AI時代のデータ利活用を支える「令和8年改正個人情報保護法」――「保護と利用」の新ルールを、デジタル政策のキーマン・落合孝文弁護士に訊く

生成AIの急速な普及に伴い、インターネット上の学習データをどのような条件で利用できるかが世界中で議論されています。リアル空間でもAIカメラやセンサー、ロボット等の活用が広がり、顔特徴データを含む個人情報をどう保護し、適正に利用するかが重要になっています。

そんななか、日本では「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に成立し、同月17日に公布されました。統計作成等に該当するAI開発等のためのデータ利用を円滑にする特例を整備しつつ、16歳未満の子どもや特定生体個人情報に関する規律、悪質な違反に対する課徴金制度や刑事罰の見直しなど、保護と利用の双方を精緻化する改正です。

今回のin.LIVEは、政府のデータ利活用政策に関するルールメイキングに携わってきた落合孝文弁護士をお招きし、改正法の狙いから、AI開発への影響、企業が準備すべき事項、そして今後の日本社会まで、分かりやすく解説していただきました。

落合孝文（おちあい・たかふみ）先生
渥美坂井法律事務所・外国法共同事業　シニアパートナー弁護士

慶應義塾大学理工学部数理科学科卒業。同大学院理工学研究科在学中に旧司法試験合格。森・濱田松本法律事務所の東京・北京オフィス勤務を経て、現在は渥美坂井法律事務所・外国法共同事業プロトタイプ政策研究所所長・シニアパートナー弁護士。金融、AI・データ、医療・ヘルスケア、モビリティ等の新規事業・制度設計を支援する。内閣府規制改革推進会議スタートアップ・イノベーション促進WG座長、国家戦略特区WG座長代理、内閣官房デジタル行財政改革会議事務局政策参与（データ利活用制度検討担当）等を務める。一般社団法人Fintech協会代表理事副会長、慶應義塾大学大学院メディアデザイン研究科特別招聘教授、東京大学法学部非常勤講師。

※取材は2026年5月に実施し、改正法の成立・公布後の状況を踏まえて、2026年8月18日時点の内容に更新しています。改正法の原則的な施行日は公布日から2年を超えない範囲内で政令により定められ、政令・委員会規則・ガイドライン等は現在検討中です。制度の最新情報は、個人情報保護委員会「令和8年 改正個人情報保護法について」をご確認ください。

「保護と利用」の両立を具体化した、令和8年改正

落合先生、今日はよろしくお願いします。さっそくですが、今回の個人情報保護法改正の概要を解説いただけますでしょうか。

今回の改正を一言で言えば、「データ利用を、より透明に、そしてダイナミックに変えていくための基盤整備」です。これまでの法律は、どちらかといえば「どう守るか」に軸足があり、活用の場面では個別に同意を取ることが実務上の重荷になりやすい面がありました。今回の改正は、個人の権利利益を守りながら、デジタル社会に合った利用ルールへ組み替えていくもので、大きく三つの柱で捉えられます。

一つ目は、「同意ルールの見直しとデータ活用の後押し」です。
ホテル予約や送金のように、本人の意思に反せず、権利利益を害しないことが明らかな取扱いでは、同意を不要とします。生命・身体・財産の保護や公衆衛生などでも、同意を得ないことに相当な理由がある場合まで例外を広げ、病院等を「学術研究機関等」に含めることも明確にします。加えて、公開されている要配慮個人情報の取得や個人データ等の第三者提供を「統計作成等」にのみ使う場合の特例も設けます。

二つ目は、「子どもや顔特徴データなど、守るべき領域のルール整備」です。
16歳未満の子どもについては、同意や通知が必要な場面では原則として法定代理人を対象にします。事業者には、子どもの年齢や発達に応じて最善の利益を優先し、権利利益を害さないよう必要な措置を取る努力義務も設けられます。また、顔特徴データ等については、取扱いの周知や利用停止等請求のルールを整え、オプトアウト方式による第三者提供を禁止します。

三つ目は、「悪質な違反への対応強化」です。
命令や刑事罰を見直し、新たに課徴金制度を導入します。ただし、漏えい事故が起きれば直ちに課徴金、という仕組みではありません。不適正利用、不正取得、違法な第三者提供、統計作成等の特例に反する利用・提供などの対象行為について、相当の注意を怠ったこと、権利利益の侵害や具体的なおそれ、1,000人を基準とする規模、財産上の利益の取得などの要件が重なった場合に限られます。

守るべき領域はより具体的に保護を強める一方、本人同意がなくても取り扱える限定的な場面と条件を明確にする。この「緩急」を制度として組み立て直した、ということですね。先生からご覧になって、この改正は意図する方向に向かっているという印象でしょうか。

そうですね。これまでは、「個人データを活用すること自体が、社会的なレピュテーション（評判）を下げるのではないか」という不安があり、社会的に役立つデータ利用まで萎縮しがちでした。一方で、実務では「利用目的に同意してください」という画面を十分に読まずに通過することも多く、同意手続が形骸化している面もあります。

活用したいけれど怖い、でも同意手続は形だけになりがちです。
今回の改正は、本人の意思に反せず権利利益を害しないことが明らかな取扱いや、生命・身体の保護、公衆衛生、統計作成等について同意ルールを見直す一方、悪質な違反や、子ども・顔特徴データの保護は強めています。使いやすくする部分と、信頼を守る部分を一緒に整えた点が大きいと思います。

公開データなら何でもOK？ 悪質な利用への執行を強化

たとえば、犯罪グループに流れる「闇名簿」のような明らかな悪質行為は論外だと分かります。一方、企業が通常のビジネスで判断に迷いやすい場面では、改正後、どのような点に注意すべきでしょうか。

実は、今回の改正で日常的なデータ取扱いが一律に新しく禁止されるわけではありません。課徴金も、すべての違反や、図らずも起きた漏えいにかかるものではありません。対象は、不適正利用、不正取得、違法な第三者提供、統計作成等の特例に反する利用・提供などに限られ、そこに相当の注意を怠ったこと、権利利益の侵害や具体的なおそれ、1,000人を基準とする規模、財産上の利益の取得などの条件が重なる必要があります。ただし、漏えい時の報告・本人通知や安全管理措置が不要になるわけではありません。

NGの分かりやすい例としては、いわゆる「破産者マップ」をめぐる事案があります。官報で公開された破産者情報を地図とひも付け、本人が簡単に検索できる形でインターネット上に広く公開したものです。もともと公開されている情報だからといって、その後の使い方まで何でも許されるわけではありません。これは現行法の不適正利用禁止にも関わる考え方です。

課徴金の対象要件は改正法に定められていますが、具体的な判断基準や運用は、今後整備される政令・委員会規則・ガイドライン等でさらに明確化されます。また、改正法は悪質な不正提供・不正取得に関する刑事罰も見直します。なお、日本の課徴金は、GDPRのように世界売上高の一定割合を上限とする制裁金と同じ仕組みではなく、対象行為等の対価として得た財産上の利益に相当する額を基本とする制度であり、限定的なものとなります。

最近はAIに大量の公開データを学習させるビジネスも増えていますが、「ネット上にある情報だから何に使ってもいい」わけではなく、情報の取得と、その後の利用目的・方法は分けて考える必要があるということですね。

新しい統計作成等の特例を使う場合も、目的の限定や公表などの条件を守ることが、企業の信頼につながりそうです。 真っ当にビジネスをしている企業は、過度に恐れる必要はないということが分かりました。

あと、身近なところでは、16歳未満の子どものデータがあります。すべての取扱いで一律に親権者の同意が必要になるわけではありませんが、法律上、本人の同意や通知が必要な場面では、原則として法定代理人を対象にすることが明記されました。

事業者には、子どもの年齢や発達に応じて最善の利益を優先し、権利利益を害さないよう必要な措置を取る努力義務も設けられ、一定の場合には利用停止等を求めやすくなります。

ただし、事業者が本人を16歳未満と知らないことに正当な理由がある場合などは例外です。また、カメラなどで使われる一定の顔特徴データは、「特定生体個人情報」として、利用目的や取扱いの事実、利用停止等の手続を周知し、オプトアウト方式で第三者に提供することが禁止されます。具体的な範囲は政令で定められ、単なる顔写真まで一律に同じ扱いになるわけではありません。

加えて、システム開発やデータ処理を外部のベンダーさんに委託している企業や自治体も多いと思います。任せる側の監督は引き続き必要ですが、今回の改正では、任されるベンダー側にも「預かったデータを委託業務に必要な範囲を超えて使ってはいけない」という直接の義務が明確化されます。

一方、委託先が自ら取扱方法を決めず、委託元の指示どおりに機械的に処理するだけのケースでは、取扱方法や報告の仕組みなどを契約で合意することを条件に、委託先にかかる法第4章の義務の多くが原則として免除されます。

ただし、委託範囲を超えた取扱いの禁止と安全管理義務は残ります。どこまで誰が担うのかを契約と実態の両面で確認し、お互いに連携できる体制にしておくことが大切です。

子どものデータやAIカメラだけでなく、外部ベンダーさんとの協力体制まで見直す必要があるとなると、企業側も早めの対応が必要になりそうです。改正法の施行は、もう少し先になるのでしょうか？

そうですね。改正法は2026年7月17日に公布され、原則として2年以内に施行されます。遅くとも2028年7月17日までですが、具体的な日はまだ決まっていません。

すぐに始まるわけではありませんが、政令・委員会規則・ガイドライン等はこれから順次具体化されます。企業としては、細部が決まるのを待つだけではなく、今のうちにデータの流れや同意・公表の方法、委託契約、子どもや顔特徴データの取扱いなどを棚卸ししておくとよいでしょう。

AI開発で広がる可能性と、関係事業者が負う責任

AI開発において、学習データの扱いはどう変わるのか？ 教えてください。

AI開発の領域では、新設される「統計作成等」の特例が重要です。インターネット上の膨大な情報を学習して大規模言語モデル（LLM）をつくる際、病歴や犯罪歴などの要配慮個人情報が意図せず含まれることがあります。公開されている情報であっても、個人情報保護法の適用が当然になくなるわけではなく、要配慮個人情報の取得には原則として本人同意が必要です。

大量の公開データを扱う場面で一人ひとりから同意を得ることは現実的に難しく、データに要配慮個人情報が含まれるかを完全に判別することにも限界があります。現行法にも例外はありますが、AI開発のような大規模処理について、どの範囲で利用できるかが分かりにくく、開発を萎縮させるとの指摘がありました。

改正後は、①現に公開されている要配慮個人情報の取得 と、②個人情報の第三者提供について、「統計作成等」にのみ使うなどの条件を満たせば、本人同意なしで扱える特例が設けられます。「統計作成等」は、大量の情報を解析して、個人に関するものではない傾向や性質を取り出す処理のうち、権利利益を害するおそれが少ないものです。要件を満たすAI開発等もここに含まれ得ます。

つまり、すべてのAI学習が自由になるわけではありませんが、個人を識別・追跡したり、個人に関する出力を作ったりしない統計的な学習については、一定の条件の下でデータを使いやすくなります。公表、第三者提供時の書面合意、目的外利用・再提供の禁止などのルールは守る必要があります。

LLMでは、学習済みモデルをオープンウェイトとして外部に提供する例もあります。提供後のサービスが、誰かの個人情報を出力したり、プライバシーを侵害したりした場合、責任の所在はどのように考えればよいのでしょうか。

今回の改正法は、AIに特有の一般的な責任分配ルールを設けるものではありません。ご質問の点は、個人情報保護法固有の問題ではなく、従来から、ファイル共有ソフト「Winny」や暗号資産マイニングプログラム「Coinhive」をめぐる議論などでも現れてきました。

責任は一律にサービス提供者だけが負うのではなく、各主体が何を設計・管理し、どのリスクを予見でき、どのような防止措置を講じたか、実際の損害との因果関係、契約上の役割分担、適用される法令によって変わります。個人情報保護法上も、各主体が個人情報取扱事業者等に当たるか、どの情報をどの目的で取り扱うかを、サービスの具体的なデータフローに即して判断する必要があります。

AIのようなデジタル技術は、出力や影響が短時間で広範囲に拡散し得ます。したがって、学習データの管理、モデルの評価、出力フィルター、本人からの申出への対応など、リスクに応じた措置は重要です。ただし、過去の裁判例などを踏まえても、悪用の抽象的な可能性を認識していたというだけで直ちに刑事・民事・行政上の責任が生じるわけではないと考えられます。今回の個人情報保護法改正の射程と、AIサービス一般の責任論は区別して考える必要があります。

今後、社会的影響の大きな事案が蓄積すれば、AIの開発・提供・運用の各段階における責任分配について、別の法令やガイダンス、裁判例を通じてルールが具体化していく可能性はあります。

日本の未来を救う「フィジカルAI」と医療DXへの期待

今回の改正によって、一定のAI開発やデータ連携を進めやすくなることが期待されています。このほか、どのような分野でメリットが考えられますか。

政策的に期待が高まっているのは、工場の自動化や配送ロボットなどの「フィジカルAI」です。人口減少によって人だけで担い続けるのが難しい産業を技術で支え、生活サービスの質と量を維持するうえでも、現場データを適正に使える環境は重要です。地方の物流を維持したり、工場の生産性を高めたりするためにも、AIの社会実装を進める意味は大きいと思います。

ただし、フィジカルAIなら自動的に統計作成等の特例が使えるわけではありません。個人を識別・追跡する使い方ではないか、各要件を満たすかは、開発・利用目的ごとに確認する必要があります。

また、医療データの活用も大きな鍵です。OECDの2021年調査を基にした2023年の報告では、日本の電子医療記録（eMR）の診療領域横断の平均カバー率は約45％（編集部注釈※1）と、回答国の中で最も低い水準でした。ただし、これは電子医療記録のカバー率を示す指標であり、「医療データの活用度」全般の単純な国別順位ではありません。日本では、データが医療機関やシステムごとに分散し、標準化、連携、研究等の二次利用に課題があると指摘されています。

今回の改正では、医療データや健康データについても、本人同意なしで扱える場面が広がります。ただし、何でも自由に使えるようになるわけではありません。具体的には、①生命・身体の保護や公衆衛生の向上等に必要な場合について、従来の「本人の同意を得ることが困難」に加え、「同意を得ないことに相当の理由がある」場合も例外にする ②病院などを「学術研究機関等」に含むことを明確にする ③要件を満たす統計作成等の特例を設けるという見直しです。

医師等の守秘義務や生命・医学系研究倫理指針、医療分野の個別法令は引き続き適用されますので、誰が何のために使うのかは確認が必要です。

【編集部注釈※1】出典
OECD, Progress on implementing and using electronic health record systems: Developments in OECD countries as of 2021, OECD Health Working Papers No. 160, 13 September 2023, p. 15, para. 8. 同報告は、2021年調査に基づき、日本では調査対象の診療領域の平均約45％でeMRが利用されていると報告している。

AI活用は、未来の日本に対する私たちの責任

最後に、今回の改正によってルールが変わることで、5年後の日本がどのように便利になるのでしょうか。先生の想いとあわせて、聞かせてください。

テクノロジーや情報活用というと、まずAIが思い浮かびますが、今回の改正はAIだけの話ではありません。契約の履行、生命・身体の保護、公衆衛生、学術研究、委託、子どもや顔特徴データなど、幅広い場面で、個人データをどううまく使っていくかを見直すものです。国も企業も、守ることと使うことを一体で考える重要性が高まっていると受け止めた改正だと思います。

実際、日本では、法的な不確実性やレピュテーションへの不安から、データ活用に慎重になりすぎる場面がありました。今回、法改正までして使える条件を整えるのですから、この先は、ルールを理解したうえでAIを含むデジタル技術をもっと使いこなせる社会にしていく必要があります。守るべきものは守り、活用できるデータは適正に活用する。その両方がなければ、社会実装は進みません。

テクノロジーをしっかり使うことは、今の社会を良くすることであると同時に、将来の世代に豊かな日本を残すための、私たち現代人の「責任」ともいえます。法改正を機会に、AI活用に拍車がかかっていくことを期待しています。

編集後記

いかがでしたか。一見するととっつきにくい法改正のお話ですが、落合先生の語りから、これは私たちのこれからの生活や、日本の未来に直結する地続きのテーマであることに気付かされました。

特に印象的だったのが、「テクノロジーをしっかり使うことは、将来の世代に豊かな日本を残すための、私たち現代人の責任でもある」という言葉です。テクノロジーを必要以上に恐れず、同時に保護も軽視することもなく、ルールを理解して使いこなす姿勢を、私たち一人ひとりが持ちたいと感じました。 最後まで読んでいただき、ありがとうございました！

※取材は2026年5月に実施し、改正法の成立・公布後の状況を踏まえて、2026年8月18日時点の内容に更新しています。改正法の原則的な施行日は公布日から2年を超えない範囲内で政令により定められ、政令・委員会規則・ガイドライン等は現在検討中です。制度の最新情報は、個人情報保護委員会「令和8年 改正個人情報保護法について」をご確認ください。