イタリアGarante：GDPRと個人情報の技術的コンプライアンス
2026年版に更新
イタリアで最も活発なプライバシー監督機関
Garante per la protezione dei dati personali（ガランテ）はイタリアのデータ保護機関です。EU域内でAI規制に最も積極的に取り組む機関の一つです。
二つの執行措置がその姿勢を示しています。2023年3月、ガランテはOpenAIに対し、イタリアのユーザー向けにChatGPTのサービスを停止するよう命じました。データ利用に有効な法的根拠がなく、未成年者の年齢確認もなかったためです。OpenAIは年齢確認の仕組み、トレーニング用データのオプトアウト、イタリア語のプライバシー通知を導入し、2023年4月にサービスを再開しました。
2024年12月、ガランテはOpenAIに1,500万ユーロの制裁金を科しました。三つの違反が根拠とされました。有効な法的根拠の欠如、トレーニング利用に関する説明不足、未成年者の年齢確認の欠如です。
イタリアのユーザーの個人データを処理するAIツールは、同じ基準を満たす必要があります。
OpenAIのケースで問われた問題点
1,500万ユーロの制裁金は具体的な欠陥を明示しました。それぞれが技術的な管理策の不備に対応しています。
トレーニングデータの法的根拠： ガランテは「正当な利益」をユーザーデータでのトレーニングの法的根拠として認めませんでした。個人データを使ったAIトレーニングには、明示的な同意または契約上の根拠が必要です。「正当な利益」だけでは不十分です。
透明性： ユーザーはデータがトレーニングにどのように使われるかを知らされていませんでした。明確なオプトアウト手段もありませんでした。
年齢確認： 未成年者が年齢確認なしにChatGPTを利用できました。ガランテはこれをコンシューマー向けAIツールの必須要件と見なしています。
主な示唆： イタリアのユーザーから入力を受け取るAIシステムは、GDPRの法的根拠を文書化する必要があります。「正当な利益」はリスクが高いと見なされます。
イタリアの国民識別子
イタリアには独自のID形式があります。汎用ツールでは見落とされることが多く、検出システムは以下の三種類すべてをカバーする必要があります。
コーディチェ・フィスカーレ（Codice Fiscale）
コーディチェ・フィスカーレは16文字の英数字からなる国民識別番号です。姓の子音、名前のイニシャル、生年月日、性別、出生市区町村が符号化されています。最後の文字は検証用の制御文字です。
2024年のガランテ技術分析によると、汎用NLPツールがコーディチェ・フィスカーレを正しく検出できる割合は67%にとどまります。主な原因は、16文字パターンを照合するものの制御文字のアルゴリズムを実装していないツールが誤検出を生むことです。名前符号化のルールを実装していないツールは既存コードの検証もできません。
正確な検出には三つの要素が必要です：
- 制御文字アルゴリズムの完全実装
- 姓と名の文字抽出ルール
- 実際のイタリアのデータを使ったテスト
パルティータ・IVA（Partita IVA）
パルティータ・IVAはイタリアの11桁の事業者付加価値税番号です。最後の桁は検証用のチェックデジットです。請求書、契約書、商業文書に広く使われています。ツールはチェックデジットのアルゴリズムを実行する必要があり、11桁のパターンを認識するだけでは不十分です。
テッセラ・サニタリア（Tessera Sanitaria）
健康保険証（テッセラ・サニタリア）にはコーディチェ・フィスカーレが含まれています。健康データはGDPR第9条の特別カテゴリに該当します。これにより、求められる保護レベルが高くなります。
AIツールに対するガランテの要求事項
ガランテのガイダンスは三つの領域をカバーしています。
AI処理の前段階： 個人データはAIシステムに入力される前に特定・除去される必要があります。イタリアで使用されるAIツール（ブラウザ拡張機能やMCPサーバーを含む）では、コーディチェ・フィスカーレ、パルティータ・IVA、健康データをプロンプトから削除してから送信する必要があります。このステップの文書化についてはコンプライアンスガイドをご覧ください。
AIのトレーニング： 明示的な法的根拠が必要です。ガランテはユーザー生成コンテンツのトレーニングに同意を推奨しています。「正当な利益」の場合は書面によるバランスのテストが必要です。そのテストでは、トレーニングの目的がユーザーのデータ権利を上回らないことを示す必要があります。
AIの出力： 実在する人物に関するコンテンツを生成するシステムは、虚偽情報のリスクに対処する必要があります。ガランテは、架空の個人データの生成を技術的に対処すべきリスクとして明示しています。
企業における63%の格差
2024年のガランテ調査では、イタリア企業の63%がGDPR準拠のAIガバナンスポリシーを持っていないことが判明しました。当局はこの格差を積極的な監査の重点事項としています。
技術的な管理策のないポリシーは守るのが難しいです。ガランテは、データ利用の自己管理を従業員に委ねている企業を重点的に調査しています。セキュリティ概要では、自動化された管理策が文書化されたポリシーをどのように支えるかを説明しています。
ガランテコンプライアンスのための四つの管理策
1. 送信前の個人情報フィルタリング
コーディチェ・フィスカーレ、パルティータ・IVA、テッセラ・サニタリアのデータを、入力がAIモデルに到達する前に除去してください。これがガランテの判例論理の求める中核的な技術的対策です。
2. イタリア語NER（固有表現抽出）
イタリア語テキストで訓練されたエンティティ認識モデルを使用してください。例えばspaCy it_core_newsです。英語で訓練した汎用モデルはイタリア語の名前パターンを見落とします。モデル選択については多言語個人情報検出ガイドをご覧ください。
3. 法的根拠の文書化
使用中のAIツールごとに法的根拠を記録してください。トレーニングがある場合はバランスのテストも文書化してください。監査担当者がすぐに見つけられる場所に保管してください。
4. 監査証跡
フィルタリングが実行されたこと、検出されたエンティティの種類、除去された内容を記録してください。これにより、長い手動レビューなしに検査官が必要な証拠を得ることができます。