カナダ当局がOpenAIをプライバシー法違反と認定——ChatGPTのデータ収集・同意取得に複数の問題

カナダのプライバシーコミッショナーが、OpenAIはAIモデルの学習においてカナダの連邦・州プライバシー法に「準拠していなかった」と認定しました。2023年に開始された調査の結果として、ChatGPTのデータ収集・同意取得・ユーザーの権利保護に複数の問題が指摘されています。

何が問題とされたのか——4つの主要な違反事項

カナダのプライバシーコミッショナーPhilippe Dufresne氏と、アルバータ州・ケベック州・ブリティッシュコロンビア州の各州コミッショナーが共同で調査を実施し、OpenAIのアプローチに複数のプライバシー上の問題を特定しました。対象となった法律には、企業が通常の業務において個人情報を収集・利用する方法を規定するカナダの「個人情報保護および電子文書法（PIPEDA）」が含まれます。

指摘された主な問題点は以下の通りです。

大量の個人情報を、モデル学習への利用を防ぐ十分な保護措置なしに収集していた
その個人情報の収集・利用に対して、そもそも同意を取得していなかった
ChatGPTユーザーが自分のデータにアクセスし、修正・削除する手段がない
ChatGPTの回答の不正確さを認める取り組みが不十分だった

ChatGPT上には「AIとのやり取りが学習に使われる可能性がある」という警告が表示されていますが、OpenAIが購入またはスクレイピングしたサードパーティのデータにも個人情報が含まれており、当事者がそれを認識していない可能性があるとコミッショナーは指摘しています。

OpenAIが合意した改善措置——3ヶ月・6ヶ月の期限付き

カナダのプライバシーコミッショナーによると、OpenAIは調査に対して協力的な姿勢を示し、すでに複数の改善措置を実施または約束しているとのことです。

実施済みの措置：

カナダのプライバシー規制に違反していた旧モデルをすでに廃止
学習に使用する公開インターネットデータおよびライセンスデータセット内の個人情報（氏名・電話番号など）を検出・マスキングするフィルタリングツールを導入

今後3ヶ月以内に実施予定の措置：

ログアウト状態のChatGPTに、チャット内容が学習に使われる可能性があること・機密情報を共有すべきでないことを説明する新たな通知を追加

今後6ヶ月以内に実施予定の措置：

データエクスポートツールをより分かりやすく使いやすくし、ChatGPTが提供する情報の正確性に異議を申し立てる方法を明確に説明する
廃止された将来のデータセットが現行の開発に使用されないよう、強力な保護措置を実施したことをプライバシーコミッショナーに確認する
公人の未成年の親族（本人は公人でない）に関する保護措置をテストし、モデルがその氏名や生年月日の共有要求を拒否することを確認する

銃乱射事件との関連——安全対応の問題も浮上

今回のプライバシー問題とは別に、OpenAIはカナダ当局から安全対応面でも批判を受けています。

2026年2月にブリティッシュコロンビア州Tumbler Ridgeで発生した銃乱射事件との関連で、OpenAIは2025年に容疑者のアカウントが現実世界の暴力に関する警告を含んでいるとしてフラグを立てていたと報じられています。しかし、その懸念をカナダの法執行機関にエスカレーションすることはなかったとされています。

事件を受けて規制当局がOpenAIに対応の変更を求め、OpenAIは最終的にカナダの法執行機関および保健機関との連携を強化することに合意しています。

今回の認定はOpenAIにとって無視できない規制リスクを示しています。特に「ユーザーが自分のデータを削除できない」という点は、EU一般データ保護規則（GDPR）が定める「忘れられる権利」と同様の議論であり、今後他国の規制当局が同様の調査を行う際の先例となる可能性があります。OpenAIが約束した改善措置が期限内に実施されるかどうか、続報を待つ必要があります。

Q&A

Q. 今回の問題はChatGPTの日本語ユーザーにも関係しますか？ 今回の調査はカナダの連邦・州プライバシー法（PIPEDAなど）に基づくものであり、直接の対象はカナダのユーザーです。ただし、OpenAIが学習データとして使用するサードパーティのデータには国籍を問わず個人情報が含まれる可能性があり、データ収集・同意取得に関する問題は日本を含む他国のユーザーにも共通する論点です。

Q. ChatGPTユーザーは自分のデータを削除できないのですか？ カナダのプライバシーコミッショナーの調査によると、現時点でChatGPTユーザーには自分のデータにアクセスし、修正・削除する手段がないことが問題として指摘されています。OpenAIは今後6ヶ月以内にデータエクスポートツールの改善を行うことに合意していますが、削除権の付与については今回の合意内容には明示されていません。