  |
Regarding theEU Omnibus Bill,Japanese experts appear to be lobbying yourorganization and other institutions.I believe the following pointsrequire attention:
1)Ithas becomecommon inJapan to consider regulations regarding making decisions about individualsas thecore of personal data protection, but thisis a mistake. First,itis important tonote that models trainedon personal data or insights gained from statistically analyzing personal data can affect individuals even when used tomake decisions about agroup (rather than individuals). Second, such insights and models can be usedby anyone, not just thosewho analyzed or trained them.On the other hand, if personal datais accumulated in a rich form,it can be used for various analyses, so the accumulationitself can be a threat.
2) Therefore, thecore of personal data protection regulationsis to curb the diversion of personal databeyond the intended use inthe original context in whichitwas received, and the collection and distribution of personal data without limitingits purpose.Japanese law (as in the Omnibus Bill) defines personal dataas data thatmay be personal data forone entity but not for an entity thatdoes not identify the individual.As a result, this curbdoes not work well inJapan, andithasled toconfusion and complexity inon-site practice.I believe theEU should not repeatJapan's mistakes.
3) Allowing the training of general-purposeAI with personal dataas a "legitimate interest"is tantamount to abandoning the curb mentioned in paragraph 2) above. Even ifitis proven that current LLMs are unable to recognize individuals in an integrated manner across multiple training data sets orRAG entries, this merely means that thishas not been achievedwith the currentstate of technology, andI believe that this shouldonly be permitted if explicitly stipulatedas an exception.
EUオムニバス法案に関して、日本の専門家が貴団体をはじめとする機関にロビー活動を行っているようです。以下の点に留意する必要があると考えます。
1)日本では、個人に関する決定に関する規制を個人データ保護の中核と考えることが一般的になっていますが、これは誤りです。第一に、個人データで訓練されたモデルや、個人データの統計的分析から得られた知見は、個人ではなく集団に関する決定に使用された場合でも、個人に影響を与える可能性があることに留意することが重要です。第二に、こうした知見やモデルは、分析や訓練を行った者だけでなく、誰でも利用できる可能性があります。一方で、個人データがリッチな形で蓄積されれば、様々な分析に利用できるため、蓄積自体が脅威となる可能性があります。
2) したがって、個人データ保護規制の中核は、個人データが本来の文脈において意図された用途を超えて転用されること、そして、目的を限定せずに個人データが収集・流通されることを抑制することです。日本法の定義によると、（オムニバス法案と同様）ある主体にとっての個人データが、個人を特定できない主体にとっては個人データではないデータとなります。その結果、この抑制は日本ではうまく機能せず、現場の実務に混乱と複雑性をもたらしています。EUは日本の過ちを繰り返すべきではないと考えます。
3)個人データを用いた汎用AIの学習を「正当な利益」として認めることは、上記2)の抑制を放棄するに等しいものです。仮に、現行のLLMが複数の学習データセットやRAGエントリにまたがる統合的な個人認識が不可能であることが証明されたとしても、それは単に現状の技術水準では実現できていないことを意味するに過ぎず、例外として明示的に規定される場合にのみ認められるべきであると考えます。
8