個人情報保護法の「令和8年改正」で何が変わろうとしているか──AI開発の「統計作成」なら同意不要になる条文を読む

AI開発のために個人データを使う際、これまでは原則として本人の同意が必要だった。2026年7月17日に公布された改正個人情報保護法は、この前提の一部を変える。「統計情報等の作成にのみ使う」という条件を満たせば、本人同意を不要にする条文が新設された。個人情報保護委員会（PPC）が公表した公式資料から、条文レベルで内容を確認する。

改正までの経緯と日付

個人情報保護法には「3年ごと見直し規定」（令和2年改正法附則第10条）があり、施行状況を定期的に検討することが定められている。PPC事務局の資料によれば、今回の改正は次のスケジュールで進んだ。

8月26日の決定は、本記事執筆時点（2026年8月27日）のわずか1日前だ。改正法自体はすでに成立・公布済みだが、実務に関わる政令・委員会規則・ガイドラインの具体的な中身は、この8月26日の文書を起点に今まさに整備が進んでいる段階にある。

改正の趣旨

PPC事務局資料はこの改正の狙いをこう説明している。

「デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっている。これらを踏まえ、『データ利活用制度の在り方に関する基本方針』（令和7年6月13日閣議決定）等に基づき、個人の権利利益の適切な保護を図るとともに、AI活用にも資する円滑なデータ連携を促進するための所要の措置を講ずる。」

「保護」と「利活用（AI活用を含む）」の両方を進める、という位置づけだ。改正内容は4本柱に整理されている。

柱1：AI開発を含む「統計作成」なら同意不要に

最も実務的なインパクトが大きいのがこの条項だ。PPC資料はこう明記している。

「個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（※）にのみ利用される場合は本人同意を不要とする。※ 統計作成等であると整理できるAI開発等を含む。（第30条の2、第31条の3）」

つまり、Webスクレイピングなどで取得した公開データを含め、「統計情報等の作成」（AI開発を含む）にのみ使うことを担保できれば、本人の同意なしに要配慮個人情報を取得したり、第三者提供したりできるようになる。

ただし無条件ではない。PPC資料は「統計情報等の作成にのみ利用されることを担保するための規律」として、次を挙げている。

• 一定の事項の公表（取得者の氏名・名称、提供元・提供先、行おうとする統計情報等の作成の内容など）
• 「統計情報等の作成」のみを目的とした提供である旨の、提供元・提供先間の書面による合意（第三者提供の場合）
• 取得者・提供先は目的外の利用・第三者提供が禁止される

具体的な対象範囲・公表事項の詳細は、今後の委員会規則で定められる予定だ。

柱1のその他の緩和措置

同じ「適正なデータ利活用の推進」の柱には、他にも3つの緩和措置が含まれる。

1. 本人の意思に反しないことが明らかな取扱い：ホテル予約サイトが予約者情報をホテル側に提供する、送金元金融機関が送金先金融機関に情報を提供する、といった「契約履行に不可欠で本人の意思に反しないことが明らかな」第三者提供は、同意不要になる
2. 生命等保護・公衆衛生のための同意取得困難性要件の緩和：これまでは「本人の同意を得ることが困難であるとき」に限られていたが、「その他本人の同意を得ないことについて相当の理由があるとき」も対象に追加
3. 学術研究例外の対象拡大：「学術研究機関等」に医療の提供を目的とする機関・団体が含まれることを明示

柱2〜4：リスクベースの規律と課徴金の新設

残る3本柱は次の通りだ。

• 柱2（リスクに適切に対応した規律）：16歳未満の本人について法定代理人を対象にすることを明文化し、未成年者本人の最善の利益を優先考慮すべき責務規定を新設。顔特徴データ等について周知義務化・オプトアウト制度に基づく第三者提供の禁止も盛り込まれた
• 柱3（不適正利用等防止）：個人情報そのものではないが特定の個人への働きかけを可能にする情報（Cookie等を想定した規定と見られる）についても、不適正利用・不正取得を禁止。オプトアウト制度の提供先について身元・利用目的の確認を義務化
• 柱4（規律遵守の実効性確保）：命令の要件を見直し、違反行為を補助する第三者への是正要請の根拠規定を新設。個人情報データベース等の不正提供に関する罰則を強化し、詐欺行為等による不正取得への罰則も新設。そして、**重大な違反行為により個人の権利利益が侵害された場合等に、違反行為で得られた財産的利益等に相当する額の課徴金の納付を命ずる制度（第148条の3〜第148条の17）**が新設される

課徴金制度は、経済的な誘因のある大量の個人情報取扱いによる悪質な違反行為を実効的に抑止する目的だとPPC資料は説明している。

8月26日資料で判明──「統計作成等の特例」の詳細は政令ではなく委員会規則で決まる

honest章で触れていた「政令・規則等で定める事項の全体像」（2026年8月26日、PPC事務局）を直接確認した。この資料は改正法の4本柱それぞれについて、詳細を「政令」「委員会規則」「ガイドライン・Q&A」のどれで定めるかを一覧表にしたものだ。AI開発に直結する「統計作成等の特例」の行を見ると、次のように整理されている。

つまり「AI開発を含む統計作成等」に該当するかどうかの具体的な線引きは、政令ではなく委員会規則とガイドラインで決まる設計だ。同資料には、2026年9月以降の進め方として「委員会で分類・テーマごとに基本的な考え方を提示・議論→個人・事業者団体へのヒアリング→委員会規則等の条文案を提示・議論→パブリックコメント」という4段階のプロセスが示されている。本記事執筆時点（2026年8月27日）では、この最初の段階すら始まっていない。

附帯決議が釘を刺す2点──「AI研究開発の過度な萎縮」と識別禁止措置

衆議院が2026年5月21日に採択した附帯決議（「成立を受けた今後の取組について」資料で確認）は、政府に7項目の留意事項を求めている。そのうちAI開発に直接関わるのは次の2点だ。

二　欧州連合の一般データ保護規則をはじめとする諸外国の制度との整合性に留意し、我が国における人工知能（ＡＩ）開発等を含む研究開発及び事業活動が過度に萎縮することのないよう配慮すること。

三　ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合して特定の個人を識別することができないようにするための措置を確実に講ずること。また、統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意すること。

つまり国会は、政府に対して「AI開発を萎縮させすぎるな」という配慮と、「他情報との照合で個人が特定されないようにする技術的措置を確実にせよ」という要求の両方を、同じ附帯決議の中で並べて求めている。この2つの要請のバランスをどう規則に落とし込むかが、9月以降始まる委員会規則の策定プロセスの実質的な争点になりそうだ。

施行時期

PPC資料は施行期日について「原則として公布の日から起算して2年を超えない範囲内」と明記している。公布日は2026年7月17日のため、遅くとも2028年7月17日までには施行される計算になる。ただし、政令・規則・ガイドラインの整備状況によって、実際の施行日はこれより早まる可能性もある。

AI開発事業者にとっての実務的な意味

「統計情報等の作成」条項は、AI開発における学習データの取得・利用のハードルを下げる可能性がある一方、公表義務・目的外利用禁止・書面合意といった条件が課される設計になっている。「同意が不要になる＝何をしてもよい」わけではなく、委員会規則で定められる具体的な公表事項・対象範囲を踏まえた運用が前提になる。日本のAI規制の全体像は日本のAI規制2026、生成AIとプライバシー・個人情報の関係については生成AIに個人情報を入力して大丈夫？、AI倫理・バイアス・透明性の基礎はAI倫理 基本ガイドも参照してほしい。

改正条文の全文は読んでおらず、概要資料の範囲にとどまる

• 本記事はPPC公式サイトと、同委員会事務局が作成した概要資料（令和8年7月付）を一次資料としている。改正法の条文そのもの（新旧対照表を含む全文）までは読み込んでおらず、概要資料に記載された条項番号・要約の範囲での紹介にとどまる。
• 「統計情報等の作成」の具体的な対象範囲・公表事項の詳細は、2026年8月26日資料で「委員会規則・ガイドラインで定める」という振り分けまでは確認できたが、規則・ガイドラインの条文案自体はまだ存在しない（2026年9月以降に議論が始まる段階）。したがって具体的な線引きの中身は、本記事執筆時点では誰も確認できない状態にある。
• 課徴金の具体的な算定方法、命令の発動要件の詳細な運用基準は、本記事のソースには含まれていなかった。
• 「特定の個人に対する働きかけが可能となる情報」（柱3で言及される、個人情報ではないが不適正利用・不正取得が禁止される情報）の具体的な範囲（Cookieや広告IDを含むかなど）についても、本記事のソースでは断定できる記載が見当たらなかった。
• 法改正の実務対応は最終的に弁護士等の専門家への確認が必要であり、本記事は情報整理を目的とした一般的な解説にとどまる。