サポートエージェントはGDPRに準拠していますか？

サポートエージェントはGDPRに準拠*できます*。ただし準拠は自動的に確保されるものではなく、人気のあるツールの多くは米国でホストされており、欧州企業にとっては準拠が複雑になりがちです。法律用語を使わず、実際に重要なポイントを整理します。（本記事は一般的な情報提供を目的としており、法的アドバイスではありません。）

1. データはどこに保存されているか？

GDPRはデータのEU域外への移転を禁じてはいませんが、標準契約条項などの適切な保護措置が必要です。最もシンプルな対応は、そもそも処理をEU域内で完結させることです。ChatixyはEUでホストしており、ナレッジベースと訪問者との会話はすべて欧州連合内で処理されます。

2. 誰が管理者で、誰が処理者か？

訪問者が送信するメッセージに関しては、あなた（事業者）がデータ管理者であり、サポートエージェントベンダーはデータ処理契約（DPA）に基づいてあなたの指示のもとで動作する処理者です。ベンダーがDPAおよび下請処理者の一覧を明示していることを確認してください。

3. AIプロバイダーはあなたのデータを学習に使うか？

多くのツールで見落とされがちなポイントです。回答を生成する際、関連コンテンツは大規模言語モデルのプロバイダーに送信されます。GDPR準拠の取り決めとは、そのプロバイダーがDPAのもとで下請処理者として動作し、あなたのコンテンツを汎用モデルの学習に使わないことです。Chatixyはこの方式で運用しています。

4. 透明性とEU AI法

カスタマーサポート向けのサポートエージェントは、EU AI法では「限定的リスク」のAIシステムに分類され、主要な義務は透明性、すなわちAIと対話していることをユーザーに明示することです。具体的には、エージェントをAIとして明確に表示し、担当者への切り替えを簡単にし、自社のプライバシーポリシーにサポートエージェントについて記載することが求められます。

5. データ主体の権利

訪問者やお客様は自身のデータへのアクセス・削除を要求できます。ベンダーはデータのエクスポートや削除の手続きを簡単に行えるようにすべきです。Chatixyは、法令によりより長期間の保存が義務付けられる場合を除き、アカウント削除から30日以内に個人データを削除します。

まとめ

サポートエージェントがGDPRに準拠するためには、データが適切な場所（理想的にはEU域内）に保存され、DPAが締結されており、AIプロバイダーがコンテンツを学習に使用せず、訪問者への透明性が確保されていることが必要です。ChatixyはEUファーストで設計されており、これらの要件を後から追加するのではなく、最初からデフォルトとして組み込んでいます。