何が起きたか
2026年11月11日、英国情報コミッショナー事務局は、英国GDPR第15条に基づくAIを用いて生成または作成された個人データアクセス要求（AI支援SAR）に関する新たなガイダンスを公表した。AI支援SARは、AIがその作成に使用されたという理由だけで無効ではないことを確認し、組織は他のSARと同様に扱わなければならない。長文・反復・不明瞭または事実上不正確な要求（権利に関するAIの「幻覚」、外国法への言及、虚偽の連絡先情報を含む）の扱い方、利用可能な選択肢（明確化、期限延長、明らかに根拠がないまたは過剰）、合理的かつ比例的な検索を行う要件、個人または第三者がAIを使用して身元や委任状を偽造する場合の対応方法を説明している。
なぜ重要か
これは急速に増加するAI誘発の負担に関する英国データ保護規制当局の権威ある解釈ガイダンスである。SARを受領するあらゆる英国組織に対して具体的な規制上の期待（ガイダンスは組織が「しなければならない」ことを枠付ける）を設定し、AI生成要求のデータ保護上の扱いを明確化しており、組織のAI支援データ主体ワークフロー及びAI生成の偽造文書による詐欺・身元確認リスクに関連する。
必要な対応
英国の管理者は、SAR処理手順と職員トレーニングを更新してAI支援SARを認識・処理し、明確化・延長ワークフローを採用し、AI生成文書が疑われる場合は身元と権限をより慎重に検証し、合理的かつ比例的な検索方針を適用しつつ要求を無効として扱わないようにすべきである。