AI学習は「同意不要」へ。
勝負は、施行までの2年。

1. 「AI開発なら同意不要」という特例ができた

2026年7月10日、改正個人情報保護法が参議院本会議で可決・成立しました。企業や団体が保有する個人データを第三者に提供する場合、これまでは原則として事前に本人の同意が必要でした。改正法は、AIのデータ学習や統計の作成にのみ利用する場合に限り、この同意を不要とする特例を新設しています。病歴など特に慎重な扱いが求められる「要配慮個人情報」も、公開されているものであれば取得の対象に含まれます。

背景にあるのは、米国・中国に後れを取る国内AI開発への危機感です。AIの性能は学習するデータの量に大きく左右されるため、データを集めやすくして開発を後押しする狙いがあります。想定されている使い方の一つがヘルスケア領域で、病院・薬局・ヘルスケアアプリ事業者などからデータ提供を受け、個人ごとに整理したうえで生活習慣と疾患の因果関係を分析する——これまで同意の壁で難しかった分析が可能になります。

一方で、緩和とセットで課徴金制度が新設され、事後の取り締まりは強化されます。「事前規制を緩め、事後規制を強める」という構造への転換が、今回の改正の本質です。施行は2028年夏までの見通しで、細かい運用ルールは個人情報保護委員会がこれから策定する指針に委ねられています。

2. その改正の構造 — 緩和と強化はワンセット

今回の改正でいちばん誤解されやすいのは、「同意不要＝データを自由に使える」という読み方です。実際の構造は逆で、入口の同意を外す代わりに、使い方への縛りと違反時のペナルティを重くしています。

特例で提供を受けたデータは、AIの学習・統計の作成にしか使えません。課徴金は、提供元を欺いてデータを取得したような悪質事案（被害者1,000人以上）が対象で、違反行為で得た利益の全額が徴収されます。そして重要なのは、AI向け特例で入手したデータを別の目的で利用した場合も課徴金の対象になること。特例を使う企業自身が、新しいリスクを背負う設計です。

3. 経営者が判断すべき論点

この改正を「AI業界のニュース」として流すか、自社の2年後の打ち手として扱うか。経営者が決めるべき論点は次の3つです。

• 自社が保有する顧客データ・取引データを、施行後にAI・統計でどう活かすか。構想を持って施行を迎えるか、様子見で迎えるか
• 特例を使う前提となる「目的の管理」——どのデータを・どの根拠で・何に使っているかを追跡できる体制——を、自社でつくれるか
• 法的に許される使い方でも、顧客にそのまま説明できるか。「合法かどうか」と「顧客が納得するか」を分けて判断する基準を持つか

3つ目は軽視されがちですが、今回の改正は国会審議の段階から「病歴や犯罪歴まで同意なく提供できるのか」という批判が続いてきました。専門家の間でも、リスクに敏感な企業は当面様子見に回るという見方があります。法律が許すことと、顧客との信頼が許すことは別物。この線引きを自社で決めておくことが、施行後に迷わないための前提になります。

4. 現場で実行するための具体策

施行までの約2年は「待ち時間」ではなく準備期間です。指針の公表を待たずに着手できることが4つあります（下図）。施行日までは現行法がそのまま適用されるため、同意取得の省略を先取りすることはできません。その前提で、土台を整えます。

Step 01データと提供根拠の棚卸し

プライバシーポリシーの利用目的・第三者提供の条項を確認し、AI活用に関わるデータの流れが、現在どの根拠（本人同意・委託・匿名加工情報など）に基づいているかを一覧にします。施行後は「新特例」という選択肢が加わるため、いまの根拠を整理しておくことが全ての土台になります。どのデータがどこにあり、誰が管理しているかが曖昧な会社は、まずそこからです。

Step 02AIベンダー・委託先との契約の照合準備

今回の改正では、データ処理の委託を受けた事業者の適正取扱義務も見直されます。AIツールやSaaSの利用規約、業務委託契約のデータ取扱条項を洗い出し、指針が公表されたらすぐ照合できる状態にしておきます。学習データの取得根拠が「同意・委託・新特例」のどれに当たるかを、ベンダー選定時の確認項目に加えておくと、施行後の切り替えがスムーズです。

Step 03「目的の管理」を前提にしたガバナンス設計

特例データの目的外利用は課徴金の対象です。つまり、どのデータが・どの根拠で・何の目的に使われているかを追跡できる管理体制が、特例活用の前提条件になります。データごとに利用目的の異なる管理が求められるため、事務負担は増える方向です。台帳とルールを先に設計しておけば、この負担は仕組みで吸収できます。

Step 04指針・政令のウォッチ体制

特例に該当する「AI開発等」の線引き、課徴金の運用基準、施行日を定める政令。この3つは施行までに個人情報保護委員会から順次公表されます。公表のたびに自社の規程・契約への影響を確認する担当と頻度を決めておきます。四半期に一度、Step 01の棚卸し表と突き合わせるだけでも、施行日に慌てない状態を保てます。

5. 失敗しやすい落とし穴

• 施行前に同意取得を省略してしまう。特例が効力を持つのは施行日以降です。「法律が成立したから」と現時点で同意を省くと、現行法違反になります。
• 「同意不要＝自由に使える」と読む。特例はAI学習・統計作成への利用に限られ、目的外利用は課徴金の対象です。入口が開いた分、使い方の管理はむしろ厳しくなります。
• 指針が出るまで完全に止まる。線引きの詳細は指針待ちですが、棚卸しや契約整理は今日から可能です。様子見のまま2年を過ごすと、施行日から体制づくりを始めることになります。
• 強化された側の規制を見落とす。16歳未満の個人情報や顔特徴データの取り扱いは、今回むしろ規制が強化されます。緩和のニュースだけを見て、自社に関係する強化項目を確認しないのは危険です。

6. eapとしてどう支援するか

eapがAI活用の支援に入るときは、ツールの導入からではなく、事業の構造とデータの棚卸しから始めます。今回の改正への備えも同じで、「どのデータが・どの根拠で・何に使われているか」を見える化し、施行後にどのデータをAI・統計で活かせば事業価値になるかの構想づくりまでを、経営の伴走者として一緒に進めます。

体制づくりの実装段階では、グループ会社のラフノートと連携し、データ台帳の整備や利用目的を追跡できる管理の仕組み化まで巻き取ります。法律の詳細な解釈が必要な場面では、顧問弁護士など専門家との連携を前提に、経営判断に必要な論点を整理してお渡しします。

ルールが固まってから動くのではなく、施行までの2年を準備に使う。多くの企業が様子見に回るからこそ、先に土台を整えた会社に機会が集まります。

参考：個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案の閣議決定について」（2026年4月7日）。改正法は2026年7月10日に参議院本会議で可決・成立。本記事は2026年7月12日時点の公開情報に基づきます。施行日・運用基準は今後公表される政令・指針をご確認ください。