個人情報保護法の改正で、生成AIの社内ルールは何を変えるのか

個人情報保護法の改正で、生成AIの社内ルールのうち、社員が生成AIに入力するときのルールは変える必要がありません。見直すのは、AIサービスやAI開発会社にデータを預けるときの契約と、他社とデータをやり取りしてAIや統計を作る場合の準備です。改正法は2026年10月時点でまだ施行されておらず、施行は公布の日から2年を超えない範囲内で政令で定める日です。

社長に「うちは何か変わるのか」と聞かれたときは、自社のAIの使い方を4つの場面に分け、場面ごとに答えるのが早道です。場面によって、答えが「何も変わらない」から「契約書を見直す」まで分かれるからです。

個人情報保護法の改正は、いつから何が変わるのか

改正個人情報保護法は2026年7月に国会で成立し、7月17日に公布されました。施行は原則として公布の日から起算して2年を超えない範囲内で政令で定める日で、2026年10月時点ではまだ施行されていません。

今日の時点で会社が従うのは現行の法律です。施行の日付と、細かい条件を定める政令・規則はこれから決まります。

生成AIを使う会社に関わる改正点は3つ

生成AIを業務で使う会社の判断に直接関わるのは次の3つです。ほかにも改正点はありますが、AIの社内ルールとは別の話です。

政令・規則はまだ検討中で、意見募集を経て決まる

個人情報保護委員会は2026年7月、改正法の施行までに十分な期間を確保し、政令・規則・ガイドライン等を意見募集を経て整備する方針を決めました。8月26日には政令・規則で定める事項の全体像を、10月1日には規則の中身についての検討の方向を示しています。

10月1日の資料に書かれているのは案で、確定した規則ではありません。以下でこの資料に触れる箇所は、すべて検討の例です。

社員が生成AIに顧客情報を入れるルールは、改正で変わるのか

社員の入力のルールは、改正を理由に変える必要はありません。施行前の今も施行後も、利用目的の範囲内か、入力した内容が機械学習に使われないかの2点で判断します。

この2点は、個人情報保護委員会が2023年6月に出した生成AIサービスの利用に関する注意喚起にあるものです。

社内ルールにこの2点が書かれていないなら、それは改正への対応ではなく現行のルールの穴なので、施行を待たずに埋めます。

どの情報なら入れてよく、どこからが入れてはいけない情報かの線引きは、生成AIに会社の情報を入れる前に確かめる3つのルールで整理しています。

AI開発に個人データを使う「同意不要」は、どんな会社に関係するのか

統計作成等の特例とは、統計情報やAIモデルの作成にのみ使う場合に、公表と書面の合意などを条件として、個人データ等の第三者提供と、公開されている要配慮個人情報の取得に本人の同意を不要とする仕組みです。関係するのは、他社にデータを渡す会社と、他社から受け取ってAIや統計を作る会社です。

AIに使うなら何でも同意が要らなくなる、という意味ではありません。対象は「統計作成等であると整理できるAI開発等」で、作ったもの以外の目的にデータを使わないことが前提です。

特例を使うための条件

法律の段階で示されている条件は次の3つです。

• 提供元・提供先の名称と、行おうとする統計作成等の内容などを公表する
• 統計作成等のみを目的とした提供であることを、提供元と提供先が書面で合意する
• 受け取った側は、目的外の利用と第三者への提供をしない

改正法の概要資料は、違反の例として、統計情報等の作成を目的に提供を受けた個人データを、統計にせずそのまま第三者に販売した場合と、そのまま顧客企業向けの広告配信サービスに使って利益を得た場合を挙げています。

自社の中だけでAIに使う場合は、今の判断のまま

特例が扱うのは、会社の外へ渡す・外から受け取る場面です。自社が持つ顧客データを自社の中でAIに使うだけなら、まず見るのは現行どおり、本人に示した利用目的の範囲に収まるかどうかです。

施行前に特例を先取りしない

改正法は未施行なので、今この特例を根拠に同意なしでデータを渡すことはできません。細かい条件も固まっていません。委員会が10月1日の資料で示した検討の例（案）は次のとおりで、どれも確定した規則ではありません。

• 目的外の利用や第三者への提供を防ぐ措置を講じること
• 作った統計情報等から元の個人情報が復元される場合を含め、漏えいを防ぐこと
• 必要がなくなった個人情報等を遅滞なく消去すること
• 公表は、自社のウェブサイトの1つのページに公表事項を全て載せる等の方法とすること

他社とデータを持ち寄る計画がある会社は、規則が確定してから公表文と合意書の準備に入ります。計画が無い会社は、この改正点で今やることはありません。

AIサービスやAI開発会社との契約は、何を確かめ直すのか

確かめ直すのは、預けたデータを相手がどこまで使えるかが、契約に書かれているかどうかです。改正法は、個人データ等の取扱いの委託を受けた事業者に、委託された業務の遂行に必要な範囲を超えて取り扱ってはならない義務を明文で課します。

問い合わせ対応のAIを作ってもらうために過去の問い合わせ履歴を開発会社へ渡す、といった使い方が当たります。必要な範囲は何を頼んだかで決まるので、頼んだ内容が契約に書かれていなければ、範囲を超えたかどうかを後から確かめられません。

取扱いの方法を全部合意した場合の扱い

改正法にはもう1つ仕組みがあります。委託契約で取扱いの方法の全部を合意し、委託元が委託先の取扱い状況を把握するための措置も合意した場合、委託先には個人情報取扱事業者としての義務規定の適用を原則として免除します。委託先が委託元の指示どおりに機械的に扱うだけのケースを想定したものです。この場合も、業務の範囲を超えない義務と安全管理の義務は委託先に残ります。

この免除の前提として契約で何を定めるか、どんな方法で契約するかは、委員会規則で定めることとされています。確定版はまだありません。

契約で確かめる8項目（委員会の検討の例から）

次の8項目は、委員会が2026年10月の資料で示した検討の例で、確定した規則ではありません。それでも、今の契約書に何が抜けているかを見る物差しになります。右の列は、AIの契約に当てはめたときの読み方で、私の整理です。

同じ資料は、取扱いの方法を書面（電磁的記録を含む）で定める方向も示しています。AIサービスの利用規約やAI開発の契約書には、預けたデータの使い道と終了時の扱いが書かれていないものもあります。8項目のうち空欄になる所が、規則が確定したときに手を入れる候補です。

AIサービスの利用が「委託」に当たるかは、弁護士に確かめる

AIサービスに顧客データを処理させることが、法律上の委託に当たるかどうかは、サービスの仕組みと契約の内容で整理が分かれる論点です。委託として整理される場合に、改正後の委託先の規律が関わってきます。自社の使い方がどちらに当たるかは、利用規約と契約書を持って弁護士に確認してください。8項目の一覧は、その相談の前に手元の事実をそろえる道具として使えます。

課徴金は、どんな違反のときに課されるのか

課徴金は売上の何%か、という問いへの答えは、売上に比例する仕組みではない、です。額は、違反行為で得た財産上の利益に相当する額です。対象になる違反も4種類に限られています。

1,000人という基準は社員数ではなく、違反の対象になった本人の数です。社員が数十名の会社でも、違反の対象になったデータに1,000人を超える本人が含まれていれば、規模の条件には届きます。一方で、対象は4種類の違反に絞られていて、相当の注意を払っていた場合は除かれます。

生成AIの使い方に引き寄せると、関わりが出やすいのは第三者提供の制限と統計作成等の特例の2つです。本人の同意が要る場面で同意なく外へ渡す、特例で受け取ったデータを別の目的に使う、といった行為が当たります。契約の8項目は、預けたデータが外でどう使われているかを自社が把握しておく手段でもあります。

自社のAIの使い方ごとに、施行までに決めること

4つの場面のうち、改正で手を入れるのは、AIサービスやAI開発会社にデータを預ける2つの場面と、他社とデータをやり取りしてAIや統計を作る場面です。社員が汎用の生成AIに入力する場面は、現行の2点の確認を続けます。

4場面は法律上の区分ではなく、社内で説明しやすくするための整理です。

仮の場面として、社員がChatGPTなどを使い、問い合わせ対応のAIを外部の開発会社に頼もうとしている会社を置くと、当たるのは1行目と3行目です。社長への答えは「社員の入力のルールは今のまま。開発会社との契約に、渡すデータの使い道と終了時の扱いを書く。施行日と規則はまだ決まっていないので、確定したら契約の項目をもう一度見る」の3文になります。

今週やることは1つで、AIサービスとAI開発会社の契約書・利用規約を集めて、1か所に置くことです。8項目に当てるのは、集め終えてからで構いません。

公開日：2026年10月