Ⅳ. 国際的な協調体制

1. 広島AIプロセス

2023年5月に、G7広島サミットの結果を踏まえて立ち上げられた広島AIプロセスでは、2023年12月の閣僚級会合で安全、安心で信頼できる高度なAIシステムの普及を目的とした指針と行動規範からなる初の国際的政策枠組みとして「広島AIプロセス包括的政策枠組み」が承認されました。同枠組みの下位文書として開発者から利用者まで全てのAI関係者が守るべき責務の概要を示した「全てのAI関係者向けの広島プロセス国際指針」と、開発者向けに責務をより具体化した「高度なAIシステムを開発する組織向けの広島プロセス国際行動規範」が策定されています。

2. 国連

2023年10月、国連は、人工知能（AI）に関する諮問機関を創設しました。同機関が2023年12月に示した中間報告では、AI兵器への警告が含まれています。

3. ブレッチリー宣言

2023年11月にAI安全サミットがロンドンで開催され、29の国と地域によって共同宣言「AI安全に関するブレッチリー宣言」が採択されました。

4. ミュンヘン安全保障会議

2024年2月16日からドイツ・ミュンヘンで開催された安全保障会議では、米国大統領選挙をはじめとして、各国で予定される大型選挙を目前としていたこともあり、AI技術が選挙に及ぼす影響が主要な議題の1つとして取り上げられました。

Ⅴ. EU

1. AI規則(AI Act)

2021年4月、「AI規則」のファーストドラフトが公表されました^※2。AIを対象として包括的な規制を行おうとする「AI規則」は画期的で、世界的に注目を集めました。パブリックコンサルテーションに寄せられた意見を踏まえ、2021年11月29日付のAI規則の修正案が公開されました。欧州委員会・欧州議会・欧州連合理事会で三者協議（trilogue）が行われ、2024年3月の欧州議会による採択^※3、2024年5月の欧州連合理事会による採択^※4を経て、2024年7月12日付けで官報へ掲載され、最終確定版が公布されました。今後の予定は下表のとおりで、公布から20日後である2024年8月1日に発効、2026年8月2日に全面的な適用（Application）がされる見込みです。

2024年8月1日	AI規則の発効
2025年2月2日	第1編（総則）及び第2編（禁止AI）の適用開始
2025年8月2日	第3編第4章、第5編（一般目的AIモデル）、第7編（ガバナンス）、第12編（罰則）及び第78条の適用開始（第101条を除く）
2026年2月2日	post-market monitoring（市場投入・使用開始後のモニタリング）の実装行為（implementing act）
2026年8月2日	その他の条項
2027年8月2日	第6条第1項及びこれに対応する義務（高リスクAIシステムに対する義務）

2. 「AI規則」を補完するルール・周辺のEUのルール

「AI規則」を補完するルールとして、欧州におけるAIシステムの提供・利用に関する法的責任に関する規律の基本ルールを定めるべく、2022年9月28日、AI責任指令案（Proposal for an Artificial Intelligence Liability Directive(AILD)）及び製造物責任指令(Product Liability Directive(PLD))の改正案が公表され、後者は2024年3月に欧州議会により採択されています^※5。AI責任指令案及びPLD改正案に定める事項は、2023年6月から適用されているEUの集団訴訟指令（Representative Actions Directive）の対象となるため、関連サービスを提供する事業者にとって重要なルールになると考えられています。また、データ周りのルールも、Data Governance Act、Data Act等、充実してきています。

3. 欧州AI人権枠組み条約

2024年5月17日、世界初のAI国際条約とも呼ばれるCouncil of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law（欧州評議会 人工知能と人権、民主主義、法の支配に関する枠組み条約）が、欧州評議会において採択されました。2024年9月5日の正式署名、その後の各国による批准を経て、発効が予定されています。注意すべきは、名称に「欧州」とあるものの、同条約の参加国は欧州に限定されない点です。日本をはじめ、米国、カナダ、メキシコ、ローマ教皇庁が、起草段階から条約交渉に参加しており、早晩のタイミングでの批准が見込まれています。欧州に限らず、米国や日本の批准が見込まれることから、日本企業への影響は免れません。

4. データ保護当局による処分

2023年3月31日、イタリアのデータ保護当局（Garante）は、OpenAI社に対し、ChatGPTがGDPRの各規制（情報提供義務、処理の法的根拠、正確性原則、児童のデータ処理）に違反するとして、イタリアに所在する利用者の個人データの処理を一時停止することを命じました^※6。2023年4月28日までにChatGPTは改善措置を遂行し、一時停止の措置は解除されたものの、その後も他のEU加盟国の当局によるものを含め、調査は続けられ、欧州データ保護会議（EDPB）もChatGPTにフォーカスしたタスクフォースを同時期に立ち上げました^※7。2024年1月29日、Garanteは、調査の結果、ChatGPTにおいてGDPR違反の事実が確認されたとして、OpenAI社にその旨を通告しました^※8。

Ⅵ. 北米

1. 米国

州法レベルでは、雇用場面におけるAI技術の規制が進んでいます（イリノイ州、メリーランド州、ニューヨーク州）。
連邦レベルでは、2022年10月に米国科学技術政策局（OSTP）より「AI権利章典の青写真」（Blue Print）が発表され、AIシステムの設計、使用、導入の際の指針となる5つの原則（①安全かつ有効なシステム、②アルゴリズムから生じる差別からの保護、③データのプライバシー、④告知と説明、⑤問題発生時の人間による代替、検討、対応）が提示されました。その後、ChatGPTの世界的なブレイクを踏まえ、2023年4月には、米国商務省が生成AIについて安全性の保証を求め、リスク対策の正式な意見公募を開始しました。2023年10月30日には「人工知能（AI）の安心、安全で信頼できる開発と利用に関する大統領令」が発令されました。

米国内では、AI生成物の著作物性を否定した「楽園への新しい入り口事件」「暁のZarya事件」のほか、NYタイムズ紙によるOpenAI及びマイクロソフトに対する訴訟、大手音楽レーベル3社による音楽姿勢AIに対する訴訟ほか、学習段階の著作権侵害の有無をめぐって、多数の訴訟が提起されているのも注目されます。

2. カナダ

2022年6月より「人工知能・データ法（Artificial Intelligence and Data Act: AIDA）」の法案が審議されています^※9。同法案は、規制対象となる活動を特定し、コンプライアンスを確保するための監督と執行の仕組みを提供するものです。

Ⅶ. 中国

2023年7月10日、国家サイバースペース管理局（CAC）等中央7部門（省庁）は、共同で、「生成人工知能サービス管理暫定弁法（生成式人工智能服务管理暂行办法）」（以下「本弁法」といいます。）を制定・公布しました。本弁法は2023年8月15日より施行されています（弁法24条）。本弁法は、生成人工知能技術を利用し、中国境内（本土内）の公衆に対し、テキスト、画像、音声、動画（ビデオ）等のコンテンツを生成するサービスを提供することに対し適用されることから、いわゆる域外適用が想定されていることは注意が必要です。
また、AI生成物を著作物と認めた「春風が優しさを運ぶ事件」、生成AIサービス提供者の法的責任を認めた「広州ウルトラマン事件」、生成AIによる「声」の権利の侵害を認めた「吹き替え声優殷さん事件」が注目されています。

Ⅱ. 改正内容

1. 漏えい報告対象の拡大

個情委は、ウェブスキミングによる個人情報の漏えい等を報告対象に含めるため、規則7条3号を改正しました（赤字が改正部分）。

「三 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態」

すなわち、規則7条3号の「個人データ」の範囲に、事業者が「取得し、又は取得しようとしている個人情報であっても個人データとして取り扱うことを予定している個人情報」を新たに含めることにより、これらのいずれかの漏えい等が発生し、又は発生したおそれがある場合には報告対象になるとしたものです。

個情委は、この改正に伴い、報告義務の主体や事例の追加等、通則GLの関係個所を改訂しています^※1。とくに、報告対象事案を拡大する方向での以下の記載の追加が実務的に重要です^※2。

通則GLへの追加記載の内容
1	不正行為を受ける「当該個人情報取扱事業者」は、以下の者を含む。 ① 当該事業者自身 ② 当該事業者の個人データの委託先※3、 ③ 当該事業者が個人データの取扱いにあたって利用するサービスを提供する第三者
2	「取得しようとしている個人情報」に該当するかどうかは、個人情報の取得手段等を考慮して客観的に判断する。
3	個人情報データベース等へ入力すること等を予定していれば、最終的に個人情報に該当しない統計情報への加工を行うことを予定している場合等であっても、「個人データとして取り扱われることが予定されている」に該当する。

個情委は併せてQ&Aを更新し、上記I. 3.の不正行為の相手方の範囲に含まれる「第三者」の具体例として、以下のとおり、ストレージサービスの提供事業者、ECサイトの運営事業者等広範、多岐にわたる事業者が該当することを示しています^※4。

「第三者」の具体例
1	ダイレクトメール発送で顧客情報を外部事業者に伝える場合の外部事業者
2	入力フォーム作成ツールで個人情報を取得・管理する場合のツール提供事業者
3	ストレージサービスで個人情報を保管する場合のサービス提供事業者
4	SNSボタンを第三者サイトに設置し、閲覧履歴を取得する場合の第三者
5	決済代行サービスがECサイトの決済ページにタグを設置し、個人情報を取得する場合のECサイト運営事業者
6	決済代行サービスの決済ページに遷移するリンクをECサイトに設置し、個人情報を取得する場合のECサイト運営事業者
7	入力フォーム最適化サービスやスマートフォンサイト変換サービスを利用し、ウェブサイト上で個人情報を取得する場合のサービス提供事業者
8	短縮URL作成サービスを利用し、短縮URL経由でウェブサイト上で個人情報を取得する場合のサービス提供事業者
9	アクセス解析ツールを利用し、ウェブサイト閲覧ユーザーの情報を取得・管理する場合のツール提供事業者
10	返信用封筒を顧客に配布し、配送事業者を通じて個人情報を取得する場合の配送事業者

すなわち、A社が利用しているこれらの外部サービスB社に不正行為が行われ、これに起因してA社の「個人データ」又はA社が「取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているもの」が漏えいするおそれが生じた場合には、A社自身が漏えい報告を行わなければならないということになります。

また、通則GLでは、報告を要する具体的な事例として、以下の4つの事例を追加しています。とくに、事例5や事例8はウェブスキミング以外の場面であり、今回の改正による報告対象の拡大がウェブスキミングに限られないことを示しています。

概要	内容
事例5）
従業者私用端末、取引先端末のマルウェア感染	従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と個人情報取扱事業者のサーバーとの電気通信に起因して、当該サーバーも当該マルウェアに感染し、個人データが漏えいした場合
事例6）
入力ページの改ざん	個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき※5
事例7）
入力ページへの遷移リンク等の改ざん	個人情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報取扱事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例8）
返信用封筒の改ざん	個人情報取扱事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき

事例	概要	内容
事例5）	従業者私用端末、取引先端末のマルウェア感染	従業者の私用の端末又は取引先の端末が情報を窃取するマルウェアに感染し、その後、当該端末と個人情報取扱事業者のサーバーとの電気通信に起因して、当該サーバーも当該マルウェアに感染し、個人データが漏えいした場合
事例6）	入力ページの改ざん	個人情報取扱事業者のウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき※5
事例7）	入力ページへの遷移リンク等の改ざん	個人情報取扱事業者のウェブサイト上に設置された、入力ページに遷移するためのリンクやボタンが第三者に改ざんされ、当該リンクやボタンをユーザーがクリックした結果、偽の入力ページに遷移し、当該ユーザーが当該偽の入力ページに入力した個人情報が当該第三者に送信された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報取扱事業者の入力ページに入力される個人情報を個人情報データベース等へ入力することを予定していたとき
事例8）	返信用封筒の改ざん	個人情報取扱事業者が、第三者により宛先の改ざんされた返信用封筒を顧客に送付した結果、当該返信用封筒により返信されたアンケート用紙に記入された個人情報が当該第三者に送付された場合であり、かつ、当該個人情報取扱事業者が、当該個人情報を個人情報データベース等へ入力することを予定していたとき

なお、個情委は、関連する論点として、漏えい等した情報が「個人データ」に該当するかどうかは、当該情報を取り扱い、又は取得しようとしている個人情報取扱事業者を基準に判断することを明らかにしています^※6。
したがって、例えばIDのみが漏えいした場合であって、当該IDのみからは、本人を識別することができない場合であっても、漏えいを生じさせた個人情報取扱事業者において、当該IDが「個人データ」に該当するのであれば、報告対象に該当し得ることが明らかにしています。

2. 安全管理措置の対象の事実上の拡大

法23条が定める安全管理措置義務は、法文上は法26条と同じく「個人データ」を対象としています。

（安全管理措置）

第二十三条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

今般の改正の対象は、法文上は、規則7条3号にとどまりますが、個情委は、これに併せて、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」の漏えい等を防止するために必要かつ適切な措置も、法23条が定める「その他の個人データの安全管理のために必要かつ適切な措置」に含まれるとの趣旨の記載を通則GLに追加しました^※7。

この追加記載により、個人情報取扱事業者は、「個人データ」に加えて、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」も安全管理措置の対象として取り扱わなければならないことが明らかとなりました。

3. 保有個人データに関する事項の公表等の適用

また、法32条が定める保有個人データに関する公表等の義務は、法文上は「保有個人データ」を対象としています。

（保有個人データに関する事項の公表等）

第三十二条　個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

上記のとおり、今般の規則の改正に伴い、個情委は、法32条の公表等の対象である「保有個人データ」の安全管理のために講じた措置^※8に、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が保有個人データとして取り扱うことを予定しているもの」の安全管理のために講じた措置も含む趣旨の記載を通則GLに追加しました^※9。

この追加記載により、個人情報取扱事業者は、「保有個人データ」に加えて、「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」に関する安全管理措置も、公表等の対象として取り扱わなければならないことが明らかになりました。

Ⅲ. 実務への影響

改正後の規則、通則GL、Q&Aは、2024年4月1日に施行されていますので、事業者は、個人情報保護規程や漏えい時の対応マニュアルがカバーしている範囲を確認し、まだ、改正に沿った体制を整備できていない場合には早急に体制を整備する必要があります。主な対応事項と内容は以下のとおりです。

対応事項	具体的内容
プライバシーポリシー改定	・保有個人データの安全管理措置を公表している場合、個人データとして取得予定の個人情報の安全管理措置も公表する（法32条）。
・個人情報保護管理規程・漏えい時の対応マニュアル改定	・安全管理措置の対象を「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」にも拡大し、周知しておく。 ・報告対象となる漏えい事案の範囲を明記する。とくに、個人データの取扱いにあたって利用するサービスを提供する第三者が不正行為を受けた場合も報告対象となることから、自社の場合にどのサービスが該当するかを把握しておく。
委託契約書の修正変更	・受託者の漏えい時の通知・報告義務の範囲に「個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているもの」の漏えいも追加する。

Ⅲ. 諸外国における医療情報の利用

上記のような議論の過程で、事務局より、米国、EU及び英国の医療情報の利用に関する取組についてまとめた資料（以下「第2回本WG 資料2」といいます。）^※2が公表されています。当該資料の概要について簡単に以下に記載しますが、詳細については原資料をご確認ください。

1．米国

(1) HIPPA及びHITECH法の概要等

米国では1996年にHIPAA (Health Insurance Portability and Accountability Act of 1996) が制定され、個人を特定できる、以下の「保護対象医療情報（PHI）」が保護の対象とされています。

• ● 過去・現在・未来の個人の身体的・精神的な健康の状態
• ● 個人に対する医療行為
• ● 過去・現在・未来におけるヘルスケアの支払いに関する情報
• また、HITECH法は、HIPAAの違反の基準と罰則を定め、セキュリティ監査を義務付けることにより、HIPAAを補完し執行機能を強化しています。

(2) 米国の一次利用・二次利用における全体像

米国における医療情報の利用の全体像については以下のとおり整理されており、原資料においては、下表のAHRQ（医療研究品質庁）におけるHealthcare Cost and Utilization Project (HCUP) の詳細についても説明されています。

2．EU

(1) GDPRの概要等

EUにおいては、一般データ保護規則（General Data Protection Regulation: GDPR）が2016年5月24日に発効し、2018年5月25日から適用が開始されています。特に、GDPR第6条において定められている、個人情報の処理が適法であるとする法的根拠の6要件について以下のとおり整理されています。

(2) 欧州ヘルスデータスペース(EHDS)の概要

また、EUにおいては、健康に特化した欧州の共通データスペースとして、欧州ヘルスデータスペース（European Health Data Space: EHDS）が提案され、2022年5月3日に法案が公表されています。原資料においては、EHDSの概要について以下のとおりまとめられています。

上図記載のとおり、研究者や企業などのデータの利用者は、Health Data Access Bodyに利用申請を行い許可を得たうえで、Health Data@EUのVisiting環境においてデータを利用することが想定されており、統計データや匿名データについてはダウンロード可能である一方で、仮名化データについてはダウンロード不可とされています。

3．英国

(1) UK GDPR等

英国においては、2021年のEU離脱に伴い、GDPRがUK GDPRとして適用されてきましたが、そのUK GDPRの改正の可能性等について紹介されています。

(2) 英国の一次利用・二次利用における全体像

また、英国の一次利用・二次利用における全体像についても以下のとおりまとめられています。

上図のうち、Secondary Uses Service（SUS: 二次利用サービス）において公的データベースの利活用が行われており、NHS Trustsなどから患者データを取り込み、データのクレンジング処理など行った上でデータベースに格納されています。

Ⅳ. 実務への影響

仮に、上記Ⅱ. 2．から4．までの論点について、現在公表されているような方向での法整備等が行われた場合には、公益性や審査等は必要であるものの、仮名化情報の利活用が大きく促進され、医療分野におけるデータの利用に非常に大きな影響を及ぼすものと考えられることから、ヘルスケア企業やアカデミアにおいては、本WGの議論の状況について、注視していくことが望ましいと考えられます。

^※1 SH4794 次世代医療基盤法の政省令等の改正案に係るパブリックコメントの実施 龍野滋幹/中山希(2024/02/01) | 商事法務ポータル (shojihomu.jp)

^※2 厚生労働省 医政局 特定医薬品開発支援・医療情報担当参事官室「諸外国における取組について」（2024年1月11日）。なお、あくまでも未定稿として公表されているものである点にご留意ください。

上記は、実際に、AI開発者であるステファン・ターラー（THALER, Stephen L.）博士によって国際特許出願（PCT/IB2019/057809）されたクレーム（請求項）の内容です（原文は英語であり、上記はおおむねその和訳になっています。）。

この国際特許出願は、日本でも国内移行の手続がとられ、その「発明者」の欄には、「ダバス、本発明を自律的に発明した人工知能」と記載されました。要するに、上記の技術情報を生み出したのは、（人間ではなく）AIであるとして、特許出願されたのです。

では、このような特許出願について、特許権が与えられ得るでしょうか？

この特許出願について、日本の特許庁は、発明者として自然人の氏名が記載されていないことを理由に、出願を却下する処分を下しました。これに対し、出願人は、却下処分の取消しを求めて東京地裁に提訴しましたが、裁判所は、結論として、AIは「発明者」にはなり得ないとして請求を棄却しました（東京地判令和6年5月16日裁判所HP参照（令和5年（行ウ）第5001号））。

この判決の結論自体は、少なくとも現行の特許法の解釈としては致し方ないようには思われます。一方、今後、質量ともにますますAIを用いた技術情報の創出が進展すると予想される中、現行制度の下では、様々な実務上の課題が生じそうです。東京地裁の上記判決も、「原告の主張は、AI発明をめぐる実務上の懸念など十分傾聴に値」し、「立法論としてAI発明に関する検討を行って可及的速やかにその結論を得ることが、AI発明に関する産業政策上の重要性に鑑み、特に期待されている」と付言しています。

AIを用いて生み出される技術情報をめぐって、実務上、問題となり得そうないくつかの論点についても、次回以降、もう少し掘り下げて考えてみたいと思います。

ちなみに、筆者がざっと調べた範囲では、AIが「発明者」になり得るか（あるいは、AIによる出力情報が「発明」になり得るか）という論点について、諸外国の現状は次のようになっています。

米国	特許商標庁（USPTO）、裁判所（CAFC）とも、AIは発明者として認められないという立場。
欧州	欧州特許庁は、AIは発明者として認められないという立場。
韓国	韓国知的財産庁、ソウル地裁・高裁とも、AIは発明者として認められないという立場。
オーストラリア	AIを発明者になり得るとした地裁判決が出たが、連邦高裁はそれを覆した。
南アフリカ共和国	南アフリカ企業・知的財産委員会は、AIを発明者とする出願に特許を付与。