採用AIコンプライアンスとは？
採用AIコンプライアンスとは、採用プロセスのあらゆる段階で人工知能、アルゴリズム、または自動化ツールを使用する際に雇用主が満たさなければならない法的義務の総称です。CV審査ソフトウェア、チャットボット面接、スコアリングモデル、直接的な人間の判断なしに候補者をフィルタリングまたはランク付けするあらゆるツールが含まれます。
2026年時点で、日本の雇用主の採用コンプライアンスを形成する三つの主要な規制枠組みがあります：改正個人情報保護法（APPI、2022年改正）、経済産業省が策定したAIガバナンスガイドライン、および職業安定法を含む労働関係法です。これらは総合的に、候補者データの収集方法、自動意思決定の方法、就労が許可されている者に関する具体的な義務を生み出しています。グローバルに展開する企業については、EU GDPR およびEU AI法も参照枠組みとして重要です。
コンプライアンスはチェックボックス的な作業ではありません。罰金は実質的なものです。2023年、個人情報保護委員会（PPC）は採用プロセスにおいて不適切な個人情報処理を行った複数の企業に対して是正勧告を行い、アルゴリズムシステムによる個人データ処理に対する規制当局の監視が強化されていることを示しました。
2026年が転換点である理由
雇用AIを明示的に含む高リスクAIシステムに関するEU AI法の義務は、ほとんどの組織において2026年8月から適用されました。これは将来的な要件ではありません。今日EUで運営しながら候補者をスクリーニング、ランク付け、または絞り込みにAIを使用しているなら、カウントダウンはすでに始まっています。
同時に、個人情報保護委員会（PPC）は採用における自動意思決定への監視を強化しており、候補者のAPPI上の権利に関する認識も高まっています。今コンプライアントなプロセスを構築することで、行政処分、候補者からの苦情、評判の損害から守られます。
EU AI法と雇用AI
EU AI法はAIに4段階のリスク分類システムを設けています。雇用AIは最も規制が厳しい段階であるハイリスクに位置します。同法の附属書IIIは、CV審査、候補者ランキング、面接評価を含む採用・選考に使用されるAIをハイリスクアプリケーションとして明示的に列挙しています。
雇用AIシステムにおけるハイリスクAI義務が適用開始された日付。スクリーニングツールがEU内の候補者を処理する場合、必須要件が今すぐ適用されます。
ハイリスク分類が実際に意味すること
採用においてハイリスクAIを展開する雇用主とHRテックベンダーは、厳格な一連の義務を遵守しなければなりません。これらはオプションのガイドラインではなく、実効性のある法的要件です。
まず、AIシステムを展開する前に適合性評価を完了する必要があります。これにはシステムの目的、訓練に使用されたデータ、既知の制限事項、バイアスとエラーを軽減するために講じた措置の文書化が含まれます。既製ツールを購入する雇用主については、ベンダーにこの文書を要求すべきです。
人間による監視の要件
すべてのハイリスクAIシステムは、人間によるレビューとオーバーライドを可能にするよう設計されなければなりません。採用の文脈では、人間がその決定をレビューし覆す真の能力を持たずに、AIの決定だけに基づいて候補者が拒否または次のステージに進むことがあってはなりません。
これは、人間が候補者の資料と真剣に向き合わずにAIのアウトプットを承認するゴム印的なプロセスでは満たされません。監視は実質的なものでなければなりません。人間はAIの推論と基礎となる候補者データにアクセスでき、異なる結論に到達できなければなりません。
候補者への透明性
候補者は自分の評価にAIが使用されていることを通知されなければなりません。この開示はAIとのインタラクションが始まる前、求人票、応募フロー、または専用の通知に表示されるべきです。開示は使用されるAIの種類、評価する内容、そのアウトプットが選考決定にどのように使用されるかを説明すべきです。
GDPRと候補者データ
GDPRは、雇用主の所在地に関わらず、EUまたは英国に居住する候補者の個人データを処理するすべての雇用主に適用されます。採用はGDPRコンプライアンスの中でも最も高リスクな分野の一つです。既存の関係を持たない個人からの大量の機密性の高い個人データが含まれるためです。
処理の適法根拠
採用活動中の候補者データ処理は、通常、正当な利益（第6条(1)(f)）または契約の履行（第6条(1)(b)、契約前ステップ）に依拠します。同意は採用の適切な根拠となることはほとんどありません：自由に与えられなければならないものですが、雇用主と求職者の間の力の不均衡によって損なわれます。
健康、障害、民族的出自、宗教的信念を含む特別カテゴリデータは、第9条に基づく追加の適法根拠を必要とします。最も一般的なのは明示的な同意または雇用法上の義務の必要性です。スクリーニングの質問や心理測定ツールが意図せず特別カテゴリデータを収集する場合、この追加根拠を文書化する必要があります。
データの最小化と目的制限
採用決定に必要なデータのみを収集できます。この原則はいくつかの一般的な慣行に影響します：年齢が真の要件でないのに生年月日を尋ねること、面接前に写真を要求すること、役割との明確な関連なしに大量のソーシャルメディア情報を収集することです。キーワードベースの審査ツールは意図せぬバイアスを生む可能性もあります。これらが保護された特性と相関するプロキシデータを収集する場合です。
目的制限は、ある役割のために収集されたデータを新たな適法根拠なしに別の役割に転用できないことを意味します。不採用候補者を将来の機会のために保持したい場合、明示的な同意が必要であり、その同意の撤回を速やかに尊重しなければなりません。
保存期間
候補者データに関してGDPRが定めた単一の保存期間はありません。ただし、保存制限の原則は、必要なくなったデータを削除することを要求します。実際には、ほとんどの組織が採用終了から6ヶ月の保存期間を設定しています。潜在的な差別申し立てに対応するために12ヶ月に延長するところもあります。
どの期間を選択しても、プライバシーノーティスに文書化し、執行してください。記載しているが適用していない保存期間は、記載していないよりも悪い状況です。何をすべきかを知りながら選択しなかったことを規制当局に示すことになります。
自動意思決定とGDPR第22条
GDPR第22条は、法的または類似の重大な影響を生じる自動処理のみに基づく決定の対象とならない権利を個人に与えます。採用の文脈では、真の人間の関与なしにアルゴリズムによって完全に行われた不採用またはショートリスト決定がこの権利を発動させます。
第22条を発動させるもの
主要なテストは、決定が専ら自動処理に基づいており、重大な影響を生じているかどうかです。求人応募からの拒否は重大な影響です。アルゴリズムによって面接閾値以下にランク付けされ、そのため人間にレビューされないことも重大な影響です。たとえ雇用主がプロセスをAI決定ではなくAI支援と特徴づけていても同様です。
重要なのは、第22条（GDPR）に相当する義務は、雇用主が人間が関与していると信じている場合でも、そのレビューが形式的または表面的なものである場合に適用されることです。PPCは、基礎となる情報と真剣に向き合わずにAIのアウトプットを単に承認する人間は、真の人間の関与を構成しないと明確にしています。
必要なセーフガード
自動意思決定が合法的に使用される場合、候補者の同意を得てかまたは契約締結のために必要として、3つのセーフガードが必要です。第一に、候補者は自動意思決定が行われていることを通知され、関与するロジックについての有意義な情報を与えられなければなりません。第二に、候補者は自動決定の人間によるレビューを要求できなければなりません。第三に、候補者は決定に異議を申し立て、見解を表明できなければなりません。
実際には、これは候補者向けのメカニズムを構築することを意味します：応募フローの明確な通知、レビュー要求のための連絡ルート、真の人間評価によるそれらの要求を処理するための内部プロセスです。
Zyvernoでの対応
当社のAIスクリーニングアシスタントLinaは、人間による監視を核心に設計されています。すべてのAI推奨は、候補者が進められたり拒否されたりする前に採用担当者がレビューします。候補者はスクリーニング開始前にAIの使用について通知されます。
就労資格確認
就労資格法制は、雇用が始まる前に雇用主がすべての従業員が関連国で就労する許可を持っていることを確認することを義務付けています。確認を正しく実施しないと、英国では不法就労に対する法定免責の申し立てができなくなり、不法就労者1人当たり最大6万ポンドの罰則が生じます。
デジタル本人確認
英国では、内務省が2022年4月から英国・アイルランド国籍者の就労資格確認のための身分証明書確認技術（IDVT）を承認しました。デジタル確認は認定身元サービスプロバイダー（IDSP）を通じて実施する必要があります。雇用主が独自にIDVT確認を実施することはできません。認定プロバイダーを使用することで、確認が正しく実施された場合に法定免責が得られます。
デジタル確認は必須ではありません：雇用主は引き続き手動の書類確認を実施できます。ただし、デジタル確認はより速く、より一貫性があり、書類確認における人為的エラーが少なく、大量採用時には重要な要素となります。
生体認証データの規則
いくつかのデジタルID確認製品は、生のセルフィーを書類上の写真と照合する生体顔認証を使用しています。生体認証データはGDPR上の特別カテゴリデータであり、明示的な適法根拠が必要です。就労資格確認では、これは通常第9条(2)(b)に基づく雇用法上の必要性根拠に依拠します。
採用プロセスの一環として生体認証データを収集している場合、これはプライバシーノーティスで開示されなければなりません。候補者は、どのような生体認証データが収集され、どのように使用され、どのくらいの期間保持されるかを理解しなければなりません。生体認証テンプレートは確認が完了次第削除されるべきです。
外国人の就労資格確認
日本で就労する外国人は、出入国管理及び難民認定法に基づき、就労が認められる在留資格（例：技術・人文知識・国際業務、特定技能など）を保有していることを確認する義務が雇用主にあります。在留カードにより在留資格を確認することが求められ、就労資格を持たない外国人を雇用した場合、不法就労助長罪として3年以下の懲役または300万円以下の罰金が科せられます。日本国籍を有する候補者については、別途確認は不要です。
コンプライアントなAIスクリーニングプロセスの構築
コンプライアントなプロセスはより遅いプロセスを意味しません。GDPRとEU AI法は義務を定義しているのであり、ワークフローの設計を定義しているのではありません。適切な基盤があれば、すべての要件を満たす迅速かつ大量のスクリーニングプロセスを実行できます。構築するための6つのステップをご紹介します。
AIツールを文書化する
採用プロセスで使用されるすべてのAIまたはアルゴリズムツールをインベントリしてください。各ツールについて、目的、ベンダー、候補者データの処理方法、決定やランキングを生成するかどうか、ベンダーがEU AI法の下で提供する文書を記録してください。
適法根拠を確立する
候補者データを処理する各段階について、適法根拠を文書化してください。正当な利益は早期スクリーニングに一般的です。活動的な採用期間を超えてデータを保存するには同意が必要な場合があります。特別カテゴリデータには追加の第9条根拠が必要です。
プライバシーノーティスを更新する
候補者向けのプライバシーノーティスは、収集するデータ、適法根拠、保存期間、自動意思決定が使用されているかどうかと関与するロジック、そしてアクセス、消去、修正、異議申し立てを含む権利行使方法を開示しなければなりません。
人間によるレビューを組み込む
重大な影響を持つ決定が行われる前に、人間がAIのアウトプットを真剣にレビューするようプロセスを設計してください。これは人間が候補者の基礎となる資料を見て、AIの推論を説明され、AIのアウトプットをオーバーライドする実際の能力を持つことを意味します。
候補者権利処理プロセスを作成する
第22条レビュー要求、主体アクセス要求（SAR）、消去要求の処理のための文書化されたプロセスを確立してください。GDPRの応答タイムラインは厳格です：SARには1ヶ月、複雑な場合は最大3ヶ月に延長可能です。活動的な採用中の候補者はSARを頻繁に提出するため、プロセスを準備しておく必要があります。
保存と削除のスケジュールを設定する
ATSまたは人事システムを設定し、定義した保存期間に候補者データを自動的にフラグまたは削除してください。手動削除プロセスは一貫して失敗します。自動化だけが大規模での保存を確実に執行できる方法です。
さらに進むために
コンプライアントなプロセスと質の高い採用プロセスは対立しません。コンプライアンス枠組みと連携して機能する実践的なステップについては、採用品質改善のガイドをお読みください。
コンプライアンス監査チェックリスト
AIツールインベントリ文書化済み
採用プロセスにおけるすべてのAI/アルゴリズムツールが、ベンダー、目的、EU AI法分類とともにリスト化されています。
段階ごとに適法根拠文書化済み
各処理活動（スクリーニング、面接、リファレンスチェック、内定、保存）ごとに適法根拠が記録されています。
プライバシーノーティス更新済み
候補者プライバシーノーティスが、AIの使用、適法根拠、保存期間、第22条を含む候補者の権利を開示しています。
人間によるレビュー実施中
自動アウトプットのみに基づいて候補者が拒否またはショートリストされていません。人間のレビュアーがAIの推論にアクセスし、オーバーライドできます。
候補者権利プロセス稼働中
担当オーナーとGDPR準拠タイムラインを持つSAR、第22条レビュー要求、消去要求の文書化されたプロセスが稼働中です。
保存スケジュール自動執行済み
定義された保存期間での削除またはフラグがシステムで執行されています。手動アクションに依存しません。
罰則と執行
GDPRとEU AI法はどちらも実質的な財務罰則を課します。罰則構造を理解することでビジネスケースが明確になります：コンプライアンスプログラムのコストは、重大な執行措置のコストのほんの一部です。
GDPRの罰則
GDPRの執行は二段階システムで機能します。不十分な記録や欠けているプライバシーノーティスなど、比較的軽微な違反は、高い方に応じて最大1000万ユーロまたは世界年間売上高の2%の罰金が科されます。適法根拠なしの処理、データ主体の権利侵害、不十分なセキュリティなど、より深刻な違反は最大2000万ユーロまたは世界年間売上高の4%の罰金が科されます。
EU AI法の罰則
EU AI法は別途罰則を適用します。禁止されたAIアプリケーションの使用は、最大3500万ユーロまたは世界年間売上高の7%の罰金が科されます。透明性、人間による監視、文書化要件の不遵守を含むハイリスクAIシステムに関する違反は、最大1500万ユーロまたは年間売上高の3%の罰金が科されます。
年間売上高5000万ユーロの企業にとって、GDPRの4%罰金は200万ユーロです。EU AI法の3%罰金は150万ユーロです。これらは理論上の最大値ではありません。重大な非遵守を発見した際に規制当局が適用する実際の罰則構造です。
よくあるコンプライアンスの間違い
AIベンダーのコンプライアンスを自社のコンプライアンスとして扱う
ベンダーが自社のデータ処理においてGDPR準拠であることは、そのツールの使用が準拠することを意味しません。あなたがデータ管理者です。適法根拠の確立、プライバシーノーティスの提供、そして必要以上長くデータを保持しないことに責任を負います。
スクリーニングの適法根拠として同意に依存する
同意は自由に与えられなければなりません。仕事が必要で採用候補として考慮されたい候補者は、同意を自由に拒否できる立場にありません。雇用データに関するPPCのガイドラインは、同意が採用処理の適切な法的根拠となることはほとんどないことを明確にしています。
第22条を満たさない形式的な人間によるレビュー
人間が基礎となるデータと向き合わずにすべてのAI推奨を承認するクリック作業のレビューステップを構築することは、人間による監視要件を満たしません。人間によるレビューが真剣でない場合、依然として自動処理のみに基づいて決定を行っていることになります。
AIツールが変わったときにプライバシーノーティスを更新しない
新しいAIスクリーニングツールの導入または既存のものの変更は、候補者プライバシーノーティスの更新義務を引き起こします。候補者は応募時点でどのような自動処理が自分のデータに適用されるかを知る権利を持っています。
就労資格確認の失敗に対するプロセスがない
雇用主が就労資格確認を実施しているにもかかわらず、確認が失敗したり不明確な結果を返したりしたときにどうするかの文書化されたプロセスを持っていない場合があります。文書化されたプロセスなしでは、個々のマネージャーが一貫性のない決定を行い、その一部は不法差別を構成する可能性があります。
よくある質問
シリーズの次のガイド
AIスクリーニング付きATS：バイヤーズガイド
ネイティブAIスクリーニングと追加ツールを搭載したATSプラットフォームを評価する方法、そしてコンプライアンスが要件である場合に何を探すべきか。
すべてのガイドに戻る