AIツールとGDPR：EUの中小企業が確認すべきこと

顧客からの問い合わせに回答したり、顧客にメッセージを送ったり、顧客のプロジェクトを保存したりするAIツールは、あなたに代わって個人データを処理します。GDPR（EU一般データ保護規則）のもとでは、その責任は引き続きあなたにあります。そもそもその用途にツールを使えるかどうかは、5つの質問でわかります。答えは宣伝文句ではなく、提供者自身の文書に書かれています。このガイドは確認すべき点を説明するもので、法的助言ではありません。

質問1：提供者はデータ処理契約を結ぶか

提供者があなたの代わりに個人データを処理する場合、GDPR第28条により、提供者があなたの指示に従って処理することを定めた契約が必要です。それがDPA（データ処理契約）です。DPAがなければ、顧客データをそのツールに入れるべきではありません。「DPA」や「Data Processing Addendum」という名前のページを探してください。通常はプライバシーポリシーやフッターからリンクされています。

質問2：データはどこで処理されるか

EU域外での処理は認められていますが、移転には法的根拠が必要です。十分性認定（米国の場合は、EU-USデータ・プライバシー・フレームワーク〔DPF〕の認証を受けた提供者への移転）か、EU標準契約条項（SCC）です。プライバシーポリシーかDPAに、処理場所と保護措置が書かれています。

質問3：データはAIモデルの学習に使われるか

信頼できる提供者は、顧客のコンテンツをモデルの学習に使わないこと、そして利用しているAIプロバイダーも同じ義務を負っていることを明記しています。

質問4：再委託先は誰か

ほとんどのAIツールは、データをモデルのプロバイダー（OpenAI、Anthropic、Googleなど）やホスティング会社に渡します。再委託先のリストが公開され、変更前に通知があれば、ほかに誰がデータを扱うのかを確認し、異議を申し立てることができます。

質問5：解約後、データはどうなるか

解約後にデータがどのくらい保存されるか、削除やエクスポートができるかを確認してください。

レビューした4ツールの比較

出典：各提供者のプライバシーポリシー、DPA、セキュリティページ（2026年10月20日に確認）。各レビューの末尾にリンクがあります。

実務上のポイント

• Chatbaseには自動的に適用されるSCC付きのDPAがあるため、ヘルプページで学習させたサポートボットは運用できます。ただし、自社のプライバシーポリシーにChatbaseを記載していることが前提です。Chatbaseのレビュー（英語）をご覧ください。
• Sintra AIにはSCC付きのDPAがありますが、EU域内限定のホスティングも、SOC 2報告書やISO認証もありません。マーケティングの下書きやSNS投稿には使えますが、顧客の記録には使わないでください。Sintraのレビュー（英語）をご覧ください。
• SubmagicはSCCを用いるEUの企業ですが、利用規約にデータ処理に関する簡潔な条項があるのみで、別個のDPAはなく、モデルの学習についても何も述べていません。自社のマーケティング動画には問題ありませんが、顧客の録画・録音データをアップロードする前には、提供者に問い合わせてください。Submagicのレビュー（英語）をご覧ください。
• Taskadeはプライバシーポリシーで、DPAにもSCCにも署名しないと明記しており、一部のAIモデルはリクエストを中国のプロバイダーに送ります。顧客の個人データは入れないでください。Taskadeのレビュー（英語）をご覧ください。

簡単なチェックリスト

1. 顧客や従業員の個人データをツールに入れますか。入れないなら、ここに書いたことの大半は当てはまりません。
2. DPAはありますか。自分のプランに適用されますか。
3. データはどこで処理され、どの法的根拠で移転されますか。
4. 顧客のコンテンツは、モデルの学習から除外されていますか。
5. 再委託先のリストはありますか。
6. 自社のプライバシーポリシーに、そのツールを記載していますか。

迷ったら、提供者に書面で問い合わせ、回答を保管しておいてください。機微性の高いデータを扱う場合は、登録する前にデータ保護の専門家に相談してください。