こんにちは、株式会社TIMEWELLの濱本です。個人情報保護法という法律は、三年ごとに見直しがかかる設計になっています。地味な話に聞こえるかもしれませんが、今回の見直しはこれまでと少し毛色が違います。AIに学習させるデータをどう扱うか、違反した企業からどう利益を吐き出させるか、子どものデータを誰の同意で扱うか。こうした、いま多くの企業が実務で迷っている論点が、正面から法律の条文に入ってきました。
社内で生成AIを使い始めた企業ほど、この改正は他人事ではありません。プロンプトに顧客情報を貼り付けていいのか、社内の文書を学習させて大丈夫なのか。現場のそんな不安に、法律の側が輪郭を与えようとしています。本稿では、個人情報保護委員会（PPC）が公表した一次情報をたどりながら、2026年の改正で何が変わったのかを順に整理します。エンタープライズAIのZEROCKを提供している立場から、社内AIを預かるデータガバナンス担当者が明日から手を動かすための材料としてまとめました。
3年ごと見直しの背景と経緯
個人情報保護法には、施行後の状況を踏まえて三年ごとに制度を点検する「いわゆる3年ごと見直し」という仕組みがあります。技術も社会も三年でずいぶん変わりますから、法律を固定せず定期的にアップデートしていく発想です。今回の見直しでは、個人情報保護委員会（PPC）が令和8年（2026年）1月9日に「制度改正方針」を公表しました[^1]。これが、一連の改正の出発点になった文書です。
この方針が生煮えのまま出てきたわけではありません。検討の過程では有識者ヒアリングが重ねられ、令和6年5月10日には「課徴金制度導入にかかる諸論点」が、同年4月3日には「AIと個人情報保護」が取り上げられています[^2]。つまり、課徴金という制裁の強化と、AI時代のデータ利活用という二つのテーマが、早い段階から改正の両輪として意識されていたということです。世間ではしばしば「規制を強める話」と「使いやすくする話」が対立軸で語られますが、今回の見直しはその両方を同時に進めようとしている点に特徴があります。
方針の公表からの動きは速く、政府は令和8年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定し、第221回国会に提出しました[^3]。この閣議決定を伝えるPPCの公式発表には、法律案要綱や新旧対照条文、概要資料などが添付され、法案の趣旨として個人情報の有用性への配慮と一層の保護の両立が明記されています[^4]。守ることと使わせることを天秤にかけるのではなく、両立させる。その建て付けが、ここでもはっきり示されています。
法律案はその後、国会審議を通過します。衆議院を令和8年5月26日に、参議院を令和8年6月12日に通過し、第221回国会で成立しました[^5]。ここは一次情報で押さえておきたいところで、審議の経過は衆議院の議案情報で確認できます。なお第221回国会の会期そのものの日付までは私が確認した一次情報では特定しきれなかったため、本稿では会期の具体日は断定せず、両院を通過して成立した事実だけを事実として扱います。施行時期については後段であらためて触れます。
改正の柱（4つの方針）
制度改正方針は、大きく四つの柱で構成されています[^6]。順に挙げると、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等の防止、そして規律遵守の実効性確保のための規律です。抽象的な言葉が並んでいますが、噛み砕くとこういうことだと私は理解しています。使いやすくするところは使いやすくし、危ないところはきちんと縛り、悪用は防ぎ、守らせる力を強める。攻めと守りを四つの引き出しに整理した、と考えると腑に落ちます。
一つ目の「適正なデータ利活用の推進」が、後で詳しく触れるAI学習データや統計作成目的の緩和にあたります。データを囲い込むだけでは日本の産業がAI競争で不利になる、という危機感がここには表れています。二つ目の「リスクに適切に対応した規律」は、生体情報のように一度漏れると取り返しがつかないデータへの手当てや、子どもという特に配慮が必要な相手への規律を含みます。守りを一律に強めるのではなく、リスクの大きさに応じて濃淡をつける発想です。
三つ目の「不適正利用等の防止」と四つ目の「規律遵守の実効性確保」は、いわば取り締まりの側の話です。これまでの個人情報保護法は、違反しても行政指導や勧告、悪くて命令止まりで、企業にとって痛みが小さいという指摘が根強くありました。ルールがあっても破ったほうが得なら、真面目に守る企業が馬鹿を見る。この不公平を埋めるために持ち出されたのが、次章以降で触れる課徴金制度です。四つの柱は独立した話ではなく、利活用を広げるからこそ、悪用への歯止めも同時に締める、という一つのパッケージとして読むのが自然だと思います。
この四本柱の並べ方そのものに、私は今回の改正のメッセージを感じます。守りを固めることと使わせることは、しばしば対立するように語られますが、方針はそれを対立ではなく順番の問題として扱っている。安心して使える土台があるからこそ利活用が進む、という順序です。社内でAI活用のルールを整える立場から見ても、この順序は正しい。ガードレールのない高速道路は誰も安心して飛ばせません。
AI開発・統計作成目的でのデータ利活用の緩和
今回の改正でもっとも実務に効くのが、統計作成目的でのデータ利活用の緩和です。改正法は、統計等の作成を行う第三者に個人情報を提供する場合等について、本人の同意を不要とする措置を講じます[^7]。これまで、集めた個人データを別の会社に渡して分析させようとすると、原則として本人一人ひとりの同意が要りました。この同意取得のハードルが、統計作成という目的に限って下がる、というのが変更の核心です。
なぜこれがAIの話になるのか。統計を作るという行為は、機械学習でモデルを訓練する営みと地続きだからです。大量のデータから傾向やパターンを取り出し、個々人を特定するためではなく全体の性質を掴むために使う。この構図はAI開発とほぼ同じです。実際、緩和の範囲は同意なき第三者提供にとどまりません。統計情報等の作成にのみ利用されることが担保される場合には、公開されている要配慮個人情報の取得も可能になる規律緩和が盛り込まれています[^8]。要配慮個人情報は病歴や信条など特に慎重に扱うべき情報で、原則は取得時に本人同意が必要でした。そこにも、統計目的かつ公開情報という二重の条件付きで道が開かれます。
ここは歓迎すべき変化だと私は考えていますが、手放しでは喜べません。鍵になるのは「統計等の作成にのみ利用されることが担保される場合」という条件です。担保、つまり本当に統計目的以外に使われない仕組みが要る。データを受け取った側が、こっそり個人の特定に使ったり別目的に転用したりしない、という歯止めが技術と運用の両面で必要になります。緩和されたから何でも学習させていい、という読み方は危うい。むしろ、緩和と引き換えに「目的外に使わない」ことを自ら証明できる体制が問われる、と受け止めるべきでしょう。
社内でAIを運用する企業にとって、これは日々のプロンプト運用の話に直結します。従業員が業務でAIに顧客情報を入力する場面で、それが統計目的の担保された処理なのか、単なる個人データの目的外利用なのかは、現場では区別がつきにくい。だからこそ、どのデータをどのAIに、どの目的で入れてよいかを平時から仕分けておく必要があります。AIとプライバシー保護の関係をどう社内ガイドラインに落とすかは、Claude Codeと日本の個人情報保護法・AIガイドラインの記事でも具体的に整理しました。緩和は追い風ですが、追い風に乗るには帆の張り方を知っておく必要があります。
課徴金制度・こどもの個人情報・連絡可能個人関連情報
守りの側の目玉は、なんといっても課徴金制度の新設です。改正法は、個人情報の違法な取扱い等により財産上の利益を得た場合に、個人情報保護委員会が課徴金の納付を命じる制度を導入します[^9]。これまで金銭的な制裁がほぼ存在しなかった日本の個人情報保護法にとって、これは質的な転換です。違反して儲けたぶんは吐き出させる、という発想が初めて条文に入りました。
金額の考え方も具体的です。課徴金額は、対象行為またはそれをやめることの対価として事業者が得た金銭等の財産上の利益に相当する額とされ、過去に課徴金納付命令を受けた者には1.5倍の額が課されます[^10]。ここで一点、注意しておきたいことがあります。海外の制度、たとえば欧州のGDPRのように「年間売上高の何パーセント」といった売上連動の算定率や上限額を思い浮かべる方が多いのですが、日本の改正法がそうした売上連動の算定方式を採ったかどうかは、私が確認した一次情報の範囲では特定できませんでした。確実に言えるのは「得た財産上の利益に相当する額」という骨格までです。GDPRとの安易な同一視は避けたほうがよいと考えています。
課徴金は、うっかりミスをすべて叩くための制度ではありません。対象は、相当の注意を怠った者であること、本人数が1,000人を超える大規模事案であること、個人の権利利益を害する程度が大きいことといった要件を満たす、悪質な違反行為に限定されます[^11]。裏を返せば、ある程度以上の規模のデータを扱い、注意義務を怠れば、課徴金の射程に入りうるということです。大量の顧客データを社内AIに流し込んでいる企業ほど、この「1,000人超」という数字は他人事ではないはずです。
子どものデータへの手当ても入りました。こどもの個人情報について、16歳未満の者が本人である場合は、同意取得や通知等を法定代理人（親権者等）を対象として行うことが明文化され、あわせて事業者に本人の最善の利益を優先する責務が新設されます[^12]。これまで曖昧だった「子どもの同意は誰から取るのか」に、16歳未満という線引きで答えが与えられた形です。教育や子ども向けサービスでAIを使う企業には、実務上の影響が小さくありません。
生体情報の扱いも一段厳しくなります。改正法は、身体の一部の特徴に係る情報が含まれる個人情報について、違法な取扱い等がなくても本人による利用停止等の請求を可能とします[^13]。顔や指紋のような生体情報は、パスワードと違って変更がききません。一度流出したら本人はその身体を持ち替えられない。だから、違法かどうかを問わず本人の意思で止められる余地を広げた、という理屈だと理解しています。
ただ、今回の改正には実務家からの懸念もあります。改正案は「連絡可能個人関連情報」「統計作成等用要配慮個人情報」「特定生体個人情報」など複数の新類型を一度に導入するため、実務上分かりづらく混乱を招く恐れがある、との指摘が出ています[^14]。とりわけ「連絡可能個人関連情報」は範囲が広い。電話番号や住所そのものに加え、他の容易に照合できる情報と突合することで住所や電話番号を特定できる情報、たとえば購買履歴や閲覧履歴なども含み得るとされます[^15]。自社が持っているデータのどれがこの新類型に当たるのか、線引きに頭を悩ませる企業は多いでしょう。緩和と規制強化が同時に走り、しかも新しい概念が次々に増える。使いこなすには相応の準備が要ります。
企業と社内AIの実務対応（ZEROCK）
では、企業は何から手をつければいいのか。まず押さえておきたいのは時間軸です。改正法は原則として公布の日から起算して2年を超えない範囲内で政令で定める日から施行されるとされ、順調に進めば2028年頃の施行が見込まれます[^16]。正式な公布日や施行日の確定日は現時点では確認できていないため断定はしませんが、猶予はおよそ二年前後。長いようで、社内のデータ運用を作り替えるには決して長くありません。
やるべきことの中心は、結局のところデータの棚卸しです。自社がどんな個人データを、どこから集め、どの目的で、どのAIに投入しているか。この地図がない状態で課徴金や新類型の話をしても足がすくむだけです。逆に地図さえあれば、1,000人超の大規模データがどこにあるか、統計目的の担保がかかっているのはどの処理か、連絡可能個人関連情報に当たりそうなデータはどれか、といった問いに一つずつ答えていけます。緩和を活かすのも、規制を避けるのも、出発点はこの可視化です。
社内で生成AIを本格運用している企業ほど、この棚卸しは切実になります。従業員が思い思いにプロンプトへ顧客情報を貼り付ける状態を放置したまま施行日を迎えれば、大規模事案の要件に足を踏み入れかねません。ここで弊社のエンタープライズAIZEROCKが支えているのが、まさにこの部分です。ZEROCKはAWSの国内サーバー上でデータを閉じたまま扱い、どのナレッジをAIに参照させるかをコントロールできる設計になっています。誰がどの情報にアクセスし、どのデータを学習や参照の対象にするかを管理する。今回の改正が企業に求める「目的外に使わないことの担保」と、発想が地続きです。日本語ガイドラインに沿ったAIガバナンスの組み立て方は、日本のガイドライン準拠のエンタープライズAIガバナンスの記事でも掘り下げています。
もう一つ大切なのは、法務や情報システムの部門任せにしないことだと私は感じています。課徴金の要件も、こどもの同意も、新類型の線引きも、最終的には現場で日々データを触る人の判断に落ちてきます。ルールを紙で配って終わりにせず、AIツールの側に「入れてよいデータ」と「入れてはいけないデータ」の仕切りを組み込んでおくほうが、現場は迷いません。制度が動き出してから慌てるより、二年の猶予のあいだに自社のデータの地図を描き、社内AIにガードレールを設けておく。個人情報保護法の三年ごと見直しは、この先も続きます。今回の改正は終着点ではなく、データを守りながら使いこなす体制づくりの、一つの通過点です。
自社のデータ運用や社内AIを、この改正に耐えられる形に整えたい方は、個別相談からお声がけください。条文の解釈だけでなく、どのデータをどのAIに預けるかという運用の設計まで含めて、一緒に整理できればと思います。
参考
[^1]: 個人情報保護法 いわゆる３年ごと見直しについて（制度改正方針の公表）— 個人情報保護委員会 — 2026年1月9日 [^2]: 個人情報保護法 いわゆる３年ごと見直しについて（有識者ヒアリング資料：課徴金制度・AIと個人情報保護）— 個人情報保護委員会 — 2024年5月10日 [^3]: 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について — 個人情報保護委員会 — 2026年4月7日 [^4]: 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（法律案要綱・新旧対照条文・概要資料）— 個人情報保護委員会 — 2026年4月7日 [^5]: 閣法 第221回国会 54 個人情報の保護に関する法律等の一部を改正する法律案（審議経過）— 衆議院 — 2026年6月12日 [^6]: 「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」（令和8年1月9日）の解説 — TMI総合法律事務所 — 2026年1月9日 [^7]: 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（統計作成目的の第三者提供と同意不要措置）— 個人情報保護委員会 — 2026年4月7日 [^8]: 【速報】個人情報保護法・2026年改正方針案を読む〜課徴金導入とAI利活用、企業は何を準備すべきか〜 — オプティマ・ソリューションズ株式会社 — 2026年1月13日 [^9]: 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（課徴金制度の新設）— 個人情報保護委員会 — 2026年4月7日 [^10]: 【2026年最新】個人情報保護法改正案が閣議決定され、今の通常国会で成立へ（課徴金額の考え方・1.5倍加重）— オプティマ・ソリューションズ株式会社 — 2026年4月10日 [^11]: 「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」の解説（課徴金の対象要件・本人数1,000人超）— TMI総合法律事務所 — 2026年1月9日 [^12]: 「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」の解説（16歳未満のこどもの個人情報と法定代理人）— TMI総合法律事務所 — 2026年1月9日 [^13]: 「個人情報の保護に関する法律等の一部を改正する法律案」の閣議決定について（生体情報を含む個人情報の利用停止等請求）— 個人情報保護委員会 — 2026年4月7日 [^14]: 個人情報保護法改正案、「連絡可能個人関連情報」など類型追加で増す複雑さ — 日経クロステック（xTECH）— 2026年4月15日 [^15]: 個人情報保護法改正案、「連絡可能個人関連情報」など類型追加で増す複雑さ（連絡可能個人関連情報の範囲）— 日経クロステック（xTECH）— 2026年4月15日 [^16]: 2026年1月現在 個人情報保護法の改正の方針（公布から2年以内の施行・2028年頃見込み）— オプティマ・ソリューションズ株式会社 — 2026年4月10日