個人データの越境移転とは？海外のAIサービスを使う注意点

Q: 海外の生成AIに個人データを入れると、越境移転ですか？

事業者が取り扱うかどうかで考え方が変わり、一律には言えません。委員会のQ&Aはクラウドの例で、外国の事業者が個人データを取り扱う場合は該当するとしています。生成AIも同じ視点で、規約と契約を確かめると整理しやすいでしょう。

Q: EUや英国の会社なら、同意はいりませんか？

第28条の同意は不要ですが、第27条のルールは別に確認します。EUと英国は、同等の水準の制度がある外国に指定されています。通常の第三者提供に当たるなら、第27条に沿って同意や委託などの整理が必要です。

Q: 同意を取るときは、何を伝えればいいですか？

相手国の制度や、相手が講じる保護の措置などを伝えます。第28条第2項は、当該外国の個人情報保護の制度、第三者が講ずる措置、その他本人に参考となる情報の提供を定めています。詳しくは委員会のガイドライン（外国にある第三者への提供編）を確認しましょう。

個人データの越境移転（外国にある第三者への提供）
- 個人データの越境移転（外国にある第三者への提供）関連用語
個人データの越境移転（外国にある第三者への提供）で知っておくと得する有益情報
個人データの越境移転（外国にある第三者への提供）やさしい解説
個人データの越境移転（外国にある第三者への提供）についてのみんなの疑問
AI関連の用語集【まとめ】

個人データの越境移転（外国にある第三者への提供）

アイちゃんのイラスト — 個人データを国の外へ渡す
外国にある第三者への提供です。
原則として本人の同意が必要です。
サーバの場所だけでは決まりません。

個人データの越境移転とは、個人データを外国にある第三者へ渡す、国境をまたいだ提供のことです。条文の言葉は「外国にある第三者への提供」で、個人情報保護法第28条が定めています。原則として本人の同意が必要で、同意を得る前に相手国の制度などの情報を伝えます。同等の水準と認められた国（EUと英国）や、基準に適合する体制を整えた相手には、この同意の規定が適用されません。サーバの場所だけでは判断できない点に注意が必要です。

個人データの越境移転（外国にある第三者への提供）関連用語

個人データの越境移転（外国にある第三者への提供）に関連する単語は以下の通りです。

個人データの越境移転（外国にある第三者への提供）で知っておくと得する有益情報

海外事業者のAIやクラウドを使う会社は、このルールに関わることがあります。誤解しやすい点を3つにまとめました。

サーバの場所で決まらない国内サーバでも、外国の事業者が個人データを取り扱うなら該当します（Q&A12-4）。
取り扱わないなら別事業者が取り扱わない前提のクラウドなら、外国の第三者への提供に当たらないとされます。
制度の把握は残る外国のサーバに保存するなら、その国の制度を踏まえた安全管理が必要です。

相手ごとの扱い（第28条）

相手	第28条の同意	主な対応
EU・英国にある第三者	適用されない	第27条の通常の第三者提供のルールを確認
基準に適合する体制を整えた相手	適用されない	継続的な実施の確保と、本人の求めへの情報提供
その他の外国にある第三者	必要	相手国の制度などの情報を本人に提供
自社が海外で自ら運営するサーバ	提供に当たらない	外国の制度を踏まえた安全管理