2026年の個人情報保護法改正とAI｜中小企業が知るべき4つの柱と今日からの備え

線引きを決めているのは、実は法律です

顧客からの問い合わせメールに返信文を作らせたい。でも、そこには相手の名前と住所と電話番号がある——これをそのままAIに貼り付けてよいのか。この判断は多くの会社で「なんとなくの感覚」で行われています。しかし本来この線引きを決めているのは感覚ではなく、個人情報保護法という一本の法律です。2026年の夏、その法律が改正されました。

2026年7月、静かに大きな改正があった

「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月10日に成立し、7月17日に公布されました（令和8年法律第56号）。この法律には「3年ごと見直し」の仕組みがあり、今回はその結果。検討では生成AIの急速な普及が大きな論点になりました。

報道では「AI開発のためのデータ利用が解禁」といった見出しが目立ちました。しかし条文を並べると、緩めた部分と締めた部分が同時に入っています。

改正の4つの柱

第一に、適正なデータ利活用の推進——統計を作る目的などに限り、本人の同意なしにデータを使える場面が広がりました。第二に、リスクに応じた規律の整備——こどもの個人情報、生体データ、委託先に厳しい決まりが入りました。第三に、不適正な利用の防止。第四に、実効性の確保——課徴金制度が入りました。

一つの改正の中に「アクセル」と「ブレーキ」が同居しています。緩和だけを見て安心するのも、強化だけを見て萎縮するのも読み違いです。

「AIの学習に使ってよい」の正しい読み方

緩められたのは、「統計の作成など」にのみ使われることが担保されている場合に、本人の同意を取らなくてよくなるという規定です。統計の作成とは「20代の購入率は何％か」といった、個人が特定されない集計です。

ただし無条件ではありません。他社に渡す場合は書面による合意が必要で、この規定に基づくことを明記。公表し続ける義務も生じ、受け取った側は公表内容の統計作成しかできません。目的外に使えば課徴金の対象です。

課徴金という、新しい重し

これまでの違反には指導・勧告・命令があり、従わなければ刑事罰という段階でした。しかし「命令を出すまでに時間がかかる」「違反して得をした分がそのまま残る」という指摘が続いていました。課徴金制度はその隙間を埋めます。

対象は、違法と知りながら個人データを渡した場合、第三者提供の制限に違反した場合、受け取った情報を目的外に使った場合など。対象となる本人の数が1,000人を超えることが要件です。過去10年に納付命令を受けた事業者は1.5倍、自ら違反を報告した場合は50%の減額となります。

いつから変わるのか／規模の例外

主要な部分の施行日は「公布の日から起算して2年を超えない範囲内において政令で定める日」とされています。遅くとも2028年7月には全面適用です。罰則の一部は公布から6か月後に施行。要件は今後の政令等で具体化されるので、いまやるべきは条文の暗記ではなく、自社がどんな個人情報をどこに預けているかの把握です。

相談で最も多い誤解が「個人情報保護法は大企業向けでしょう」です。かつては個人情報が5,000人分以下なら対象外でしたが、2017年5月30日の全面施行でこの要件は撤廃されました。ただしガイドラインには「中小規模事業者」の区分があり、従業員100人以下には緩やかな手法が例示されています。対象になるかに規模の例外はなく、体制の程度には配慮があるのです。

よくある誤解と、変わらない線引き

4つ目の「同意さえ取れば安心」を補足します。個人情報は、あらかじめ特定した利用目的の範囲内でしか使えません。「商品の発送のために住所をいただきます」と伝えて集めた住所を、後からAIの分析にかけるのは目的の範囲を超えている可能性があります。何のために使うかを最初にどう書いたかが効くのです。

安心してよい点もあります。日々の実務で守るべき線引きそのものは、今回の改正で大きく動いていません。氏名・住所・購買履歴を、学習設定の確認されていないAIに貼り付けるのは、改正前も改正後も避けるべき行為です。効くのは情報を加工してから渡す習慣——顧客名を「A社」、金額を「◯◯万円」に置き換えるだけで多くの作業は進みます（入力してはいけない情報一覧）。

AIサービスは「委託先」になり得る

今回の改正では委託先の規律が強化され、委託を受けた側は必要な範囲を超えて個人データを取り扱ってはならないことが明記されました。「うちは業務委託などしていない」と思われるかもしれませんが、個人データを含む文章をクラウドのAIサービスに送って処理させる行為は、実務上、委託にあたる場合があります。名刺管理や自動文字起こしも同様です。

とくに注意したいのが入力したデータがAIの学習に使われる設定かどうかです。個人情報保護委員会は2023年6月2日の「生成AIサービスの利用に関する注意喚起」で、入力したプロンプトが機械学習に利用される可能性を理解するよう促しています。無料版や個人向けプランでは既定で学習に使われる場合があります（AIセキュリティの基本）。

業種によっては直撃する変更もあります。16歳未満のこどもの個人情報は法定代理人に読み替える規定が設けられ、利用停止の請求が原則認められる方向に。顔の特徴などの生体データも事前の周知が必要になり、オプトアウトは使えなくなる方向です。学習塾や小児科、防犯カメラをAIで分析する会社は確認を。

今日からできる5つの備え

施行までには時間があります。いま着手すべきは法律の勉強ではなく、棚卸しです。①使っているAIサービスを一覧にし、個人情報が通るかを書き添える。②各サービスの学習利用の設定を確認して記録する。③入れてよい情報・いけない情報の線引きを社内に共有する。④利用目的の記載を読み返す。⑤16歳未満の情報や顔画像を扱う業務があるかを確認する。この一覧があれば、取引先に「どのAIに個人情報を送っているか」を即答できます（契約書チェック）。

ひとりで抱えると進みません。次のプロンプトでたたき台が数分で出ます。なお本稿は一般的な解説で、細かい要件は今後の政令・委員会規則・ガイドラインで定まります。重要な判断の前には個人情報保護委員会の公表資料をご確認ください。

よくある質問（Q&A）

まとめ

法改正のニュースは「厳しくなる」か「緩くなる」で語られます。しかし実際の条文は、データを活かしたい要請と個人を守りたい要請の両方を詰め込んでいます。幸い、中小企業がやるべきことは地味で、費用もかかりません。使っているものを書き出し、設定を確認し、伏せてから渡す。この3つで、法律が動いても現場は揺れない。

筆者コメント