Q1. 忘れられる権利を使って、AIの回答を消せますか。
GDPR 第17条や、本稿で扱う個人のプライバシーに基づく削除制度について、法人自身は権利主体になりません。第17条は検索エンジンに限定された制度ではなく管理者一般に対する消去権ですが、保護の対象は自然人です（規則の正式名称も「自然人の保護に関する規則」）。Google Spain 判決（C-131/12）が認めたのは氏名検索の結果リストからのリンク削除で、元ページの掲載は適法なまま残りえます。役員等の自然人については別で、CNIL は抽出可能な個人データを含むAIモデルは匿名とみなせず、GDPR上の権利がモデルにも適用されるとしています。
Q2. 事実である不祥事は、訂正を求めることができないのですか。
「誤っていること」を理由とする訂正は成立しません。日本の個人情報保護法でも、第34条の訂正等は「内容が事実でないとき」を要件としています。ただし「何もできない」わけではありません。同法第35条の利用停止等は、データが正確であっても、目的外利用・不適正利用・不正取得があった場合や、利用する必要がなくなった場合、本人の権利・正当な利益が害されるおそれがある場合に、利用停止・消去や第三者提供の停止を求めうる制度です。GDPR 第17条第1項も、目的達成や異議申立てなど、正確性を要件としない事由を列挙しています。
Q3. 第35条の要件を満たせば、必ず削除されますか。
そうとは限りません。第35条の第2項・第4項・第6項はいずれもただし書きを置いており、利用停止等に多額の費用を要する場合その他の実施が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとされています。つまり要件充足と、データそのものの削除は同義ではありません。同じ構造は CNIL の整理にもあり、モデルの再学習が比例性を欠く場合には出力フィルタ等の代替措置が想定されています。
Q4. GDPR 第17条で消去が認められないのは、どういう場合ですか。
第17条第3項が5つの例外を定めています。表現・情報の自由の行使、法的義務の遵守や公益上の任務の遂行、公衆衛生分野の公益上の理由、公益的アーカイブ・科学的歴史的研究・統計の目的（第89条1項に従い、消去がその目的の達成を不可能にし、または著しく損なうおそれがある場合）、そして法的請求の確立・行使・防御です。危機管理の文脈で特に関係しうるのは、報道が表現・情報の自由の行使に当たりうること、係属中の紛争があれば法的請求の防御が問題になりうることです。
Q5. 日本の最高裁は、AIの回答についても判断していますか。
本稿で確認した範囲では確認できませんでした。ただし「日本には検索結果の削除法理しかない」という理解は正確ではありません。最高裁は令和4年6月24日、逮捕事実を摘示した Twitter 投稿そのものについて削除を認めています（令和2年(受)第1442号、民集76巻5号1170頁）。対象は真実の逮捕事実でしたが、逮捕から約8年が経過し刑の言渡しが効力を失っていること、転載元の報道記事も既に削除されていることなどから、公共の利害との関わりの程度が小さくなったと評価されました。平成29年決定より緩やかな基準を示したものと評されています。それでも、生成回答について参照すべき最高裁の枠組みは見当たりません。
Q6. 役員個人に関する記述なら、モデルからの削除を請求できますか。
請求の余地はありますが、通る保証はありません。CNIL は、抽出可能な個人データを含むモデルは匿名とみなせず、GDPR上の権利がモデル自体に適用されるとしています。一方で、訂正・消去の権利は絶対ではなく、データの機微性と、管理者の事業活動の自由への制約——とりわけモデル再学習に要する計算資源・環境負荷・人的資源・費用——を比較して比例性が判断されるとしています。CNIL 自身が挙げる例では、公開情報から学習したLLMについて公人が消去を求めた場合、再学習コストの高さから請求は原則として拒否されうるとされています。ただし再学習が比例性を欠く場合には、出力フィルタ等の代替措置が求められます。
Q7. 出力フィルタでの対応は、削除の代わりになりますか。
CNIL は、再学習が不可能または比例性を欠く場合の代替措置として、システムの出力をフィルタリングする措置を推奨しています。ただし条件があり、管理者はその措置が十分に有効かつ堅牢である（迂回されない）ことを示さなければなりません。また CNIL は、権利行使者のブラックリストを作るより、個人データの生成自体を防ぐ一般的なルールを用いることを推奨しています。ブラックリスト方式は出力の統計分布を変えることで、かえって異議申立てをした者を特定させるリスクを生じさせうるためです。なお、この基準を満たすと認められた具体的事例は、本稿で確認した範囲では確認できませんでした。
Q8. 請求はどこに対して行えばよいのですか。
先に、その記述がどこから生じているかを特定する必要があります。CNIL は、モデルとシステムを区別すべきだと述べています。システムはモデルとユーザーの間のインターフェースであり、ウェブ検索や知識ベース（RAG）から得た情報をクエリや出力に付加しうるため、ある記述がモデルの記憶に由来するのか、システムの他の構成要素に由来するのかは外からは判別しにくいからです。知識ベースを提供者がシステムに統合しているならその提供者が、第三者が付加しているならその第三者が、権利行使の相手方になります。モデル自体への権利が認められ得ることと、特定の生成回答を直接「削除」する権利が確立していることは同義ではありません。
Q9. EU AI Act ができたので、AI回答の削除を請求できるようになりましたか。
なっていません。EU AI Act 第50条は2026年8月2日から適用されていますが、これは透明性の規律です。利用者がAIとやり取りしていることを認識できるようにすること、AI生成コンテンツを識別可能にすることを求めるもので、不利な生成回答について法人に消去請求権を与える制度ではありません。なお、2026年8月2日より前に市場投入された生成AIシステムについては、Regulation (EU) 2026/1744 により追加された第111条4項が、第50条(2)の機械可読マーキング義務への対応期限を2026年12月2日まで猶予しています。猶予の根拠は第50条(2)自体ではなく、この第111条4項です。
Q10. 法人には、まったく手立てがないのですか。
本稿が扱う個人データ保護・プライバシーに基づく削除制度については、法人は権利主体になりません。もっとも、名誉・信用侵害や、不正競争防止法2条1項21号（競争関係にある他人の営業上の信用を害する虚偽の事実の告知・流布）等の別の法的構成が問題となり得ます。ただしそれらは虚偽性・競争関係・違法性といった個別要件に依存するもので、「真実である自社の不利な情報を一般的に消せる権利」ではありません。法的責任と請求構成の詳細はAI誤情報と法的責任をご覧ください。
Q11. 検索結果の削除とAI回答の削除は、何が違うのですか。
Google Spain 判決と平成29年最決が扱った検索結果削除では、URLという特定可能な単位があり、削除は「リストから項目を外す」という操作になります。AI回答は毎回異なりうる生成文であり、何を、どこから除くのか——学習済みの知識か、取得された材料か、出力段か——の定義自体が要ります。効果の確認方法も違い、AI回答では同じ条件で反復して観測しなければ変化を判別できません。ただし令和4年最判のように投稿そのものの削除を命じた先例もあるため、既存法理が操作単位の明確な削除しか扱ってこなかったわけではありません。
Q12. 法務としては、まず何から着手すべきですか。
四点を切り分けてください。第一に、記述の対象が法人か個人か。第二に、記述が事実か誤りか、混在か。第三に、記述の発生源がモデルかシステム側の構成要素か。第四に、使いうる根拠が訂正なのか利用停止・消去なのか。誤りである部分は切り出して誤情報の枠組みで扱えます（AI誤情報対策）。切り分けずに「全部消したい」と考えると、どの請求も設計できません。
Q13. 制度に頼れない部分は、どうすればよいですか。
消えるのを待つのではなく、観測してください。どのエンジンで、どの問いに対して、どう語られ、何が引用されているか、そしてそれが時間とともにどう変わるか。制度上の請求を検討する場合にも記録は必要で、CNIL は生成AIについて、記憶の有無をプロンプトによる問い合わせで確認する手続を推奨し、権利行使をする本人の側にもプロンプトの提示が求められうるとしています。観測の具体的な設計は、AI回答に、その情報はいつまで残るのかをご覧ください。なお記録が個人に関する記述を含む場合、記録自体が個人情報の取扱いになりうるため、アクセス権・保存期間・削除方針を先に定めてください。
