ニュージーランドのアプローチ、立法よりもガイダンスを重視
ニュージーランドには単独のAI法は存在しない。包括的なリスクベース規制を制定した欧州連合とは異なり、ニュージーランドは既存の法制度、主に2020年プライバシー法を通じて機能し、自発的な枠組みと政府ガイダンスによって補完される、導入促進を重視した原則ベースのアプローチを選択している。これは埋めるべき空白ではなく、意図的な政策選択である。ビジネス・イノベーション・雇用省(MBIE)が2025年7月に公表した国家AI戦略で示された政府の立場は、イノベーションを阻害しかねない規範的な要件を課すのではなく、責任あるAIの導入を後押しすることにある。
ニュージーランドで事業を行う組織にとって、これはAIコンプライアンス上の義務が、新たなAI専用の法律からではなく、自社の業種や活動に既に適用されている既存の法的枠組みを通じて生じることを意味する。主要な枠組みは次のとおりである。個人情報を処理するあらゆるAIを対象とする2020年プライバシー法、消費者に誤解を与えかねないAI生成コンテンツや表示を対象とする1986年公正取引法、AIリスクを統治する取締役会を対象とする1993年会社法および取締役の義務、そして金融サービスに対する準備銀行のリスク管理要件や医療AIに対する医療情報プライバシー行動規範を含む業種別の枠組みである。プライバシーコミッショナーの2025年生体情報処理プライバシー行動規範(2025年11月3日発効、既存システムの遵守期限は2026年8月3日)は、AIによる顔認証及び類似の生体認証システムに直接関連する、さらなる拘束力のある規範である。
2020年プライバシー法、AIに関する主要な法的義務
ニュージーランドの2020年プライバシー法は、実務上、AIガバナンスに最も直接関連する法的枠組みである。同法の情報プライバシー原則(IPP)は、当初の13原則に2026年に新設されたIPP3Aを加えたものであり、個人情報を収集、利用、または開示する「機関」、実質的にほぼすべての企業と政府機関が含まれる、に適用される。個人情報を用いて学習を行うAIシステム、推論の過程で個人情報を処理するAIシステム、または個人情報を用いて個人に関する判断を行うAIシステムは、いずれもIPPの対象となる。
AIに関して特に重要な原則は次のとおりである。IPP1(適法な目的のためにのみ個人情報を収集する)、IPP3(例外が適用される場合を除き、本人から直接情報を収集する)、IPP8(利用前に情報が正確かつ最新であることを確認する)、IPP10(収集された目的の範囲内でのみ個人情報を利用する)、そしてIPP11(十分な保護措置がない限り、海外の受領者に個人情報を開示しない)である。ニュージーランド国外で個人情報を処理するAIベンダーにとっては、IPP12(海外送付前の開示)と海外における保護措置の十分性が特に重要となる。
2025年プライバシー改正法(2025年9月24日勅裁可決)に基づき、2026年5月1日から重要な変更が施行された。新設のIPP3Aは、本人以外の情報源、すなわち間接的な経路で個人情報が収集された場合に、機関が本人に通知することを義務付けるものである。複数の情報源(ソーシャルメディア、第三者のデータブローカー、行動分析など)から個人情報を集約するAIシステムにとって、この通知義務は既に発効しており、データ収集の実務を見直す必要がある。
プライバシーコミッショナー事務局(OPC)には、プライバシーに関する苦情を調査し、勧告を行う権限がある。プライバシー法の重大な違反があった場合、プライバシーコミッショナーは人権審査法廷に事案を付託することができ、同法廷は損害賠償を命じることができる。OPCはAIとIPPに関する具体的なガイダンスを公表しており、AIシステムはプライバシー・バイ・デザインの原則に基づいて設計されなければならないこと、そして個人に影響を与える自動化された判断は透明性を確保し、異議を申し立てられるものでなければならないことを確認している。
アオテアロア・ニュージーランドのアルゴリズム憲章
アオテアロア・ニュージーランドのアルゴリズム憲章は、政府機関がアルゴリズム(AIを含む)を公正、倫理的、かつ透明性のある方法で開発、利用することを約束するために署名できる自発的なコミットメントである。署名機関は次の6つの原則を約束する。アルゴリズムによる判断に対する人間による監督の維持、ワイタンギ条約とマオリの視点をアルゴリズム設計に組み込むこと、アルゴリズムの機能に関する透明性の確保、個人及びコミュニティへの影響の評価、重要なアルゴリズムに関する情報の公表、そして影響を受ける人々がアルゴリズムによる判断について懸念を提起できる明確なプロセスの確立である。
アルゴリズム憲章に法的拘束力はなく、現状では民間セクターの組織は署名することができない。しかし、この憲章は責任あるアルゴリズム利用に関する政府の期待を示すものであり、民間セクターの組織が参考として採用できる実践的なガバナンスの枠組みを提供している。マオリのコミュニティに関するデータを処理する組織、あるいはマオリの人々に影響を与える文脈でAIを利用する組織にとって、憲章に組み込まれたワイタンギ条約への配慮は特に重要である。マオリのデータ主権の原則はデータに対する集団的権利を重視するものであり、マオリのコミュニティから、あるいはマオリのコミュニティに関するデータを利用するAIシステムには、そのデータに対するイウィ(部族)及びハプ(氏族)のガバナンスを尊重することが求められる。
2025年国家AI戦略、企業にとっての意味
MBIEは2025年7月、企業向けの責任あるAIガイダンスとともに、ニュージーランド初の国家AI戦略を公表した。この戦略は明確に導入促進を重視するものであり、AI投資への障壁を減らすこと、既存の法律がAIにどのように適用されるかを明確にすること、そして政府による能力構築を調整することを目指している。新たな拘束力のある義務を導入するものではない。
同戦略の企業向け責任あるAIガイダンスは、組織に対して次のことを推奨している。AIの一覧を維持すること、AIを導入する前にプライバシー及び倫理面のレビューを行うこと、稼働開始前にバイアスと堅牢性の試験を行うこと、重要なAI支援による判断について人間による監督を維持すること、継続的なモニタリングを実施すること、そしてガバナンスのプロセスを文書化することである。これらは自発的な推奨事項であるが、プライバシー法上の法的要件や、業種別規制当局がますます求めるようになっている内容と整合している。規制対象業種については、準備銀行、金融市場庁、保健・障害コミッショナーによる業種別の義務が優先し、全面的に適用されることを、同戦略は明確に確認している。
政府はまた、2025年7月に、商業的に重要な分野でのAI導入を加速するためMBIE内でインキュベートされる、2億3,100万ドル規模の取り組み(2025年から2029年まで)であるニュージーランド先端技術研究所を発表した。これはイノベーションに重点を置くものであるが、AIインフラへの政府による大規模な投資を示すとともに、制限的な事前規制ではなく、適切な安全対策を伴う導入の促進という規制の方向性を示すものである。
ニュージーランドの組織が今すべきこと
個人情報を処理するAIを利用するニュージーランドの組織にとって、直ちに対応すべきコンプライアンス要件は次のとおりである。AIシステムを2020年プライバシー法のIPPに照らして見直すこと、本人以外の情報源からデータを集約するAIシステムについてIPP3Aの間接収集通知要件(2026年5月1日発効)を実施すること、IPP11及び12の海外開示義務が満たされていることを確認するためAIベンダーとの契約を見直すこと、そして重要なAI支援による判断について、影響を受ける個人に対しどのように説明し、異議申立てを可能にするかを文書化することである。
金融サービス、医療、重要インフラなど規制対象業種の組織については、プライバシー法に加えて、金融市場庁、準備銀行、保健・障害コミッショナーによる業種別の義務が適用される。政府機関及びその請負業者にとっては、アルゴリズム憲章が実践的なガバナンスの枠組みを提供し、規制当局が期待する水準を示している。
近い将来に注視すべき最も可能性の高い動向は、AIとIPPに関するプライバシーコミッショナーのガイダンス、そして自発的な取り組みが不十分であると判明した場合における、より規範的な枠組みへの移行の可能性である。ニュージーランドに対する欧州委員会の十分性認定(これによりEUからニュージーランドへの追加的な保護措置なしでのデータ移転が認められている)は、EUがGDPR第22条の下で維持する自動化された意思決定に対する保護を含め、GDPRと概ね整合するプライバシー基準を維持する継続的な動機を生み出している。
参考文献: OECD AI Policy Observatory