英国ICOのAIガイダンス、2026年に組織が知っておくべきこと
情報コミッショナー事務局(ICO)は、個人データが関わる限りにおいて、英国におけるAIの主要な規制当局です。英国には独立したAI法は存在しないものの、英国GDPRおよび2018年データ保護法に基づくICOの執行権限は、2025年データ(利用及びアクセス)法による改正と相まって、個人データを処理するAIシステムに対する実質的な権限をICOに与えています。
2025年から2026年の主な動向
DUAAによる改正(2026年2月5日)。第80条は第22条を第22A条から第22D条に置き換え、専ら自動化された意思決定が認められる状況を拡大しました。特別カテゴリーのデータ(健康、民族的出自、生体データ)については、より厳格な制度が維持されています。ICOは、文書提出通知を含む、拡充された調査および執行の手段を得ました。
ADMガイダンスに関する意見公募(2026年3月31日から5月29日)。ICOは、更新された自動化された意思決定(ADM)ガイダンスの草案について意見公募を開始しました。この草案は、ADMを例外的なものとして扱うのではなく、責任あるADMを可能にすることに重点を置いています。最終ガイダンスは2026年夏に公表される見込みです。組織は意見公募に参加し、最終ガイダンスへの準拠に向けて計画を立てるべきです。
ICOのAIツールキット。ICOが公表したAIとデータ保護に関するガイダンスは、AIにおける公平性、AIにおける透明性、AIにおけるアカウンタビリティとガバナンス、そしてAIにおける適法性と目的の限定を対象としています。このツールキットは、個人データを処理するAIを導入する英国の組織にとって、引き続き主要な実務上の参照資料となっています。
執行の姿勢。ICOは、英国GDPRに基づき、最大1,750万ポンドまたは全世界の年間売上高の4%の制裁金を科すことができます。DUAAは、PECR(プライバシー及び電子通信規則)の罰則を英国GDPRの水準に引き上げました。ICOはAIの執行に積極的であり、Clearview AIに対する共同調査、AIに関連する苦情の調査、そしてAI固有の懸念への関与は、当局が行動を辞さない姿勢を示しています。
ICOが組織に求めること
適法な根拠。個人データを処理するAIには、英国GDPR第6条に基づく適法な根拠が必要です。個人データを用いたAIの学習に関しては、DUAAによって改正された目的の限定に関する規定(第5条(1)(b))がデータを別の目的に転用する余地を広げていますが、適法な根拠、透明性、公平性の要件は引き続き適用されます。
データ保護影響評価(DPIA)。ハイリスクな処理に求められるものであり、これには個人の体系的な評価、重大な影響を伴う自動化された意思決定、特別カテゴリーのデータの大規模な処理、そして技術の革新的な利用が含まれます。重要な影響を及ぼすAIの導入のほとんどは、DPIAの要件を発生させます。
透明性。個人は、自らに影響を及ぼす意思決定においてAIが利用されていることについて知らされなければなりません。プライバシー通知では、自動化された処理、そこに含まれるロジック、ならびにその重要性および想定される結果を開示すべきです。
個人の権利。アクセス権(第15条)。これには、自動化された意思決定に含まれるロジックに関する意味のある情報が含まれます。AIが不正確なデータを処理する場合の訂正権。該当する場合の消去権。プロファイリングに対する異議申立権。
DRCFによる連携
ICOは、Ofcom、FCA(金融行為規制機構)、CMA(競争・市場庁)とともにデジタル規制協力フォーラム(DRCF)に参加しており、2025/26年度はCMAのCEOであるSarah Cardell氏が議長を務めています。DRCFは2025年10月にエージェント型AIに関する意見募集を公表しました。複数の英国規制当局の規制対象となる組織にとって、DRCFは相反する期待を減らす、連携のとれたガイダンスを提供します。
一次資料： ICO『自動化された意思決定に関する権利ガイダンス』 · ICO『AIとデータ保護に関するガイダンス』 · 2025年データ(利用及びアクセス)法