LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

AIの規制というと、モデルの性能や用途の分類を思い浮かべます。英国が線を引いたのは、そこではありません。決定に人がどれだけ関わっているかです。

データ保護法2018（AIおよび自動意思決定に関する実務規範）規則2026が2026年4月16日に制定され、4月21日に議会へ提出、提出から21日後の5月12日に施行しました*1。情報コミッショナー（ICO）に、AIと自動意思決定についての実務規範を作らせる規則です*1。

土台には、データ利用・アクセス法2025が入れ替えた自動意思決定の規定があります*2。まず、その判定の仕組みから見ていきます。

「意味のある人の関与」があるかで分かれる

まず全体像です*1*2。

データ利用・アクセス法2025の第80条は、UK GDPRの旧第22条（プロファイリングを含む自動化された個人に関する意思決定）を丸ごと置き換え、第22A条から第22D条を置きました*2。

第22A条第1項が定義です*2。決定が単独の自動処理に基づくのは、その決定を行うにあたり意味のある人の関与がない場合とされました*2。旧規定の「solely on automated processing」に、meaningful human involvementという基準を明文で結び付けた形です*2。

第2項は、判断の手がかりを1つ示します*2。意味のある人の関与があるかを考えるとき、その決定がどの程度プロファイリングによって到達されたかを、他の事情とあわせて考慮しなければならない*2。人が最後に承認ボタンを押していても、判断の実質がプロファイリングで決まっているなら、関与が薄いと評価されうる書き方です*2。

もう一方の軸が重要な決定です*2。第22A条第1項(b)は、データ主体に法的効果を生じる決定、または同様に重大な影響を及ぼす決定と定めました*2。法執行の処理を扱う法2018の第50A条では、不利な法的効果、同様に重大な不利な影響と、不利益に限定されています*2。

この2つが重なったときに、次章の措置が要ります*2。逆に言えば、人の関与を実質的に残すか、決定の重要性を下げるかで、要件の外に出る設計もありうる、ということです*2。

当たった場合に必要な4つの措置

第22C条第1項は、管理者により、または管理者のために行われる重要な決定が、全部または一部が個人データに基づき、かつ単独の自動処理に基づく場合に、データ主体の権利、自由、正当な利益のための保護措置を整えることを求めます*2。

4つはいずれもできるようにする（enable）という書き方です*2。窓口があるだけでは足りず、実際に到達できる導線が要ると読めます*2。

禁止の側も置かれました*2。第22B条第1項は、第9条第1項に述べる処理（特別な種類の個人データの処理）に全部または一部が基づく重要な決定は、単独の自動処理に基づいて行ってはならないとしています*2。例外は2つで、データ主体が明示的な同意を与えた個人データの処理に全部が基づく場合と、契約の締結や履行に必要、または法により求められもしくは認められる決定であって、第9条第2項(g)が適用される場合です*2。

第22B条第4項も見落とせません*2。決定の目的で決定者により、または決定者のために行われる個人データの処理が、全部または一部、第6条第1項(ea)に依拠して行われる場合、その重要な決定は単独の自動処理では行えません*2。適法性の根拠によって、自動化の可否が変わる構造です*2。

第22D条は、大臣が規則で細目を足せるようにしました*2。意味のある人の関与があるとみなす場合・みなさない場合、同様に重大な影響を及ぼすとみなす決定の類型、そして第22C条第2項に加える措置や、その実施の方法・時期に関する要求、逆に(a)から(d)を満たさないとみなす措置です*2。ただし第4項により、これらの規則で第22C条そのものを改正することはできません*2。

規則2026は、ICOに規範づくりを命じた

ここで本題の規則に戻ります*1。

第2条第1項は、コミッショナーに対し、関連するデータ保護法令に基づく個人データの取扱いのうち、(a)人工知能の開発と利用、(b)自動意思決定に関するものについて、良い実務の指針を示す適切な実務規範を作成しなければならないと定めました*1。

第2項が、内容の指定です*1。その実務規範には、子どもの個人データの取扱いにおける良い実務についての指針を含めなければならない*1。年齢という軸を、AIの規範に最初から埋め込んだ形です*1。

用語の範囲も明示されました*1。関連するデータ保護法令とは、UK GDPRとデータ保護法2018（ただし同法第4部を除く）です*1。第4部は情報機関による取扱いを扱う部分で、規範の対象から外れます*1。

自動意思決定の定義は、前章とつながります*1。UK GDPR第22C条第1項が適用される意思決定、またはデータ保護法2018第50C条第1項が適用される意思決定です*1。つまり、規範が扱うのは単独の自動処理による重要な決定の領域です*1。

根拠となる権限は、いずれもデータ利用・アクセス法2025で新設されたものです*1*3。第124A条第1項は、大臣の規則により求められた場合、コミッショナーは個人データの取扱いの良い実務についての指針を示す適切な実務規範を作らなければならないとし、第2項は、その規則が規範が関係する個人データまたは取扱いを記述しなければならないこと、関係する者や者の類型を記述してもよいことを定めます*3。

作成の手続きも法の側にあります*3。第124A条第4項により、コミッショナーは規範や改正を作る前に、大臣と、適切と考える範囲で業界団体、データ主体、データ主体の利益を代表すると考えられる者に諮問します*3。規則自体は否定的決議手続に服します*3。

合議体を置くが、国家安全保障の部分は外す

規則2026で目を引くのが第3条です*1。

データ保護法2018の第124B条は、規範の作成や改正にあたり、コミッショナーが合議体（panel）を設けることを求める規定です*3。規則第3条は、この第124B条が規則第2条による規範に適用されるにあたり、第7項の後に次を挿入したものとして扱うとしました*1。合議体は、規範のうち国家安全保障に関わる側面を検討し、または報告してはならない*1。

合議体の仕組みは、それ自体が新しい設計です*3。第124B条第3項は、構成員を規範の主題について専門性を持つとコミッショナーが考える者と、規範により影響を受ける可能性が高い、またはそうした者を代表するとコミッショナーが考える者の両方から選ぶこととしました*3。

透明性の要求も具体的です*3。第4項は、合議体が検討を始める前に、コミッショナーが規範の草案を公表し、あわせて合議体を設けた旨、構成員の氏名、選定の過程、選定の理由を述べた声明を公表することを求めます*3。交代があった場合も、同様の公表が要ります*3。

第7項は、コミッショナーが構成員が互いに規範を検討するための取決めと、合議体が定められた合理的な期間内に報告を作成し提出するための取決めを行うこととします*3。第8項は、報告を受けたコミッショナーが、合理的に実行可能な限りすみやかに、報告に照らして適切と考える変更を規範に加え、規範の草案と、報告またはその要約を公表することを求めました*3。

規範づくりの過程が、ここまで手続き化されている点は参考になります*3。誰が、なぜ選ばれ、何を報告し、それをどう反映したかが外から追える形です*3。近い発想は、豪州が方針を監査可能な形で書かせたMy Health Records規則2026にも見られました*3。

実装側から見た論点

この制度から、システムを作る側が読み取れる論点を挙げます*2。

第一に、人の関与を設計として記述できるかです*2。第22A条は、人の関与が「意味のある」ものかどうかを問います*2。画面に承認のボタンがある、という事実だけでは足りません*2。担当者が何を見て、どの範囲で覆せるのかを、画面と権限の設計として説明できる状態が要ります*2。

第二に、4つの措置を機能として持つことです*2。情報の提供、意見の申述、人による介入、異議の申立ては、いずれも利用者側の動線です*2。決定の通知に、理由の説明と申立ての導線を同梱する設計が素直です*2。後から追加すると、通知のテンプレートと受付の窓口を作り直すことになります*2。

第三に、適法性の根拠と自動化の可否が連動する点です*2。第22B条第4項により、第6条第1項(ea)に依拠する処理では、重要な決定を単独の自動処理で行えません*2。処理の根拠を記録に持ち、根拠に応じて自動化の可否を切り替えられる構造にしておくと、後の判定が容易になります*2。

第四に、特別な種類のデータの混入です*2。第22B条第1項は「全部または一部が基づく」と書いています*2。学習や推論の入力に、健康や信条に関わる項目が間接的に入り込んでいないかを、特徴量の一覧として管理する必要があります*2。同種の論点は、米国OMBの偏りのないAIの原則でも扱われていました*2。

日本の受託開発では、どう備えるか

この規則と法は英国の制度で、日本の事業者に直接の義務を課すものではありません*1*2*3。ただし、英国に利用者を持つサービスでは、判定の対象に入りえます*2。

第一に、決定の一覧を作ることです*2。自社のサービスの中で、利用者に対して行われる「決定」を列挙し、それぞれについて自動化の度合いと影響の大きさを評価します*2。与信、審査、価格の提示、コンテンツの制限、アカウントの停止などが候補になります*2。

第二に、覆せる範囲を定義することです*2。人による介入を求められたときに、担当者が何をどこまで変えられるのかが決まっていないと、形だけの介入になります*2。差し戻しの手順、判断の記録、再実行の仕組みまでを一続きで設計します*2。

第三に、子どもの扱いを分けることです*2。規則は、規範に子どもの個人データの取扱いに関する指針を含めることを求めました*1。年齢の推定や申告をどう扱うか、年齢に応じて機能をどう変えるかは、後付けが難しい領域です*1。

第四に、規範の公表を待つ姿勢を決めることです*1。規則は規範の作成を義務づけたにとどまり、中身はこれから草案として公表されます*1。草案と合議体の報告が公表される手続きが法に書かれているので、どの段階で自社の設計に反映するかを先に決めておくと、二度手間を避けられます*3。制度の追随を保守の範囲に含めるかどうかも、契約の論点です*3。

まとめ：英国のAI・自動意思決定の規範で押さえる3つの視点

英国では、データ保護法2018（AIおよび自動意思決定に関する実務規範）規則2026が2026年4月16日に制定され、4月21日に議会へ提出、提出から21日後の5月12日に施行しました。根拠はデータ保護法2018の第124A条第1項・第2項および第124B条第11項で、いずれもデータ利用・アクセス法2025により新設された規定です。押さえたい視点は三つあります。第一に、判定の軸。データ利用・アクセス法2025の第80条は、UK GDPRの旧第22条を第22A条から第22D条に置き換えました。第22A条は、決定が単独の自動処理に基づくのは、その決定に意味のある人の関与がない場合とし、判断にあたってはプロファイリングによって決定へ至った度合いも考慮するとしています。重要な決定とは、データ主体に法的効果を生じるか、同様に重大な影響を及ぼす決定です。法執行の処理を扱う法2018第50A条では、不利な効果に限定されています。第二に、必要な措置。第22C条第1項は、全部または一部が個人データに基づき、かつ単独の自動処理に基づく重要な決定について、データ主体の権利・自由・正当な利益のための保護措置を求め、第2項が、決定についての情報の提供、意見を述べられるようにすること、管理者の側の人による介入を得られるようにすること、異議を申し立てられるようにすることの4つを挙げます。第22B条は、特別な種類の個人データに基づく重要な決定を単独の自動処理で行うことを原則として禁じ、明示的な同意による場合と、契約に必要または法が求め・認める決定で第9条第2項(g)が適用される場合を例外としました。第6条第1項(ea)に依拠する処理による決定も、単独の自動処理では行えません。第三に、規範の作成。規則2026は、コミッショナーに対し、AIの開発と利用、および自動意思決定に関する個人データの取扱いについて、良い実務の指針を示す実務規範を作ることを義務づけ、子どもの個人データの取扱いに関する指針を含めることを求めました。対象はUK GDPRとデータ保護法2018（第4部を除く）です。規則第3条は、第124B条の合議体が、規範のうち国家安全保障に関わる側面を検討または報告してはならないと定めています。

よくある質問

出典

1. *1　参考：英国法令データベース「The Data Protection Act 2018 (Code of Practice on Artificial Intelligence and Automated Decision-Making) Regulations 2026」（SI 2026 No. 425・2026年4月16日制定／2026年5月12日施行）（https://www.legislation.gov.uk/uksi/2026/425/made）。本記事の一次情報。制定日（2026年4月16日）、議会への提出日（2026年4月21日）、施行（提出の日から21日後）、適用地域（イングランドおよびウェールズ、スコットランド、北アイルランド）、根拠（データ保護法2018 第124A条第1項・第2項および第124B条第11項、ならびに同法第182条第2項に基づくコミッショナー等への諮問）、第2条第1項（AIの開発と利用および自動意思決定に関する良い実務の指針を示す実務規範の作成義務）、第2条第2項（子どもの個人データの取扱いに関する指針の包含）、第2条第3項の定義（自動意思決定＝UK GDPR第22C条第1項または法2018第50C条第1項が適用される意思決定、関連するデータ保護法令＝UK GDPRと法2018のうち第4部を除く部分）、ならびに第3条（第124B条第7項の後に、合議体が国家安全保障に関わる側面を検討・報告してはならない旨を挿入したものとして適用する修正）を確認した。確認日は2026年9月10日。（2026年9月確認）
2. *2　参考：英国法令データベース「Data (Use and Access) Act 2025」第80条（自動意思決定）（https://www.legislation.gov.uk/ukpga/2025/18/section/80）。自動意思決定の規定の一次情報として。UK GDPRの旧第22条に代えて第4A節を置き、第22A条（単独の自動処理の定義＝意味のある人の関与がないこと、重要な決定の定義＝法的効果または同様に重大な影響、プロファイリングの度合いの考慮）、第22B条（特別な種類の個人データに基づく重要な決定の制限と2つの例外、第6条第1項(ea)に依拠する処理の場合の禁止）、第22C条（保護措置の要求と、情報の提供・意見の申述・人による介入・異議の申立ての4措置）、第22D条（大臣規則による細目の追加と、第22C条を改正できない旨、肯定的決議手続）を新設したこと、ならびに法2018の第49条・第50条に代えて第50A条から第50C条（法執行の処理について、不利な効果を基準とする重要な決定の定義ほか）を置いたことを確認した。確認日は2026年9月10日。（2026年9月確認）
3. *3　参考：英国法令データベース「Data (Use and Access) Act 2025」第92条・第93条（実務規範と合議体）（https://www.legislation.gov.uk/ukpga/2025/18/section/92）。実務規範の根拠の一次情報として。第92条が法2018の第124条の後に第124A条（大臣の規則により求められた場合の実務規範の作成義務、規則が記述すべき事項、改正や差替え、大臣・業界団体・データ主体等への諮問、経過措置、否定的決議手続、良い実務の定義）を挿入したこと、および第93条が第124B条（合議体の設置、専門性を持つ者と影響を受けうる者からの構成、草案と構成員および選定の過程・理由の公表、交代時の公表、検討と報告の取決め、報告を踏まえた変更と草案・報告の公表）を挿入したことを確認した。確認日は2026年9月10日。（2026年9月確認）

Tweet