定を行うことと直接のつながりを持つ場合を指します。

OAICは具体例を挙げています。表計算ソフトに組んだ計算式で、家庭内暴力の危機ホットラインへの電話を採点して優先度を振り分け、それが、人の意思決定者がどの順で対応するかを決める鍵となる要素であった場合、決定に「直接的に関係し」かつ「実質的に関係する」と考えられるとしています。^*2 反対に、同じ計算式が、入力された生年月日から年齢を算出するだけに使われている場合は、決定に「直接的に関係する」とはいえるかもしれないが、「実質的に関係する」とはいえないとされています。

この対比は、自社の処理をどの細かさで洗い出すかを決めるときに役立ちます。「どのシステムがAIか」ではなく、「どの処理が判断の鍵になっているか」で一覧を作ることになるからです。

OAICは、判断が難しい例も示しています。^*2 生成AIのチャットボットに候補者のプロフィールを要約させ、適格性の推奨を受けながら、最終判断は常に人が行うという架空の事例です。OAICは、これが「実質的かつ直接的に関係する」といえるかを、意見募集の質問にしています。要約や推奨を生成AIに任せる構成は、まさにこの問いが当てはまる形です。

「重大な影響」とは

もうひとつの条件がAPP 1.7(b)です。決定が、個人の権利または利益に重大な影響を及ぼすと合理的に見込まれることが求められます。^*2 OAICは、APP 1.9(c)が、権利または利益が不利に影響される場合でも、有利に影響される場合でも当たりうることを示していると説明しています。本人に有利な決定も含む点は、見落としやすいところです。

APP 1.9(d)は、権利または利益に影響しうる決定の種類を示しています。OAICが挙げる区分は3つです。^*2 法令または法定文書の規定に基づいて、個人に給付を与える、または与えないことを決める決定。契約、合意または取決めに基づく個人の権利に影響する決定。そして、重要なサービスまたは支援へのアクセスに影響する決定です。立法趣旨説明の例としては、入国の許否や住宅手当の受給資格、生命保険契約、医療サービスへのアクセスが挙げられています。

広告や配信についても言及があります。コンピュータープログラムを使って、個人ごとにコンテンツや広告を出し分けること（ターゲティング）は、たとえば重要な商品やサービスの提供やアクセスについて価格差を生じさせる場合や、雇用機会へのアクセスを制限する場合には、個人に重大な影響を及ぼしうるとされています。^*2

この点は、ニューヨーク市のAI採用規制と重なります。求人広告の出し分けを採用の候補者選びに使う場合、豪州とニューヨーク市では求められる文書が違うため、同じ資料で両方の要件を満たせるとは限りません。

どう進めるのか

対応を進める順序は、5つに分けると整理しやすくなります。第一は、対象になる決定の洗い出しです。「AIを使っている箇所」から探すのではなく、「豪州の個人について、権利や利益に重大な影響を及ぼしうる決定」を先に一覧にします。給付、契約上の権利、重要なサービスへのアクセスに関わる決定が出発点です。

第二は、判断の鍵になっている処理の特定です。一覧にした決定ごとに、点数計算、しきい値、優先度の振り分け、要約や推奨といった、人の判断を促す鍵になっている処理を書き出します。第三は、ポリシーの文面です。APP 1.8の3項目に沿って、使う個人情報の種類、プログラムだけで行う決定の種類、人が決めるものの実質的かつ直接的に関係する処理がある決定の種類を書きます。

第四は、更新の仕組みです。対象になる処理は、機能の追加や廃止で増えたり減ったりします。ポリシーの記載と実装の対応表を持ち、リリースのたびに突き合わせる運用にしておくと、記載漏れが残りにくくなります。

第五は、ほかの法域との突き合わせです。米国の州ごとのAI規制や中国の個人情報保護の監査（合規審計）で求められる文書とは、書く内容の細かさが違います。1つの一覧から各法域の記載を作れるようにしておくと、法令が改定されるたびの作業が減ります。

外部に委託するときに確認しておきたい点

洗い出しやシステムの改修を外部に委託する場合は、次の3点を委託先とすり合わせておくと、食い違いを防ぎやすくなります。まず、どこまでを洗い出しの対象にするかです。表計算ソフトのマクロや、業務部門が作った集計シートまで含めるかどうかで、必要な工数が大きく変わります。

次に、生成AIの使い方の洗い出しです。要約や推奨に生成AIを挟んでいる箇所は、OAICが判断の難しい例として挙げた構成に当たります。どの業務で何を要約させ、その結果を誰がどう使っているかを、後から確認できる形で記録しておくことが大切です。

最後に、期限から逆算することです。施行は2026年12月10日です。ガイダンスの公表を待ってから洗い出しを始めると、施行に間に合わない可能性があるため、洗い出しは先に進めておくほうが現実的です。適用の判定と成果物の中身は事情によって変わるので、法務の確認を挟みながら進めてください。

まとめ：豪州のADM義務で確かめておきたい3つの点

豪州のADM透明性義務に対応するうえで、確かめておきたい点は3つに整理できます。第一に、2026年12月10日から、プログラムで使う個人情報の種類と、プログラムが行う決定や関係する決定の種類を、プライバシーポリシーに書く必要があること。第二に、対象のコンピュータープログラムはルールベースの処理や表計算ソフト、生成AIまで含みうる一方で、決定に実質的かつ直接的に関係するものに絞られること。第三に、重大な影響には有利な影響も含まれ、給付、契約上の権利、重要なサービスへのアクセスに関わる決定が例に挙がっていることです。この3点を踏まえておけば、「AIを使っていないので関係ないと考えていたら、ポリシーの記載が漏れていた」という事態を避けやすくなります。対象の洗い出しに迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Office of the Australian Information Commissioner「Chapter 1: APP 1 Open and transparent management of personal information（APP Guidelines）」（https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-1-app-1-open-and-transparent-management-of-personal-information）。自動化された決定に関する新しいAPP 1の義務が2026年12月10日に施行されること、当該義務がPrivacy and Other Legislation Amendment Act 2024によりプライバシー法の附則1に設けられた第1.7項・第1.8項・第1.9項であること、および個人の権利または利益に重大な影響を及ぼすと合理的に見込まれる決定を行うために個人情報を用いるコンピュータープログラムを手配している場合にAPP entityがプライバシーポリシーに一定の情報を含めることを求められることの一次情報として。確認日は2026年8月27日。（2026年9月確認）
2. *2　参考：Office of the Australian Information Commissioner「Automated Decision-Making Transparency Obligation (APP 1) Issues Paper（2026年5月18日）」（https://www.oaic.gov.au/__data/assets/pdf_file/0027/263925/ADM-Issues-Paper.pdf）。施行日から開示が必要となる3つの情報、コンピュータープログラムの意味を広く解する趣旨と立法趣旨説明第336項の引用、生成AIのチャットボットが定義に当たりうること、APP 1.7(a)が実質的かつ直接的に関係するものに絞ること、立法趣旨説明第337項に基づく実質的と直接的の説明、危機ホットラインの通報を採点する例と年齢の算出・合計の例の対比、生成AIに要約と推奨をさせ人が最終判断する架空事例に関する質問、APP 1.9(c)(d)の説明と立法趣旨説明の例、ターゲティングの例示、他の枠組みとの関係、ならびにガイダンスを2026年9月までに公表する意向と意見募集の提出期限（2026年6月15日）の一次情報として。確認日は2026年8月27日。（2026年9月確認）

Tweet