重要なポイント
- DeepSeek APIはすべての主要なLLMの中で最高のGDPRリスクを持っています。サーバーが中国のデータアクセス法（PIPL）の対象となるためです。QwenおよびLlamaをローカルで実行すると、同等の低リスクになります。
- ClaudeおよびGPT-5.5 APIはEUデータ拠点を備えた場合、中程度のリスクを負い、標準契約条項（SCC）が必要です。
- 推奨スタック：スタートアップ（Claude + SCC）、データ敏感な組織（Qwen 24 GBローカル）、エンタープライズ（マルチGPU Qwen + エアギャップ）
- リスク決定行列は5つのベクトルをカバーしています：データ拠点、トレーニングデータ管轄権、ToSデータ保持、SCC要件、および法的判断
- ローカルQwenおよびLlamaモデルは、第44条（転送なし）、第25条（デザインによるデータ保護）、および第32条（セキュリティ）を満たします。
LLMのためのGDPRリスクの4つのベクトル
LLMの使用におけるGDPRリスクは、4つの独立した要因によって決定されます：データ拠点、トレーニングデータ管轄権、ToSデータ保持ポリシー、およびSCC/TIA要件。
リスク行列：モデル別比較
下の表は、各デプロイメントオプションのGDPRリスクプロファイルをまとめています。
モデル別の判断と推奨される使用法
このセクションを使用して、各デプロイメントがGDPRコンプライアンスポジャーに適切である場合を理解してください。
組織タイプ別の推奨スタック
正しいLLMスタックは、組織のデータセンシティビティ、予算、および規制スタンスに依存します。
SCCを使用する場合、DeepSeekはGDPR準拠ですか？
いいえ。SCC単独では、次の理由からGDPR第44条の中国への転送を満たしていません：（1）EU-中国の妥当性決定がSchrems II以降存在しない; （2）中国法（PIPL）は企業が政府機関とデータを共有することを義務付けている; （3）主要ベンダーはSCCで中国で操業することを拒否しています。EUの住民の個人データについては、DeepSeek APIを使用しないでください。DeepSeekが必要な場合は、ローカルウェイトを使用してください。
Claude EU をSCCで使用する場合、GDPRを満たしていますか？
ほぼはい、注意点があります。Claude EUは処理中あなたのデータをアイルランドまたはドイツに保持し、30日以内に削除します。Anthropicはグローバルに準拠したDPAを公開しています。ただし、Claude モデルは米国ベースの訓練データを使用しており、Anthropicは米国企業です。実用的なコンプライアンスについては、Claude EU + SCC は許容できます。最も強いポジション（転送リスクなし）については、ローカルQwenまたはLlamaを使用してください。
Llama 4 Scout を Claude の直接的な代替として使用できますか？
GDPRコンプライアンスについて：はい。Llama はオープンソースで、ローカルで実行できるため、第44条、第25条、および第32条を完全に満たしています。機能とパフォーマンスについて：おそらく。最初にあなたのワークロードでテストしてください。単純なQ&A、要約、およびコードタスクについて、Llama 4 Scout は競争力があります。
監査の目的でプロンプトをローカルで記録した場合はどうなりますか？
記録は第30条のコンプライアンスのために推奨されます。記録：モデル名、セッションタイムスタンプ、入力トークン数、出力トークン数、およびプロンプトと応答のSHA-256ハッシュ。個人データを含むプロンプトの生のテキストを記録しないでください。ハッシュベースのログは、第30条（処理記録）と第32条（セキュリティ）を満たし、第5条第1項e号（保存制限）に違反しません。