個人情報保護法が改正、AI学習はどう変わる？中小企業の実務ポイント

改正の全体像と、成立までの経緯

今回の令和8年改正は、大きく①適正なデータ利活用の推進 ②個人の権利利益の保護強化 ③課徴金制度の導入 ④執行の実効化の4本柱で構成されます。個人情報保護委員会（PPC）の「いわゆる3年ごと見直し」の議論（2023年11月〜、2024年6月の中間整理、同12月の検討会報告書）を経て、2026年4月7日に改正法案が閣議決定・国会提出され、衆参の審議を経て2026年7月10日の参議院本会議で可決・成立しました。2025年の通常国会への提出は一度見送られており、成立は2026年です。

※公布日（2026年7月17日）・法律番号（令和8年法律第56号）は複数の法律事務所解説が一致して記載していますが、当サイトは官報原本の逐一確認までは行っていません。正確な条番号・公布内容は官報またはe-Gov法令検索でご確認ください。

AI学習を後押しする2つの緩和

① 統計作成等に係る「本人同意を不要とする特例」の新設。統計の作成などを行う第三者へ個人情報を提供・利用する場合等について、公表義務や書面での合意といった要件の下で、本人の同意を不要とする仕組みが設けられます。統計処理やAIモデル開発の場面でのデータ利活用を後押しする規制緩和と位置づけられています。

② 公開されている要配慮個人情報の取得緩和。現に公開されている要配慮個人情報（病歴・信条など）を、統計作成等にのみ利用されることが担保されるなどの条件の下で、本人同意なく取得できるようになります。報道で「病歴や信条も本人同意なく提供可能に」「AI開発促進へ個人情報取得の規制緩和」と伝えられたのは、この2点を指しています。

同時に強化された「保護」の側面

緩和だけではありません。AIの文脈で併せて押さえたい保護強化として、特定生体個人情報（顔の特徴データなど）の規制対象化（周知義務や利用停止請求要件の見直し）、16歳未満のこどもの個人情報の保護強化、そして課徴金制度の導入（違法な取扱いで財産上の利益を得た場合等。過去に違反歴があると加算されるとされる）が盛り込まれています。データを「使いやすくする」一方で、「使い方を誤ったときのペナルティ」も重くなる改正です。

生成AIを業務で使う中小企業の実務注意

改正の施行前でも、現行法とPPCの注意喚起から実務上の勘所は明確です。PPCは2023年6月2日の「生成AIサービスの利用に関する注意喚起」で、次の点を求めています（同日、OpenAI社にも直接注意喚起）。

• ◆ プロンプト入力の統制：個人情報を含むプロンプトを生成AIに入力する場合は、「特定した利用目的の達成に必要な範囲内か」を事前に確認する。範囲外なら利用目的の特定・通知公表を見直す。
• ◆ 要配慮個人情報：病歴・信条などをAIに入力・取得する場面は原則として本人同意が必要（現行）。改正後は要件下で緩和されるが、要件充足の確認が前提。
• ◆ 学習利用リスク：入力データが提供側でモデル学習に使われる設定だと、意図しない目的外利用になりうる。学習オプトアウト設定・エンタープライズ契約（学習不使用）を確認する。
• ◆ 社内規程の整備：入力禁止情報の明確化、顧客・従業員の個人情報の取扱い、利用ログなどを定めたルールを用意する。
• ◆ 改正対応の準備：課徴金導入で違反時の金銭的リスクが増す。施行までに、生体情報・16歳未満データ・課徴金対応を含めて運用を点検する。

※「社内規程の整備」「学習オプトアウトの確認」などの具体運用は、PPC注意喚起の趣旨に沿った一般的な実務指針であり、法文上の義務そのものとは区別してお考えください。

海外との違い（参考）

EUでは2024年8月に発効したEU AI ActがリスクベースでAIそのものを段階的に規制していますが、日本の令和8年改正は包括的なAI規制法ではなく、あくまで個人情報保護法の枠内でのデータ利活用緩和＋保護強化である点が構造的な違いです。EUのGDPRは個人データ処理に適法根拠を求めており、今回の「統計目的の同意不要特例」は研究・統計例外と論点が近いものの、制度の枠組みは別です。