AI Lab OISHI個人情報保護法改正でAI開発が変わる｜「同意不要」の衝撃と企業が今すぐ確認すべき5つのポイント【2026年】
「同意なしでAI開発にデータを使ってOK」。2026年4月7日、政府が閣議決定した個人情報保護法の改正案を知ったとき、正直に言って驚きました。松本尚デジタル相が記者会見で「データの利活用が滞ることは、わが国の開発に非常に大きな障害が生じる」と語り、規制緩和の必要性を強調したインパクトは、AI活用に関わるすべての人にとって無視できないものです。
ただし、これは「何でもやり放題」という話ではありません。改正案の中身を読み込むと、アクセルを踏みながら同時にブレーキも強化するという、非常に巧みな設計が見えてきます。AI開発のためにデータ利用を緩和する一方で、違反した場合の罰則は大幅に厳しくなります。
この記事では、以下の疑問にすべて答えます。
- 具体的に何が変わるのか — 改正の6本柱をわかりやすく整理
- 企業は何ができるようになるのか — ユースケース別に解説
- 世界と比べてどうなのか — GDPR・EU AI Actとの比較
- 今すぐ何をすべきか — 施行前に準備すべき5つのポイント
何が起きたのか――2026年4月、歴史的な閣議決定
2026年4月7日、政府は個人情報保護法の改正案を閣議決定しました。今国会に提出され、2026年5〜6月に成立する見込みです。この改正は、2003年の法制定以来、もっともAI開発に大きな影響を与える内容だと言われています。
松本尚デジタル相は記者会見で、「データの利活用が滞ることは、わが国のAI開発に非常に大きな障害が生じる」と述べ、規制緩和の必要性を強調しました。さらに報道によれば、個人データの利活用推進と保護強化のバランスを重視する姿勢を示しています。大臣がここまで踏み込んだ発言をすること自体が、この改正の本気度を表しています。
個人情報保護法には「3年ごとの見直し」という規定があります。前回の改正は2020年。その後、ChatGPTの登場（2022年）をはじめとする生成AIの爆発的な普及を受けて、今回の改正が議論されてきました。つまり、この改正は突然の方向転換ではなく、法律に組み込まれた定期的な見直しの結果なのです。
改正の全体像をたとえるなら、高速道路の速度制限を引き上げつつ、飲酒運転の罰則を大幅に厳罰化するようなものです。「もっと速く走れるようにします。ただし、危険な運転をしたら今まで以上に厳しく取り締まります」という設計思想がはっきり見えます。
なぜ今、改正が必要だったのか
個人情報保護法の歴史を振り返ると、テクノロジーの進化に合わせて法律が追いかけてきた経緯がよくわかります。
2003年の制定当初、この法律が想定していたのは紙の名簿やExcelファイルでの顧客管理でした。2015年の改正でビッグデータ時代に対応し、「匿名加工情報」という概念が導入されました。2020年の改正では、個人の権利強化やクッキー規制が盛り込まれ、世界のプライバシー保護の潮流に合わせる形になりました。
しかし、2020年の改正を議論していた時点では、まだChatGPTは存在していませんでした。生成AIが膨大な個人データを学習に使うという状況は、2020年の改正時には誰も想定していなかったのです。
その結果、何が起きたか。日本企業がAI開発にデータを使おうとすると、「本人の同意」というハードルが立ちはだかる状況が続いていました。たとえば、自社の顧客データを使ってAIモデルを訓練したいと思っても、何万人もの顧客一人ひとりに同意を取る必要がある。これは事実上、不可能に近い作業です。
海外に目を向けると、EUはGDPR（EU一般データ保護規則）で厳格な規制を敷きつつも「正当な利益」条項で一定のデータ利用を認めています。米国はそもそも包括的な連邦プライバシー法が存在しません。そんな中、日本のAI企業だけが手足を縛られた状態で国際競争に参加していた — 今回の改正は、そうした危機感から生まれました。
個人情報保護委員会が2024年から公開してきた検討資料を読むと、「AI開発における個人情報の利活用」が議論の最重要テーマだったことがわかります。
改正の6本柱をわかりやすく解説
改正案の中身は多岐にわたりますが、大きく分けると「緩和」3本と「強化」3本の計6本柱で構成されています。データ活用のアクセルと安全のブレーキ、この両方を同時に踏む設計です。
緩和の3本柱 — データ活用を加速させる
（1）AI開発・統計目的のデータ利用で同意不要
今回の改正で最もインパクトが大きいのがこの項目です。これまでは、個人データをAIの学習に使う場合、原則として本人の同意が必要でした。改正後は、統計作成やAIモデルの学習を目的とする場合、本人の同意なしにデータを利用できるようになります。
ただし、これは「個人を識別する形でのデータ利用」を認めるものではありません。たとえるなら、図書館の蔵書を閲覧・研究に使うのは自由だけど、本を持ち出して転売するのは許されない、というイメージです。AIモデルの学習（研究・閲覧に相当）はOK、でも個人を特定しての利用（持ち出し・転売に相当）はNGです。
（2）要配慮個人情報の取得緩和
「要配慮個人情報」とは、病歴・犯罪歴・障害の有無・人種・信条など、特に慎重な扱いが必要な個人データのことです。現行法では、これらの取得には必ず本人の同意が必要でした。
改正後は、以下の場合に限り同意なしでの取得が認められます。
- 公開情報の場合 — 本人が自らSNS等で公開している情報
- 統計目的の場合 — 個人を特定しない統計処理に使う場合
これにより、たとえば公開された医療論文のデータを使って診断AIを開発する、といったことが法的にクリアになります。
（3）漏洩報告義務・委託先義務の合理化
現行法では、データ漏洩が発生した場合、その規模に関係なく個人情報保護委員会への報告が求められるケースがありました。改正後は、報告義務の範囲が合理化され、リスクの大きさに応じた対応が求められるようになります。また、業務委託先の監督義務も、実態に合わせて整理されます。
これは企業にとって、コンプライアンスの負担軽減になります。ただし「報告しなくていい」のではなく、「重大なインシデントに集中してしっかり報告する」方向への転換です。
強化の3本柱 — ルール違反には厳罰
（4）課徴金制度の新設
今回の改正で注目すべき「ブレーキ」が、課徴金制度の新設です。日本経済新聞の報道によると、1,000人を超える個人データの不正利用に対して、違反行為による利益相当額の課徴金が科されます。
これは、これまでの「命令違反→刑事罰」という流れとは別に、行政が直接金銭的なペナルティを科す仕組みです。独占禁止法の課徴金に似た設計で、「違反で得た利益は全部取り上げる」という強いメッセージが込められています。
（5）16歳未満の子どもデータ保護強化
子どものデータについては、むしろ規制が強化されます。16歳未満の子どもの個人データを取り扱う場合、保護者の同意取得や特別な安全管理措置が求められるようになります。
これは世界的なトレンドと一致しています。EUのGDPRでも子どもデータには特別な保護が設けられており、米国でもCOPPA（児童オンラインプライバシー保護法）が存在します。AI時代において、判断力が十分でない子どもたちのデータをどう守るかは、どの国でも重要な論点です。
（6）顔特徴データの第三者提供禁止
顔認識に使われる「顔特徴データ」は、本人の同意なく第三者に提供することが明確に禁止されます。街中の監視カメラで撮影した顔データを、本人に無断で別の企業に売り渡す — そうした行為が法律で明確にNGになります。
これは、AI技術の中でも特に懸念が大きい顔認識技術に対する、ピンポイントの規制強化です。
このように、改正は単なる規制緩和ではありません。使える範囲を広げる代わりに、悪用への罰則を厳しくするという、バランスの取れた設計になっています。企業のAIセキュリティ対策について詳しく知りたい方は、「生成AIセキュリティ比較｜法人プランの安全性を徹底検証」もあわせてご覧ください。
企業は具体的に何ができるようになるのか
改正の内容はわかった。では、実際のビジネスにどう影響するのか。具体的なユースケースで見ていきましょう。
できるようになること
自社顧客データでAIモデルを訓練する — たとえば、ECサイトの購入履歴データを使って「おすすめ商品」のAIを改善する。これまでは顧客全員の同意が必要でしたが、統計目的であれば同意なしで学習データとして利用できるようになります。ただし、「Aさんはこの商品を買った」という個人を特定する形ではなく、「30代女性の購買傾向」のようなパターン抽出としての利用が前提です。
公開データを使った分析AI — SNSの公開投稿やレビューサイトの口コミなど、すでに公開されているデータを使ったAI開発がよりスムーズになります。要配慮個人情報（病歴や信条に関する投稿）であっても、本人が自ら公開している情報であれば取得が認められます。
医療・ヘルスケアAI開発の可能性 — 匿名化された医療データを使った診断AIの開発が、法的により明確な根拠のもとで進められるようになります。これは、日本の医療AI分野にとって大きな追い風です。
依然としてできないこと
一方で、以下のような利用は改正後も認められません。
- 個人を特定する形でのプロファイリング — 「Aさんの行動を予測して広告を出す」目的でのデータ利用は、引き続き同意が必要
- データの第三者提供 — 自社で集めたデータを他社に渡す場合は、原則として本人の同意が必要
- 顔特徴データの無断提供 — 上述のとおり明確に禁止
- 16歳未満のデータの安易な利用 — むしろ規制が強化される方向
この線引きを正しく理解することが非常に重要です。「同意不要になった」という見出しだけを読んで、何でもできると勘違いしてしまうと、課徴金の対象になりかねません。AIエージェントの企業導入について検討されている方は、「AIエージェント導入の現在地｜企業の成功法則と2028年までのロードマップ」もご参照ください。
世界のAI規制と比べてどうなのか
日本の改正が世界のAI規制の中でどういう位置づけなのか。主要3地域を比較してみましょう。
| 比較項目 | 日本（2026年改正案） | EU（GDPR＋AI Act） | 米国（連邦レベル） |
|---|---|---|---|
| AI学習データ利用 | 統計・AI開発目的で同意不要 | 「正当な利益」条項で一部可能、ただし厳格な条件付き | 包括的連邦法なし、州法がパッチワーク |
| 罰則 | 課徴金（利益相当額）＋刑事罰 | 最大で全世界売上高の4% | FTCによる個別対応 |
| AI固有の規制 | なし（データ保護法内で対応） | EU AI Act（2026年8月本格適用） | 大統領令ベース、法律は未成立 |
| 子どもデータ | 16歳未満に特別保護 | GDPR第8条で保護 | COPPA（13歳未満） |
| 顔認識データ | 第三者提供を禁止 | AI Actでリアルタイム顔認識を原則禁止 | 連邦規制なし（一部州で規制） |
| アプローチ | イノベーション促進＋事後規制型 | 事前リスク評価＋予防原則型 | 市場主導＋必要時介入型 |
3地域のアプローチの違いは、自動車規制にたとえるとわかりやすいです。
- EUは「安全基準をすべて作ってから車を走らせる」タイプ。EU AI Actで、AIのリスクレベルに応じた事前審査を義務づけています
- 日本は「走らせて、危険運転は厳罰にする」タイプ。まずイノベーションを促進し、問題が起きたら厳しく対処する事後規制モデルです
- 米国は「車を自由に走らせて、事故が起きたら個別に裁判で解決する」タイプ。包括的な連邦法がなく、州ごとにルールが異なります
EU AI Actは2026年8月から本格適用が始まります。The Registerの報道では、日本の改正を「EUとは対照的なアプローチ」として紹介しており、これが国際的にAI開発者をどちらに引き寄せるかが注目されています。
日本企業にとって重要なのは、グローバルにサービスを展開する場合は最も厳格な規制に合わせる必要があるということです。日本国内向けなら改正法でOKでも、EU市場に進出するならGDPRとAI Actの両方に対応しなければなりません。
注意点とリスク――「何でもOK」ではない
改正のメリットを活かすために、まず理解しておくべきリスクがあります。
課徴金の対象となる5つの類型
BUSINESS LAWYERSの解説によると、課徴金の対象は大きく以下の5つです。
- 不正取得 — 嘘をついてデータを集める
- 不正な第三者提供 — 同意なくデータを他社に渡す
- 不正な外国提供 — 海外へのデータ持ち出しルール違反
- 利用目的の偽り — 「統計目的」と言いつつ個人を特定する
- 委員会命令への違反 — 個人情報保護委員会の是正命令に従わない
特に注意すべきは4番目です。「AI開発目的で同意なし利用OK」を拡大解釈して、実際には個人を特定するマーケティングに使っていた — こうしたケースは課徴金の格好の対象になります。
「同意不要」の誤解リスク
最も心配されるのは、「同意不要」という言葉が一人歩きすることです。改正の条文を正確に読めば、「統計作成・AI学習目的に限り」「個人を識別しない形で」「安全管理措置を講じた上で」という複数の条件がついています。見出しだけ読んで「もう何でもOKなんだ」と思い込む企業が出てくることは、ほぼ確実でしょう。
たとえるなら、「お酒は20歳からOK」というルールを「お酒は自由」と読み替えるようなもの。条件を無視した解釈は、確実にトラブルの原因になります。
プライバシー団体からの懸念
改正案に対して、プライバシー保護の観点からの懸念も上がっています。要配慮個人情報の取得緩和については「病歴データが本人の知らないところでAI開発に使われる可能性」が指摘されていますし、「課徴金の金額が不十分」という声もあります。こうした懸念は、施行までのガイドライン策定過程で議論が続くでしょう。
AIの活用に伴うセキュリティリスクへの対策は、法改正とは別に各企業が取り組むべき課題です。「シャドーAI対策ガイド｜社員の隠れAI利用が招く情報漏洩リスク」や、実際に起きた「Claude情報漏洩の全容と企業が今すぐやるべき対策」もあわせて確認されることをおすすめします。
企業が今すぐ確認すべき5つのポイント
改正法の施行は2027〜2028年の見込みですが、準備は今から始めるべきです。施行直前にバタバタと対応するのではなく、余裕をもって体制を整えましょう。
1. プライバシーポリシーの見直し
自社のプライバシーポリシーに「AI開発目的でのデータ利用」が記載されているか確認してください。改正法では同意は不要になりますが、利用目的の公表義務は残ります。「当社は統計処理・AI開発の目的でお客様のデータを利用することがあります」といった記載を追加しておくことで、施行後にスムーズに対応できます。
2. AI開発データの分類と棚卸し
自社が保有するデータのうち、AI開発に使える可能性があるものを洗い出しましょう。特に以下の分類が重要です。
- 通常の個人データ（氏名、メールアドレスなど）
- 要配慮個人情報（病歴、犯罪歴など）
- 16歳未満のデータ
- 顔特徴データ
カテゴリによって改正後のルールが異なるため、まず「何を持っているか」の棚卸しが出発点になります。
3. 委託先契約の点検
AI開発を外部に委託している場合、委託先との契約内容を確認しましょう。改正で委託先義務が合理化されるとはいえ、委託先がデータを不正利用すれば委託元の責任も問われます。特に、海外のAIベンダーにデータを渡している場合は、外国提供ルールとの整合性もチェックが必要です。
4. 子どもデータの取り扱いフロー構築
自社サービスのユーザーに16歳未満が含まれる可能性がある場合、子どもデータの特別な取り扱いフローを構築してください。年齢確認の仕組み、保護者同意の取得方法、データの安全管理措置の強化など、施行前に設計しておく必要があります。
5. 社内教育の更新
最後に、そして最も重要なのが社内教育です。「同意不要になった」という情報だけが現場に伝わり、条件や制限が理解されていないと、違反リスクが一気に高まります。改正の正確な内容を、経営層から現場担当者まで全社で共有する研修を計画しましょう。
AIセキュリティ対策を体系的に進めたい方は、「AIセキュリティ対策チェックリスト｜担当者ガイド」もあわせてご活用ください。
筆者の見解
ここからは、この改正に対する筆者の率直な見解を5つ述べます。
1. 「アクセルとブレーキを同時に踏む」設計は正解だと思う
データ利用を緩和しつつ罰則を強化する。一見矛盾しているように見えますが、これはバランスの取れた設計だと考えています。緩和だけなら無法地帯になりかねないし、強化だけならAI開発が停滞する。両方を同時にやることで、「ルールを守る企業が報われ、ルールを破る企業は痛い目を見る」という健全な競争環境が作れます。
2. 本当の勝負は「施行までの1〜2年」
改正法の施行は2027〜2028年の見込みです。この1〜2年をどう過ごすかが、企業の明暗を分けるでしょう。施行前に準備を整えた企業は、施行と同時にデータ活用を加速できます。一方、「施行されてから考える」企業は、競合に大きく引き離されることになります。まさに「助走期間」をどう使うかの勝負です。
3. 「同意不要」を「何でもOK」と読み違える企業が必ず出る
これは予言というより確信に近いです。メディアの見出しは「同意不要」がインパクト大きいので、条件付きの緩和であることが伝わりにくい。施行から1〜2年以内に、課徴金の最初の適用事例が出ると予想しています。その「見せしめ」があって初めて、業界全体のリテラシーが上がるのではないでしょうか。
4. 「国産AI」の産業政策文脈を見落とすべきではない
この改正を純粋なプライバシー法の議論としてだけ見ると、全体像を見誤ります。松本大臣が「わが国のAI開発に大きな障害が生じる」と述べた背景には、明確に産業政策としての意図があります。データ利用の緩和は、日本のAI産業を国際競争力のあるレベルに引き上げるための国策であり、プライバシーの文脈だけで論じるべきものではありません。
5. データ利用拡大 = 守るべきデータも増える
改正によってAI開発に利用できるデータの範囲が広がるということは、同時に企業が管理すべきデータの範囲も広がるということです。たとえるなら、データという原石が「採掘許可付き」で目の前に積まれた状態。嬉しいことですが、その原石を安全に保管・加工する設備も同時に必要になります。セキュリティ投資を怠れば、課徴金という形でツケが回ってくるでしょう。
AI活用のヒントをもっと知りたい方は、「Claude活用術15選｜仕事が変わる実践ガイド」もぜひご覧ください。
まとめ
この記事のポイントを3つにまとめます。
- AI開発目的のデータ利用が同意不要に — ただし統計・学習目的に限定、個人の特定はNG
- 課徴金制度が新設され罰則が大幅強化 — 1,000人超の不正利用で利益相当額を徴収
- 施行は2027〜2028年見込み — 今から準備を始める企業が勝つ
改正法が成立すれば、施行までの1〜2年が最も重要な準備期間になります。プライバシーポリシーの見直し、データの棚卸し、社内教育の更新 — できることから今すぐ始めることが、改正後のビジネスチャンスを最大化する鍵です。
よくある質問
Q. 改正はいつから適用されますか？
2026年4月7日に閣議決定された改正案は、今国会（2026年5〜6月）で成立する見込みです。施行は成立から1〜2年後、つまり2027年後半〜2028年前半が想定されています。ただし、課徴金制度など一部規定は段階的に施行される可能性があります。
Q. 顧客データもAI開発に自由に使えるようになりますか？
「自由に」ではなく「条件付きで同意なしに」使えるようになります。統計目的やAIモデルの学習目的に限定され、個人を特定する形での利用や第三者提供は引き続き制限されます。また、利用目的の公表や安全管理措置は依然として必要です。
Q. 課徴金はどのくらいの金額になりますか？
課徴金の対象は「1,000人を超える個人データの不正利用」で、金額は違反行為による「利益相当額」とされています。具体的な算定方法は今後の政令で定められますが、大規模なデータ活用を行う企業にとっては数千万〜数億円規模になる可能性があります。
Q. EU向けサービスを提供している場合、日本の改正だけ対応すれば良いですか？
いいえ。EUの居住者にサービスを提供する場合はGDPRの遵守が必須です。さらに2026年8月からはEU AI Act（AI規則法）も本格適用されます。日本の改正法はGDPRより緩やかですが、EU市場向けにはより厳格な基準での対応が必要になります。