英国UK GDPRの自動化された意思決定（ADM）規制はどう変わった？DUAAによる緩和とAI利活用への影響を解説

英国のデータ保護法制において、AIやアルゴリズムを利用する企業の実務に直接影響する重要な改正が施行されました。データ（利用及びアクセス）法（Data (Use and Access) Act、以下「DUAA」）により、UK GDPR第22条は、自動化された意思決定（automated decision-making、以下「ADM」）に関する新たな規定に置き換えられたのです。改正後は、健康情報や人種などの特別カテゴリデータを用いないADMについて従来の原則禁止が撤廃され、正当な利益を含む通常の適法化根拠に基づいて実施できるようになりました。もっとも、本人への情報提供や人間の関与の確保といったセーフガード義務は引き続き課されるため、規制が緩和されたからといって対応が不要になるわけではありません。

本記事では、DUAAによるADM規制改正の内容を整理したうえで、採用・与信・人事評価などの場面でAIを利用しながら英国・欧州で事業を展開する日本企業が取るべき実務対応を解説します。

UK GDPRにおける自動化された意思決定（ADM）規制とは

英国一般データ保護規則（UK General Data Protection Regulation、以下「UK GDPR」）は、EUのGDPRを英国のEU離脱に伴い国内法化したものであり、英国内の事業者だけでなく、英国内にいる個人に商品・サービスを提供する日本企業にも適用され得る法律です。UK GDPRの適用範囲や制度の基本的な枠組みについては、以下の関連記事で解説しています。

このUK GDPRの中で、AI・アルゴリズムの利用と最も関係の深い規定の一つが、自動化された意思決定、すなわちADMに関する規制です。ADMとは、人間の実質的な関与なしに、コンピュータやアルゴリズムのみによって個人に関する決定を行うことを指します。これと密接に関連する概念として、個人の行動・嗜好・信用力・職務適性などを自動的に分析・予測する「プロファイリング（profiling）」があり、実務上のADMの多くは、プロファイリングの結果に基づいて行われます。

従来のUK GDPR第22条は、法的効果または同様に重大な影響を個人にもたらす完全自動化された意思決定を原則として禁止し、本人の明示的同意がある場合や、本人との契約の締結・履行に必要な場合など、限定的な例外に該当するときに限って許容するという構造を採っていました。具体的な場面としては、応募書類をアルゴリズムのみで評価して不合格を決定する採用選考、信用スコアに基づいて融資の可否を自動判定する与信審査、リスク評価モデルによって保険料を自動算定する保険引受などが典型例です。これらの決定を人間の関与なしに行うことは、従来の枠組みでは原則として認められていませんでした。

英国DUAAによるADM規制改正の全体像

DUAAは、2025年6月19日に国王裁可（Royal Assent）を受けて成立した英国の法律であり、データ保護に関する主要規定は2026年2月5日に施行されました。DUAAはUK GDPRそのものを廃止するのではなく、UK GDPRおよび2018年データ保護法（Data Protection Act 2018）を部分的に改正する形を採っており、その改正項目の一つがADM規制です。DUAA全体の改正ポイントと施行スケジュールについては、以下の関連記事で詳しく解説しています。

ADM規制について、DUAAはUK GDPR第22条を新第22A条から第22D条までの新たな規定に置き換えました。この改正の本質は、「原則禁止・例外許容」という従来の構造から、「原則許容・セーフガード義務」という構造への転換にあります。すなわち、重大な自動決定は原則として行ってはならず限定的な例外のみが認められる、という規律から、一定のセーフガードを実装することを条件に幅広い適法化根拠に基づいて実施できる、という規律へと発想が転換されたのです。

英国政府は、この改正により、企業がより広い場面でADMを実施できるようになる一方、本人への情報提供や決定への異議申立てを可能にするセーフガードの実装が義務付けられると説明しています。また、後述するとおり、EUのGDPRは従来の第22条の枠組みを維持しているため、このADM規制の転換は、DUAAが導入した数々の改正の中でも、EU GDPRとの最も大きな乖離であると位置付けられています。

参考：legislation.gov.uk｜Data (Use and Access) Act 2025

参考：GOV.UK｜Data (Use and Access) Act 2025：data protection and privacy changes

改正後のADMルールは特別カテゴリデータの有無で分かれる

改正後のADM規制を理解するうえで最も重要なポイントは、規制の内容が「特別カテゴリデータを用いるかどうか」によって二分されたことです。特別カテゴリデータ（special category data）とは、健康情報、人種的・民族的出自、政治的意見、宗教的信条、自然人を一意に識別する目的で処理されるバイオメトリックデータなど、特に慎重な取扱いが求められる個人データの類型を指します。改正前後の規制の違いは、次の表のとおり整理できます。

以下、それぞれの内容を詳しく見ていきます。

特別カテゴリデータを用いないADMは原則禁止が撤廃

改正後のUK GDPRでは、特別カテゴリデータを用いない重大な自動決定については、従来の原則禁止が撤廃されました。

これにより、企業は、明示的同意や契約の必要性といった限定的な例外に依拠しなくとも、正当な利益（第6条第1項(f)、legitimate interests）を含む通常の適法化根拠に基づいて、完全自動化された意思決定を実施できるようになりました。ただし、DUAAが新設した「認定された正当な利益（recognised legitimate interests、第6条第1項(ea)）」は例外です。第22B条第4項は、決定のために行われる処理の全部または一部が第6条第1項(ea)に依拠する場合、当該重大な決定を完全自動化処理のみに基づいて行うことを禁止しており、この制限は特別カテゴリデータの利用の有無を問わず適用されます。バランシングテストが不要となる同号は一見ADMと相性がよいように見えますが、重大な決定には使えない点に注意が必要です。

この変更の実務的な意味は小さくありません。従来、採用選考や与信審査のような場面で完全自動の決定を行おうとすると、明示的同意の取得が事実上必須となる場合が多く、同意の取得・管理コストや、同意が撤回された場合の業務設計が課題となっていました。改正後は、自社の事業上の利益と本人の権利利益とを比較衡量する正当な利益に依拠する選択肢が開かれたため、ADMを組み込んだ業務プロセスの設計自由度が高まったといえます。英国の情報コミッショナー事務局（Information Commissioner’s Office、以下「ICO」）も、DUAAにより重大な自動決定に利用できる適法化根拠の範囲が広がり、正当な利益への依拠があり得ることを示しています。

参考：ICO｜The Data (Use and Access) Act 2025 (DUAA) – what does it mean for organisations?

特別カテゴリデータを用いるADMは引き続き厳格な制限

一方、特別カテゴリデータに基づく重大な自動決定については、改正後も厳格な制限が維持されています。第22B条第1項は、第9条第1項の処理に全部または一部基づく重大な決定を、完全自動化処理のみに基づいて行うことを原則として禁じており、SCDが処理の一部にとどまる場合であっても同項の適用を受けます。許容されるのは、①決定が、本人が明示的同意を与えた個人データの処理のみに基づく場合（第22B条第2項）、または②決定が本人との契約の締結・履行に必要であるか、もしくは法により要求・許可される場合であって、かつ第9条第2項(g)（実質的な公共の利益、substantial public interest）が適用される場合（同条第3項）の2類型に限られます。②については契約類型であっても実質的公共利益要件を満たす必要があるため、純粋な商業目的での利用は依然として困難です。

たとえば、健康情報を利用して保険の引受可否を完全自動で判定するケースや、自然人を一意に識別する目的で処理されるバイオメトリックデータを利用した本人評価を自動で行うケースは、この厳格な要件の対象となります。また、企業が直接には特別カテゴリデータを入力していなくても、勤怠データの分析から健康状態が推知されるなど、処理の過程で特別カテゴリデータの取扱いが生じる場合には同様の制限が及び得るため、自社のADMがどちらの類型に該当するかの見極めは慎重に行う必要があります。

イギリスにおいてADM実施時に義務付けられるセーフガード

改正後の枠組みにおいて、規制緩和と表裏一体を成すのがセーフガード義務です。重大な自動決定を行う組織は、特別カテゴリデータの利用の有無にかかわらず、本人の権利・自由・正当な利益を保護するためのセーフガードを実装しなければなりません。

具体的には、第一に、決定に関する十分な情報を本人に提供することが求められます。自動決定が行われていること自体や、決定の性質について、本人が理解できる形で知らせる必要があります。第二に、本人が決定について意見を表明（representations）できるようにしなければなりません。第三に、本人が人間の関与、すなわち人間による決定の再検討を求められるようにする必要があります。第四に、本人が決定に対して不服を申し立てられる（contest）ようにしなければなりません。

重要なのは、これらのセーフガードが、単にプライバシーポリシーに記載すれば足りる形式的な義務ではないという点です。意見表明や人間によるレビューの求めに実際に対応できる窓口・体制・業務フローが存在しなければ、セーフガードを実装したとはいえません。「規制は緩和されたが、セーフガードは決して軽い義務ではない」という点が、改正後のADM規制を理解するうえでの核心です。

参考：GOV.UK｜Data (Use and Access) Act factsheet：UK GDPR and DPA

イギリスでAI・プロファイリングを利用する企業への実務的影響

今回の改正により、採用選考におけるAIスクリーニング、与信審査の自動化、人事評価へのアルゴリズム活用といった取り組みは、従来よりも実施しやすくなりました。明示的同意に依拠せずADMを設計できることは、英国市場でAIを活用したサービスを展開する企業にとって追い風といえます。

しかし、実務上の負担がなくなったわけではありません。前述のセーフガードは、規程やポリシーとして文書化するだけでは不十分であり、実際の業務運用に組み込む必要があります。たとえば、AIによる不採用決定に対して候補者から人間によるレビューの求めがあった場合に、誰が、どのような基準と権限で再検討を行うのかを定め、その担当者が決定を覆すことのできる実質的な権限を持つ体制を構築しておくことが求められます。形だけ人間を関与させる、いわゆる「ゴム印」的なレビューでは、実質的な人間の関与とは評価されないリスクがあります。

この点に関連して、ICOは2025年6月公表のAI・バイオメトリクス戦略「Preventing harm, promoting trust」（2026年3月更新）において、採用および中央政府におけるADMを重点監督領域の一つに位置付け、透明性、公正性、実質的な人間の関与、実効的な救済手段を審査の焦点とする方針を示しています。規制緩和後の英国において、ADMの執行リスクが低下したと考えるのは早計です。

参考：ICO｜AI and biometrics strategy update – March 2026

また、ICOは2026年3月31日、ADM・プロファイリングに関するガイダンス改訂案についてのコンサルテーションを開始し、同年5月29日に受付を終了しました。あわせて公表された採用分野の実態調査報告書「Recruitment Rewired」では、AIによる候補者スクリーニングにおいて人間のレビューが形骸化している実態が指摘されています。最終版ガイダンスの公表時期は2026年内が見込まれており、企業としては最新のICOの動向を継続的に確認する必要があります。

さらに、DUAA第92条・第93条により2018年データ保護法に挿入された第124A条・第124B条に基づき、2026年5月12日施行のThe Data Protection Act 2018 (Code of Practice on Artificial Intelligence and Automated Decision-Making) Regulations 2026（SI 2026/425）が、ICOに対しAI・自動化された意思決定に関する法定実務規範（statutory code of practice）を作成する義務を課しました。同規範は独立パネルによる審査と議会への提出手続を経る必要があるため、発効は2027年以降になるとの見方が有力です。

参考：ICO｜ICO consultation on the draft guidance about automated decision-making, including profiling

UK GDPRとEU GDPRの乖離と二重対応の必要性

日本企業にとって特に注意が必要なのは、今回の緩和が英国限りのものであるという点です。EU GDPRは従来の第22条の枠組み、すなわち重大な完全自動決定を原則として禁止し限定的な例外のみを許容する規律を維持しており、特別カテゴリデータの有無にかかわらず広範なADM制限が適用されます。

もっとも、欧州委員会が2025年11月19日に公表したDigital Omnibus提案は、GDPR第22条第1項・第2項の差替えを含んでおり、完全自動決定が許容される場合を限定列挙する形への再構成や、契約上の必要性要件の解釈明確化が提案されています。同提案は本稿執筆時点でなお立法交渉中であり、EDPBとEDPSは共同意見において第22条を原則禁止として維持すべきとの立場を示しています。英EU間の乖離幅は、今後の交渉結果によって変動し得る点に留意が必要です。

その結果、英国とEUの双方で事業を展開する企業は、英国側の規制緩和をEU側の業務にそのまま持ち込むことができません。たとえば、英国では正当な利益に基づいて実施できる採用AIの完全自動判定も、EU居住者を対象とする場合には従来どおりの厳格な規律に服します。同一のAIシステム・同一の業務プロセスであっても、対象者の所在地によって適用されるルールが異なるため、法域ごとにコンプライアンス対応を切り分ける設計が必要になります。具体的には、システム上で英国向けとEU向けの処理を区別できるようにする、地域ごとに異なる社内規程・プライバシーノーティスを整備する、といった対応が考えられます。

GDPRの基本的な枠組みや域外適用の考え方については、以下の関連記事で解説しています。

日本企業が英国ADM規制改正を踏まえて取るべき対応

以上を踏まえ、英国・欧州向けに事業を展開し、AI・アルゴリズムを利用する日本企業が取るべき対応を整理します。

• ADM・プロファイリング利用箇所の棚卸し：自社のどの業務プロセスで自動化された意思決定やプロファイリングが行われているかを網羅的に洗い出します。採用・与信・人事評価のような明白な場面だけでなく、業務システムに組み込まれたスコアリングやレコメンドの中に、法的効果や重大な影響を伴う決定が含まれていないかを確認することが重要です。
• 特別カテゴリデータ利用の有無の確認：各ADMについて、健康情報・人種・政治的意見等の特別カテゴリデータが入力データや推論の過程で用いられていないかを確認します。特別カテゴリデータを用いる場合には、改正後も厳格な要件が適用されるため、明示的同意等の根拠の再点検が必要です。
• セーフガードの設計と実装：情報提供・意見表明・人間の関与・不服申立ての4つのセーフガードを、文書上の記載にとどめず、窓口の設置、対応手順の整備、レビュー担当者の権限付与といった実運用レベルで組み込みます。
• DPIAとプライバシーノーティスの更新：ADMを伴う処理についてデータ保護影響評価（Data Protection Impact Assessment、以下「DPIA」）を実施・更新し、適法化根拠の変更やセーフガードの内容をプライバシーノーティスに反映させます。正当な利益に依拠する場合には、比較衡量の記録を残しておくことも重要です。なお、DUAA附則6による第15条の改正により、「関与するロジックに関する意味のある情報」の提供を求める権利は、第22C条の適用対象となる決定に関するものへと整理されました。DSAR対応マニュアルにおいて、どの決定が第22C条の対象に該当するかを判定するフローを組み込んでおくことが実務上有用です。
• ICOガイダンス改訂の継続的なフォロー：ICOのADM・プロファイリングガイダンスの改訂や法定実務規範は、今後の実務対応の水準を左右します。公表され次第、自社の運用との差分を確認し、必要な見直しを行う体制を整えておくべきです。

これらの対応は一度実施すれば終わりというものではなく、AIシステムの追加・変更のたびに繰り返し検証すべきプロセスとして社内に定着させることが望まれます。

まとめ：英国DUAA改正への対応は弁護士に相談を

DUAAによる改正で、UK GDPRのADM規制は「原則禁止・例外許容」から「原則許容・セーフガード義務」へと構造的に転換されました。特別カテゴリデータを用いないADMは正当な利益を含む通常の適法化根拠に基づいて実施できるようになり、英国でのAI利活用の自由度は高まっています。一方で、特別カテゴリデータを用いるADMには引き続き厳格な制限が残り、すべてのADMに情報提供・意見表明・人間の関与・不服申立てというセーフガードの実装が義務付けられます。ICOは透明性や人間の関与の実質を欠くADMへの執行を優先する姿勢を示しており、規制緩和は決してコンプライアンス負担の消滅を意味しません。

さらに、EU GDPRは従来の枠組みを維持しているため、英EU双方で事業を行う企業には法域ごとの二重対応が求められます。自社のADMの棚卸しとセーフガードの実装を早期に進めることが、英国市場でAIを安心して活用するための前提となります。

当事務所による対策のご案内

モノリス法律事務所は、IT・インターネット法務とAI関連法務に高度の専門性を有するとともに、国際法務にも強みを持つ法律事務所です。AI・アルゴリズムを利用したサービスにおけるADMセーフガードの設計、DPIAの実施支援、プライバシーノーティスの更新、社内規程・業務フローの整備まで、DUAA施行後のUK GDPRコンプライアンスをワンストップで支援いたします。

また、当事務所は欧州現地の専門家と連携したGDPR対応支援サービスを提供しており、英国とEUの双方にまたがる二重対応が必要な場面でも、法域ごとの規制の違いを踏まえた実効的な体制構築をサポートすることが可能です。