GDPR（EU一般データ保護規則）
EUの個人データの取り扱いと、EU域外への移転のルールを定めた規則です。EU域外の事業者でも、EUの人にサービスを提供する場合などは対象になります。
くわしく
GDPR（一般データ保護規則）は2016年に採択され、2018年5月25日から適用されています。それまでのEUデータ保護指令に代わるもので、加盟国の法律を介さずに各国へ直接効力を持つ「規則」です。EU加盟国に加え、EEA（欧州経済領域）全体に適用されます。
EU域外の事業者でも、EU域内の人に商品やサービスを提供する場合（有料・無料を問わない）や、EU域内での人の行動を監視する場合には対象になると定められています（3条2項）。
日本とEUの間では、2019年1月23日に相互の十分性認定（互いのデータ保護の水準が同等だと認める仕組み）の枠組みが発効し、EUから日本への個人データ移転が円滑になっています。EUから移転を受けた個人データには、日本の個人情報保護委員会が定める「補完的ルール」が適用されます。
クリエイターにとってのポイント
- 「AIに入力してよいか」という入口の判断に関わります。EUの顧客や取引先の個人データ（氏名、メール、写真、声など）を生成AIサービスに入力する場合、そのデータの取り扱いがGDPRの対象になりうる点が論点になります。
- 個人情報保護委員会は、EUで事業を行う企業だけでなく、日本からEUへ直接販売する場合なども域外適用の対象になりうると説明しています。
- 日本の個人情報保護法とGDPRは同じ内容ではありません。十分性認定があっても、条件に当てはまる事業者には引き続きGDPRが適用されるとされています。
- EUでは、AIと個人データに関するGDPRの見直し案（データ・オムニバス）が2026年10月時点で審議中と報じられています（成立前）。
具体的な場面の例
- 日本のデザイナーが、EU在住の依頼者から受け取った顔写真をもとに、生成AIで肖像イラストを作る。写真を入力する前に、依頼者の同意の範囲や、使うAIサービスが入力データをどう扱う（学習に使う・保存する）かを確かめる場面です。
- EUのファンも登録するメールマガジンの名簿を、AIツールに貼り付けて文面を作成しようとする。