{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
2026年7月に成立した改正個人情報保護法（以下「改正法」と言います）は、AI開発で個人情報を使いやすくするための新しい内容を設けています。改正前は、要配慮個人情報の取得や事業者間のデータ共有に本人同意が壁となり、AI学習に必要な大量・多様なデータ活用が難しい状況でした。今回の改正法では「統計作成等の特例」により、一定の公表・合意その他の法定要件を満たし、かつ取扱目的が統計作成等を行う目的である場合に、公開された要配慮個人情報の取得や第三者提供が可能になります（詳細は公布から2年以内の政令で定める日とされ、本稿執筆時点では未施行）。ただし、個人を特定するような分析や目的外利用は認められず、データの海外移転にも慎重な対応が必要です。企業には、利用目的の管理、公表内容の設計、契約の整備、技術的な統制、監査体制など、AIガバナンスに加えてデータガバナンスの強化が求められます。
1. 改正前の状況：AI開発の制約となりうる同意条件
現行（改正前）の個人情報保護法においては、企業がAIモデルの開発・学習に個人情報を利用しようとする場合、大きく二つの制約がありました。
第一に、要配慮個人情報の取得には原則として本人同意が必要でした。病歴・信条・犯罪歴などのセンシティブ情報は、インターネット上で公開されているものであっても、AIに読み込ませるための取得行為には同意取得が求められると解釈されてきました。多様なデータでAIを訓練しようとするほど、同意取得の負担が制約となっていました。
第二に、複数事業者間での個人データの共有・統合も厳しく制限されていました。複数の企業がデータを持ち寄って共同でAIを開発しようとするケースでは、委託構成を用いた迂回策が一般的でしたが、受託者（AIサービス事業者など）が独自にデータを活用することは認められませんでした。
この結果、AIに必要な大量かつ多様なデータの統合的学習は、法的リスクをはらむものとして避けられてきました。この状況が、改正法によってようやく変わろうとしています。
2. 改正法の核心：統計作成等の特例とは何か
「統計作成等」の定義
改正法第2条第13項は「統計作成等」を次のように定義しています。
大量の情報から要素を抽出し、分類・比較・解析を行い、個人を特定できない傾向・性質情報を作成する行為であり、かつ個人の権利利益を害するおそれが少ないもの（個人情報保護委員会規則で別途定める）としています。
具体的な範囲については委員会規則・ガイドライン等を通じた明確化を待つ必要があるものの、AI学習やモデルのパラメータ調整等についても個人に関する情報を含まない傾向・性質情報を抽出するような処理であれば、「統計作成等」に含まれる可能性があります。
二つの特例規定
改正法はAI利活用を後押しする二つの特例を設けています。
①要配慮個人情報の取得特例
現に公開されている要配慮個人情報について、統計作成等の目的で利用することを所定の事項として公表すれば、本人の同意なく取得することが認められます。
②個人データの第三者提供特例
個人情報または個人関連情報を統計作成等の目的で第三者に提供する場合、以下の要件を満たすことで本人同意によらない提供が認められます（図表1）。
図表1：個人データの第三者提供特例要件（例）
| 要件 | 内容 |
| 事前・継続的な公表 | 提供元・提供先の双方が提供の事実等を公表する |
| 書面による合意 | 提供元と提供先が書面で合意する |
| 目的外利用の禁止 | 統計作成等以外の目的での使用を禁ずる |
| 再提供の制限 | 受領したデータを更に第三者提供することを原則禁止する |
出所：個人情報保護委員会「個人情報保護法等の一部を改正する法律案について」よりPwC作成
また、特例を不正に利用することを抑止するための課徴金制度も新設されており、目的外利用には厳しいペナルティが科せられます。本特例を活用してAI開発で個人情報を適切に使うには、利用目的の管理、公表、契約、技術、内部統制、越境移転まで含めた実務対応が必要です（図表2）。
図表2：特例を利活用するための社内内部管理実務（例）
3. 改正によって広がった可能性
改正法により、AIで個人情報を活用する上で、いくつかの新しい可能性が広がります（図表3）。
まず、複数の事業者のあいだでデータをやり取りしながら、AI学習用のデータとして活用できる余地が広がります。これまでは厳格な委託の形を取らないと難しかった場面でも、一定の条件を満たせば、複数の事業者間での提供・受領を通じた活用ができるようになります。
また、インターネット上で公開されている要配慮個人情報についても、統計作成やAI学習を目的とした利用の法的な根拠が、これまでより明確になります。
さらに、データを受け取った事業者が、自ら公表した統計作成等の内容の範囲内で、主体的にデータを活用できる可能性も生まれます。
図表3：統計情報作成などによる個人情報利活用ケース（例）
4. 改正後においても残る制約と留意点
以上のように、今回の改正法によって個人情報の利活用可能性は一定程度広がりましたが、なお解消されていない制約や、解釈上の不明確さが残っている点には留意が必要です。
第一に、個人単位での分析や、特定個人の属性・行動等を予測するプロファイリング的な利用は、本特例の対象外です。すなわち、本特例の下で許容されるのは、あくまで個人を特定し得ない形で、全体的な傾向または特徴を抽出する利用に限られます。特定の個人を識別した上で分析または判断に用いることは認められません。
第二に、統計の対象者が少人数であるために個人が識別され得る場合も、本特例の対象外です。例えば、属性条件を過度に細分化することで対象者数が極端に少なくなる場合、氏名などの直接識別子が付されていなくても、実質的に特定個人を推知し得る状況が生じます。このような利用形態も、本特例の趣旨に照らせば、その適用対象には含まれません。
第三に、収集または受領したデータを、公表した統計作成等の内容または法定の提供目的の範囲を超えて第三者に提供することは、原則として禁止されます。したがって、統計作成等を目的として取得したデータを、マーケティング、別種のサービス開発その他の異なる用途に転用、または第三者に提供することは許容されません。
第四に、外国にある第三者へのデータ提供については、「基準適合体制」を整備している者に限られ、継続的実施を確保するための措置や情報公表も求められます。そのため、越境移転に際しては引き続き慎重な対応が求められます。とりわけ、海外事業者へのデータ移転を伴うAI開発においては、国内利用とは異なる法的・実務的検討を追加することが不可欠です。
また、大量の情報や個人の権利利益を害するおそれが少ない、といった要件の具体的内容については、今後、個人情報保護委員会規則やガイドライン等によって明確化される予定です。
5. まとめ
今回の改正法では、AI開発における個人情報利活用の法的な選択肢は「統計作成等の特例」という制度により広がりました。一方、課徴金、監査、違反時の責任といった事後的な規律も設けられています。企業がこの特例を安定的かつ適法に活用するには、利用目的の管理、公表内容の設計、契約の整備、技術的な統制、監査体制など、AIガバナンスに加えてデータガバナンスの整備も必要です。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
{{contentList.loadingText}}
