AI開発に個人情報が同意なしで使われる？改正法が動き出す時期と、いま止められること

「AI開発に個人情報、同意不要に」という見出しが7月半ばに一斉に流れました。健康アプリに残した記録や、SNSに上げた家族の写真が明日から学習に回るのかと落ち着かない気持ちになった方もいると思います。条文にあたると、同意が要らなくなるのは統計をつくる目的に絞った特例で、中身の大半は今後の委員会規則に委ねられています。本体の施行も公布から2年以内、遅ければ2028年の夏まで動きません。いま確認する先は、利用中サービスの規約より個人情報保護委員会が出す政令と規則のほうです。

「同意なし」が指すのは統計をつくる場面に限られる

改正法に新設されたのは「統計作成等の特例」と呼ばれる規定です。改正法2条13項は統計作成等を、大量の情報から要素にあたる情報を抜き出して分類・比較などの解析を行い、その大量の情報の傾向や性質にあたる情報を作る行為、と定義しました。そして作られる傾向情報からは「個人に関する情報であるもの」が明確に除かれます。

条件は二段構えになっています。入口では大量データをまとめて傾向を取り出す作業であること、出口ではできあがったものが特定の誰かを指していないこと。片方でも欠ければ特例には乗りません。

同意が不要になる場面も無制限ではなく、条文で三つに限定されました。要配慮個人情報の取得（改正法30条の2第1項）、個人データの第三者提供（同条5項）、個人関連情報の第三者提供（改正法31条の3第1項）です。手元にある個人データを自社の中で好きな目的に使い回してよくなった、という改正ではありません。

事業者側の負担も軽くありません。特例を使う事実と統計作成等の内容を公表し続ける義務があり、データを渡す側と受け取る側では書面による取り決めが必須です。公表した範囲を超えた利用は禁止され、受け取ったデータをさらに別の相手へ渡す二段階目の提供もできません。この枠組みを外れれば特例の根拠そのものが消えます。

では生成AIの学習は含まれるのか。個人情報保護委員会の説明では、統計作成等にAI開発は含まれるとされています。条件は同じで、学習済みモデルから特定の個人との対応関係が排除されている必要があります。学習に使ったデータの一部を出力にそのまま吐き出すようなモデルだと、傾向情報だけを作ったとは言えません。衆議院の審議でもこの特例には付帯決議が付き、線引きは委員会規則とガイドラインに持ち越されました。「生成AIの学習が全部許された」と読むのは早すぎます。

動き出す時期は一つではない

改正法は2026年7月10日に成立し、17日に公布されました。公布は「決まった」という段階で、ルールが働き始める日とは別です。

施行日は分かれています。本体部分は公布日から2年を超えない範囲内で政令が定める日。政令はまだ出ていないため、遅い場合は2028年7月まで動きません。罰則に関する一部は公布から6か月を経過した日で、こちらは2027年1月中旬にあたります。

実務上の遅れもあります。統計作成等の定義には「個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」という限定が付いており、規則がなければ事業者は特例を使えません。公表すべき項目の具体的な中身も規則待ちです。委員会が規則案をパブリックコメントにかける時期が、実質的なスタートラインになります。

自分のデータがいつから対象になるのかを気にするなら、追う先は各社のプライバシーポリシー更新ではなく、個人情報保護委員会のサイトに出る政令と規則です。ポリシー改定の通知メールが届くのは、その後になります。

顔の特徴データと16歳未満だけは逆方向に動いた

規制が緩んだ部分ばかり報じられましたが、締まった部分もあります。

一つが顔の特徴データです。改正法は「特定生体個人情報」という区分を新設し、顔の骨格、皮膚の色、目や鼻や口の位置と形状から抽出した特徴データを対象にしました。写真そのものではなく、そこから機械が読み取った数値のほうを指します。

扱いは三方向で強化されました。取り扱う前に、事業者の名称、取り扱う事実、利用目的、身体的特徴の内容を本人へ通知する義務が加わります（改正法21条の2）。オプトアウト方式での第三者提供、つまり「嫌なら申し出てください」と告知したうえで渡す方式は使えなくなりました。そして本人は、事業者に違法な点がなくても利用停止・消去・第三者提供の停止を請求できます（改正法35条7項・8項）。

現行法の利用停止請求は、目的外利用や不正取得といった違法性がある場合に限られていました。この縛りが外れる変化は小さくありません。店舗の顔認証カメラや、イベント会場の入場管理に不安があるとき、事業者の落ち度を立証しないまま「止めてください」と言えるようになります。

16歳未満についても方向は同じです。同意や通知の相手方を法定代理人に読み替える規定が入り（改正法40条の2）、保護者の側から利用停止・消去・第三者提供の停止を違法性の要件なしに請求できます（改正法35条9項・10項）。事業者には、未成年者の最善の利益を優先して考慮したうえで権利利益を害さないよう必要な措置を取る努力義務も課されました（改正法58条の3第1項）。

子ども向けの学習アプリやゲームで、いつの間にか広告配信用のデータが積み上がっていた。そうした場面で保護者が動きやすくなる改正です。

自分の記録を種類ごとに見ていく

抽象的な話が続いたので、手元にありそうなものに引き直します。

通院履歴・検査値・服薬記録

病歴は要配慮個人情報にあたります。統計特例の枠に入れば、取得の場面で本人同意が要らなくなる余地があります。前提として成果物が個人を指さないことが求められるので、カルテがそのまま外部へ流れる話ではありません。医療分野には次世代医療基盤法という別の仕組みもあり、こちらは認定を受けた事業者を通じた加工が前提です。両者を混ぜた説明が出回っているので、読むときに注意が要ります。

SNSに上げた顔写真

写真データそれ自体は特定生体個人情報ではありません。顔から特徴量を抽出した段階で、抽出後のデータが対象になります。使っているサービスが顔認識機能を持っているかどうかで扱いが変わるため、設定画面でタグ付け候補や顔認識の項目をオフにできるか見ておくと状況をつかみやすくなります。

購買履歴・位置情報・アプリの利用ログ

統計特例に最も乗りやすい種類です。傾向の分析に使いやすく、成果物を個人と結びつかない形へ落としやすいためです。同意なしの第三者提供が現実味を帯びるのはこのあたりで、報道が想定していた中心もここでした。

子ども名義のアカウント

保護者の権利が強くなった領域です。年齢を偽って登録していると、事業者が16歳未満と認識できず保護規定が働きません。登録した生年月日が実際の年齢と合っているか、この機会に見ておくといいです。

使ってほしくないときに、どこへ何を言うか

順番があります。いきなり監督官庁へ連絡しても、まず事業者に請求してくださいと案内されます。

最初は事業者の公表内容を見ます。統計特例を使うなら公表が要件なので、プライバシーポリシーか専用ページに統計作成等の内容が書かれているはずです。何も書かれていなければ、その事業者は特例を使っていません。

次に、問い合わせ窓口へ利用停止・消去・第三者提供の停止を請求します。顔の特徴データと16歳未満の本人データについては、違法性を示す必要がありません。それ以外のデータでは、これまでどおり目的外利用や不正取得などの事情を伝えることになります。

費用の目安も押さえておきます。保有個人データの開示請求については、事業者が実費の範囲内で手数料を定められると法38条が認めており、数百円から千円台を設定している会社があります。利用停止や第三者提供停止の請求に手数料の定めはなく、無料で受け付ける運用が通常です。

請求しても止まらない場合があります。改正法は、多額の費用を要するなど請求への対応が困難なとき、本人の権利利益を保護するための代替措置を取ることで足りるとしました。「代わりに社内で閲覧制限をかけました」という回答が返ってくる可能性がある、ということです。

事業者とのやり取りで解決しないときの相談先が、個人情報保護委員会の相談窓口です。委員会は事業者への勧告・命令を出せ、改正で課徴金制度も入りました。課徴金は国が徴収する制裁なので、相談した本人にお金が支払われる仕組みではありません。金銭的な回復を求めるなら民事の話になります。

止められない範囲も知っておくほうがいいです。統計特例で提供され、すでに傾向情報へ溶けたあとのデータから、自分の分だけをあとで抜き出すことはできません。学習済みモデルから特定個人の寄与を消す義務も条文には書かれていません。請求は早いほど効きます。

気にしたほうがいい人、ほとんど変わらない人

影響が出やすいのは次のような立場です。

• 顔認証で入退場する職場や施設を日常的に使っている人
• 子ども名義のアカウントを管理している保護者
• 健康・医療系のアプリに詳しい記録を入れている人
• 会員名簿や顧客データを扱う小規模事業者、フリーランス（提供する側にもなる）

ふだんのネット利用が検索・買い物・動画視聴中心という場合、体感できる変化はほとんどありません。購買履歴や閲覧ログの分析利用は、改正前から匿名加工情報や仮名加工情報の枠組みで行われてきました。統計特例はその手続きを軽くする性格が強く、まったく新しい利用が始まるわけではないためです。

年齢で言えば、16歳未満の子どもがいる家庭が最も動きの大きい層です。成人だけの世帯で顔認証サービスを使っていないなら、施行まで様子を見る判断でかまいません。

施行までにやっておくと後で楽なこと

2年近い猶予があるので、一度に片づける必要はありません。手が空いたときに一つずつ進めれば足ります。

使っているサービスの棚卸しから始めます。過去に登録して放置しているアカウントほど、退会の手続きが面倒になります。退会でデータが消えるのか、それとも一定期間保管されるのかは規約に書かれているので、そこを見て判断します。

顔認識まわりの設定確認も、施行前にやっておく価値があります。写真アプリやSNSの顔認識機能は、多くの場合オフにできます。オフにした時点以降の抽出を止められるので、早いほど残る量が減ります。

子どものアカウントは生年月日の登録を確認します。実年齢どおりに登録されていれば、16歳未満向けの保護規定が働きます。家族共有のアカウントで子どもが使っている場合、名義上は成人扱いになる点にも注意が要ります。

制度そのものを追いたい場合、個人情報保護委員会のサイトで新着情報を見ておくといいです。委員会規則案のパブリックコメントは誰でも意見を出せます。意見募集の期間は30日前後が通例で、公表と同時に締切が示されます。

報道を読んで混ざりやすい話

成立直後の記事を並べて読むと、いくつか話が混ざっています。

「病歴も同意なしで提供できるようになる」という説明。正確には、統計作成等の特例の枠内で、公表と書面合意という条件を満たした場合の取得・提供です。無条件ではありません。

「AI法で決まった」という書き方も見かけます。AI関連の法整備と個人情報保護法は別の法律で、今回動いたのは後者です。事業者向けのAIガイドラインとも系統が違います。

海外の制度と混ざることもあります。欧州のGDPRには忘れられる権利や高額の制裁金があり、日本の課徴金制度と似た説明がされがちですが、要件も金額の算定も別物です。日本の課徴金は違反した事業者に課すもので、対象や算定方法は施行に向けて詰められている最中です。

もう一つ。「オプトアウトが廃止された」という要約も正確ではありません。オプトアウト方式そのものは残ります。変更点は、特定生体個人情報が対象から外れたことと、提供先の身元と利用目的の確認が義務づけられたことです。

参考資料

• 個人情報保護委員会（政令・委員会規則・ガイドラインの公表元。改正法の施行日はここで確認できます）
• 個人情報保護委員会「法令・ガイドライン等」
• e-Gov法令検索「個人情報の保護に関する法律」（条文の現行版）
• 個人情報保護委員会の相談窓口（事業者への請求が通らない場合の相談先）

条文番号と施行日は、政令・委員会規則の公表によって具体化されます。本記事は2026年7月時点の公表内容にもとづくもので、規則案が示された段階で扱いが変わる部分があります。事業者へ請求する前に、委員会サイトの最新情報を一度見ておくと確実です。