個人情報保護法の「令和8年改正」で何が変わろうとしているかAI開発の「統計作成」なら同意不要になる条文を読む

【更新 2026年9月25日】改正法の条文本体（附則を含む）と、個人情報保護委員会が9月9日・9月16日に新たに公表した資料を確認した。罰則の強化部分は2027年1月17日に先行施行されることが条文から確認できた一方、本記事の主題である「統計作成等の特例」は、9月25日に確認した範囲では、委員会が基本的な考え方を示す段階にまだ至っていない（9月9日資料のスケジュールでは9月下旬〜10月上旬の予定）。詳細は「罰則規定は半年早く施行される」「9月に議論は動き出したが、『統計作成等』はまだ順番が来ていない」の各章に追記した。

AI開発のために個人データを使う際、これまでは原則として本人の同意が必要だった。2026年7月17日に公布された改正個人情報保護法は、この前提の一部を変える。「統計情報等の作成にのみ使う」という条件を満たせば、本人同意を不要にする条文が新設された。個人情報保護委員会（PPC）が公表した公式資料から、条文レベルで内容を確認する。

改正までの経緯と日付

個人情報保護法には「3年ごと見直し規定」（令和2年改正法附則第10条）があり、施行状況を定期的に検討することが定められている。PPC事務局の資料によれば、今回の改正は次のスケジュールで進んだ。

8月26日の決定は、本記事執筆時点（2026年8月27日）のわずか1日前だ。改正法自体はすでに成立・公布済みだが、実務に関わる政令・委員会規則・ガイドラインの具体的な中身は、この8月26日の文書を起点に今まさに整備が進んでいる段階にある。

改正の趣旨

PPC事務局資料はこの改正の狙いをこう説明している。

「デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっている。これらを踏まえ、『データ利活用制度の在り方に関する基本方針』（令和7年6月13日閣議決定）等に基づき、個人の権利利益の適切な保護を図るとともに、AI活用にも資する円滑なデータ連携を促進するための所要の措置を講ずる。」

「保護」と「利活用（AI活用を含む）」の両方を進める、という位置づけだ。改正内容は4本柱に整理されている。

柱1：AI開発を含む「統計作成」なら同意不要に

最も実務的なインパクトが大きいのがこの条項だ。PPC資料はこう明記している。

「個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（※）にのみ利用される場合は本人同意を不要とする。※ 統計作成等であると整理できるAI開発等を含む。（第30条の2、第31条の3）」

つまり、Webスクレイピングなどで取得した公開データを含め、「統計情報等の作成」（AI開発を含む）にのみ使うことを担保できれば、本人の同意なしに要配慮個人情報を取得したり、第三者提供したりできるようになる。

ただし無条件ではない。PPC資料は「統計情報等の作成にのみ利用されることを担保するための規律」として、次を挙げている。

• 一定の事項の公表（取得者の氏名・名称、提供元・提供先、行おうとする統計情報等の作成の内容など）
• 「統計情報等の作成」のみを目的とした提供である旨の、提供元・提供先間の書面による合意（第三者提供の場合）
• 取得者・提供先は目的外の利用・第三者提供が禁止される

具体的な対象範囲・公表事項の詳細は、今後の委員会規則で定められる予定だ。

柱1のその他の緩和措置

同じ「適正なデータ利活用の推進」の柱には、他にも3つの緩和措置が含まれる。

1. 本人の意思に反しないことが明らかな取扱い：ホテル予約サイトが予約者情報をホテル側に提供する、送金元金融機関が送金先金融機関に情報を提供する、といった「契約履行に不可欠で本人の意思に反しないことが明らかな」第三者提供は、同意不要になる
2. 生命等保護・公衆衛生のための同意取得困難性要件の緩和：これまでは「本人の同意を得ることが困難であるとき」に限られていたが、「その他本人の同意を得ないことについて相当の理由があるとき」も対象に追加
3. 学術研究例外の対象拡大：「学術研究機関等」に医療の提供を目的とする機関・団体が含まれることを明示

柱2〜4：リスクベースの規律と課徴金の新設

残る3本柱は次の通りだ。

• 柱2（リスクに適切に対応した規律）：16歳未満の本人について法定代理人を対象にすることを明文化し、未成年者本人の最善の利益を優先考慮すべき責務規定を新設。顔特徴データ等について周知義務化・オプトアウト制度に基づく第三者提供の禁止も盛り込まれた
• 柱3（不適正利用等防止）：個人情報そのものではないが特定の個人への働きかけを可能にする情報（PPC資料は、特定の個人に連絡できる所在地・電話番号・メールアドレス・Cookie ID等の記述等を含む個人関連情報を対象に挙げる。改正法では「連絡可能個人関連情報」として定義）についても、不適正利用・不正取得を禁止。オプトアウト制度の提供先について身元・利用目的の確認を義務化
• 柱4（規律遵守の実効性確保）：命令の要件を見直し、違反行為を補助する第三者への是正要請の根拠規定を新設。個人情報データベース等の不正提供に関する罰則を強化し、詐欺行為等による不正取得への罰則も新設。そして、**重大な違反行為により個人の権利利益が侵害された場合等に、違反行為で得られた財産的利益等に相当する額の課徴金の納付を命ずる制度（第148条の3〜第148条の17）**が新設される

課徴金制度は、経済的な誘因のある大量の個人情報取扱いによる悪質な違反行為を実効的に抑止する目的だとPPC資料は説明している。個人情報保護法が罰則・課徴金という強制力のある仕組みを持つのに対し、AI向けの指針には法的拘束力を持たないものもある。たとえば総務省・経産省のAI事業者ガイドライン（第1.2版）は「プライバシー保護」を10の「共通の指針」の1つに掲げるが、本編は自らを「非拘束的なソフトロー」と位置づけており、罰則や課徴金で守らせる仕組みではない。

罰則規定は半年早く施行される──2027年1月17日、法律附則で確認

【2026年9月25日追記】施行期日は基本的に「公布から2年以内」だが、改正法の条文本体（令和8年法律第56号）の附則第1条は、この原則の但し書きとして3つの号で別の施行日を定めている。第1号・第2号は附則中の一部の規定（経過措置の政令への委任や、他の法律の改正）に関するもので、個人情報保護法の中身に関わるのは第3号だ。第3号は、第8章「罰則」の条項（改正後の第176条、第178条～第186条）の改正規定のほか、公示送達に関する第163条の改正規定などを挙げたうえで、「公布の日から起算して六月を経過した日」から施行すると定めている。公布日は2026年7月17日のため、この日は2027年1月17日になる。e-Gov法令検索の個人情報保護法の改正履歴にも、令和8年法律第56号による2027年1月17日施行分が登録されている。

条文と新旧対照表で確認した主な変更は次のとおり。事業者の役員・従業者等が業務で扱った個人情報データベース等を不正な利益を図る目的で提供・盗用する罪（改正前の第179条、改正後の第178条）は、法定刑が「1年以下の拘禁刑又は50万円以下の罰金」から「2年以下の拘禁刑又は100万円以下の罰金」に引き上げられ、「本人その他の者に損害を加える」目的も対象に加わる。新設の第180条は、人を欺く・暴行・脅迫、財物の窃取、施設への侵入、不正アクセス行為などによって個人情報を取得した者を「2年以下の拘禁刑又は100万円以下の罰金」とする（不正取得罪）。これらは改正法全体の施行を待たず、2027年1月17日から先行して効力を持つ。

一方、課徴金制度（第148条の3〜第148条の17）はこの先行施行の対象に含まれていない。附則第1条第3号が列挙する改正規定に第148条台の条文は無く、附則第8条も課徴金の規定（第148条の3〜第148条の16）を「施行日以後に行われた」課徴金対象行為に適用すると定めている。課徴金制度は他の大半の規定と同じ「原則2年以内」のルールに従う。罰則と課徴金は同じ柱4に並ぶが、施行時期は別々に設計されている。

8月26日資料で判明──「統計作成等の特例」の詳細は政令ではなく委員会規則で決まる

冒頭の「改正までの経緯と日付」で触れた「政令・規則等で定める事項の全体像」（2026年8月26日、PPC事務局）を直接確認した。この資料は改正法の4本柱それぞれについて、詳細を「政令」「委員会規則」「ガイドライン・Q&A」のどれで定めるかを一覧表にしたものだ。AI開発に直結する「統計作成等の特例」の行を見ると、次のように整理されている。

つまり「AI開発を含む統計作成等」に該当するかどうかの具体的な線引きは、政令ではなく委員会規則とガイドラインで決まる設計だ。同資料には、2026年9月以降の進め方として「委員会で分類・テーマごとに基本的な考え方を提示・議論→個人・事業者団体へのヒアリング→委員会規則等の条文案を提示・議論→パブリックコメント」という4段階のプロセスが示されている。本記事執筆時点（2026年8月27日）では、この最初の段階すら始まっていない。

【2026年9月25日追記】9月に議論は動き出したが、「統計作成等」はまだ順番が来ていない

その後、個人情報保護委員会は2026年9月9日、上記4段階プロセスの「当面のスケジュールのイメージ」を決定した（「政令・規則・ガイドライン等の整備に関する今後の進め方について」）。それによると、改正法の分類・テーマは「基本的考え方①〜③」として複数回に分けて議論される設計で、9月中旬の①に「子供」「顔特徴データ」「本人関与に関する規律」、9月下旬〜10月上旬の②に「統計作成等」「委託先」「漏えい等」、10月中旬の③に「連絡可能個人関連情報」「オプトアウト」「課徴金」が割り当てられ、2027年1月以降に意見募集（パブリックコメント）を行うイメージが示されている（資料の見出しは「当面のスケジュールのイメージ」で、確定したスケジュールではない）。

実際、9月16日の第369回委員会では「政令・規則の整備に向けた基本的な考え方について①」が決定・公表された。この資料が挙げる検討項目は、目的外利用・要配慮個人情報取得・第三者提供に関する規律（本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱い等）、子供の個人情報の取扱い、顔特徴データ等の3項目で、本記事の主題である「統計作成等の特例」は検討項目に入っていない（資料内の「全体像との関係」の表に行として載っているだけで、基本的な考え方は示されていない）。2026年9月25日に個人情報保護委員会の改正法ページ（令和8年9月16日更新が最新）と委員会開催状況のページ（9月16日の第369回が最新）を確認した範囲では、「統計作成等」を扱う基本的考え方②に相当する資料はまだ公表されていない。つまり「AI開発を含む統計作成等」の具体的な線引きは、議論の順番（②）が決まった段階にとどまり、中身の検討はこれからだ。スケジュール上は9月下旬〜10月上旬に議論が始まる想定なので、次の動きが出るとすればここになる。

附帯決議が釘を刺す2点──「AI研究開発の過度な萎縮」と識別禁止措置

衆議院が2026年5月21日に採択した附帯決議（「成立を受けた今後の取組について」資料で確認）は、政府に7項目の留意事項を求めている。そのうちAI開発に直接関わるのは次の2点だ。

二　欧州連合の一般データ保護規則をはじめとする諸外国の制度との整合性に留意し、我が国における人工知能（ＡＩ）開発等を含む研究開発及び事業活動が過度に萎縮することのないよう配慮すること。

三　ＡＩ開発等を含む統計作成等の取扱いについては、他の情報と照合して特定の個人を識別することができないようにするための措置を確実に講ずること。また、統計作成等の概念が限定的に解釈され、実質的な適用範囲が狭められることのないよう留意すること。

つまり国会は、政府に対して「AI開発を萎縮させすぎるな」という配慮と、「他情報との照合で個人が特定されないようにする技術的措置を確実にせよ」という要求の両方を、同じ附帯決議の中で並べて求めている。この2つの要請のバランスをどう規則に落とし込むかが、9月以降始まる委員会規則の策定プロセスの実質的な争点になりそうだ。

施行時期

PPC資料は施行期日について「原則として公布の日から起算して2年を超えない範囲内」と明記している。公布日は2026年7月17日で、公布日を1日目として数える2年の期間は2028年7月16日に満了するため、遅くとも同日までには施行される計算になる（【2026年9月25日訂正】初出時は「2028年7月17日まで」としていた。e-Gov法令検索の改正履歴でも、この法律の本体部分は「公布の日から起算して二年を超えない範囲内において政令で定める日」という注記付きで、その上限にあたる2028年7月16日の日付で登録されている）。本記事の主題である「統計情報等の作成」の特例（第30条の2、第31条の3）はこの原則ルールの対象で、附則第1条第3号が挙げる先行施行の改正規定には含まれていない。政令・規則・ガイドラインの整備状況によって、実際の施行日はこれより早まる可能性がある。

一方、前述のとおり罰則の強化部分は例外で、2027年1月17日に先行施行される（詳細は「罰則規定は半年早く施行される」の章）。課徴金制度は先行施行の対象外で、統計作成等の特例と同じ原則ルールに従う。

AI開発事業者にとっての実務的な意味

「統計情報等の作成」条項は、AI開発における学習データの取得・利用のハードルを下げる可能性がある一方、公表義務・目的外利用禁止・書面合意といった条件が課される設計になっている。「同意が不要になる＝何をしてもよい」わけではなく、委員会規則で定められる具体的な公表事項・対象範囲を踏まえた運用が前提になる。日本のAI規制の全体像は日本のAI規制2026、生成AIとプライバシー・個人情報の関係については生成AIに個人情報を入力して大丈夫？、AI倫理・バイアス・透明性の基礎はAI倫理 基本ガイドも参照してほしい。AIチャットの提供会社が利用者の入力内容をどこまで見られると規約に書いているかはAIに打った内容は誰が見られるのか、中国系AIラボがデータの保存先や運営法人を規約でどう書いているかは中国系AIラボの規約を原文で読むも参照してほしい。

改正条文の全文は読んでおらず、概要資料の範囲にとどまる

• 本記事はPPC公式サイトと、同委員会事務局が作成した概要資料（令和8年7月付）を一次資料としている。改正法の条文そのもの（新旧対照表を含む全文）までは読み込んでおらず、概要資料に記載された条項番号・要約の範囲での紹介にとどまる。【2026年9月25日追記】9月の更新で、条文本体（令和8年法律第56号）のうち附則（施行期日を定める第1条、経過措置の第2条・第3条・第8条など）と、第8章「罰則」の改正部分（新旧対照表の該当箇所を含む）は直接読んだが、それ以外の改正条文の全文は依然として読み込んでおらず、この限定は残る。
• 「統計情報等の作成」の具体的な対象範囲・公表事項の詳細は、2026年8月26日資料で「委員会規則・ガイドラインで定める」という振り分けまでは確認できたが、規則・ガイドラインの条文案自体はまだ存在しない（2026年9月以降に議論が始まる段階）。したがって具体的な線引きの中身は、本記事執筆時点では誰も確認できない状態にある。【2026年9月25日追記】9月9日・9月16日の委員会資料を確認したが、「統計作成等」は9月9日資料のスケジュールで②（9月下旬〜10月上旬）に割り当てられた段階で、9月25日に確認した範囲では基本的な考え方はまだ示されておらず、この状態は変わっていない。
• 課徴金の具体的な算定方法、命令の発動要件の詳細な運用基準は、本記事のソースには含まれていなかった（改正法第148条の3は課徴金の額を「政令で定める方法により算定した額」としており、8月26日資料も算定方法を政令事項に振り分けている）。
• 「特定の個人に対する働きかけが可能となる情報」（柱3で言及される、個人情報ではないが不適正利用・不正取得が禁止される情報）について、【2026年9月25日訂正】初出時は「Cookieや広告IDを含むかなど、本記事のソースでは断定できる記載が見当たらなかった」と書いたが、これは誤りだった。初出時から出典にしていたPPC資料（令和8年7月）は、対象を「特定の個人の所在地（住居、勤務先等）、電話番号、メールアドレス、Cookie ID 等の記述等（これを利用して特定の個人に対して連絡を行うことができるものに限る。）が含まれる個人関連情報等」と明記している。改正法の条文では「連絡可能個人関連情報」（改正後の第2条第8項）として定義され、第5号で「個人情報保護委員会規則で定めるもの」も対象に加えられるため、細部は委員会規則で決まる。「広告ID」という語は、今回確認した資料には出てこない。
• 法改正の実務対応は最終的に弁護士等の専門家への確認が必要であり、本記事は情報整理を目的とした一般的な解説にとどまる。