タイの国家サイバーセキュリティ委員会（NCSC : National Cyber Security Committee）は、2024年1月18日にサイバーセキュリティ法に基づく3つの通知を発表し、主要な組織と資産に対するサイバーセキュリティ関連の要件を設定した。これらの通知のうち1つは既に施行されているが、最も注目すべき2つは2025年1月18日（すなわち、官報に掲載された日から1年間した日）に施行する。 これら２つの通知は、NCSC Notification Re: Standards for Defining the Security Category for Data or Information Systems B.E.2566（2023）（「データ・情報システムのセキュリティカテゴリに関する通知」）とNCSC Notification Re:　Minimum Standards for Data and Information Systems B.E.2566（2023）（「データ・情報の最低基準に関する通知」）である。 これらの通知は次の場合に適用される。 国家機関 監督又は規制機関（すなわち、国家機関、民間機関、あるいは、国家機関又は重要な情報基盤組織の業務を規制又は監督するために法律によって指定された個人） 重要情報基盤組織（すなわち、国家安全保障、重要な公共サービス、銀行及び金融、情報技術及び電気通信、輸送及び物流、エネルギー及び公益事業、並びに公衆衛生に関連する又はこれらを提供する組織） 上記は、通知の下でまとめて「組織」として定義される。 セキュリティカテゴリに関する通知 セキュリティカテゴリに関する通知は、「組織」のデータ又は情報システムのリスクベースのセキュリティ分類、つまり「セキュリティカテゴリ」を示している。 セキュリティカテゴリの評価のために、組織は、3つの主要なセキュリティ目標（つまり、機密性(confidentiality)、完全性(integrity)、可用性(availability)）に基づいて、データ・情報システムの自己評価を実行することが要求される。これらの各目標は、以下の分野における潜在的影響の評価を考慮して、さらに3つのリスクレベル（低、中、高）に分類される。 組織の財務的価値又は評判 組織のサービス利用者数 組織の職務遂行能力 国家の安定又は公の秩序 ３つの目的のリスクレベルは、以下に説明するように、「最小限(minimal)」、「重度(severe)」、又は「深刻(serious severe)」に影響があるかどうかを考慮して決定される。 機密保持（異なる基準に従って「機密」として分類されるデータは含まれない）：データの不正開示が組織の評判や財務的価値に及ぼす影響 完全性:データの不正な変更又は破壊が組織のパフォーマンスに及ぼす影響 可用性:データ・情報システムにアクセスできない、又は使用できないことが組織のパフォーマンスに与える影響 組織のシステムが異なるカテゴリのデータを扱う場合、組織は、各タイプを評価し、特定された最も高いリスク・レベルに基づいてセキュリティカテゴリを設定しなければならない。 セキュリティカテゴリは、少なくとも3年に1回見直しを行い、その結果を適切に記録すべきである。 最低基準に関する通知 セキュリティカテゴリが決定された後、組織は、最低基準に関する通知に規定された最低限のサイバーセキュリティ対策を適用する責任を負う。これらの対策の概要を次の表に示し、各セキュリティカテゴリの最低限のサイバーセキュリティ対策に必要な項目を示す。 サイバーセキュリティ法にの詳細については、Athistha (Nop) Chitranukroh ([email protected]), Nopparat Lalitkomon ([email protected]), Napassorn Lertussavavivat ([email protected]), 又はRada Lamsam ([email protected])までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Lays Out New Cybersecurity Standards

2023年12月25日、タイの個人データ保護委員会 (PDPC: Personal Data Protection Committee) は、2019年個人データ保護法 (PDPA: Personal Data Protection Act) の第28条および第29条に基づき、個人データの越境移転に関する重要な側面と基準について言及した二つの通知を発行した。これらの通知は2024年3月24日に施行される予定である。 通知の要点は以下の通りである。 適切なデータ保護基準 (第28条) PDPAによって別段の定めがない限り、移転された個人データを受け取る移転先の国または国際機関は、以下の要因によって決定される 「適切なデータ保護基準」 を有していなければならない。 法的措置と仕組み：移転先の国または国際機関は、タイの個人データ保護法に沿った法的措置または仕組みを有していなければならない。具体的には、データ管理者の義務には、適切なセキュリティ措置の提供、適切でデータ主体の権利の行使を可能にする個人データ保護措置の実施、効果的な法的救済措置の確立が含まれる必要がある。 規制当局：個人データ保護に関する法令を執行する義務と権限を委任された機関または組織の存在も重要な要素である。 さらに、この通知により、PDPC事務局(Office of the Personal Data Protection Committee)は、独自に特定された、またはデータ管理者によって提出された事件を、PDPCに付託して裁定を求める権限を与えることになる。PDPCは、事件ごとに決定を下したり、適切なデータ保護基準を有していると考えられる相手国または国際機関のリストを作成したりする裁量権を有することになる。 拘束力のある企業規則と適切な保護措置 (第29条) グローバルなデータ交換の分野では、個人データの安全かつ準拠した転送を可能にする主要なメカニズムとして、次の2つが存在する。 拘束力のある企業規則 (BCR: Binding Corporate Rules) ：BCRの実施には、事業を共同で運営するために、関連事業間または同一企業グループ内で転送される個人データを保護するための承認されたポリシーの実施が含まれる。 適切な保護措置：適切な保護措置は、個人データを保護するだけでなく、データ主体の権利を行使し、効果的な法的救済措置を含めることも可能である。これらの保護措置は、標準的な契約条項など、さまざまな形式をとることができる。 データの越境移転のための効果的なメカニズムと見なされるためには、BCRと適切な保護措置の両方が次のことを行う必要がある。 個人データ保護法を遵守し、職員、従業員、スタッフ、個人データのその他の送信者/譲渡者および受信者にに関連するその他の者を拘束しながら、法人、自然人、データ処理者、送信者/譲渡者、個人データの受信者を含むすべての関係者に対して法的有効性と法的強制力を維持すること； 外国に送信または移転された個人データに関する個人データ保護、データ主体の権利、および苦情の申し立てを認識すること;および 個人データ保護法の下で制定された一連の下位規則に記述されているような、個人データ保護法および法律で規定された最低基準を遵守する個人データ保護対策とセキュリティ対策を提供すること「参考First Set of Subordinate Regulations Enacted for Thailand’s PDPA – Tilleke & Gibbins」 適切なデータ保護基準に関する決定がない場合、またはBCRが存在しない場合、適切な保護措置が実施されていれば、個人データの越境移転は許容される。この実施は、以下のいずれかの形式をとることができる。 標準契約条項 (SCC: Standard contractual clauses)、特にデータの越境移転の文脈において、法的合意を確立するための基本的な枠組みとして機能する標準契約条項 この点に関して、タイは現在、タイモデルと海外モデルという2つの異なるSCCモデルを受け入れている。それぞれのモデルの具体的な規定と適用 (必要に応じてどちらを採用してもよい) を以下の表に要約する。 PDPCによって決定される承認された基準に従った適切な保護措置の実施の証明 これには、通知に規定された個人データ保護の内容が含まれていなければならない。 タイの国家機関と、相互に個人データを移転する外国の国家機関との間で法的拘束力と執行力を持つ法令または協定 国境を越えた個人データの移転に関するタイの要件、またはPDPAの遵守に関するあらゆる側面の詳細については、Athistha (Nop) Chitranukroh ([email protected]) 、Nopparat Lalitkomon ([email protected]) 、Gvavalin Mahakunkitchareon ([email protected]) 、Thammapas Chanpanich ([email protected]) 、Punyavee Koaysomboon ([email protected]) までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Unveils Regulations for Cross-Border Personal Data Transfer

タイ工業省（MOI: Ministry of Industry）は、工場における産業廃棄物を生成した者に対して汚染者負担の原則を適用する通達を出した。工場法（Factory Act）B.E.2535（1992年）に基づいて制定された廃棄物又は未使用材料の管理に関する工業省の通知 (Notification of the Ministry of Industry on Management of Waste or Unused Materials) B.E.2566（2023年）は、廃棄物を生成した者としての工場の事業者の義務および責任の重要な転換を示しており、新しい通達の下では、廃棄物が第三者である廃棄物処理業者によって収集された時点で終了することはない。2023年5月31日に最初に発行されたこの通知は、工業省によって設定された猶予期間を経過した後、2023年11月1日に施行された。 新しい工業省通知は、廃棄物が生成されてから適切かつ完全に処分されるまで、廃棄物の管理および処分に関する廃棄物を生成した者の義務および責任を拡大するものである。これらの義務および責任には、廃棄物を廃棄物処理業者に引き渡すこと、廃棄物処分処理を監督すること、および廃棄物処理業者による不履行、事故、又は廃棄物の紛失が発生した場合に適切な措置を講じることが含まれる。 工場廃棄物に関する従前の工業省通知に基づく規則と同様に、処分のための工場敷地外での廃棄物の輸送には、依然として工業事業局（DIW: Department of Industrial Works）の許可が必要である。なお、新しい工業省通知に基づく許可は、顧客登録システム（”i-Industry system”）を介して電子的に、又は売業事業局で直接申請することができるようになった。 工業省による産業廃棄物の汚染者負担の原則の採用は、廃棄物管理責任および汚染防止コストが廃棄物を生成する者に大幅にシフトすることを予告しており、廃棄物を生成する者は新しい工業省通知に示された厳格な基準および適合確認手続を確実に遵守する必要がある。 新しい規則の詳細、又は工場に対するタイの産業廃棄物管理や環境規制について、Kobkit Thienpreecha（[email protected]）、Witchupong Chittchang（[email protected]）、又はNathat Chongcharoenphanich（[email protected]）までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Embraces Polluter-Pays Principle as New Regulation on Industrial Waste Takes Effect

生成AIの出現は、イノベーターとクリエイターの状況を一変させた。多くの法律実務家が指摘しているように、AIの開発者および生成AIを使用する者の双方が、この進化する状況をうまく乗り切れるように、知的財産戦略の複雑さを理解することが不可欠である。本記事では、生成AIの領域における開発者とクリエイターの双方にとって、知的財産（IP）の主要な種類に関連するいくつかの重要な考慮事項を説明する。 生成AIの開発者のためのIP戦略 生成AI技術の開発者は、技術革新の状況において極めて重要な役割を果たしている。考慮すべき知的財産関連の課題は、自己の知的財産の保護、他人の知的財産権を侵害するリスクの軽減、知的財産の商業化の3点である。これらの課題の主な態様と、開発者に推奨される手引きを以下に示す。 IPの保護 著作権：AI開発者にとって主要考慮事項の1つは、芸術作品やソースコードなど、AIによって生成された著作物の保護である。幸いなことに、ほとんどの国では、これらの創作物は登録の必要がなく、著作権の保護を受けられる。その結果、著作物は創作された時点から自動的に保護される。しかしながら、所有権を確立するためには、著作物の登録を維持することが重要である。 商標：商標は、ブランドを確立し、保護しようとするAI開発者にとって不可欠である。ニース分類、特にclass 9 (ソフトウェア) 、class 35 (ビジネス管理とオンラインマーケティング) 、class 42 (ソフトウェアの設計および開発) には細心の注意を払う必要がある。これらのclassで商標を登録すると、ブランドと商品を強固に保護できる。 特許：真に革新的なAIアルゴリズム、技術、またはプロセスについては、特許を取得するという選択肢を検討するべきである。特許は強力な保護を提供するが、完全な出願プロセスと、発明が新規性・進歩性を有し、実際に実施可能であることを示す証拠を含む、発明の文書化が必要である。 営業秘密：営業秘密により、学習用データやアルゴリズムなどの貴重な資産を保護する。秘密を保持し、アクセスを制限して秘密性を維持する。秘密保持契約を含む法的契約は、これらの重要な要素を保護する上で非常に重要である。 他人の知的財産権を侵害するリスクの軽減 データ収集：AIモデルを学習するためにデータセットを収集する場合、合法的に取得されたデータを使用すべきである。収集委託されたデータセットや、著作者を特定できない著作物・著作者が不明な著作物には、利用権が付属していることが多く、より安全な選択が必要になる。著作権侵害の問題を回避するために、出所が不明なデータセットを扱う場合は注意すべきである。 データ保護法：AIの学習用データセットには、欧州の一般データ保護規則 (GDPR: General Data Protection Regulation) やタイの個人データ保護法 (PDPA: Personal Data Protection Act) などのデータ保護法の対象となる個人データが含まれている場合がある。これらのような適用されるデータ保護法に従わない場合、個人のプライバシー権が侵害され、法的な影響を受けるリスクがある。 IPの商業化 所有権の問題：特にIPの創作に複数の者が関与している場合、IPの所有権は複雑になる場合がる。将来の紛争や法的な複雑さを回避するために、所有権と潜在的な責任問題を明確にすることに努める必要がある。 ライセンスコンポーネント：知的財産権のライセンスは、商業的に利用するための基本的なツールである。ライセンスは、著作者が独自に創作した要素（コンポーネント）や生成AIの使用によって開発された要素を含む、著作物に対する所有権の範囲も定義する必要がある。AIによって生成された製品を商業化する場合は、所有権を有する、または創作した要素を特定するべきである。自身の知的財産と、オープンソースまたは他者のライセンスされた知的財産を組み込んだ要素を区別することで、自身の利益を保護しながら効果的なライセンス契約を作成しやすくなる。 クリエイターとアーティストのためのIP戦略 生成AIを使用するクリエイターおよびアーティストは、さまざまなIPの課題にも直面している。これらのいくつかは、上記で説明した様々なトピックに関連しているが、特定の懸念事項と推奨されるアプローチは異なる。例えば、クリエイターやアーティストは、IPの商業化や知的財産権の侵害のリスクに関して、各々様々な懸念を持っている。特に、生成AIを使用した二次的作品や共同で創作された発明に関連し、知的財産権の問題も表面化する。 知的財産（IP）の商業化とライセンス ライセンスと販売：生成AIを使用するクリエイターやアーティストは、エンドユーザーに対するライセンス契約を認める場合、ライセンスを付与したり、著作物を販売したりすることができる。これにより、収益化のための手段を提供し、多くのユーザーとクリエイティブな取組みを共有することができる。 知的財産権に対する所有権：生成AIおよびそのプロンプトによって創作されたIPの商業化を検討する場合、その所有権を決定することが必須の必要条件である。生成された作品に対するユーザーの貢献度を考慮する 「額に汗理論（sweat of the brow doctrine）」 のような要因は、所有権に影響を与える可能性がある。作品の創作に使用されるAIツールやプラットフォームの使用条件およびライセンス契約を慎重に確認する必要がある。明示的な所有権の条件がない場合、各管轄地域の法律によって所有権が決定されることがある。 商業上の取り決め：ライセンスやサブスクリプションなどのサービスモデルの種類も、著作権の所有権に影響を与える可能性がある。選択したライセンスモデルまたはサブスクリプションモデルによって所有権が影響を受ける可能性があるため、無料または有料のサブスクリプションにかかわらず、サードパーティのAIソフトウェアを使用して作品を作成する場合は、所有権に対する影響に注意する必要がある。 所有権 二次的作品：生成AIを使用して二次的作品を創作する場合、特に原作品が著作権で保護されているときは、原作品から利用許諾を得る必要がある場合がある。 共同で創作された発明：共同で創作された発明を含む状況や、共同ツールとして生成AIを使用する場合、（例えば、契約による）共同研究者間で所有権および責任を明確に定義することで、紛争を防止し、すべての貢献度が明確になり保護されることを保証できる。 他人の知的財産権を侵害するリスク 信頼できる生成AIの活用：他人の知的財産権を侵害したり、（GDPRなどの）他の法律に違反したりするリスクを軽減するには、データセットやトレーニング済みモデルなど、合法的に調達された素材で生成AIを常に使用することである。 公正利用の理論（fair-use doctrine）の用心：公正利用の要件および例外は、国によって大きく異なることがある。ある国で公正利用に該当するものが、別の国では該当しない可能性があるため、その国の法的状況を理解し、防衛手段としての公正利用に頼ることに注意する必要がある。 結論 生成AIは、イノベーター、開発者、クリエイター、アーティストにとって、エキサイティングな機会および複雑な課題の両方をもたらす。法的な複雑さ、特にIPに関連する複雑さは、このテクノロジーの関連領域で顕著である。そのため、効果的なIP戦略は、創作物を保護し、法的な落とし穴を回避し、イノベーションのメリットを活用するために不可欠である。慎重かつ綿密に練られた法的IP戦略は、クリエイター、イノベーター、およびその組織が、このダイナミックな状況の中で有意義な進歩を遂げるのに役立つ。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Navigating Legitimate Use of IP in Generative AI