AI で作った・バイブコーディングされたアプリのための GDPR
あなたのアプリが EU／UK の人々の個人データを処理するなら、あなたの所在地に関わらず、また AI ツールで作ったとしても、GDPR が適用されます。実務上は次を意味します。データ収集に適法な根拠を持つこと、必要なものだけを収集すること、それを適切に保護すること、ユーザーが自分のデータにアクセスし削除できるようにすること、そして漏らさないこと。バイブコーディングされたアプリにとって最大の GDPR リスクは、最大のセキュリティリスクと同じです。個人データを漏らす、公開状態のデータベースです。
- 適用されるのは
- EU／UK の個人の個人データを扱う場合
- 中核的な義務
- 適法な根拠、データ最小化、セキュリティ、ユーザーの権利
- 最大のリスク
- 開いたデータベース／キー経由で露出する個人データ
- 漏洩時のルール
- 認識から 72 hours 以内に通知
GDPR はあなたのアプリに適用されますか？
EU または UK の人物を特定しうる名前、メールアドレス、IP アドレス、その他のデータを収集するなら、たとえヨーロッパ外の個人創業者であっても、適用されます。GDPR はあなたの所在地ではなく、データ主体に従います。EU ユーザーを持つほとんどのアプリは適用範囲内です。
セキュリティは GDPR の要件であり、単なる良い習慣ではない
GDPR は、個人データを保護するための「適切な技術的措置」を求めます。データベースを公開状態で読み取り可能なまま残したり、シークレットをクライアントに出力したりするアプリは、定義上その要件を満たしていません。そして個人データの漏洩は報告義務のある侵害です（72 hours 以内）。RLS、シークレット、認可をロックダウンすることは、単なるセキュリティ衛生ではなく、コンプライアンスそのものです。
ユーザーの権利：アクセスと削除
ユーザーは自分のデータを見ること、そして削除することを求められます。あなたのアプリには、それを実現する本物の手段が必要です。データが散らばっていたり、何を保存しているか定かでなかったりすると、これは難しくなります。データのアクセスと削除を早期から設計し、どんな個人データをなぜ保持しているのかの記録を保ってください。
ローンチ前に、クリアランスを取得しましょう。
早期アクセスのリストに参加してください。デプロイ済みのアプリがあり、カレンダーにローンチ日が入っている創業者を優先します。
よくある質問
- EU にいなくても GDPR は適用されますか？
- はい。GDPR は誰のデータを処理するかに基づいて適用されます。EU または UK のユーザーがいれば、あなたやサーバーの所在地に関わらず適用範囲内です。
- バイブコーディングされたアプリで最もよくある GDPR の失敗は何ですか？
- 個人データの露出です。ユーザーの個人情報を明らかにする開いたデータベースや漏れたキーは、セキュリティ侵害であると同時に GDPR 違反です。データアクセスを保護することが、最初のコンプライアンスのステップです。