Stella Creation個人情報保護法の改正でAI開発は同意不要になるのか【2026年7月公布】中小企業が確認すべき4点
2026年7月17日に公布された改正個人情報保護法。「AI開発に個人データを同意なしで使える」と要約されがちですが、対象は統計作成等に整理できる場合に限られます。同意例外の正確な範囲、新設される課徴金の1,000人基準、施行時期を一次情報で整理しました。
佐野 泰規株式会社Stella Creation 代表取締役
この記事でわかること
- 同意が不要になるのは「統計情報等の作成にのみ利用される場合」の第三者提供と、公開されている要配慮個人情報の取得。手元の顧客データを何にでも使ってよくなるわけではない
- 課徴金が新設される。対象は本人の数1,000人を基準とする大規模事案で、違反行為によって得た財産上の利益に相当する額を納付させる
- 施行日はまだ決まっていない。公布日から起算して2年を超えない範囲内で政令が定めるため、期限は2028年7月16日
- 顔特徴データはオプトアウトによる第三者提供が禁止される。入退室・防犯カメラで顔認証を使う会社は設計の見直しが要る
「個人情報保護法が変わって、AIの学習に顧客データを使えるようになったんですよね？」——ここ数週間、この質問を立て続けに受けました。結論から言うと、その理解のままシステムを設計すると危ないです。
2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。たしかにAI開発に関する同意の例外は入りましたが、範囲は限定的です。そして同じ改正で課徴金が新設されています。緩和と強化がセットで入っている、というのが正確な読み方です。
この記事は2026年8月18日時点の情報で、個人情報保護委員会の公表資料に基づいて書いています。条文番号も公式資料の記載に合わせました。
個人情報保護法の改正でAI開発が同意不要になる範囲
まず結論を1文で。同意が不要になるのは「統計情報等の作成にのみ利用される場合」に限られ、手元の顧客データを自由にAIに使ってよくなったわけではありません。
個人情報保護委員会の概要資料にはこうあります。
個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（※）にのみ利用される場合は本人同意を不要とする。 ※ 統計作成等であると整理できるAI開発等を含む。(第30条の２、第31条の３)
——個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和8年7月）
読むべきポイントは3つあります。
- 対象になっているのは①個人データ等の第三者提供と②公開されている要配慮個人情報の取得の2場面。「自社で集めた顧客データを自社のAIに投入する」行為そのものを一般的に解禁したものではありません
- **「にのみ」**という限定がかかっています。統計作成等の目的と、個々のお客様への施策に使う目的が混ざっていれば外れます
- AI開発が入るのは「統計作成等であると整理できる」場合。整理できるかどうかは、こちら側の説明責任です
私の感覚では、ここが一番誤解されています。「AI開発は同意不要」という見出しだけが独り歩きしていて、**「にのみ」の3文字が落ちている。**特定のお客様の行動を予測して出し分けるようなモデルは、統計作成等とは言いにくいはずです。
| よくある理解 | 実際 |
|---|---|
| AI学習なら顧客データを自由に使える | 統計情報等の作成にのみ利用する場合に限られる |
| 自社データの利用が解禁された | 例外の対象は第三者提供と、公開されている要配慮個人情報の取得 |
| 規制が全体に緩んだ | 同じ改正で課徴金が新設され、事後的な規律は強化された |
施行日はまだ決まっていない
「いつから」を聞かれたら、正直に「まだ決まっていません」と答えるのが正解です。公布の報道発表にはこうあります。
改正法は、一部を除き、公布日から起算して２年以内で政令で定める日から施行されます
——個人情報保護委員会「「個人情報の保護に関する法律等の一部を改正する法律」の公布について」（令和8年7月17日）
概要資料の施行期日欄も「原則として公布の日から起算して２年を超えない範囲内」。つまり上限が2028年7月16日で、実際の日付は今後の政令待ちです。
| 時点 | 出来事 |
|---|---|
| 2026年4月7日 | 改正法案を閣議決定、第221回国会（特別会）に提出 |
| 2026年7月10日 | 国会で可決、成立 |
| 2026年7月17日 | 公布 |
| 未定（2028年7月16日が期限） | 施行（政令で定める日） |
委員会側も、政令・委員会規則・ガイドラインの整備をこれから進めると明言しています。細部はガイドラインで決まるので、今の段階で運用を確定させることはできません。ここを曖昧にしたまま「対応済み」と言う業者がいたら、私なら距離を置きます。
中小企業に効く改正は4つ
改正内容は幅広いのですが、中小企業の実務に効くものに絞ると次の4つです。
1. 統計作成等・AI開発の同意例外（第30条の2、第31条の3）
前述のとおり。データを他社に渡す／他社から受け取る座組みを検討している会社にとっては効きます。逆に自社完結の分析だけなら、この改正で何かが変わるわけではありません。
2. 課徴金の新設（第148条の3〜第148条の17）
今回の改正で一番インパクトがあるのはこちらだと思っています。従来は勧告・命令を受けても、違反をやめれば経済的な利得を保持できてしまう構造でした。そこに金銭的不利益を課す仕組みが入ります。
3. 顔特徴データ等の規律強化（第21条の2、第27条第2項ほか）
顔特徴データ等について、取扱いに関する一定事項の周知が義務化され、利用停止等請求の要件が緩和され、オプトアウト制度に基づく第三者提供が禁止されます。防犯カメラや入退室管理に顔認証を入れている会社、これから入れようとしている会社は、設計と掲示の見直しが必要になります。
4. 委託先の義務見直しと漏えい通知の緩和（第30条の3、第26条第2項）
データ処理等の委託を受けた事業者の義務が見直されます。開発会社・SaaS事業者側の話ですが、発注する側にとっては「委託先の責任範囲が変わる」という意味です。あわせて、漏えい等が起きたときの本人通知は、権利利益の保護に欠けるおそれが少ない場合には義務が緩和されます。
課徴金の対象に「うちみたいな小さい会社」は入るのか
一番聞かれるところなので、公式資料の要件をそのまま整理します。課徴金納付命令の対象は、次の4つで絞り込まれています。
| 絞り込み | 内容 |
|---|---|
| ①対象行為 | 不適正な利用の禁止（第19条）違反／適正な取得（第20条第1項）違反／第三者提供の制限（第27条第1項）違反／統計特例違反（目的外利用・第三者提供） |
| ②主観的要素 | 対象行為を防止するための相当の注意を怠っていない場合か否かで限定 |
| ③権利利益の侵害 | 個人の権利利益が侵害され、又は侵害される具体的なおそれが生じた場合に限定 |
| ④大規模事案 | 対象行為に係る本人の数について1,000人を基準とする |
金額は定率ではなく、違反行為または違反行為をやめることの対価として得た金銭等の財産上の利益に相当する額とされています。
注目すべきは④です。**基準は従業員数でも売上でもなく、扱っている個人情報の件数。**会員1,000人のECサイト、患者1,000人のクリニック、受講者1,000人のスクール——従業員が数人の会社でも普通に届きます。「うちは中小だから」は理由になりません。
一方で②があるので、まっとうに管理していれば直ちに課徴金という話ではないとも読めます。相当の注意を払っていた記録が残っているかどうかが分かれ目になる、というのが私の読みです。
施行までの2年で、私が勧めている3つの準備
「2年あるなら後で」と思われるかもしれません。ただ、これから作るシステムは2年後も動いています。**設計の段階で織り込むほうが、あとから直すより圧倒的に安い。**具体的には次の3つです。
- 個人データの棚卸し — 何を、何件、どこに（自社サーバー／SaaS／担当者のPC）持っているかを1枚の表にする。④の1,000人基準に照らして自社がどの位置にいるかは、これが無いと分かりません
- 委託先の洗い出し — 使っているSaaS、開発会社、外部の分析ツールを列挙し、それぞれ何のデータを預けているかを書き出す。委託先の規律が見直されるので、契約書の確認箇所も変わります
- AIに入れてよいデータの線引きを文書にする — 「顧客の氏名・連絡先は入れない」「社内文書はマスキング後」など。口頭の共通認識では、担当が変わった瞬間に崩れます
3つとも、専門家に頼まなくても社内でできます。逆に言うと、これが無い状態で法律相談に行っても、まず棚卸しから始めてくださいと言われるだけです。
社内データをAIに読ませる構成そのものの費用感は社内AIチャットボット（RAG）の構築費用相場に、データを預ける先としてのSaaSと自社開発の比較はスクラッチ・パッケージ・SaaSの損益分岐点にまとめています。
よくある誤解を3つ
「AI学習に自由に使えるようになった」 — なりません。統計情報等の作成にのみ利用する場合の話です。個々のお客様向けの出し分けが目的に混ざれば対象外と考えるべきです。
「まだ2年あるから様子見でいい」 — 様子見でよいのは運用ルールの細部だけです。政令とガイドラインが出てから作り直すことになる部分と、今の設計判断でほぼ確定してしまう部分（どこにデータを置くか、誰に預けるか）は分けて考えてください。
「うちは1,000人もいない」 — 現在のアクティブ会員ではなく、保有している個人データの件数で見てください。退会者を消していない、名刺データが数年分たまっている、といった状態だと、体感よりずっと多いことがあります。棚卸しを勧める理由がここです。
法改正のたびに感じるのですが、慌てて何かを買う必要はありません。今回も、まずやることは棚卸しという地味な作業です。ただ、その地味な表が無い会社は、2年後に必ず困ります。
自社のシステムで個人データをどう扱うべきか迷っている段階でしたら、AIシステム開発のご相談は設計の前段からお受けしています。「この構成で問題ないか」だけのご相談でも構いません。
なお、本記事は制度の概要を実務者向けに整理したもので、法的助言ではありません。個別の判断は必ず最新のガイドラインと専門家にご確認ください。
出典（2026年8月18日閲覧）
よくある質問
- 改正個人情報保護法はいつ施行されますか？
- 施行日はまだ決まっていません。個人情報保護委員会は「改正法は、一部を除き、公布日から起算して2年以内で政令で定める日から施行されます」としています。公布が2026年7月17日なので、期限は2028年7月16日です。
- AI開発に個人データを同意なしで使えるようになりますか？
- 無条件ではありません。同意が不要になるのは「統計情報等の作成にのみ利用される場合」の個人データ等の第三者提供と、公開されている要配慮個人情報の取得です。公式資料はこの統計作成等に「整理できるAI開発等を含む」としています。特定の個人向けに使う目的が混ざれば対象外です。
- 課徴金はいくらになりますか？
- 定率ではありません。違反行為またはそれをやめることの対価として得た金銭等の財産上の利益に相当する額とされています。対象は不適正利用、不正取得、第三者提供制限違反、統計特例違反の4類型です。
- 従業員の少ない会社でも課徴金の対象になりますか？
- 会社の規模ではなく、扱っている個人情報の件数で決まります。対象行為に係る本人の数について1,000人を基準とする大規模事案に限定されるとされているため、会員1,000人規模のサービスを持っていれば射程に入り得ます。
- 施行までまだ時間がありますが、今やることはありますか？
- 個人データの棚卸し、委託先の洗い出し、AIに入れてよいデータの線引きの3つです。いずれも施行日が決まってから始めると間に合いにくく、これから作るシステムの設計にも影響します。