カリフォルニア州の州行政法局（Office of Administrative Law）は11月４日までに、サイバーセキュリティー監査やリスク評価、そして自動意思決定技術（ADMT）に関する新たな規制を正式に承認した。プロコピオ誌によると、新たな規則群は同州内の会社らの業務に大きく影響するとみられる。

▽2026年１月１日に発効

それらは、すでに施行されているカリフォルニア州消費者プライバシー法（California Consumer Privacy Act＝CCPA）をもとに、カリフォルニア州内の会社らがADMT（Automated Decision-Making Technology＝）を用いて重要な意思決定を行う際の包括的な新要件を追加する内容だ。

それらの新規則は2026年１月１日に発効する。主要規則群の遵守期限（準備や対応のための猶予）は2027年と設定されている。同州の今回の決定は、米国内のプライバシー法でもっとも大きな動きと位置づけられる。

▽法的な必須要件に

新たな規則群は、同州内の会社らの人材採用や融資、医療、保険を含む幅広い分野に影響をおよぼす。各社の使っている多種多様のシステムがどの部分で新規則に該当するかを把握することは、もはや技術的課題ではなく、法的な必須要件となった。

承認された新規制は、下記３分野において州内の会社らに新たな遵守義務を課す。

１）自動意思決定技術（ADMT）を用いて消費者に対し「重要な決定」を行う場合２）消費者プライバシーに重大なリスクをもたらす個人情報処理に対するリスク評価３）一定規模以上の会社らに対するサイバーセキュリティー監査の実施

▽「平易な言葉」での前通知を義務化

人間の判断を代替または大幅に置き換えるような「重要な決定」にADMTを利用するカリフォルニア州内企業らは、システム導入前に、「平易な言葉で」利用目的を説明する事前通知を行うことが義務づけられる。その通知には、収集するデータの種類やデータの分析方法、自動化の役割りの範囲、人間による監視や介入の有無を明記する必要がある。

「重要な決定」の定義には、人材採用選考や融資の承認または拒否、保険条件の設定、教育や医療サービスへのアクセスの可否といった人々の生活や利益に直結する判断が含まれる。

▽精密なリスク評価の事前説明を義務化

リスク評価については、同州内の会社らは、個人情報の販売または共有、繊細な個人情報の処理、重要な決定のためのADMT利用またはADMTの訓練について、精密なリスク評価を事前に実行して説明する義務を負う。

評価内容報告書の一部は、カリフォルニア州プライバシー保護庁（California Privacy Protection Agency＝CPPA）へ提出が2028年から義務化される。

▽第三者によるサイバーセキュリティー監査を義務化

サイバーセキュリティー監査では、大企業や個人データを多くあつかう会社らに対し、年次サイバーセキュリティー監査も義務づける。監査は、経営陣の自己申告ではなく、セキュリティー体制や委託先管理、サイバーセキュリティー事案対応能力を客観的に評価する独立機関にゆだねられる必要がある。

初回の監査結果報告は、会社の規模や売り上げに応じて2028～2030年のあいだに提出されることが規定されている。

▽ADMT利用部分の地図化から着手することが最善策

カリフォルニア州の会社らは、新規則群を遵守するためにはADMTが自社内のどの部署や業務に使われているかを正確に地図化するところから着手する必要がある。

各社はまた、技術部署と規制遵守部署が連携し、開示文書の作成やリスク評価のひな型の整備、監査計画の策定を同時に進めることも必須だ。

（Gaean International Strategies, llc社提供）