top of page
AI Security ロゴ｜TOP

【2026年最新】個人情報保護法の改正でAI開発はどう変わる？「同意なし提供」の落とし穴と企業が取るべき対策

【2026年最新】個人情報保護法の改正でAI開発はどう変わる？「同意なし提供」の落とし穴と企業が取るべき対策



AI（人工知能）が発展する中で、データ利活用とプライバシー保護の両立が社会的な大課題となっています。こうした中、2026年（令和8年）7月、個人情報保護法の「3年ごと見直し」に基づく改正法案が可決・成立しました。


（参考：衆議院「閣法 第221回国会 54 個人情報の保護に関する法律等の一部を改正する法律案 審議経過情報」、個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」）


今回の改正は、AI学習データの収集を円滑にする「規制緩和」の側面を持つ一方で、違反企業に対して巨額のペナルティを科す「課徴金制度」の導入など、これまでにない厳しい「規制強化」も盛り込まれています。


本記事では、2026年の個人情報保護法の改正がAI開発にどのような影響を与えるのか、その全体像から、AI学習における要配慮個人情報の取り扱い、同意なしデータ提供の条件、そして企業が今すぐ取るべき具体的なセキュリティ対策までを徹底解説します。







INDEX
















個人情報保護法の2026年改正とは？AI開発にも影響する全体像


個人情報保護法の2026年改正とは？AI開発にも影響する全体像｜イメージイラスト

2026年の個人情報保護法改正では、いわゆる3年ごと見直しに基づき、AIやデータ利活用の現実に合わせた幅広い修正が盛り込まれました。利便性の高い「統計作成等の特例」が新設される一方で、実効性を確保するためのペナルティが大幅に強化され、企業にはより高い説明責任が求められます。




▶︎そもそも「3年ごと見直し」とは？今回の改正が注目される理由


日本の個人情報保護法には、急速なIT技術の進展やグローバルな動向に対応するため、施行後「3年ごとに法律の見直しを行う」という附則（※施行日・経過措置・見直し規定など、法律本体の末尾に付け加えられる補足的な規定）が設けられています。


（参考：個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」）


今回の「2026年改正（令和8年改正）」において最大のテーマとなっているのが、生成AIの普及に伴うデータ利活用のニーズと、個人の権利利益の保護（プライバシー保護）のバランスです。特に、企業のAI開発において「本人の同意を得ずにどこまでデータを利用できるか」という実務に直結するルールが大きく変更されました。




▶︎2026年改正のロードマップと「2028年完全施行」までの準備期間


2026年の改正個人情報保護法は、2026年に改正法が国会で成立した場合、社会への周知期間を経て段階的に施行され、おおむね2年後の2028年頃に完全施行されるロードマップが想定されます。企業はこの準備期間の間に、社内のデータガバナンス体制やAIモデルの開発プロセスを新法に適応させる必要があります。



想定されるスケジュール


●2026年7月10日

　改正法案が参議院本会議で可決・成立


●2026年7月中下旬

　改正法の公布（※成立した法律を国民に広く知らせること）


●2027年（予定）

　政省令・委員会規則・ガイドライン・Q&Aの公表


●2028年7月頃まで（予定）

　改正法の完全施行（公布の日から2年以内）


（参考：個人情報保護委員会「個人情報保護法等の一部を改正する法律案（概要）」、個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」）




▶︎2026年改正個人情報保護法の主な内容（2026年7月現在）



1. 統計作成等の特例


これまで個人データの第三者提供には本人の同意が必要でしたが、AIの学習用データ作成や統計情報の作成（個人の権利利益を害するおそれが少ないもの）においては、本人の同意を得ずに提供できるよう特例が設けられました。



2. こどもの個人情報保護の強化


16歳未満の者が本人の場合、①個人情報の取得に際する同意、②利用目的の通知、③各種請求への対応などについて、一定のケースでは法定代理人を対象とすることが明文化されました（通常の個人情報取得のみの場合など、法定代理人の関与が不要な場面もあります）また、企業には子供の「最善の利益」を考慮する努力義務が新設されました。



3. 「特定生体個人情報（顔特徴データなど）」の厳格化


顔特徴データ・声紋・虹彩等の生体認証に使われる特徴データが「特定生体個人情報」として独立して定義されました。（顔特徴データがその代表例）本人の同意がない第三者提供（オプトアウト制度）が禁止され、利用停止等の請求要件も緩和されました。



4. 委託業務の範囲を超えたデータ利用の禁止


委託先に対しても、委託業務の範囲を超えたデータ利用を禁止する規定が明文化され、より厳格な監督・管理が求められます。 



5. 漏えい報告義務の緩和


個人データ漏えい時、本人の権利・利益を害するおそれが少ないケースにおいては、本人への通知義務が免除される緩和措置が導入されます。




▶︎改正案におけるAI開発・データ利活用に直結する「4つの柱」の全体像


今回の改正法案は、大きく分けて以下の「4つの柱」で構成されています。それぞれの概要と、AI開発や企業実務に与える影響を整理しました。



（参考：個人情報保護委員会「個人情報保護法等の一部を改正する法律案（概要）」）





AI開発の転換点「統計作成等の特例」による同意なし提供とは 


AI開発の転換点「統計作成等の特例」による同意なし提供とは ｜イメージイラスト

新設された「統計作成等の特例」により、AIモデルの学習をはじめとする「統計データの作成」目的に限り、本人の同意がなくても第三者から個人データの提供を受けたり、要配慮個人情報を取得したりすることが可能になります。

事業者は特例の適用可否を慎重に判断し、適用する場合でも透明性確保や再提供禁止などの義務を遵守する必要があります。




▶︎「統計作成等の特例」により、AI学習データの第三者提供が一部同意不要に


精度の高いAIモデルを開発するには、大量かつ多様なデータでの機械学習が不可欠です。しかし、現行法では個人データ（個人情報データベース等を構成する個人情報）を第三者に提供する際、原則としてあらかじめ本人の同意を得る必要があります。

これが、企業間のデータ連携を阻む大きな壁となっていました。

この課題を解消するために新設されたのが「統計作成等の特例」です。

この特例により、提供先での利用目的が「統計情報の作成等（AI開発の機械学習を含む）」に限定されており、かつ特定の要件を満たしている場合には、本人の同意を得ずに、個人データ等の第三者提供や、要配慮個人情報の取得を行うことが可能となりました。




▶︎現行法の「匿名加工情報」や「仮名加工情報」との実務上の違い


これまでも、本人の同意なしでデータを利活用するための仕組みとして「匿名加工情報」や「仮名加工情報」が存在していました。今回の「統計作成等の特例」との実務上の違いを以下の比較表で整理します。





（参考：個人情報保護委員会「匿名加工情報とは」、個人情報保護委員会「仮名加工情報を第三者に提供することはできますか」）




▶︎AIモデル開発におけるデータ収集のハードルはどう下がるのか


「仮名加工情報」は自社内での内部分析（機械学習モデルの学習など）には非常に有用でしたが、第三者提供が禁止されているため、複数企業でデータを共有してAIを開発する際には制約がありました。


（参考：個人情報保護委員会「仮名加工情報を第三者に提供することはできますか」）


この「統計作成等の特例」の導入により、データ収集の手間とコストは劇的に削減されます。

たとえば、製薬企業や医療AI開発スタートアップが、複数の病院から「電子カルテデータ（要配慮個人情報を含む）」を提供してもらい、診断支援AIを開発するケースを考えます。これまでは、数万人規模の患者全員から個別の同意書を回収する必要があり、同意書の未回収データは破棄せざるを得ませんでした。

改正後は、この「統計作成等の特例」を適用することで、事前に法律で定められた公表手続き等を行うことで、同意回収の手間なく、かつ医療データの精度を落とすことなくAI学習に利用できるようになります。これにより、開発スピードの向上が期待されています。






「同意なし提供」の落とし穴。AI学習データに使う前の確認条件


「同意なし提供」の落とし穴。AI学習データに使う前の確認条件｜イメージイラスト

 「同意なし提供」は無条件ではありません。特例が適用される目的や提供相手の限定、事前の公表手続き、そして最も危険な目的外利用の連鎖リスクに対するガバナンスが必須です。




▶︎特例が適用されるのは「目的」と「提供相手」が限定されている場合のみ


「同意なしでデータが使える」という言葉だけが独り歩きすると、重大な違法行為を招きます。

AI開発にデータを利用する場合でも、特例が適用されるのは「統計作成等のみを目的とした取扱い」に限られます。AIを利用した個人のプロファイリングによって、不当な差別や個人の権利利益を損なうような目的での利用は、厳しく制限されます。

また、提供先は「個人情報取扱事業者」や「行政機関等」に限られ、信頼性の担保されていない個人や、海外の未適格な事業者（十分な保護措置がない国）への提供は認められていません。




▶︎事前に「公表」し「合意」することが前提となる厳格な手続き


「統計作成等の特例」を利用して同意なしに個人データを提供・取得する場合においても、提供元・提供先の双方が、自社のプライバシーポリシーや特設ページ等において、「提供するデータの項目」「提供先の社名」「実施する統計作成・AI開発の内容」を、本人が容易に知り得る状態で事前に公表し、透明性を確保することが求められます。

また、提供元と提供先の間で、「このデータは統計作成（AI学習）の目的以外には一切使用しない」「他のデータと照合して個人を特定しない」といった事項を盛り込んだ、厳格なデータ提供契約を締結する必要があります。




▶︎最も危険な「再提供の禁止」と「目的外利用」の連鎖リスク


特例で提供されたデータは、当初のAI学習目的以外での利用（目的外利用）や、他の事業者への再提供が原則として禁止となっています。

特例によって提供を受けたAI開発ベンチャーB社は、そのデータを自社内でAI学習させることはできますが、そのデータをさらに別の共同研究先C社に横流し（再提供）することは、たとえ学習目的であっても原則として禁止されています。※特例的に、B社がC社にAI学習の処理を「委託」する場合（B社の管理・監督下でC社が処理する）や、適法な「共同利用」等の法定スキーム（個人情報保護法第27条第5項各号に該当する場合）であれば、許容される場合があります。 


最も危険な「再提供の禁止」と「目的外利用」の連鎖リスク｜違反となるNG事例

また、AIの学習用に取得したデータを、後から「マーケティング用の顧客プロファイリング」や「個別ユーザーへの配信データ」として流用する（目的外利用）ことも厳禁です。

これらに違反した場合、「統計作成等の特例」に規定された義務違反として、指導・勧告・是正命令の対象となるほか、課徴金や罰則の対象となる可能性があります。





要配慮個人情報とAI学習。取得・学習・共有時に潜む情報漏えいリスク


要配慮個人情報とAI学習。取得・学習・共有時に潜む情報漏えいリスク｜イメージイラスト

「要配慮個人情報」は病歴・犯罪歴・思想信条など個人に重大な影響を与える情報群です。AI学習においてこれらが混入すると、予期せぬ差別的出力や個人の重大なプライバシー侵害を招くリスクがあります。

改正法はこれらの取り扱いを特に厳格化しており、取得段階での慎重な設計、学習時のフィルタリング、共有時の追加の安全管理措置が求められます。




▶︎AI学習で問題になりやすい「要配慮個人情報」の具体例（病歴など）


「要配慮個人情報」とは、不当な差別や偏見が生じないよう、その取扱いに特に配慮が必要な情報であり、病歴、信条、社会的身分などが含まれます。現行法上、最も厳しく保護されているデータ区分です。


（参考：個人情報保護委員会「要配慮個人情報に関する政令の方向性について」）


また、令和2年（2020年）の法改正により制度が導入され、令和4年（2022年）4月1日から施行されています。要配慮個人情報の漏えいが発生した場合は、個人情報保護委員会への報告及び本人への通知が義務となっています。


（参考：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」）


医療分野やヘルスケア領域のAI開発においては、この「要配慮個人情報」のAI学習に関して極めて慎重な対応が求められます。



要配慮個人情報の具体例


●医療・ヘルスケアAI

患者の病歴、検査数値、処方箋データ、遺伝子情報


●人事・採用AI

応募者の適性検査に付随する信条・思想、健康診断結果


●防犯・行動分析AI

映像に映り込んだ特定の人物の行動から推測される身体的特徴や車いす等の利用情報




▶︎顔特徴データ等「生体情報」の取扱いに加わる新たな規制


今回の改正では、生体情報、特に顔認証や声紋などの特徴データは高い再識別リスクを伴うため、保護が強化されました。昨今、監視カメラ映像から顔の特徴点を抽出し、人物の行動追跡を行うAIモデルの開発が進んでいますが、今回の改正により、こうした生体情報については、以下のルールが適用されます。



●オプトアウトによる第三者提供の全面禁止

本人の同意を得ずに「嫌なら後から拒否して（オプトアウト）」という形で生体情報を他社に提供することができなくなります。


●利用停止等請求の要件緩和

本人は、事業者に対していつでも自分の生体情報の利用停止や消去を求めることができるようになります。



画像認識や顔認証AIを開発する企業は、学習データから生体情報をどう分離するか、または特例の要件を満たすかを厳格に設計しなければなりません。




▶︎公開情報を「スクレイピング」して学習させることは可能か？


インターネット上に公開されている情報を自動収集（スクレイピング）してAIに学習させる場合でも、その中に個人情報が含まれていれば個人情報保護法の対象となります。

著作権法第30条の4により、情報解析目的では原則として権利者の許諾なく利用可能（ただし、著作権者の利益を不当に害する場合は同条の適用が除外される点にも留意が必要）とされていますが、個人情報保護法の観点からは、Web上の公開情報であっても、そこに特定の個人の「病歴」や「思想信条」といった要配慮個人情報が含まれている場合、それをスクレイピングしてデータベース化（取得）する行為は、原則として本人同意が必要です。


（参考：文化庁「AIと著作権」、文化庁「AIと著作権Ⅱ」）


今回の2026年の改正により、「公開されている要配慮個人情報」の取得であっても、統計作成等の目的にのみ利用される場合に限り、同意不要（特例の適用）となることが明文化されました。言い換えれば、統計特例の要件（事前公表など）を満たさない「スクレイピング」で要配慮個人情報を収集する行為は、法的なアウト判定を受けるリスクが非常に高いと言えます。




▶︎要配慮個人情報を扱う場合に、追加で求められる極めて高い安全管理措置


「要配慮個人情報」をAIの学習データとして社内で保管・共有する場合、一般的な個人データよりもはるかに強固な安全管理措置（セキュリティ対策）が求められます。

「要配慮個人情報」を扱う場合は、アクセス制御の細分化、暗号化、データ匿名化・仮名化手順の厳格化、監査ログの保存、委託先監督や第三者評価の実施といった追加的な安全管理措置が求められます。

これらは単なる技術導入だけでなく、運用ルールと教育、インシデント対応体制の整備を通じて継続的に実施される必要があります。






違反時のリスクはどう変わる？課徴金制度・罰則強化・命令の見直し


違反時のリスクはどう変わる？課徴金制度・罰則強化・命令の見直し｜イメージイラスト

2026年改正の最大の目玉は「課徴金制度」の導入です。違法なAI開発や個人データの不適正利用に対して、数千万円〜数億円規模の経済的ペナルティが下されるリスクが現実のものとなります。




▶︎悪質な事業者に対して新設される「課徴金制度」の脅威と経営への金銭的インパクト


これまでの個人情報保護法は、違反があっても「個人情報保護委員会からの是正命令に従わなかった場合」に初めて刑事罰が科される仕組みであり、抑止力が不十分であると指摘されていました。

2026年改正では、この状況が一変し、「課徴金（ペナルティ金の納付命令）制度」が導入されました。


（参考：個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」、個人情報保護委員会「個人情報保護法等の一部を改正する法律案（概要）」）



●対象となる違反行為

本人の同意を得ない「不適正な取得」や「目的外利用」

統計作成等の特例に違反した「目的外利用」や「無断での第三者提供」


●金銭的インパクト

違反行為によって得られた利益や、取り扱っていたデータ規模に比例した課徴金が算定されます。大量の個人データを学習させてサービス化したAIプロダクトが「違法取得」と判定された場合、企業の存続を揺るがす巨額の課徴金が科されるリスクがあります。（課徴金額は違反行為によって得た対価の額を基礎に算定されるため、データ利用規模によっては多額になる可能性があります）






▶︎個人情報の不正取得・提供に対する「刑事罰の引き上げ」


法違反に対するペナルティはすでに段階的に強化されています。

令和2年の改正において、個人情報保護委員会からの命令への違反に対する罰則は、法人に対して「1億円以下の罰金」と、行為者個人よりも大幅に引き上げられました（法人重科）。AIを用いた大規模なデータ漏えいや不正提供が発生した場合、企業は重い責任を問われることになります。


（参考：個人情報保護委員会「令和2年 改正個人情報保護法について」、個人情報保護委員会「個人情報保護法 令和2年改正及び令和3年改正について」）




▶︎不適切利用に対する「勧告・命令」の要件緩和と迅速化


これまでは、行政処分（命令）が出されるまでに何度も指導や勧告のステップを踏む必要があり、その間に被害が拡大するケースがありました。

改正後は、個人の権利利益の侵害を速やかに防止するため、個人情報保護委員会がより迅速に「是正命令」を出せるよう要件が緩和されます。また、命令が出された事実や違反内容は早期に実名公表されるため、一瞬にして企業のブランドイメージや社会的信用は失墜します。






2026年法改正に向けて企業（AI開発・法務）が取るべき３つの具体的な対策


2026年法改正に向けて企業（AI開発・法務）が取るべき３つの具体的な対策｜イメージイラスト

法改正に対応するためには、法務による規約作成（ルール整備）だけでなく、開発部門におけるAI資産の可視化（現状把握）と、DLP等のセキュリティ製品を用いた技術的統制（情報漏えい防止）の3本柱で対策を打つ必要があります。




対策1：【ルール整備】法務と開発を繋ぐ「AI利用ガイドライン」の策定


最初に行うべきは、法務部門とAI開発・DX推進部門が一体となって、自社の「AI利用ガイドライン」やポリシーを策定・更新することが第一歩です。

AI利用ガイドラインは、データ収集・学習・公開・第三者提供に関する社内ルールを明文化するための必須ドキュメントです。目的別の取扱い方針、要配慮情報の扱い、匿名化基準、再提供禁止時の手続き、委託先契約テンプレートと監査フローを含めることで、開発現場の判断を標準化できます。定期的な見直しと教育の実施もガイドラインの効果を保つ鍵です。


（参考：経済産業省・総務省「AI事業者ガイドライン（第1.2版等）」、経済産業省・総務省「AI事業者ガイドライン（第1.2版等）」別添6「『AI・データの利用に関する契約ガイドライン』を参照する際の主な留意事項について」）





対策2：【現状把握】AI資産管理（AI-SPM）による社内AIデータと利用状況の可視化


シャドーAI（※法務やIT部門の許可を得ずに現場が勝手に導入したAI）が社内に潜んでいる場合、そこから個人情報が漏えいするリスクは極めて高くなります。


そこで有効なのが、最新のセキュリティ手法である「AI-SPM（AI Security Posture Management：AIセキュリティポスチャ管理）」の導入です。社内でどのようなAIモデルが稼働し、どのようなデータ（特に個人情報）を学習しているかを可視化・追跡（トレーサビリティの確保）することができます。

これにより同意の有無、要配慮情報の混入、再提供の有無などコンプライアンス上の懸念を早期に検出できます。導入時はデータマッピングとメタデータ管理の整備が重要です。






対策3：【技術的統制】プロンプトDLPを用いた機密情報・要配慮個人情報の送信ブロック


ルールをどれだけ厳しく設定しても、人間の「うっかりミス」を100%防ぐことは不可能です。開発エンジニアや一般社員が、社外の生成AI（ChatGPTやClaude等）のプロンプト（指示文）に、誤って顧客の個人情報や要配慮個人情報を含めて送信してしまうリスクがあります。

この技術的統制として、「プロンプトDLP（Data Loss Prevention：情報漏えい防止機能）」を社内ネットワークに実装することが推奨されます。


【技術的統制】プロンプトDLPを用いた機密情報・要配慮個人情報の送信ブロック｜プロンプトDLPの仕組み


プロンプトDLPは、ユーザーが外部AIにデータを送信する手前で通信を監視し、プロンプト内に「個人名」「住所」「マイナンバー」「病歴などのキーワード」「特定コード」が含まれている場合に、自動的に送信をブロックするか、または該当箇所を自動マスク（匿名化）した上で送信します。

これにより、意図しない外部への個人情報流出を大幅に低減することができます。






個人情報保護法改正（2026年）とAI開発に関するよくある質問（FAQ）



Q. 2026年改正個人情報保護法で、AI開発のためのデータ収集は完全に自由になりますか？ 


A. 完全な自由にはなりません。AI開発等を含む「統計作成等のみを目的とした取扱い」に限定した上で、同意なしでの第三者提供を許容する特例が検討されていますが、厳格な安全管理措置や事前の透明性確保（公表等）が求められます。



Q. 現行の「仮名加工情報」をAI開発に使うことはできますか？ 


A. 自社内（内部）でのAI学習や機械学習モデルの分析に利用することは可能です。ただし、現行法では第三者提供が原則禁止されているため、他社との共同開発等でデータを提供する際には制限があります。



Q. 従業員が生成AIに顧客の個人情報を入力して業務を行っても問題ありませんか？ 


A. 問題となる可能性が高いです。入力したデータがAIの学習に利用される仕様（オプトアウトしていない状態）の場合、個人情報の目的外利用や漏えいに該当するリスクがあります。利用規約の確認や、個人情報を入力させない・ブロックする技術的対策（ガイドラインの策定含む）が必要です。




Q. 2026年改正個人情報保護法において、「統計作成等の特例」を使えば、要配慮個人情報であっても完全に自由に使えるようになりますか？


A.  いいえ、完全に自由になるわけではありません。特例により「同意取得」は不要になりますが、利用目的を統計作成（AI学習など）に限定すること、提供元・提供先の社名や目的を事前に「公表」すること、他データと照合して「個人を特定しない」こと、データを別の第三者に「再提供しない」ことなど、厳しい条件をすべて遵守する義務があります。違反した場合は、課徴金などのペナルティが科されます。



Q. 16歳未満の子どもの学習履歴データをAIに分析させてサービスを開発していますが、今回の改正で何か対応が必要ですか？


A. はい、対応が必要です。2026年改正では、16歳未満の子どもの個人情報に関する保護が強化され、同意取得や通知の対象が「本人」ではなく「法定代理人（親権者など）」に明文化されました。また、子どものデータについては法令違反がなくても利用停止や消去の請求に応じる義務が生じます。プライバシーポリシーの改定と、法定代理人からの同意取得フローの構築を行ってください。



Q. AI学習において、顔写真から特徴点を抽出するデータは「要配慮個人情報」に該当しますか？


A. はい、該当する可能性が極めて高いです。顔写真そのものは一概に要配慮個人情報とは言えませんが、そこからAI処理のために抽出された「顔特徴データ（幾何学的な特徴点データ）」は、本人の識別が可能な生体情報であり、この情報はオプトアウトによる第三者提供が禁止されるなど、最高レベルの規制対象となります。







まとめ


2026年改正で求められるのは「説明できるAIデータ活用」


まとめ：2026年改正で求められるのは「説明できるAIデータ活用」｜イメージイラスト

2026年の個人情報保護法改正（2028年施行）は、日本のデジタル社会・AI産業を安全に発展させるための大きな転換点です。

「統計作成等の特例」によりAI開発のためのデータ共有が促進される一方で、「要配慮個人情報」等の取り扱いにはこれまで以上に厳格な安全管理と透明性が求められます。

これからのAI時代に企業が生き残る鍵は、単に高精度なAIを作ることではなく、「その学習データは適法に取得され、ルールに従って処理されているか」を、社会やユーザーに対して自信を持って「説明できるAIデータ活用」の体制を築くことにあります。企業のDX推進・AI開発部門と法務部門が密に連携し、ルール整備と技術的統制の両輪で来るべき新法時代に備えましょう。







出典・参考一覧



bottom of page