2026年個人情報保護法改正法案が成立｜AI・データ活用に関係する実務論点

個人情報保護委員会は2026年4月7日、「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定を公表しました。法案は、統計作成等（AI開発等を含む）にのみ利用される場合の個人データの第三者提供・要配慮個人情報取得について本人同意を不要とする特例、重大な違反行為に対する課徴金制度の創設、子ども（16歳未満の者）の個人情報の取扱いに関する規定整備等を内容としています。本稿では、現行法上の義務、成立した改正法の内容、施行までに準備する事項を区別した上で、AIサービスの学習利用、第三者提供及び委託というデータフローのどこに改正が及ぶかを具体化します。執筆日（2026年7月12日）現在、法案は衆議院及び参議院を通過し、参議院本会議で可決・成立しています。もっとも、公布日、法律番号及び施行期日を定める政令は執筆時点で確認できていません。

何が決定され、どこまで審議が進んだか

法案は2026年4月7日に閣議決定され、第221回国会に提出されました。衆議院では同年5月21日に委員会で可決、同月26日の本会議で可決されて参議院に送付されました。参議院では2026年7月8日に委員会で可決され、同月10日の本会議で可決・成立しています。したがって、執筆日現在、本法案は単なる審議中の案ではなく、国会での立法手続を終えた法律です。もっとも、成立と施行は別の概念です。法案は、施行期日を原則として公布の日から起算して2年を超えない範囲内で政令により定めるとしており、実際に条文が効力を持つ日は、成立後に行われる公布及びこれに続く政令によって確定します。公布日、法律番号及び施行期日を定める政令は、本稿執筆時点で確認できていません。なお、2026年7月10日に人工知能戦略本部が決定した第2期人工知能基本計画案は、本改正案について成立を前提としない書きぶりを採用していましたが、これは同日の参議院本会議での採決結果が計画案の決定時点で反映されていなかったことによるものと考えられます。改正法の内容を確認する際は、政府文書の記載時点と国会での進捗を区別して読む必要があります。

改正法案の主な内容

改正の内容は、概要資料の区分に沿って整理できます。「適正なデータ利活用の推進」としては、個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする特例が新設されます（第30条の2、第31条の3）。概要資料は、この特例の対象に「統計作成等であると整理できるAI開発等」を含むと明記しています。あわせて、取得の状況から本人の意思に反しないことが明らかな取扱いについても同意を不要とし、生命等の保護等のための取扱いにおける同意取得困難性要件を緩和し、学術研究例外の対象機関に医療提供機関を含むことを明示しています（第16条第9項、第18条第3項、第20条第2項、第27条第1項）。

「リスクに適切に対応した規律」としては、16歳未満の者について法定代理人による同意取得・通知等を明文化し、利用停止等請求の要件を緩和するとともに、事業者に本人の最善の利益を考慮する責務を課します（第35条第9項・第10項、第40条の2、第58条の3）。顔特徴データ等については周知義務を課し、利用停止等請求の要件を緩和し、オプトアウトによる第三者提供を禁止します（第21条の2、第27条第2項、第35条第7項・第8項）。データ処理等の委託を受けた事業者の適正取扱義務も見直されます（第30条の3、第58条の2）。漏えい等が生じた場合の本人への通知義務は、本人の権利利益の保護に欠けるおそれが少ないときは緩和されます（第26条第2項）。

「不適正利用等防止」では、個人情報に該当しないものの特定の個人への働きかけを可能にする情報の不適正利用・不正取得を禁止し（第31条の2）、オプトアウト制度による提供先の身元・利用目的の確認を義務化します（第27条第7項）。「規律遵守の実効性確保のための規律」では、命令要件の見直しと本人への通知・公表等を求める勧告・命令の追加（第148条）、違反行為を補助する第三者への中止要請の根拠規定（第148条の2）、罰則の強化（第178条から第180条）に加え、重大な違反行為により個人の権利利益が侵害された場合等に、当該行為によって得られた財産的利益相当額の課徴金納付を命じる制度が新設されます（第148条の3から第148条の17）。マイナンバー法及び次世代医療基盤法についても、子どもの個人情報等の取扱いに関する同様の措置が講じられます。

AIサービスのデータフローのどこに影響するか

改正のうちAI関連の実務に直結するのは、学習データの取得・提供の場面です。現行法では、要配慮個人情報の取得や個人データの第三者提供には、原則として本人同意が必要です。改正後は、統計作成等と整理できるAI開発等にのみ利用される場合、この同意取得義務が及ばなくなります。したがって、自社が保有する個人データをAIベンダーへ提供して学習させる場面や、公開されている要配慮個人情報を含むデータセットを収集してモデル開発に用いる場面では、当該利用が統計作成等と整理できるAI開発等に該当するかどうかの評価が実務上の分岐点になります。

これに対し、委託に基づくデータ提供は別の枠組みで扱われます。現行法上も、委託先へ個人データを提供すること自体は第三者提供の同意取得なく行える場合がありますが、改正はこの前提を変えるものではなく、委託を受けた事業者側の適正取扱義務を見直すものです。AIベンダーを個人データの取扱いの委託先として利用している場合、委託契約のデータ取扱条項が改正後の義務内容と整合しているかを、下位法令の内容が判明した段階で確認する必要があります。

漏えい等発生時の本人通知義務の緩和や、個人情報に該当しない特定個人働きかけ可能情報への規律追加も、AIによるプロファイリングやターゲティングを行うサービスの設計に関係します。学習データの取得段階における著作権・データ利用条件の確認は生成AIと著作権・学習データのチェックポイントで、AIベンダーの選定段階での確認事項はAIベンダーデューデリジェンスと契約審査で扱っています。

現行法で既に守るべき事項との区別

改正法が施行されるまでの間は、現行の個人情報保護法の規律がそのまま適用されます。個人データの第三者提供には原則として本人同意が必要であること、要配慮個人情報の取得には原則として本人同意が必要であること、漏えい等が生じた場合には個人情報保護委員会への報告及び本人への通知が必要であることは、いずれも変わりません。統計作成等と整理できるAI開発等にのみ利用される場合の同意不要特例は、施行日以降に効力を持つものであり、現時点でこれを先取りして同意取得を省略することはできないと考えられます。自社のプライバシーポリシーや社内規程を確認する際は、施行前の現行義務と、施行後に適用される改正内容を分けて記載し、混同しないようにする必要があります。

施行前に確認・準備する事項

法務担当者が翌日以降に着手できる確認事項は次のとおりです。プライバシーポリシーの利用目的条項及び第三者提供条項を確認し、AI開発を目的とする個人データの提供が現在どの条項に基づいて行われているかを特定します。AIベンダーとの間の業務委託契約又はSaaS利用規約における個人データの取扱条項を確認し、委託先の適正取扱義務に関する規定が改正後の第30条の3等の内容と整合するかを、下位法令公表後に照合できるよう整理しておきます。AIベンダーの選定時に用いる確認票に、学習データの取得根拠が本人同意、委託又は今回新設される特例のいずれに基づくかを記載する欄を設けておきます。漏えい対応規程については、通知義務緩和の要件が下位法令又はガイドラインで明確化されるまで、現行の通知基準を変更しないことが望ましいと考えます。

今後確認すべき動き

執筆日現在、次の事項が未公表又は未確定であり、継続的な確認が必要です。

• 法律の公布日、法律番号及び施行期日を定める政令の公表
• 統計作成等と整理できるAI開発等の該当性に関する個人情報保護委員会の運用基準又はガイドライン
• 課徴金の対象となる重大な違反行為の具体的な基準
• 顔特徴データ等の周知義務及び委託先の適正取扱義務に関する下位法令の内容
• マイナンバー法・次世代医療基盤法における関連改正の施行状況

これらは、いずれも成立した法律の効力発生前の整理です。政令による施行期日の確定及びガイドラインの公表を待って、自社の契約書・社内規程への反映要否を判断することが対応の出発点になります。