AIDAに何が起きたのか

カナダの連邦AI法制は厳しい結末を迎えました。消費者プライバシー保護法(CPPA)、個人情報・データ保護審判所法、および人工知能・データ法(AIDA)を一括した法案C-27は、2022年6月に提出され、2023年4月に第二読会を通過し、委員会審議の段階にありました。しかし、2025年1月のトルドー首相の辞任により議会が閉会(prorogation)となりました。同法案は議事日程上で廃案となったのです。

2025年春の連邦総選挙を経て、新政権はAIDAが当初の形で復活することはないと明確にしました。エヴァン・ソロモン産業相は2025年6月、起草された内容のAIDAの枠組みは検討対象外であることを認めました。一部の要素は将来の法制に反映される可能性がありますが、カナダにおける新たな包括的な連邦AI法の制定時期は示されていません。

カナダに現に存在する制度

PIPEDA(連邦法)： 制定から25年を迎えた個人情報保護および電子文書法は、民間部門におけるプライバシー保護の連邦レベルの基準であり続けています。PIPEDAは、商業活動の過程で収集、利用、または開示される個人情報に適用されます。同法には同意、目的の限定、アクセス権に関する規定が含まれ、これらはAIを用いたデータ処理にも適用されますが、AIに特化した義務は定めておらず、現代のAIが登場する以前に設計されたものです。

ケベック州法25号： ケベック州の「個人情報の保護に関する法規定を現代化する法律」は、3年間の段階的な施行を経て2024年9月に完全施行されました。法25号はPIPEDAよりも大幅に厳格であり、AIに関連する具体的な規定を含んでいます。すなわち、専ら自動処理によって行われ個人に影響を及ぼす決定については、組織は当該個人に通知しなければならないこと、個人情報を伴う新たな技術プロジェクトを実施する前にプライバシー影響評価(PIA)が求められること、そして情報アクセス委員会(Commission d'accès à l'information)が実効的な執行権限を有することです。ケベック州で事業を行う組織にとって、法25号が実務上のコンプライアンス枠組みとなります。

カナダAI安全研究所(CAISI)： AIの安全性をめぐるカナダの国際的な取り組みの一環として2024年後半に設立されたCAISIは、英国AI安全研究所と同様に助言および研究を担う機関です。執行権限は有しておらず、組織に対してコンプライアンス上の義務を生じさせるものではありません。

財務委員会および連邦機関のガイダンス： 連邦財務委員会事務局は、政府におけるAI利用に関する指令を発出しており、これは連邦機関および政府調達先の事業者に要件を課すものです。これらは経済全体を対象とする規制ではありませんが、政府のAIガバナンスに対する期待を示すものです。

実務上のコンプライアンス状況

連邦AI法が存在しないため、カナダの組織はパッチワーク状の規制に直面します。連邦レベルのプライバシーの基準としてのPIPEDA、ケベック州での事業に適用される州法25号、OSFI(金融機関監督庁)やカナダ保健省などによる分野別規制、そしてEUの顧客に関わるあらゆる事業に適用されるEU AI法です。連邦AI法制が存在しないことは、AIが規制されていないことを意味するのではなく、既存の法律をAIの文脈に適用する形で規制が及ぶことを意味します。そのため、AIに特化したコンプライアンス対応ではなく、慎重な分析が求められます。

カナダ向けのAIガバナンス体制を構築する組織は、ケベック州法25号のAIに関連する要件を同国におけるコンプライアンスの最低基準とし、PIPEDAの同意および目的の限定に関する要件を連邦レベルの基準として用いるべきです。そこにEU向けの事業活動についてはEU AI法への対応を加えます。この組み合わせにより、連邦の法制度の枠組みが定まらない間も、カナダにおけるAIガバナンスの大半の場面を包括的にカバーできます。

参考資料：NIST AI RMF

関連記事

参考資料：NIST AI RMF