個人情報保護法の令和8年改正、課徴金とAI学習特例を顧問先に説明する7論点

令和8年改正個人情報保護法とは、課徴金の導入と利活用の特例を柱とする改正のことです。

顧問先の資料を生成AIに入れてよいか。この問いに事務所として答えを持っているでしょうか。令和8年の個人情報保護法改正は、違反への執行を強める方向と、統計等の作成に向けたデータ利活用を広げる方向が同時に動いた点に特徴があります。本記事では、士業事務所が顧問先に説明する際の論点を7つに整理し、自事務所のAI運用をどう手直しするかまで落とします。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。改正法は令和8年7月17日に公布されました（出典: 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について）。

令和8年改正で何が動いたのか、執行強化と利活用拡大の二方向

まず全体像です。今回の改正は、いわゆる3年ごと見直しの流れを受けたもので、個人情報保護委員会が令和8年1月に制度改正方針を示し、同年4月7日に法律案が閣議決定され、その後国会で可決されて7月17日に公布されるという経過をたどりました（出典: 個人情報保護委員会法律案の閣議決定について）。改正の背景として、デジタル技術の進展にともなう個人情報の利活用の需要の高まりと、違法な取扱いによるリスクの高まりの両方が挙げられています。

柱の一つが課徴金制度の導入です。個人情報の違法な取扱い等によって財産上の利益を得た場合に、個人情報保護委員会が課徴金の納付を命ずることができる制度が設けられました（出典: 個人情報保護委員会令和８年改正個人情報保護法について）。これまでの執行手段は勧告と命令が中心で、金銭的な不利益は命令違反に対する罰則を通じてしか発生しない構造でした。金銭的な制裁が正面から入ることで、顧問先の経営層にとっての優先順位が変わります。士業事務所としては、この変化を説明できる状態にしておく価値があります。

もう一つの柱が、利活用を広げる方向の措置です。統計等の作成を行う第三者に個人情報を提供する場合などについて、本人の同意を不要とする措置が講じられました。現行法では、第三者提供は原則として本人の同意を前提としています。個人情報保護法第27条は、法令に基づく場合など一定の場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供することを禁じる構造の規定です（原文は e-Gov法令検索個人情報の保護に関する法律で確認できます）。この原則に、統計等の作成という目的に着目した例外が加わる形になります。

生成AIとの関係で注目が集まっているのはこの点です。AIの学習に用いるためのデータ提供のうち、統計の作成として整理できるものが同意なしに可能となりうる、という読み方が示されています。ただし、条件の詳細は政令やガイドラインで具体化される部分が大きく、現時点で顧問先に対して断定的な結論を伝えるのは時期尚早です。個人情報保護委員会は、改正法の成立を受けた今後の取組を公表しており、政令やガイドライン、Q&Aの整備が順次進む見通しが示されています（出典: 個人情報保護委員会改正法の成立を受けた今後の取組について）。

施行時期も押さえておく論点です。改正法は、一部を除き、公布の日から起算して2年以内で政令で定める日から施行されるとされています（出典: 個人情報保護委員会個人情報保護法等の一部を改正する法律について）。公布から施行までに準備期間が置かれるため、顧問先には、いま決まったことと、これから政令やガイドラインで決まることを分けて伝える構成が有効です。政令整備の工程を追う視点は個人情報保護法の政令整備と2028年までの工程表7段でも扱いました。

顧問先に説明するときの7論点と、資料をAIで作る手順

顧問先向けの説明資料を作る場面を想定して、論点を7つに整理します。この7つは、改正の全体像を経営層に伝える最小構成として筆者が組んだものです（構成の根拠は個人情報保護委員会の公表資料の章立てに置いています）。

第1論点は、自社が課徴金の対象になりうる行為をしていないかの棚卸しです。顧客リストの購入経路、退職者による持ち出し、委託先での再委託の実態。ここは制度の詳細を待つまでもなく、いま点検できる領域です。

第2論点は、取得の適正性です。個人情報保護法第20条は、偽りその他不正の手段による個人情報の取得を禁じ、あわせて、一定の場合を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得することを禁じる構造の規定です。データの入手経路をたどれる状態にしているかが、点検の軸になります。

第3論点が、第三者提供の整理です。グループ会社間のデータ共有、業務委託先への提供、共同利用の届出状況を洗い出します。改正で加わる特例が自社の取扱いに関係しうるかは、この棚卸しができて初めて判断できます。

第4論点は、AI利用の実態把握です。顧問先の現場では、すでに個人アカウントの生成AIが業務に使われている例が珍しくありません。誰がどのサービスに何を入力しているかを把握していない状態のまま、制度論だけを説明しても実務は動きません。

第5論点が、委託先とベンダーの確認です。利用中のSaaSやAIサービスについて、入力データの学習利用の有無、保持期間、再委託の有無、データの所在地を契約書とポリシーで確認します。

第6論点は、漏えい等が起きたときの報告体制です。課徴金が入ることで、事後対応の巧拙が金銭的な結果に結びつきやすくなります。誰が一次受けをして、いつ委員会へ報告し、本人への通知をどう行うかを、一枚の手順書にしておく運用例があります。

第7論点が、社内規程とガイドラインの更新計画です。政令やガイドラインが順次出てくるため、一度作って終わりにせず、更新のタイミングを先に決めておく組み立てが向いています。

この7論点を顧問先ごとの説明資料に落とす作業は、生成AIとの相性が良い領域です。手順は次のようになります。第1に、個人情報保護委員会の公表資料から、改正の柱と施行時期の記述を自分で読んで抜き出します。第2に、抜き出した事実だけをAIに渡して、業種別の説明資料の骨子を作らせます。第3に、骨子を見ながら、顧問先固有の事情を追記します。第4に、有資格者が全文を確認し、断定的な表現や当てはめが入っていないかを点検します。第4の工程は省略できません。制度の説明資料は、書きぶり次第で助言と受け取られるため、最終確認を人が担う設計にしておく必要性が高い領域です。

プロンプト例を2本示します。いずれも実在の顧問先名や個人名を入れず、架空の表記を使ってください。

あなたは説明資料の骨子を作る補助ツールです。以下に貼り付ける
「公表資料からの抜粋」だけを根拠に、説明資料の骨子を作成してください。
抜粋に書かれていない内容を補ったり、法的な当てはめを行ったりしないでください。

【前提】
- 聞き手: 従業員80名の製造業（架空のB社）の役員3名
- 目的: 改正の全体像と、社内で着手する順番を共有する
- 時間: 20分

【出力形式】
1. スライド見出し（最大8枚分）
2. 各見出しの下に、抜粋のどの記述を根拠にするかを1行で明記
3. 抜粋に根拠がない項目は「根拠なし・要確認」と明記する

【公表資料からの抜粋】
（ここに個人情報保護委員会の公表資料から自分で抜き出した文章を貼り付け）

あなたは社内点検チェックリストの下書きを作る補助ツールです。
以下の7論点について、担当部署が自己点検できる質問文を作ってください。
法的評価や適法性の判断は書かないでください。事実を確認する質問だけにしてください。

【7論点】
1 取得経路の棚卸し / 2 取得の適正性 / 3 第三者提供の整理 /
4 生成AI利用の実態把握 / 5 委託先とベンダーの確認 /
6 漏えい等の報告体制 / 7 規程の更新計画

【出力条件】
- 各論点につき質問を4つ、1問は40字以内
- 回答欄は「はい／いいえ／不明」の3択にする
- 「不明」が選ばれたときに次に確認する先（部署名の例）を1行添える
- 全体をそのまま印刷して配布できる体裁にする

作業の分担としては、公表資料の読み込みと抜き出しを有資格者が行い、骨子と体裁の整形をAIに任せ、最終確認をふたたび有資格者が行う二段構えが現実的です。資料作成の時間は、この分担で半分程度まで下がるという声を支援の現場で聞きます（この体感値は筆者が支援先から聞いた範囲のもので、根拠は各事務所の実測に置き換えてください）。

抜き出しの工程を人が担う理由は二つあります。一つは、公表資料には確定した事実と、今後の検討に委ねられた事項が混在している点です。閣議決定の資料と公布時の資料では記述の粒度が違い、さらに今後の取組を示した資料では、政令やガイドラインで整理する予定の項目が列挙されています。これらを区別せずにAIへ丸ごと渡すと、検討中の事項が確定事実であるかのように骨子へ並んでしまいます。もう一つは、顧問先ごとに関係する論点が違う点です。BtoCの通販事業者と、従業員データしか扱わない製造業では、第三者提供の整理の重みがまったく違います。どの記述を抜き出すかという判断そのものが、顧問先に対する付加価値になります。

抜き出した素材の管理も決めておくと後が楽になります。公表資料からの抜粋は、出典URLと取得日をセットで保存し、次回の更新時に差分だけを確認する形にします。個人情報保護委員会のサイトは資料の追加と更新が続くため、事務所内で1つのファイルに集約しておくと、担当者が替わっても引き継げます。この素材ファイルを起点に、顧問先ごとの説明資料を派生させる構造にすると、改正の続報が出るたびに全資料を作り直す事態を避けられます。

顧問先データをAIに入れる前に、事務所が自分の守秘義務を整理する

制度の説明をする側の事務所が、自分の足元を整理していない状態は避けたいところです。ここは職種ごとに根拠条文が異なります。

弁護士については、弁護士法第23条が、弁護士または弁護士であった者は職務上知り得た秘密を保持する権利を有し義務を負うと定め、法律に別段の定めがある場合を除くとしています（原文は e-Gov法令検索弁護士法で確認できます）。税理士については、税理士法第38条が、正当な理由なく税理士業務に関して知り得た秘密を他に洩らし、または窃用することを禁じ、税理士でなくなった後も同様であるとしています（原文は e-Gov法令検索税理士法で確認できます）。社会保険労務士についても、社会保険労務士法第21条に同趣旨の規定があります（原文は e-Gov法令検索社会保険労務士法で確認できます）。条文の文言は職種ごとに違うため、自分の職種の原文を開いて確認する習慣が要ります。

そのうえで、事務所として決めておく項目は三つです。第一に、AIに投入してよい情報の種類です。氏名、連絡先、マイナンバー、口座情報、健康に関する記述を落としたうえでの事実関係のみ、という線引きを取る事務所が増えています。第二に、利用するサービスとプランの指定です。個人向けプランと法人向けプラン、API経由では、入力データの扱いが異なる場合があります。ベンダーの公式ドキュメントで、学習利用の有無、保持期間、アクセス権者、データの所在地の四点を確認します。第三に、顧問先への説明です。顧問契約または覚書でAI利用の範囲を書面化しておくと、後から論点になったときに双方を守れます。

改正で利活用の特例が入ることと、事務所の守秘義務は別の話である点にも注意が要ります。個人情報保護法上の取扱いが可能な行為であっても、職業上の守秘義務との関係は別に検討する必要が出てきます。この二層構造を顧問先に説明できるかどうかが、事務所の説明力の差になります。顧問先のM&A資料のように機微な情報を扱う場面での整理は、M&Aのデューデリ資料をAIで整理するときの守秘7工程で具体化しました。事務所規程そのものの作り方は生成AI利用ガイドラインを事務所規程に落とす7項目で扱っています。

規程に落とす際の運用例としては、投入可能な情報の種類、利用を認めるサービスとプラン、非識別化の手順、投入記録の残し方、顧問先から個別に断られた場合の扱い、規程の見直し時期の6項目を並べる構成が扱いやすくなります。ガイドラインが順次出る局面では、見直し時期をあらかじめ書き込んでおくことが効きます。

顧問先への説明の場面では、事務所側の運用を先に開示する進め方が信頼につながります。自事務所ではどのサービスをどのプランで使い、顧問先の資料をどう扱っているのかを一枚にまとめて渡す。そのうえで、顧問先側の運用をどう整えるかの話に入る。順序を逆にすると、制度論を説明する側が自分の運用を示していない状態になり、話が抽象論にとどまりがちです。説明資料の末尾に、事務所のAI利用方針を1ページ添える構成を取っている事務所もあります。

もう一点、顧問先から寄せられる質問への構え方です。改正の内容に関する質問には、公表資料の記載を示して答えられます。一方で、自社の具体的なデータ利用が特例の範囲に収まるかという質問は、政令やガイドラインの内容を踏まえた個別の検討に入ります。この境目を事務所内で共有しておくと、担当者によって回答の深さがばらつく事態を防げます。回答を保留する場合も、何が決まれば答えられるのかを添えると、顧問先の納得感が変わります。

改正の説明で起きやすい3つの失敗

失敗の型を三つ挙げます（いずれも筆者が支援の現場で見た事例をもとにした整理です）。

一つ目は、AI学習が同意なしで自由にできるようになったという過度な単純化です。特例には条件があり、詳細は政令やガイドラインで具体化される部分が残っています。顧問先の担当者が社内でそう説明してしまうと、後から修正する負荷が大きくなります。いま決まったことと、これから決まることを分けて伝える構成が有効です。

二つ目は、課徴金の金額感を数字で断定してしまうことです。算定の考え方は制度設計の詳細に依存します。公表資料の記載を超えて具体的な金額を示すと、事実と異なる説明になりかねません。数字を出すなら、個人情報保護委員会の公表資料の記載に限定し、出典を添える形にとどめるのが安全です。

三つ目は、生成AIに改正法の解説そのものを書かせて、条番号ごと信じてしまうケースです。改正直後は、AIの学習データが改正前の条文で止まっている場合があり、条番号や施行日が実際と食い違うことが起きます。条番号を書くならe-Gov法令検索で該当条文を開いて確認する。確認が取れないなら条番号を書かない。この単純な運用で防げます。

事務所の準備にかかる工数と費用の目安

工数の目安を置きます。以下は標準的な中小事務所を想定して筆者が置いた値で、根拠は各事務所の実測に置き換えてください。顧問先向けの標準説明資料を1本作るのに、公表資料の読み込みに2時間、骨子作成に1時間、体裁整形に1時間、最終確認に1時間で、合計5時間前後。これを顧問先ごとに差し替える作業が1社あたり0.5時間。顧問先が30社なら、初回の展開で20時間規模の作業になります。

事務所内の規程整備は別建てです。根拠は同じく筆者の想定値で、各事務所の実測に置き換えてください。現行の事務所規程の棚卸しに2時間、AI利用の条項追加に2時間、所内説明に1時間で、合計5時間前後を見込む組み立てが現実的です。政令やガイドラインの公表に合わせた更新を、年1回から2回のペースで計画に入れておきます。

費用面の主軸は、事務所として使う生成AIの月額です。顧問先データを扱う前提なら法人向けプランを選ぶ判断になり、人数分のライセンス費用が発生します。加えて、公表資料を継続的に追うための時間が、実質的なコストとして乗ります。個人情報保護委員会のサイトは更新頻度が高いため、担当者を決めて巡回する体制を作るほうが、結果的に安く済みます。

施行までの2年で論点になること

施行までの期間に、いくつかの論点が立ち上がると見込まれます。

第一に、統計等の作成という整理の外縁です。どこまでがその範囲に収まり、どこからが個別の判断に返るのか。政令とガイドラインの記載が出てから、顧問先の具体的なデータ利用に当てはめる作業が始まります。

第二に、課徴金と事後対応の関係です。漏えい等が起きたときの初動、委員会への報告、本人への通知の質が、結果にどう反映されるのか。運用の蓄積を見ながら、顧問先の体制を調整する局面が来ます。

第三に、業種ごとのガイドラインとの関係です。金融、医療、電気通信など、分野別のガイドラインが整備されている領域では、改正法の内容がそれぞれのガイドラインへどう反映されるかが、顧問先にとっての実務的な関心事になります。顧問先の業種が該当する場合は、法本体の改正だけでなく、所管省庁の動きもあわせて追う体制が要ります。

第四に、士業事務所自身が個人情報取扱事業者である点の再確認です。顧問先の個人データを預かる立場として、事務所の取扱いが点検の対象になります。制度を説明する側が自分の足元を整えているかどうかは、顧問先からの信頼に直接効いてきます。

よくある質問

改正法はいつから施行されるのでしょうか

改正法は、一部を除き、公布の日から起算して2年以内で政令で定める日から施行されるとされています（出典: 個人情報保護委員会個人情報保護法等の一部を改正する法律について）。具体的な施行日は政令で定められるため、公表を追う形になります。

AI学習のためのデータ提供は同意なしでできるようになったのでしょうか

公表資料では、統計等の作成を行う第三者に個人情報を提供する場合などについて本人の同意を不要とする措置が講じられたと示されています（出典: 個人情報保護委員会令和８年改正個人情報保護法について）。条件の詳細は政令やガイドラインで具体化される部分が残るため、個別のデータ利用が範囲に収まるかは、公表される基準に照らして検討する論点になります。

課徴金はどのくらいの金額になりますか

金額の算定方法は制度設計の詳細に関わるため、個人情報保護委員会の公表資料の記載に沿って説明するのが確実です。公表資料を超えた金額感を示すことは避け、算定の考え方が具体化された段階で顧問先に伝え直す運用が安全です。

顧問先の個人データを生成AIに入れてよいですか

判断の出発点は三つです。個人情報保護法上の取扱いの整理、自分の職種の守秘義務の条文、そして利用するサービスのデータ利用ポリシーです。実務では、氏名や連絡先を落とした非識別化済みの抜粋のみを投入し、原本は事務所の管理下に置く二層構造を取る事務所が増えています。

事務所自身も改正の影響を受けますか

士業事務所も顧問先の個人データを預かる立場であるため、取扱いの点検対象になります。取得経路、第三者提供、委託先管理、漏えい時の報告体制という観点は、顧問先に説明する内容がそのまま自事務所にも当てはまります。

顧問先への説明はいつ始めるとよいでしょうか

公布された事実と施行までの期間を伝えることは、すでに可能です。実務では、公布と施行時期の枠組みを先に共有し、政令やガイドラインが出た段階で具体的な対応を二回目の説明として行う二段構えを取る事務所があります。

生成AIに改正法の解説を書かせてよいですか

下書きとしてなら使えますが、条番号と施行日は確認が要ります。改正直後はAIの学習データが改正前の条文で止まっている場合があり、条番号や日付が実際と食い違うことが起きます。e-Gov法令検索と個人情報保護委員会の公表資料で突き合わせる工程を挟んでください。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。