2026年の個人情報保護法改正とAI｜中小企業が知るべき4つの柱と今日からの備え

その線引きを決めているのは、実は法律です

会社でAIを使い始めると、必ずどこかでこの場面にぶつかります。顧客からの問い合わせメールに返信文を作らせたい。でも、そのメールには相手の名前と住所と電話番号が書いてある。これをそのままAIに貼り付けてよいのだろうか——。

多くの会社では、この判断が「なんとなくの感覚」で行われています。危なそうだからやめておく、あるいは、みんなやっているから大丈夫だろう。しかし本来この線引きを決めているのは感覚ではなく、個人情報保護法という一本の法律です。そして2026年の夏、その法律が改正されました。

難しい話に聞こえるかもしれませんが、押さえるべき点はそれほど多くありません。この記事を読み終えるころには、「何が緩んで、何が締まったのか」「自社は何をすればよいのか」が言葉にできるようになっているはずです。

2026年7月、静かに大きな改正があった

「個人情報の保護に関する法律等の一部を改正する法律」は、2026年7月10日に国会で成立し、7月17日に公布されました。法律番号は令和8年法律第56号です。個人情報保護委員会（政府の担当機関）の公式サイトでも、同じ日付で公布の告知が出ています。

この法律には「3年ごと見直し」という仕組みがあり、社会や技術の変化に合わせて定期的に中身を点検することになっています。今回の改正は、その見直しの結果です。検討の過程では、生成AIの急速な普及と、それに伴うデータの使われ方の変化が大きな論点になりました。

報道では「AI開発のためのデータ利用が解禁」といった見出しが目立ちました。しかし条文の中身を並べてみると、緩めた部分と締めた部分が同時に入っています。まずは全体像から見ていきましょう。

改正の4つの柱

今回の改正は、大きく4つの方向に整理されています。

第一に、適正なデータ利活用の推進。統計を作る目的などに限って、本人の同意を取らなくてもデータを使える場面が広がりました。ここが「AI学習の緩和」と報じられた部分です。

第二に、リスクに応じた規律の整備。こどもの個人情報、顔の特徴などの生体データ、そして委託先の取り扱いについて、従来より厳しい決まりが加わりました。

第三に、不適正な利用の防止。住所やメールアドレス、Cookie（クッキー）のIDなど、特定の個人に連絡できてしまう情報について、違法・不当な行為を助長するような使い方や、不正な手段での入手が禁じられます。

第四に、決まりを守らせる実効性の確保。ここに課徴金制度という新しい仕組みが入りました。後で詳しく見ます。

つまり、一つの改正の中に「アクセル」と「ブレーキ」が同居しています。緩和だけを見て安心するのも、規制強化だけを見て萎縮するのも、どちらも読み違いです。

「AIの学習に使ってよい」の正しい読み方

ここがいちばん誤解されている箇所なので、丁寧に確認します。

今回緩められたのは、「統計の作成など」にのみ使われることが担保されている場合に、本人の同意を取らなくてよくなる、という規定です。統計の作成とは、たとえば「20代の購入率は何パーセントか」といった、個人が特定されない集計を作る作業を指します。AIモデルの開発・学習も、この枠組みの中で議論されてきました。

ただし、無条件ではありません。他社にデータを渡す場合は、渡す先との間で書面による合意が必要で、この規定に基づくものであることを明記しなければならないとされています。さらに、事業者名や統計作成の内容などを公表し続ける義務も生じます。そして受け取った側は、公表した内容の統計作成しか行えません。目的外に使えば、後述する課徴金の対象になります。

あわせて、本人の同意を取る例外についても、条件が「同意を得ることが困難であるとき」から「相当の理由があるとき」へと整理されました。医療機関が学術研究機関等に含まれることも明示されています。研究や公衆衛生の現場では意味の大きい変更ですが、一般の会社の日常業務が直接軽くなるわけではないと理解しておくのが安全です。

課徴金という、新しい重し

これまで個人情報保護法の違反には、委員会からの指導・勧告・命令があり、命令に従わなければ刑事罰、という段階が用意されていました。しかし「命令を出すまでに時間がかかる」「違反して得をした分がそのまま残る」という指摘が続いていました。

今回新設された課徴金制度は、その隙間を埋めるものです。悪質な違反をした事業者に対して、その行為で得た金銭的な利益に相当する額の納付を命じるという仕組みです。

対象となるのは、たとえば相手が違法に使うと分かっていながら個人データを渡した場合、第三者提供の制限に違反した場合、統計作成のために受け取った情報を目的外に使った場合、不正に取得された情報と知りながら利用した場合などです。そして、対象となる本人の数が1,000人を超えることが要件とされています。

額の計算は、その行為の対価として得た財産上の利益に相当する額を政令で定める方法で算定する、という考え方です。過去10年以内に納付命令を受けたことがある事業者は1.5倍に加算され、逆に自ら違反を報告した場合は50%の減額が用意されています。いわゆる自主申告による減免です。

いつから変わるのか

公布されたからといって、翌日から新しいルールが動き出すわけではありません。

主要な部分の施行日は「公布の日から起算して2年を超えない範囲内において政令で定める日」とされています。つまり遅くとも2028年7月までには全面的に効力を持つということです。罰則に関する一部の規定は、公布から6か月を経過した日に施行されるとされています。

この「2年」という期間は、事業者が準備するための猶予です。今後、細かい要件は政令や委員会規則、そして実務向けのガイドラインで具体化されていきます。いま報じられている内容は骨格であって、細部はこれから固まると考えてください。

だからこそ、今やるべきことは条文の暗記ではありません。自社がどんな個人情報を、どこに、どういう目的で預けているかを把握しておくことです。それさえできていれば、ガイドラインが出たときに差分を確認するだけで済みます。

「うちは小さいから関係ない」は通りません

相談を受けていて最も多い誤解がこれです。「個人情報保護法は大企業向けの法律でしょう」というものですが、これはすでに10年近く前に変わっています。

かつては、取り扱う個人情報が5,000人分以下の事業者は法の対象外でした。しかし2017年5月30日の全面施行でこの「5,000人要件」は撤廃され、個人情報を事業に使うすべての事業者が対象になりました。従業員数人の会社も、個人事業主も、NPOも例外ではありません。

ただし、まったく同じ対応が求められるわけでもありません。個人情報保護委員会のガイドライン（通則編）には「中小規模事業者」という区分があり、従業員100人以下の事業者などについては、安全管理措置の緩やかな手法の例示が示されています。大企業と同じ体制を組む必要はない、という配慮です。

整理すると、「法律の対象になるかどうか」に規模の例外はなく、「どこまでの体制を求められるか」には規模に応じた配慮がある——これが正確な理解です。社内ルールの作り方はAI利用ガイドラインの記事にまとめています。

よくある4つの誤解

ここまでの内容を、誤解と実際の対比で確認しておきましょう。

4つ目の「同意さえ取れば安心」について補足します。個人情報は、あらかじめ特定した利用目的の範囲内でしか使えません。「商品の発送のために住所をいただきます」と伝えて集めた住所を、後からAIの分析にかけるのは、目的の範囲を超えている可能性があります。同意は万能の免罪符ではなく、何のために使うかを最初にどう書いたかが効いてくるのです。

AIサービスは「委託先」になり得る

ここからは、AIを業務で使う会社に直接効いてくる話です。今回の改正では、委託先の規律が強化されました。委託を受けた側は、委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないことが明記され、契約に取り扱い方法や事故時の報告義務などを定めることが求められる形になります。

「うちは業務委託なんてしていない」と思われるかもしれません。しかし、個人データを含む文章をクラウドのAIサービスに送って処理させる行為は、実務上、委託にあたる場合があります。名刺管理サービス、問い合わせ管理ツール、議事録の自動文字起こしサービス——いずれも個人情報が通る道です。

とくに注意したいのが、入力したデータがAIの学習に使われる設定かどうかです。個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起」を公表し、入力したプロンプトが機械学習に利用される可能性を十分に理解するよう促しています。法人向けプランでは学習利用をオフにできることが一般的ですが、無料版や個人向けプランでは既定で学習に使われる場合があります。

この観点は、社員が会社の許可なくAIを使う「シャドーAI」の問題と直結します。詳しくはAIセキュリティの基本記事を参照してください。

入れてよい情報・いけない情報の線引きは変わらない

安心してよい点もあります。日々の実務で守るべき線引きそのものは、今回の改正で大きく動いていません。氏名・住所・電話番号・メールアドレス・顧客の購買履歴といった個人を識別できる情報を、学習設定の確認されていないAIに貼り付けるのは、改正前も改正後も避けるべき行為です。

実務でよく効くのは、法律を覚えることではなく、情報を加工してから渡す習慣です。顧客名を「A社」、担当者名を「担当者様」、金額を「◯◯万円」に置き換えるだけで、多くの作業はそのまま進みます。AIが必要としているのは文脈であって、実名ではありません。

具体的な置き換えの型と、入力してはいけない情報の一覧は入力禁止情報の記事にまとめました。今回の改正を機に、社内で一度読み合わせておくとよい内容です。

こどもの情報と顔写真は、扱いが重くなる

もう一つ、業種によっては直撃する変更があります。

まず16歳未満のこどもの個人情報について、本人が関わる場面では法定代理人に読み替える規定が設けられ、利用停止の請求が原則として認められる方向になります。事業者には、未成年者の最善の利益を優先して考慮する努力義務も課されます。学習塾、スポーツ教室、小児科、こども向け商品の販売——該当する事業者は少なくありません。

次に顔の特徴などの生体データです。特別な技術や多額の費用をかけずに取得でき、本人が容易に認識できない形で集められる情報について、新たな枠組みが設けられます。事前の周知が必要になり、いわゆるオプトアウト（本人が拒否するまで使ってよいという方式）は使えなくなる方向です。防犯カメラの映像をAIで分析するような取り組みを検討している会社は、この点を必ず確認してください。

AIの画像認識は、いまや数万円のサービスで導入できます。技術的に簡単になったからといって、法的に自由になったわけではない——ここが逆転しやすい落とし穴です。

中小企業の実務は、結局どう変わるのか

ここまでを踏まえて、現場に起きる変化を4点に整理します。

第一に、「何のために集めたか」を書いておく重要性が上がります。利用目的の書き方が、後からAIに使えるかどうかを左右します。プライバシーポリシーや申込書の文言を、一度は読み返す価値があります。

第二に、取引先から問われる場面が増えます。大手企業や官公庁との取引では、委託先の管理体制が確認されます。「どのAIサービスを使い、そこに個人情報を送っているか」を即答できることが、そのまま信用になります。

第三に、契約書の確認項目が増えます。AIツールの利用規約に、入力データの取り扱いと学習利用の有無がどう書かれているかを見る習慣が必要です。契約書をAIで下読みする方法は契約書チェックの記事で扱っています。

第四に、担当者を決めておく価値が上がります。専門家である必要はありません。ガイドラインが出たときに読み、社内に伝える人がひとりいれば十分です。誰の仕事でもない状態が、いちばん危ういのです。

今日からできる5つの備え

施行までには時間があります。いま着手すべきことは、法律の勉強ではなく、足元の棚卸しです。

• 社内で使っているAIサービスを一覧にし、それぞれ個人情報が通るかどうかを書き添えてある
• 各サービスについて、入力データが学習に使われる設定かどうかを確認し、記録してある
• AIに入力してよい情報・いけない情報の線引きが、紙またはデータで社内に共有されている
• 個人情報の利用目的の記載（申込書・プライバシーポリシー）を直近1年以内に読み返している
• 16歳未満の情報や顔画像を扱う業務があるかどうかを、部署ごとに確認してある

この棚卸しは、ひとりで抱えるとなかなか進みません。次のプロンプトをAIに投げれば、たたき台が数分で出てきます。[　]の中に自社の情報を入れてお使いください。

よくある質問（Q&A）

まとめ

法改正のニュースは、たいてい「厳しくなる」か「緩くなる」のどちらかで語られます。しかし実際の条文は、そんなに単純ではありません。データを活かしたい社会の要請と、個人を守りたい要請の両方を、同じ法律の中に詰め込んでいるからです。その両方を同時に見られるかどうかが、これからの情報の扱い方を分けます。幸い、中小企業がやるべきことは地味で、費用もかかりません。使っているものを書き出し、設定を確認し、伏せてから渡す。この3つだけで、法律が動いても現場は揺れません。

筆者コメント