> ## Documentation Index
> Fetch the complete documentation index at: https://adcp-docs-ja.pier1.co.jp/llms.txt
> Use this file to discover all available pages before exploring further.

# Annex III と Article 22 の義務

> AdCP のポリシーフレームワークが、規制されたバーティカル（クレジット、保険、雇用、住宅）について GDPR Article 22 と EU AI Act Annex III の下でのデプロイヤー義務をどうサポートするか。

AdCP は広告キャンペーンを実行するために使われます。それらのキャンペーンの一部は、誰がクレジットカード、生命保険見積、求人リスティング、アパートの広告を見るかについて自動化された決定を行います。EU 法の下では、それらは通常のマーケティング決定ではありません — それらは **法的または同様に重要な効果を生む完全に自動化された決定**（GDPR Article 22）であり、AI システムによって行われるとき EU AI Act（Regulation (EU) 2024/1689）の **Annex III 高リスクカテゴリー** に含まれます。

このページは、AdCP が何を提供するか、何を提供しないか、デプロイヤーが何に責任を負うかを説明します。

## 法が要求するもの

**GDPR Art. 22(1)** は、法的効果を生むか自然人に同様に重大な影響を与える、プロファイリングを含む完全に自動化された処理のみに基づく決定を、狭い例外（明示的同意、契約、または EU/加盟国法）が適用されない限り禁止します。規制されたバーティカルの広告ターゲティング決定は日常的に Art. 22 に関与します: *SCHUFA* 判決（CJEU C-634/21、2023）は「同様に重大な効果」を広く拡張しました。

**EU AI Act Annex III** は AdCP と交差する高リスクユースケースをリストします:

| Annex III reference | Vertical              |
| ------------------- | --------------------- |
| §1(b)               | 採用 / 選考（求人広告のターゲティング） |
| §5(b)               | 信用力の評価（クレジット / 融資広告）  |
| §5(c)               | 生命・健康保険のリスク評価と価格設定    |

米国の並行するものは、クレジットの **Fair Housing Act**（HUD v. Facebook、2019 年和解）、**ECOA**、雇用の **EEOC / ADEA** です。AdCP は、Annex III が直接名指ししなくても、`fair_housing` カテゴリーの下で住宅割り当てを同等リスクとして扱います。

上記のいずれについても、デプロイヤーは以下をしなければなりません（MUST）:

1. **人間の監督を保証**（AI Act Art. 14） — 資格ある人が決定をレビューする。
2. **自動ログを維持**（AI Act Art. 12） — 各決定のタイムスタンプ付き記録。
3. **透明性を提供**（AI Act Art. 13、GDPR Art. 13–14） — データ主体が何が起きているか理解できる。
4. **入力データを統制**（AI Act Art. 10） — ターゲティングに使われるシグナルは文書化され制限属性を認識する。
5. **異議申立権を尊重**（GDPR Art. 22(3)） — データ主体は人間の介入を要求し、意見を表明し、結果に異議を唱えられる。

決定の金銭的価値は無関係です。規制されたバーティカルでの €20 の自律ターゲティング決定は、€2M のものと同一に Art. 22 に関与します。

## AdCP が提供するもの

<Warning>
  **AdCP はビルディングブロックであり、コンプライアンスの近道ではありません。** プロトコルは、デプロイヤーが Annex III 義務を果たせる構造化フィールドを公開します — それ自体は適合性評価、DPIA、人間監督ワークフロー、異議処理を実行しません。それらは AI Act と GDPR の下でデプロイヤーの責任のままです。以下のメカニズムは AdCP が提供する継ぎ目です。義務はあなたに残ります。
</Warning>

AdCP の役割は **Article 25 データ統制プロバイダー** です: プロトコルは、デプロイヤーが Annex III 義務を果たせる構造化フィールドを公開します。

| Obligation                | AdCP mechanism                                                                                                       |
| ------------------------- | -------------------------------------------------------------------------------------------------------------------- |
| 人間の監督（Art. 14、Art. 22(1)） | `plan.human_review_required` — ガバナンスエージェントがすべてのアクションを人間の承認のためエスカレート                                                  |
| 入力データ統制（Art. 10）          | `policy_categories`、`restricted_attributes`、`min_audience_size`、シグナル `restricted_attributes` 宣言                      |
| 自動ログ（Art. 12）             | `get_plan_audit_logs` — `sync_plans`、`check_governance`、`report_plan_outcome` の不変記録                                  |
| 透明性（Art. 13）              | 決定に使われるポリシーテキストと事例を公開するポリシーレジストリエントリー                                                                                |
| 異議申立ディスカバリー（Art. 22(3)）   | `brand.data_subject_contestation` — デプロイヤーの異議プロセスを指す **発見可能な連絡先**。AdCP はプロセスを運用しない。                                  |
| ポリシー語彙                    | `eu_ai_act_annex_iii` レジストリポリシー + `fair_housing`、`fair_lending`、`fair_employment`、`pharmaceutical_advertising` カテゴリー |

### 自動トリガー

キャンペーンプランが以下のいずれかを宣言するとき、ガバナンスエージェントは `plan.human_review_required = true` を設定しなければなりません（MUST）:

* `policy_categories` が `fair_housing`、`fair_lending`、`fair_employment`、`pharmaceutical_advertising` を含む
* 任意の解決されたポリシー（レジストリまたはカスタム）が `requires_human_review: true` を持つ
* 解決されたレジストリポリシー `eu_ai_act_annex_iii` が管轄マッチング経由で適用される
* `brand.industries` が規制されたセクター（consumer\_finance, banking, mortgage, life\_insurance, health\_insurance, recruitment, staffing, real\_estate, property\_management, housing）と交差する

任意の Annex III カテゴリーが解決するが `brand.data_subject_contestation` が欠けている場合、ガバナンスエージェントは重大な発見を発行しなければなりません（MUST） — Art 22(3) は連絡先なしに果たせません。

これはバイヤーではなくポリシーフレームワークによって強制されます。バイヤーはフラグを省略することで人間レビューをオプトアウトできません — 解決されたポリシーがそれを要求する場合、ガバナンスエージェントが設定します。以前 `human_review_required: true` を宣言したバイヤーは、明示的な `human_override` アーティファクト（理由 + 承認者）なしに再同期でそれをダウングレードできません。

### `reallocation_threshold` 対 `human_review_required`

これらは **異なる軸** で、しばしば混同されます:

| Field                           | Scope | Covers                           |
| ------------------------------- | ----- | -------------------------------- |
| `budget.reallocation_threshold` | 運用    | セラー、チャネル、購入タイプ全体の予算再配分           |
| `plan.human_review_required`    | 規制    | 個人に影響する決定 — ターゲティング、クリエイティブ選択、配信 |

プランは `reallocation_threshold` を `budget.total` に等しく設定でき（エージェントが予算を自由に再配分）**かつ** `human_review_required: true`（すべてのターゲティング決定が人間レビューを得る）にできます。これらは異なるものを統制します。

Annex III / Art. 22 の義務は `reallocation_threshold` ではなく `human_review_required` を通じて流れます。予算の自律性を制限することは Art. 22 に対処しません。再配分に摩擦を加えるだけです。

## 異議申立エンドポイント

AdCP は異議プロセスの **ディスカバリーメカニズム** を提供し、プロセス自体ではありません。Art. 22(3) はデータ主体に 3 つの実体的権利 — 人間の介入、意見の表明、結果への異議 — を与え、それらはデプロイヤーが運用しなければならないワークフロー権利です。`brand.data_subject_contestation` は下流エージェントとデータ主体にそのプロセスをどこで見つけるか伝えます。それの代替にはなりません。

`brand.data_subject_contestation` は **連絡先参照** — URL、メール、または両方 — を表示します。意図的に機械呼び出し可能な API ではありません。Art. 22(3) の権利は人間が行使するワークフロー権利です。デプロイヤーは連絡先の背後でワークフローを実行します。

```json theme={null}
{
  "data_subject_contestation": {
    "url": "https://acmecorp.com/privacy/contest",
    "email": "privacy@acmecorp.com",
    "languages": ["en", "de", "fr"]
  }
}
```

Annex III の下で自動化された決定を公開する任意の AdCP エージェントは、このポインターを下流消費者に利用可能にすべきです（SHOULD）（例: 開示テキストやクリエイティブメタデータ）。デプロイヤーは適用される法的タイムライン内で監視し応答しなければなりません（MUST） — GDPR Art. 12(3) の下で 1 か月。

## AdCP がしないこと

* **AdCP は適合性評価を実行しません。** AI Act Art. 43 適合性評価はプロバイダーの義務です。
* **AdCP は人間監督ワークフローを実行しません。** `human_review_required: true` の設定はガバナンスエージェントがエスカレートすることを意味します — 人間レビュアーとレビューツールはプロトコルの外側です。
* **AdCP は異議プロセスを定義しません。** `data_subject_contestation` はデプロイヤーのプロセスを指します。
* **AdCP はキャンペーンがどのバーティカルに属するかを決定しません。** バイヤーが `policy_categories` を宣言します。ガバナンスエージェントは不一致をフラグできますが意図を推測できません。

### 管轄スコーピングは機械的

AdCP は `plan.countries` をポリシー `jurisdictions` に対してマッチングしてポリシー適用性を解決します。これは有用な最初のパスですが縁では不完全です:

* 米国ベースのデプロイヤーが米国オーディエンスのみをターゲットしても、クロスボーダーシグナル経由で EU 居住者に到達しうる。それは `plan.countries: ["US"]` が見逃す GDPR / AI Act 義務に関与します。
* EU 設立エンティティが非 EU キャンペーンを実行しても、設立ベースの管轄の下で AI Act の対象のままです（Regulation (EU) 2024/1689 の Art. 2）。
* 住宅 / 融資 / 雇用の規制は、プライバシー法とは別の独自の域外適用ドクトリンを持ちます。

デプロイヤーは、プランの国リストのみではなく、設立、ターゲットオーディエンスの位置、処理位置に基づいて適用される法を評価しなければなりません（MUST）。ガバナンスエージェントは規制されたバーティカルポリシーを保守的に適用すべきです（SHOULD）: デプロイヤーの `brand.industries` またはキャンペーン `objectives` が Annex III バーティカルを示唆する場合、`plan.countries` がポリシーの宣言された管轄に一致するかどうかにかかわらずポリシーが発火します。

## 関連項目

* [`eu_ai_act_annex_iii`](/docs/governance/policy-registry#seeded-policies) — シードされたレジストリポリシー
* [ポリシーレジストリ](/docs/governance/policy-registry) — ポリシーとカテゴリーの `requires_human_review`
* [キャンペーンガバナンス仕様](/docs/governance/campaign/specification) — `human_review_required` プランフィールド
* [埋め込まれた人間の判断](/docs/governance/embedded-human-judgment) — 必須監督の背後にあるアーキテクチャ原則