2026年改正個人情報保護法の公布と施行スケジュール｜AI開発の統計利用特例と課徴金の論点

個人情報保護委員会は2026年4月7日、「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定を公表しました。法案は、統計作成等（AI開発等を含む）にのみ利用される場合の個人データの第三者提供・要配慮個人情報取得について本人同意を不要とする特例、重大な違反行為に対する課徴金制度の創設、子ども（16歳未満の者）の個人情報の取扱いに関する規定整備等を内容としています。本稿では、現行法上の義務、成立した改正法の内容、施行までに準備する事項を区別した上で、AIサービスの学習利用、第三者提供及び委託というデータフローのどこに改正が及ぶかを具体化します。本法案は2026年7月10日に参議院本会議で可決・成立し、同年7月17日に公布されました（令和8年法律第56号）。施行期日は原則として公布日から2年以内の政令指定日とされ、罰則関係の改正規定の一部は2027年1月17日に先行施行されます。本稿では、2026年9月22日時点の個人情報保護委員会の動向を踏まえ、施行スケジュールの見通しや企業の準備事項を更新して解説します。

何が決定され、どこまで審議が進んだか

法案は2026年4月7日に閣議決定され、第221回国会に提出されました。衆議院では同年5月21日に委員会で可決、同月26日の本会議で可決されて参議院に送付されました。参議院では2026年7月8日に委員会で可決され、同月10日の本会議で可決・成立しています。したがって、執筆日現在、本法案は単なる審議中の案ではなく、国会での立法手続を終えた法律です。もっとも、成立と施行は別の概念です。本改正法は2026年7月17日に公布されましたが、附則第1条により、全体の施行期日は公布の日から起算して2年を超えない範囲内で政令で定める日とされています。また、不正提供等罪の法定刑引上げ等の罰則関係の一部や附則第2条・第3条は公布から6か月を経過した2027年1月17日に施行され、委任規定などの附則第13条・第16条は公布日に施行されています。2026年9月22日現在、原則となる施行期日を定める政令は未公布であり、今後の公表を注視する必要があると考えます。なお、2026年7月10日に人工知能戦略本部が決定した第2期人工知能基本計画案は、本改正案について成立を前提としない書きぶりを採用していましたが、これは同日の参議院本会議での採決結果が計画案の決定時点で反映されていなかったことによるものと考えられます。改正法の内容を確認する際は、政府文書の記載時点と国会での進捗を区別して読む必要があります。

個人情報保護委員会の検討スケジュール

2026年7月17日の公布後、個人情報保護委員会は政令や規則等の整備に向けた作業を順次進めています。7月31日に今後の取組を決定し、8月26日には政令・規則等で定める事項の全体像を決定しました。9月9日には進め方を定め、改正法の4分類やテーマごとに「基本的な考え方」を提示して議論した上で、個人の立場や事業者の立場の団体との意見交換、経済団体やIT団体、消費者団体等の事務局ヒアリングを経て条文案を提示し、意見公募手続（パブリックコメント）を開始する手順が示されました。9月16日には「基本的な考え方について①」として子ども、顔特徴データ、本人関与に関する規律が議論されています。

当面のスケジュールとして、9月下旬から10月上旬に統計作成等、委託先、漏えい等を扱う基本的な考え方②が、10月中旬には連絡可能な個人関連情報、オプトアウト、課徴金を扱う基本的な考え方③が議論される予定です。企業においては、自社事業に関わる論点がどの会合で扱われるかを注視し、示された方向性がいかなる影響を及ぼすかを早期に把握することが実務上有効と考えられます。条文案提示後の意見公募手続への対応や、経済団体等の業界団体を通じた意見提出の機会に備え、社内実務の課題を整理しておくことが適切と考えます。最新の検討状況は個人情報保護委員会「令和８年 改正個人情報保護法について」で確認できます。

改正法案の主な内容

改正の内容は、概要資料の区分に沿って整理できます。「適正なデータ利活用の推進」としては、個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする特例が新設されます（第30条の2、第31条の3）。概要資料は、この特例の対象に「統計作成等であると整理できるAI開発等」を含むと明記しています。あわせて、取得の状況から本人の意思に反しないことが明らかな取扱いについても同意を不要とし、生命等の保護等のための取扱いにおける同意取得困難性要件を緩和し、学術研究例外の対象機関に医療提供機関を含むことを明示しています（第16条第9項、第18条第3項、第20条第2項、第27条第1項）。

「リスクに適切に対応した規律」としては、16歳未満の者について法定代理人による同意取得・通知等を明文化し、利用停止等請求の要件を緩和するとともに、事業者に本人の最善の利益を考慮する責務を課します（第35条第9項・第10項、第40条の2、第58条の3）。顔特徴データ等については周知義務を課し、利用停止等請求の要件を緩和し、オプトアウトによる第三者提供を禁止します（第21条の2、第27条第2項、第35条第7項・第8項）。データ処理等の委託を受けた事業者の適正取扱義務も見直されます（第30条の3、第58条の2）。漏えい等が生じた場合の本人への通知義務は、本人の権利利益の保護に欠けるおそれが少ないときは緩和されます（第26条第2項）。

「不適正利用等防止」では、個人情報に該当しないものの特定の個人への働きかけを可能にする情報の不適正利用・不正取得を禁止し（第31条の2）、オプトアウト制度による提供先の身元・利用目的の確認を義務化します（第27条第7項）。「規律遵守の実効性確保のための規律」では、命令要件の見直しと本人への通知・公表等を求める勧告・命令の追加（第148条）、違反行為を補助する第三者への中止要請の根拠規定（第148条の2）、罰則の強化（第178条から第180条）に加え、重大な違反行為により個人の権利利益が侵害された場合等に、当該行為によって得られた財産的利益相当額の課徴金納付を命じる制度が新設されます（第148条の3から第148条の17）。マイナンバー法及び次世代医療基盤法についても、子どもの個人情報等の取扱いに関する同様の措置が講じられます。

AIサービスのデータフローのどこに影響するか

改正のうちAI関連の実務に直結するのは、学習データの取得・提供の場面です。現行法では、要配慮個人情報の取得や個人データの第三者提供には、原則として本人同意が必要です。改正後は、統計作成等と整理できるAI開発等にのみ利用される場合、この同意取得義務が及ばなくなります。したがって、自社が保有する個人データをAIベンダーへ提供して学習させる場面や、公開されている要配慮個人情報を含むデータセットを収集してモデル開発に用いる場面では、当該利用が統計作成等と整理できるAI開発等に該当するかどうかの評価が実務上の分岐点になります。

これに対し、委託に基づくデータ提供は別の枠組みで扱われます。現行法上も、委託先へ個人データを提供すること自体は第三者提供の同意取得なく行える場合がありますが、改正はこの前提を変えるものではなく、委託を受けた事業者側の適正取扱義務を見直すものです。AIベンダーを個人データの取扱いの委託先として利用している場合、委託契約のデータ取扱条項が改正後の義務内容と整合しているかを、下位法令の内容が判明した段階で確認する必要があります。

漏えい等発生時の本人通知義務の緩和や、個人情報に該当しない特定個人働きかけ可能情報への規律追加も、AIによるプロファイリングやターゲティングを行うサービスの設計に関係します。学習データの取得段階における著作権・データ利用条件の確認は生成AIと著作権・学習データのチェックポイントで、AIベンダーの選定段階での確認事項はAIベンダーデューデリジェンスと契約審査で扱っています。

現行法で既に守るべき事項との区別

改正法が施行されるまでの間は、現行の個人情報保護法の規律がそのまま適用されます。個人データの第三者提供には原則として本人同意が必要であること、要配慮個人情報の取得には原則として本人同意が必要であること、漏えい等が生じた場合には個人情報保護委員会への報告及び本人への通知が必要であることは、いずれも変わりません。統計作成等と整理できるAI開発等にのみ利用される場合の同意不要特例は、施行日以降に効力を持つものであり、現時点でこれを先取りして同意取得を省略することはできないと考えられます。自社のプライバシーポリシーや社内規程を確認する際は、施行前の現行義務と、施行後に適用される改正内容を分けて記載し、混同しないようにする必要があります。

施行前に確認・準備する事項

法務担当者が翌日以降に着手できる確認事項は次のとおりです。プライバシーポリシーの利用目的条項及び第三者提供条項を確認し、AI開発を目的とする個人データの提供が現在どの条項に基づいて行われているかを特定します。AIベンダーとの間の業務委託契約又はSaaS利用規約における個人データの取扱条項を確認し、委託先の適正取扱義務に関する規定が改正後の第30条の3等の内容と整合するかを、下位法令公表後に照合できるよう整理しておきます。AIベンダーの選定時に用いる確認票に、学習データの取得根拠が本人同意、委託又は今回新設される特例のいずれに基づくかを記載する欄を設けておきます。漏えい対応規程については、通知義務緩和の要件が下位法令又はガイドラインで明確化されるまで、現行の通知基準を変更しないことが望ましいと考えます。

今後確認すべき動き

改正法の施行に向けて、実務への影響を見極めるためには、今後公表される政令、個人情報保護委員会規則及びガイドラインの具体的な内容を継続的に確認する必要があります。

• 原則2年以内とされる全体の施行期日を定める政令の公布
• 統計作成等特例の具体的な対象範囲や公表事項を定める委員会規則の策定
• 課徴金制度の適用要件や算定基準に関する政令及び委員会規則の内容
• 顔特徴データ等の具体的な範囲並びに周知方法を定める政令及び規則
• 委託先規律において委託元と委託先との間で合意すべき措置を定める規則
• 委員会による政令・規則の条文案提示及び意見公募手続の実施時期
  これらの下位法令が具体化されることで、AI開発やデータ利活用に関する社内規程の改訂や契約実務の見直しに必要な工数が明らかになると考えられます。企業法務においては、公表される検討内容を適時把握し、円滑な施行対応に向けた準備を進めることが適切と考えます。