個人情報保護法2026年改正と生成AI【最新】課徴金・AI学習の同意緩和で実務はどう変わる

個人情報保護法の2026年（令和8年）改正法は、2026年7月10日に参議院で可決・成立しました。公布は7月下旬の見込みで、施行は公布から2年を超えない範囲で政令が定める日（最長で2028年ごろ）です。生成AI実務で押さえる要点は3つあります。第一に、課徴金制度を初めて導入し、不適正利用など悪質・重大な違反は「違反で得た利益相当額」を徴収される仕組みができました。第二に、「統計作成・AI開発目的なら本人同意不要」の緩和は、データを提供する側への特例であり、企業が業務で生成AIに個人情報を入力してよくなったわけではありません。第三に、顔認証などの生体情報と16歳未満の保護は強化されました。

つまり実務対応の軸は、同意緩和を拡大解釈せず、入力ルール・権限管理・ログを整えることに尽きます。「成立＝即施行」でも「同意緩和＝自由入力」でもない、という2つの誤解を避けるだけで、多くの現場対応は方向を誤りません。

当メディアは特定の法律事務所・AIベンダー・製品と利害関係を持たず、いずれかを勝者にする構図はとりません。同意緩和のメリット（データ利活用の推進）と懸念（要配慮個人情報の同意なし提供・匿名化義務なし・団体訴訟制度の不採用など）を同じ粒度で併記します。本記事は一般的な解説であり、個別事案は弁護士・個人情報保護委員会への確認を前提とし、自社サービスへの送客は行いません。

要点サマリ（2026-07-18時点・成立版と弁護士解説の横断整理）

• 改正法は2026年7月10日成立。施行は公布から2年以内（最長2028年ごろ）で、対応猶予がある。
• 課徴金は不正な取得・不適正な利用や、本人同意のない違法な第三者提供といった悪質・重大な違反が対象。漏えいそのものは直ちには対象外とされる。
• AI学習の同意不要特例は「提供する側」への緩和。業務で生成AIに個人情報を入力する規制は継続する。
• 顔特徴データ等の生体情報と16歳未満は保護強化。緩和と強化の両面（アクセルとブレーキ）が同居した改正。

個人情報保護法2026年改正とは？成立・施行と全体像（改正前/改正後 早見表）

改正の経緯と施行スケジュール（閣議決定→衆院可決→2026年7月10日成立→公布→施行）

改正法は段階を踏んで成立しました。時系列では、2026年4月7日に閣議決定、5月26日に衆議院で可決、7月10日に参議院本会議で可決・成立という流れです。公布は7月下旬が見込まれ、施行は公布の日から2年を超えない範囲で政令が定める日、最長で2028年ごろまで猶予がある計算です。

ここで押さえるべきは「成立＝即施行ではない」という点です。施行日は政令で定まり公布後に前倒しの可能性もあるため、成立を準備の起点と捉えるのが実務的です。

今回の改正は個人情報保護法の「3年ごと見直し」の一環です。より広い規制の潮流は、日米欧を俯瞰した生成AI規制の国際比較や国内指針である経産省のAIガイドライン解説とあわせて捉えると位置づけが明確になります。

【独自比較表】個人情報保護法 改正前/改正後 早見表（6軸）

主な変更点を6軸で対照すると次のとおりです。単体で切り出されても意味が通るよう、各軸を1行で自己完結させています。

軸	改正前	改正後（2026年成立版）
課徴金	制度なし（命令違反等の罰則が中心）	不適正利用・不正取得・違法な第三者提供等の悪質・重大な違反に対し「違反で得た利益相当額」を徴収する課徴金を新設
AI学習・統計目的の同意	目的外利用・第三者提供に原則本人同意が必要	統計作成・AI開発目的にのみ利用される場合、提供・取得に本人同意不要の特例
要配慮個人情報の取扱い	取得に原則本人同意が必要	統計・AI開発特例の範囲では病歴・信条等も同意なく取得・提供可
生体情報の位置づけ	明確なカテゴリなし	顔特徴データ等を「特定生体個人情報」として周知義務・オプトアウト提供禁止
16歳未満の同意	個別規定が明確でない	同意取得等の対象を法定代理人とすることを明文化
施行時期	―	公布から2年を超えない範囲で政令が定める日（最長2028年ごろ）

出典: 個人情報保護委員会の改正方針・改正法案（2026-07-10成立版）、三宅法律事務所・GVA法律事務所・abe-legalの弁護士解説（参照2026-07-18）。

「アクセルとブレーキ」両面改正の狙い（データ利活用推進×執行強化の4本柱）

今回の改正は、データ利活用を進める「アクセル」と規律を強める「ブレーキ」が同居する点に特徴があります。全体像は4本柱で整理できます。第一は統計特例による同意義務の免除などデータ利活用を推進する規制緩和、第二は子ども・生体情報・委託先に関する規律の整備という保護強化、第三は個人関連情報の不適正利用防止と第三者提供時の確認義務化、第四は課徴金導入や命令要件の見直しなど法の実効性を確保する執行強化です。緩和と強化が同時に走るため、一面的に「緩くなった／厳しくなった」とはいえません。

課徴金制度の新設で生成AI実務のリスクはどう上がるか

課徴金の対象となる4類型と算定方法（違反で得た利益相当額）

課徴金制度は今回の改正で初めて導入されました。対象は無限定ではなく、不適正な利用の禁止違反・不正の手段による取得（適正取得違反）・本人同意のない第三者提供の制限違反といった悪質・重大な違反に絞られます。算定は、違反行為で得た利益に相当する額を国庫に納付させるという考え方です。

弁護士解説では、運用上「対象者が1,000人を超えるような重大・悪質な事案に絞られる」との見立てが示されています。ただしこれは解説上の見解であり、実際の適用範囲は個人情報保護委員会の運用によって定まります。この課徴金は景品表示法や独占禁止法の課徴金とは別制度として新設されたものです。生成AI実務の観点では、違法な学習用データの提供や目的外利用が大規模に行われた場合、金銭的ペナルティのリスクが従来より一段上がったと理解するのが妥当です。

出典: 三宅法律事務所・個人情報保護委員会検討会資料（参照2026-07-18）。

漏えい事故そのものは直ちには課徴金対象ではない、という誤解しやすい点

課徴金の新設をめぐって生じやすい誤解が、「情報漏えいを起こしたら即座に課徴金」というものです。弁護士解説によれば、安全管理措置の不備による情報漏えいそのものは、直ちには課徴金の対象ではないとされます。対象はあくまで不正な取得・違法な第三者提供・目的外利用といった悪質な行為です。

ただし切り分けには注意が必要です。意図的に個人データを学習用として違法に提供した行為が第三者提供の制限違反と判定されれば、大規模事案では対象になりうると考えられます。漏えい対策そのものは生成AIのセキュリティリスクで扱う安全管理措置の領域で、課徴金リスクとは論点が異なります。

出典: 三宅法律事務所解説（参照2026-07-18）。

AI学習の「同意不要」緩和の正体——誰の・何のための緩和か

統計作成・AI開発目的の同意不要特例とは（要配慮個人情報も対象・提供元への条件）

今回もっとも報道された緩和が、統計作成・AI開発目的の同意不要特例です。個人データが統計作成やAI開発の目的にのみ利用される場合、その第三者提供や、病歴・犯罪歴・信条などの要配慮個人情報の取得について、本人の同意が不要になるという内容です。

重要なのは、この特例が「データを提供する側への条件緩和」だという点です。用途がAIモデルや統計を作る目的に限定されているからこそ、本人同意なしの提供・取得が認められる構造です。この範囲の理解が次の誤解を避ける前提になります。

出典: 三宅法律事務所解説・成立報道（参照2026-07-18）。

【重要】「生成AIに個人情報を入れてよくなった」は誤解——業務入力の規制は継続

もっとも解消したい誤解が、「同意緩和によって、生成AIに個人情報を自由に入力してよくなった」というものです。結論から言えば誤りです。企業が業務でChatGPT等の生成AIに個人情報を入力する行為は、改正後も、利用目的の特定・目的外利用の禁止・第三者提供規制・海外提供に関する同意の対象であり続けます。

同意不要の特例はあくまで「統計作成・AI開発目的で個人データを提供する場面」の話であり、日常業務でプロンプトに個人情報を打ち込む行為とは別の論点だからです。業務入力は多くの場合、当初特定した利用目的の範囲内か、外部AIサービスへの提供に当たらないか、海外事業者への提供に該当しないか、といった従来の規律で判断されます。緩和されたのは提供側の一部場面であって、入力ルールが緩くなったわけではありません。具体的なルールづくりは生成AIの社内利用ルールの運用設計とあわせて整えるのが実務的です。

出典: 生成AI入力の実務区別に関する弁護士解説（参照2026-07-18）。

緩和をめぐる懸念点（病歴・信条の同意なし提供・匿名化義務なし・団体訴訟不採用）

中立性を保つため、緩和のメリットだけでなく懸念点も同じ粒度で示します。指摘されている主な懸念は4つです。第一に、病歴・信条などの要配慮個人情報も、統計・AI開発目的であれば同意なく提供できるようになる点。第二に、提供にあたり氏名の匿名化を義務づける規定がない点。第三に、提供先が海外企業や個人事業主であっても提供が可能になりうる点。第四に、消費者団体による差止を可能にする団体訴訟制度が今回は採用を見送られた点です。

これらは、データ利活用とAI開発を推進するメリットの裏側にある論点として報じられています。恩恵と懸念を併せて認識したうえで、自社のデータ提供・利用の是非を慎重に判断することが求められます。

出典: 朝日新聞・日経xTECHの成立報道（参照2026-07-18）。

生体情報・16歳未満ほか 保護が強化された点

特定生体個人情報（顔特徴データ等）の新ルール（周知義務・オプトアウト提供禁止）

保護が強化された代表例が、顔特徴データ等の生体情報です。改正では、顔認証などに用いる顔特徴データ等を「特定生体個人情報」として新たに位置づけ、取扱いに関する一定事項の周知義務化、利用停止等の請求要件の緩和、オプトアウト制度による第三者提供の禁止という規律を設けました。

これは、顔認証・入退室管理・防犯カメラ・マーケティング目的の顔認識などを運用する事業者に直接影響します。従来はオプトアウト手続きで可能だった第三者提供が禁止される方向のため、生体データを扱う事業者は取得・利用・提供のフローを施行までに点検する必要があります。生成AIで顔画像・生体データを扱う場合も、この規律を前提に設計を見直すことが求められます。

出典: abe-legal・GVA法律事務所の解説（参照2026-07-18）。

16歳未満の子どもの保護と個人関連情報の規律強化

子どもの保護も強化されました。本人が16歳未満の場合、同意取得等の対象を法定代理人とすることが明文化され、保有個人データの利用停止等の請求要件も緩和されています。子ども向けサービスや、年齢を問わず個人情報を取得するサービスを提供する事業者は、年齢確認と同意取得のフローを見直す論点が生じます。

あわせて個人関連情報の規律も強化されました。不適正な利用の禁止や第三者提供時の確認義務の強化が盛り込まれ、単体では個人を特定しない情報でも、提供先で個人データと突合されうる場合の取扱いに注意が必要です。

出典: GVA法律事務所・BUSINESS LAWYERSの解説（参照2026-07-18）。

生成AIに個人情報を入れてよいか【場面別 可否判定】と施行までの実務準備

【独自判定チャート】自社利用/API学習利用/第三者提供/海外提供の場面別 可否

実務でもっとも問われるのが「結局、生成AIに個人情報を入れてよいのか」です。改正後も判断軸は場面ごとに分かれます。次の判定表は、断片的に切り出されても判断軸が伝わるよう、4場面と確認すべき根拠を1行ずつにまとめたものです。

場面	想定例	主に確認すべき根拠	目安
A. 自社完結利用（学習に使われない設定）	学習不使用を保証した法人向けプラン等で自社内処理	当初特定した利用目的の範囲内か	目的内なら可・目的外は要見直し
B. 入力が学習に使われる利用	入力が提供元の学習に利用される設定・無償版等	目的外利用・第三者提供に当たらないか	原則慎重・本人同意や設定変更を検討
C. 外部への第三者提供に当たる利用	個人データを外部に渡す構図になる利用	第三者提供規制・本人同意の要否	原則本人同意等の根拠が必要
D. 海外AIサービスへの入力	海外事業者のAIに個人情報を入力	外国にある第三者への提供の同意等	原則本人同意・体制確認が必要

出典: 三宅法律事務所・GVA法律事務所・abe-legal等の弁護士解説の横断整理（参照2026-07-18）。

施行（最長2028年ごろ）までに企業が準備すべきこと

施行まで猶予がある今こそ準備を進める好機です。優先度の高い準備事項は5つです。第一に、生成AIへの個人情報入力ルールの策定（何を入力してよく何を禁止するかの明文化）。第二に、利用目的の特定と見直し（生成AI利用が既存の利用目的の範囲内かの点検）。第三に、アクセス権限管理とログ取得（誰がどのデータを入力したか追える体制）。第四に、委託先・海外サービスの点検（提供形態と提供先の棚卸し）。第五に、課徴金リスクを踏まえた社内教育です。

ルールの具体的な落とし込みは生成AIの社内利用ルール、著作権面の論点は生成AIと著作権の実務とあわせて設計すると抜け漏れが減ります。

まとめ

個人情報保護法の2026年改正は7月10日に成立し、施行は公布から2年以内（最長2028年ごろ）です。押さえるべきは課徴金の新設・AI学習の同意緩和・生体情報や16歳未満の保護強化の3点で、「成立＝即施行」でも「同意緩和＝生成AIへの自由入力」でもない、という2つの誤解を避けることが実務の出発点になります。

課徴金は不正取得・違法な第三者提供等の悪質事案が対象、同意緩和は提供する側への特例であって業務入力の規制は継続、生体情報と子どもはむしろ保護強化——この整理を踏まえ、施行までに入力ルール・権限管理・ログを整えることが現実的な対応です。本記事は一般的な解説であり、個別の判断は弁護士や個人情報保護委員会に確認してください。

---

規制の全体像から実務への落とし込みまでは、生成AI規制の国際比較で日米欧の枠組みを俯瞰し、経産省のAIガイドライン解説で国内指針を押さえ、生成AIのセキュリティリスクと生成AIの社内利用ルールで漏えい対策と入力統制を整える流れで続けて確認できます。