プライバシー、AI、そして適用されるルール

AIを使うスイス企業は、名前を含む最初のプロンプトから、自国のデータ保護法のもとで仕事をしています。EU域内の人々にサービスを提供していれば、GDPRとEUのAI法（AI Act）も視野に入ってきます。今年、そうしたルールのいくつかが動きました。

より大きなリスクは、多くの場合、法律ではなく習慣です。IBMによる2025年のデータ侵害に関する調査では、5組織に1つが、社員が承認を得ずに使うツール、つまりシャドーAIに関連した侵害を経験しており、シャドーAIの度合いが高いと侵害のコストが平均で670'000ドル増えていました。AIモデルやAIアプリケーションの侵害を経験した組織のうち、97パーセントはAIに対する適切なアクセス制御を欠いていました。

ここでは、2026年10月時点でルールがどうなっているか、そして慎重な企業が何をしているかを見ていきます。これは概観であり、法的な助言ではありません。

スイス：法律はすでに適用されている

スイスにはまだAI法はありませんが、AIが規制されていないわけではありません。改正されたスイス連邦データ保護法（FADP）は2023年9月1日から施行されており、連邦データ保護・情報コミッショナー（FDPIC）は2023年11月以降、そして2025年5月にも改めて、この法律がAIを用いた個人データの処理に直接適用されると述べています。

FDPICは、AIによる処理の目的、仕組み、データソースについての透明性を求めています。人には、機械とやり取りしているのかどうか、そして入力した内容がシステムの改善に使われるのかどうかを知る権利があります。リスクの高い処理にはデータ保護影響評価が必要で、特定可能な人物の顔、画像、声を加工したものには、常に明確な表示が必要です。コミッショナーは、リアルタイムの包括的な顔認識とソーシャルスコアリングを禁止事項として挙げています。

FDPICはこれを大手プラットフォームにも適用しています。2025年3月には、Xの投稿をGrokの学習に使うことに関する予備調査を終え、ユーザーは異議を唱えられることを指摘しました。

専用の枠組みも準備されています。連邦司法警察省は、AIに関する欧州評議会の条約を実施するための法案を、2026年末までに意見聴取にかけるべく起草しており、透明性、データ保護、差別の禁止、監督に重点を置いています。

オムニバス後のEUのAI法

EUのAI法（AI Act）は2024年8月1日に発効し、段階的に適用されています。禁止される行為とAIリテラシーの義務は2025年2月2日から、汎用モデルに関する義務は2025年8月2日から適用されています。法律の大部分は2026年8月2日から適用され、そこには透明性のルールも含まれます。人がチャットボットと話している場合にはそれを知らせなければならず、ディープフェイクには表示が必要です。

AIに関するデジタル・オムニバス、規則（EU）2026/1744は、2026年7月27日に発効しました。これによりハイリスクシステムのルールが後ろ倒しになります。生体認証、教育、雇用などの分野で使われるシステムには2027年12月2日から、エレベーターや玩具のような規制対象製品に組み込まれるシステムには2028年8月2日から義務が課されます。また、同意のない人物の性的画像や児童性的虐待コンテンツを生成するAIを2026年12月から禁止し、簡素化された文書作成を小規模なミッドキャップ企業にも広げています。

AIを作るのではなく使うほとんどの企業にとって、この延期で変わることはわずかです。透明性とリテラシーの義務は、いま適用されています。追加の猶予は、誰を採用するかなど、人について判断するシステムのためのものです。

GDPR、そしてまだ法律ではない改正

GDPRそのものは変わっていません。2024年12月、欧州データ保護会議は、AIモデルについてGDPRをどう解釈するかを示しました。個人データで学習したモデルが匿名とみなされるのは、直接であれ、モデルへの質問を通じてであれ、そこから人物を特定できる可能性が非常に低い場合に限られ、個別の事例ごとに判断されます。正当な利益が法的根拠として機能するのは、処理が厳密に必要で、権利のバランスが保たれている場合に限られます。そして、違法に処理されたデータの上に構築されたモデルは、適切に匿名化されていない限り、その後の利用の適法性に影響しうるとしています。

別のオムニバスは、GDPRとデータ法の一部を緩和しようとしています。2026年10月7日、ドイツとフランスがさらなる時間を求めたことを受けて、加盟国の大使たちは理事会の立場に関する採決を延期し、10月11日の会合ではこの文書は議論も採決もされませんでした。ベルリンは、小規模な企業や非営利組織を多くの義務から解放する、低リスクの管理者という区分を求めています。いずれもまだ適用されておらず、私たちは現在書かれているとおりのGDPRを前提に計画しています。

契約と越境移転

職場でのAIのほとんどは、企業に代わって個人データを処理する提供事業者を通じて動いており、企業のルールが宿るのは契約です。契約には、提供事業者がプロンプトやファイルで何をしてよいのか、それらとログをどれだけの期間保持するのか、どの再委託先をどこで使うのか、そして終了時にデータがどうなるのかが書かれているべきです。提供事業者が顧客のデータで学習しないと言うなら、署名した契約の中にその一文を見つけておきましょう。

スイスから米国へ出ていくデータには、法的な根拠が必要です。2024年9月15日以降、Swiss-US Data Privacy Frameworkにより、認証を受けた米国企業へは追加の保証なしに移転できるため、提供事業者と再委託先のそれぞれについて認証を確認しましょう。EUの同等の枠組みは、2025年9月3日、EU一般裁判所での最初の異議申し立てを乗り越えました。2025年10月31日に提起された上訴は、私たちの知る限り、まだ判断が出ていません。自社のツールのうち、どれが米国への移転に依存しているのか、そしてその代わりに何をするのかを把握しておきましょう。

慎重な企業がいますること

どれも大規模なプログラムは必要ありません。必要なのは、1つのリスト、いくつかの決定、そしてそれに責任を持つ人です。

リストを作りましょう。使われているすべてのAIツール、そこに入るデータ、提供事業者、国、そして契約。承認されたものではなく、実際に何を使っているかをチームに尋ねることです。

データを公開、社内、機密に分類し、どの区分のデータをどのツールに入れてよいかを1ページにまとめましょう。

良いものを提供しましょう。シャドーAIは、承認されたツールが無料のツールより劣るところで広がります。きちんと使える承認済みのアシスタントがあれば、顧客データを個人アカウントに貼り付ける理由の大半はなくなります。

アクセスを管理しましょう。AIツールにも、ほかのすべてのシステムと同じ役割、サインイン、退職時の手続きを適用します。何でも読めるアシスタントは、いつか誤った相手にそれを見せることになります。

人に知らせ、リスクの高いケースを評価しましょう。顧客が機械と話している場合はWebサイトでそう伝え、AIが機密データに触れたり、人について判断したりする前に影響評価を行います。

責任者を置きましょう。Ciscoの2026年の調査では、4組織に3つがAIガバナンスを担う組織体を持っていましたが、それが成熟していると答えたのは12パーセントにとどまりました。そして、送信ボタンには人を置き続けることです。誰かのデータで何をしてよいかは判断の問題であり、判断は人に残ります。

私たちの作り方

私たちのプロダクトも、同じルールに従っています。Kontorはbexioで見積書と請求書を作成し、自らは何も保存しません。データはbexioにとどまり、送信、支払い、督促は人の手に残ります。

Twinは、各役割に会社の頭脳のうち必要な部分だけを与え、すべての書き込みはユーザーごとのサインインで行われます。スイスまたはEU、あるいはクライアント自身のハードウェア上で動き、データが公開モデルの学習に使われることはありません。

データを社外に一切出してはならない場合は、パートナーのEigna Labsが開発したEignaが、会社自身のクラウドやサーバー上でプライベートモデルとして動きます。GDPRとEUのAI法（AI Act）を前提に設計されています。

ルールは今後も動き続けます。自社のデータがどこへ行くのかを把握している企業なら、それに追随できます。