ローカルAIとLGPD：ブラジルのデータ保護法に違反せずにAIを使う

LGPD（Lei Geral de Proteção de Dados、Lei nº 13.709/2018）はブラジルの一般データ保護法です。2020年9月に施行され、行政制裁は2021年8月から執行可能となりました。規制当局はANPD（Autoridade Nacional de Proteção de Dados）です。

LGPDは、組織自体の所在地に関わらず、ブラジル国内の個人の個人データを処理するすべての組織に適用されます。EUのGDPRと同様に、域外適用の効力を持ちます。

AI利用に関連する中核的な義務：すべての処理活動に対する適法な根拠、データ主体の権利（アクセス、訂正、削除、ポータビリティ）、データ最小化、適切なセーフガードのない国際移転に対する制限。プライバシーポリシーはポルトガル語で提供されなければなりません。

制裁金はブラジルにおける企業の売上高の最大2%に達し、違反ごとにR$ 50百万を上限とします。これに加えて、警告、データ処理の停止、違反の公表があります。

FGV Direito Rioのテクノロジー・社会センター（同センターのPlatform Governance and Data Regulationsプロジェクトの一環）による調査は、主要な生成AIプラットフォームがLGPDの義務をどの程度満たしているかを評価しました。ChatGPT、Gemini、Claude、Copilot、Grok、DeepSeek、Meta AIを対象に14項目の基準を検証し、いずれも完全には準拠していないことが判明しました。Gemini、Claude、Meta AIが最も良い結果を示し、それぞれ14項目中10項目を満たしました。

最も一貫した不備は透明性でした。多くのプラットフォームはプライバシーポリシーをポルトガル語で提供しておらず、これはLGPDの要件に直接反します。ANPDも生成AIに関する予備調査を公表しており、この分野への規制上の関心を示しています。

第二の構造的な問題はデータの所在地です。クラウドAIサービスにプロンプトを送信すると、そのデータは通常ブラジルを離れ、海外のサーバーで処理されます。LGPDは、特定のセーフガードが適用される場合を除き、個人データの国際移転を制限しています — そのため、個人データや機微データに対して海外のクラウドAIを日常的に使用すると移転リスクが生じます。

これは法的助言ではありません。下記の表は公に観察可能なリスク要因をまとめたものです。規制対象データをいずれかのプラットフォームに委ねる前に、DPOまたは弁護士にご相談ください。

LLMをローカルで実行するとは、推論を自分が管理するハードウェア — ノートパソコン、ワークステーション、またはオンプレミスサーバー — で行うことを意味します。送信するプロンプト、入力するドキュメント、生成される応答は、決して自社インフラから出ません。推論時に国際的なデータ移転がなく、これによりクラウドAIにおけるLGPDの最大の摩擦点が解消されます。

手早いローカルセットアップには、OllamaがWindows、macOS、Linuxで単一のコマンドによりモデルを実行します。CPUのみのサーバーやエアギャップ環境には、llama.cppがきめ細かな制御を提供します。どちらもすべての処理をローカルに保ちます。

ローカルAIはそれ単体で完全な準拠ソリューションになるわけではありません。依然として個人データを処理するための適法な根拠、ログやデータベースに保存するあらゆるデータについてデータ主体の権利を尊重するプロセス、データ保持ポリシー、内部のデータガバナンスが必要です。規模とデータの種類が求める場合は、依然としてDPOが必要です。ローカル推論が解消するのは越境移転の問題であり、その他のLGPD上の義務を取り除くものではありません。

これは情報提供であり、法的助言ではありません。ローカル導入は、全体的な準拠プログラムの一環として、DPOまたは法務担当者によるレビューを受けるべきです。

ほとんどのブラジル企業にとって実用的でLGPDに適したローカルAIスタックは、簡単なランタイムと高性能なポルトガル語モデルを組み合わせます。モデルの選択については、ブラジルポルトガル語向けの最良のローカルLLMに関する併読ガイドをご覧ください。

以下の比較は、海外のクラウドAIサービスを使う場合と、自社インフラでローカルLLMを実行する場合との、LGPDに関連する違いに焦点を当てています。