個人情報保護法の課徴金制度とは、違反で得た利益相当額の納付を命じる行政措置のことです。

顧問先から生成AIの利用について相談を受けたとき、これまで説明材料の中心は漏えい時の報告義務と信用毀損でした。そこに金銭的な不利益という材料が加わります。この記事では、成立した改正法のうち生成AIの利用に直結する部分を切り出し、顧問先への説明と事務所内の棚卸しをAIで進める手順まで落とします。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。個人情報の保護に関する法律等の一部を改正する法律は2026年7月10日に成立し、同月17日に公布されました（出典: 個人情報保護委員会 改正法の公布について）。

課徴金だけを見ていると読み違える、改正法4本柱の位置関係

改正法を課徴金の話としてだけ読むと、顧問先への説明が狭くなります。個人情報保護委員会が公表した概要資料は、改正内容を適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等の防止、規律遵守の実効性確保という4つの柱で整理しています。課徴金は4つ目の柱に置かれた手段のひとつであって、単独で立っているわけではありません。1つ目の柱でデータ利活用の入口を広げ、4つ目の柱で出口の規律を締めるという建て付けです（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。

入口が広がる代表例が、統計情報等の作成にのみ利用される場合に本人同意を不要とする特例です。同じ概要資料は、この統計情報等の作成に、統計作成等であると整理できるAI開発等が含まれると明記しています。顧問先が自社データを外部のAI開発に提供する、あるいは他社からデータの提供を受けて解析するという相談は、この特例の射程に入る可能性があります。同時に、この特例に乗りながら目的外に使った場合が課徴金の対象行為として並べられています。使える幅が広がった分だけ、逸脱したときの跳ね返りも用意されたと読むのが素直です。

施行時期も押さえておきたいところです。同資料は施行期日を、原則として公布の日から起算して2年を超えない範囲内としています。公布が2026年7月17日ですから、遅くとも2年以内に政令で定める日から動き出します（出典: 個人情報保護委員会 改正法の公布について）。対象範囲や公表事項の多くは委員会規則やガイドラインに委ねられており、現時点で細部を断定できる段階ではありません。顧問先に説明するときも、確定している枠組みと今後の規則待ちの部分を分けて伝えると誤解が減ります。

なお、改正法案そのものは2026年4月7日に閣議決定され、第221回国会に提出されています（出典: 個人情報保護委員会 改正法案の閣議決定について）。3年ごと見直しの検討開始から数えると長い議論の帰結であり、突然出てきた制度ではありません。

課徴金の対象として示された4類型と、3つの絞り込み条件

課徴金納付命令の対象は、無限定ではありません。公表資料は対象行為を4つに絞っています。不適正な利用の禁止である個人情報保護法第19条の違反、適正な取得である第20条第1項の違反、第三者提供の制限である第27条第1項の違反、そして統計情報等の作成の特例に乗りながら目的外利用や第三者提供を行った場合の4つです。いずれも緊急命令の対象となっている規制であり、剥奪すべき違法な収益が観念できるものに限られると説明されています。

絞り込みは行為類型だけではありません。同資料は3つの追加条件を示しています。1つ目は主観的な要素で、対象行為を防止するための相当の注意を怠っていない場合かどうかで限定されます。2つ目は個人の権利利益の侵害で、侵害が生じたか、生じる具体的なおそれがある場合に限られます。3つ目は規模で、対象行為に係る本人の数について1,000人を基準とする大規模事案に限定されています（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。

算定方法も、売上高に一定率を掛ける方式ではありません。対象行為、または対象行為をやめることの対価として得た金銭等の財産上の利益に相当する額とされています。名簿を売って得た額、あるいは是正を条件に受け取った額といった、違反から直接生まれた収益を吸い上げる設計です。課徴金の規定は改正法で新設され、第148条の3から第148条の17までに置かれています。

刑事罰の側も動きます。概要資料によれば、個人情報データベース等の不正提供等に係る罰則は、不正な利益を図る目的に加えて損害を加える目的の提供行為も対象に追加され、法定刑は拘禁刑1年以下から2年以下へ、罰金刑50万円以下から100万円以下へと引き上げられます。法人に対する両罰規定の罰金は1億円以下です。詐欺行為や不正アクセスにより個人情報を不正取得する行為への罰則も新設されます（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。顧問先の役職員が持ち出しに関与した場合の説明材料として、この数字は覚えておく価値があります。

行政処分の側にも変更が入ります。同資料は、勧告を経ずに命令を出せる要件を、個人の重大な権利利益が既に侵害されている場合に加えて、侵害が切迫している場合まで広げるとしています。命令の内容も、違反行為の中止や是正措置に限らず、本人への事実の通知や公表といった措置まで含められるようになります。さらに、違反行為に関与する第三者、たとえばサーバのホスティング事業者などに対して役務提供の停止を任意に要請する根拠規定が置かれ、要請に応じた第三者が違反事業者への損害賠償責任を負わないことも定められます。顧問先が自社サービスの基盤を他社に依存している場合、この連鎖は事業継続の話として響きます。課徴金という金銭の話だけでなく、事業が止まり得るという説明のほうが、経営層には伝わる場面があります。

顧問先のAI利用を棚卸しする6ステップと、AIに任せる範囲

ここからは実務です。課徴金の話を顧問先に伝えるだけで終わらせず、どのデータがどのAIに流れているかを可視化するところまで持っていきます。以下の6ステップは、AIに下書きを作らせ、有資格者が判断を確定させる形で組んでいます。

第1に、顧問先が使っている生成AIとSaaSを列挙します。契約中のサービス一覧、経費精算のサブスク明細、部門長へのヒアリングメモを集め、名寄せまでをAIに任せます。第2に、各サービスへ入力されているデータ項目を洗い出します。氏名、連絡先、取引履歴、応募者情報、健康情報のどれが入っているかを、部門ごとに書き出してもらいます。第3に、それぞれのサービスが入力データを学習に使うかどうかを、ベンダーの公式ドキュメントで確認します。ここは伝聞や記事の要約ではなく、一次情報に当たる工程です。

第4に、社外へのデータの流れを線で描きます。自社から外部AI開発事業者へ提供しているもの、外部から受領しているもの、委託先が独自に解析しているものを分けます。統計情報等の作成の特例を使う予定があるなら、この段階で提供元と提供先の合意書面や公表事項の準備が論点になります。第5に、洗い出した流れを4つの対象行為類型に照らして、リスクの高い順に並べます。この並べ替えの下書きまではAIで作れますが、最終的な優先順位は有資格者が判断を確定させます。第6に、顧問先の役員向けに1枚の説明資料へ落とします。

第1ステップの下書きに使えるプロンプトです。

あなたは企業のデータガバナンス担当者の補助役です。
以下の「契約中SaaS一覧」と「経費明細の抜粋」から、生成AI機能を持つ可能性があるサービスを抽出し、次の形式で表ではなく箇条書きに整理してください。

- サービス名 / 提供元 / 想定される利用部門 / 入力されていそうなデータ項目 / 確認が必要な点

判断できない項目は必ず「要確認」と書き、推測で埋めないでください。
架空の会社名はA社、B社と表記してください。

【契約中SaaS一覧】
（ここに貼り付け）

【経費明細の抜粋】
（ここに貼り付け）

第3ステップのベンダー確認では、調査項目の抜けを防ぐチェックリストをAIに作らせると速くなります。

次のサービスについて、公式ドキュメントで確認すべき項目のチェックリストを作ってください。
出力は質問文の形にし、各質問に「どの公式ページを見れば答えが載っているか」の当たりを付けてください。

確認したい観点:
1. 入力データをモデルの学習に使うか、既定値はどうか
2. 学習利用を停止する設定が管理者側にあるか
3. データの保存期間と保存先リージョン
4. 監査ログの取得可否と保存期間
5. 再委託先の開示範囲

注意: あなたの記憶にある情報で答えを埋めないでください。
確認すべき問いだけを出力してください。

対象サービス: （ここにサービス名）

この2本を回すと、初回の棚卸しでも半日程度で叩き台が揃います。事務所側の作業は、AIが並べた候補から実際に確認すべき先を絞り、公式ドキュメントに当たる工程に集中できます。生成AIの導入そのものを段階的に進めたい顧問先には、まだ生成AIを使っていない会計事務所へ 12か月の移行ロードマップで示した進め方も合わせて案内できます。

顧問先資料をAIに入れる前に、事務所が先に決めておく3つのこと

顧問先に棚卸しを勧める以上、事務所自身の運用が先に固まっていないと説得力を欠きます。決めておきたいのは3点です。

1点目は、事務所が扱う顧問先資料を、どのツールにどこまで入れるかの線引きです。士業の守秘義務は、AIが登場する前から各業法に置かれています。税理士法第38条は、正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならないと定めています。弁護士法第23条は職務上知り得た秘密の保持を権利であり義務であると定め、社会保険労務士法第21条、公認会計士法第27条、司法書士法第24条、行政書士法第12条、弁理士法第30条にも同趣旨の規定が置かれています。条文はいずれも正当な理由という幅のある要件を置いており、外部サービスへの入力がその範囲に収まるかは個別の判断になります。だからこそ、事務所として事前に線を引いておく実益があります。

2点目は、使用するツールの学習利用設定です。入力を既定で学習に使う設定のままの個人向けプランと、管理者が学習利用を止められる法人向けプランでは、説明の前提が変わります。ベンダーの公式ドキュメントを根拠として保存し、更新があれば差し替える運用にしておくと、顧問先から問われたときに即答できます。ツールの安全性を組織として審査する枠組みは、外部MCPサーバーの安全性をどう審査するか 士業事務所の導入基準7項目で整理した観点がそのまま流用できます。

3点目は、顧問先への説明と同意取得の型です。契約書や業務委託基本契約に、外部クラウドサービスの利用と再委託の範囲を書き込む方法と、個別案件ごとに同意を取る方法があります。どちらを採るかで運用負荷が変わります。面談内容の録音や文字起こしをAIに通す場合の同意設計は、面談の録音と文字起こしを事務所の運用ルールに落とす 同意取得の設計で扱った手順が近い形になります。

改正法は委託先の規律にも触れています。概要資料は、委託を受けた事業者が、委託された業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない旨の義務を明文で課すとしています。士業事務所が顧問先から記帳や給与計算の委託を受けている構図は、まさにこの委託先に当たる場面です。受託した資料を、事務所独自のAI活用の素材として使えるかどうかは、契約と説明の設計次第で結論が変わります。

説明の場でつまずく3つの失敗と、その手前で止める方法

1つ目の失敗は、課徴金の額を先に語ってしまうことです。算定は違反から得た財産上の利益に相当する額であり、売上規模から逆算できる性質のものではありません。金額の目安を求められたときは、算定の考え方だけを示し、規則の整備待ちである旨を添えるほうが安全です。数字を独り歩きさせると、後から訂正するコストのほうが大きくなります。

2つ目は、施行前の制度を施行済みのように話してしまうことです。公布から2年を超えない範囲内で政令が定める日から施行される以上、現時点での顧問先の運用が直ちに課徴金の対象になるわけではありません。今やるべきことは棚卸しと設計であって、駆け込みの停止ではない、という順序で伝えると混乱が減ります。

3つ目は、AIが出力した条番号をそのまま資料に載せてしまうことです。生成AIは条番号を高い頻度で誤ります。改正で条ずれが起きる時期はなおさらです。資料に条文を書くときは、e-Gov法令検索で原文を開いて確認する工程を挟みます。AIには条文の要約ではなく、確認すべき条文の候補出しを担当させるほうが事故が減ります。

棚卸しの工数と、事務所側の体制をどう見積もるか

顧問先1社あたりの初回棚卸しは、部門ヒアリングを含めて3時間から6時間程度に収まるケースが多い印象です（根拠: 筆者らがAI導入支援で行った棚卸しの実務経験に基づく概算であり、公表統計に基づく数値ではありません。要確認）。内訳は、サービス一覧の収集と名寄せに1時間、ベンダーの公式ドキュメント確認に1時間から3時間、データの流れの整理と説明資料化に1時間から2時間です。AIに下書きを任せられるのは前半の収集と整理の部分で、ベンダー確認と最終判断は人が担う前提で見積もります。

ツール費用は、法人向けプランの生成AIを1席あたり月額数千円で入れるところから始められます。棚卸し専用に新しいシステムを買う必要はありません。むしろ費用より、誰が旗を持つかのほうが効きます。担当者を1名決め、確認済みのベンダー情報を事務所内の共有ドキュメントに集約する運用にすると、2社目以降の棚卸し時間は目に見えて短くなります。顧問料への反映を検討するなら、単発のスポット業務として切り出す形と、顧問契約の付帯サービスに含める形で見え方が変わります。AI関連業務の採算の考え方は、AI契約書レビューのROIをどう試算するか 法律事務所の判断基準7項目の試算枠組みが参考になります。

政令と委員会規則を待つ論点を、どう抱えておくか

確定しているのは枠組みで、細部はこれからです。統計情報等の作成の具体的な対象範囲、公表事項の内容、提供元と提供先の合意書面に求められる要素は、いずれも委員会規則等で定めることが想定されると資料に書かれています。課徴金の手続的な運用も同様です。ここで断定的な助言を出すと、規則の公表後に修正が必要になります。

もうひとつ、顧問先の業種によって効き方が大きく変わる点も見ておきたいところです。採用管理システムで応募者情報を扱う企業、店舗にカメラを置いて来客分析をしている企業、会員データを外部の広告配信に連携している企業は、今回の改正で複数の柱に同時に触れます。顔特徴データの周知義務、個人関連情報の不適正利用と不正取得の禁止、オプトアウト制度での提供先確認の義務化が重なるためです。逆に、取引先法人の担当者情報しか持たない企業であれば、優先度は下がります。顧問先を一律に扱わず、扱っているデータの性質で説明の濃淡を変えるほうが、限られた面談時間を有効に使えます。

現実的な構えは、規則待ちの論点を一覧にして顧問先と共有しておくことです。この論点は未確定、この論点は確定という区別が見える状態にしておけば、規則が出た時点で該当箇所だけを更新すれば済みます。個人情報保護委員会の公表ページを定期的に確認し、更新があれば顧問先への案内を出すという運用を、事務所のカレンダーに組み込んでおく価値があります。AIに監視させる場合も、要約ではなく更新の有無の検知に用途を限定するほうが安全です。

よくある質問

課徴金制度はいつから適用されますか

改正法の施行期日は、原則として公布の日から起算して2年を超えない範囲内で政令が定める日とされています。公布日は2026年7月17日です（出典: 個人情報保護委員会 改正法の公布について）。具体的な施行日は政令の公布を待つ必要があり、現時点では確定していません。

顧問先の従業員データを生成AIに入れると課徴金の対象になりますか

課徴金の対象行為として公表されているのは、不適正な利用の禁止違反、適正な取得違反、第三者提供の制限違反、統計情報等の作成の特例からの逸脱の4類型です。加えて主観的要素、権利利益の侵害、本人の数について1,000人を基準とする大規模性という絞り込みが置かれています（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。個別の入力行為がこれらの枠組みの中でどう位置づけられるかは、事実関係に即した検討が要る論点です。

統計情報等の作成の特例を使えば、顧問先は自由にデータを提供できますか

いいえ、担保のための規律が併せて置かれています。公表資料は、一定の事項の公表、統計情報等の作成のみを目的とした提供である旨の書面による提供元と提供先の合意、取得者および提供先による目的外利用と第三者提供の禁止を挙げています。具体的な対象範囲や公表事項は委員会規則等で定めることが想定されており、詳細は未確定です。

士業事務所自身は課徴金の対象になり得ますか

個人情報取扱事業者である以上、制度の枠組みの外にいるわけではありません。ただし対象行為が4類型に絞られ、規模要件も置かれているため、通常の受託業務でそのまま問題になる構図とは異なります。事務所として押さえておきたいのは、委託先としての規律が明文化される点のほうです。

顧問先への説明はいつ始めるのがよいですか

棚卸しの着手は早いほうが楽です。施行までに時間があるうちに現状把握を終えておくと、規則が出た後に差分だけを見れば済みます。逆に施行直前にまとめて着手すると、部門ヒアリングと契約書の見直しが同時に走って負荷が集中します。

AIに条文の解説をさせてもよいですか

条文の要約や解説をAIに任せると、条番号の誤りや旧条文の混入が起きます。用途は、確認すべき条文の候補出しと、確認済みの原文をもとにした説明文の下書きに限定するのが現実的です。原文はe-Gov法令検索で開いて確かめる工程を残します。

委託先としての義務が明文化されると、事務所の契約書は変わりますか

変更を検討する余地が生まれます。概要資料は、委託先が委託された業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務を明文で課すとしています。受託した資料を事務所独自の分析やAI活用の素材として使う余地をどう書くかは、契約条項の設計で差が出る部分です。

事務所内で使っている生成AIも棚卸しの対象になりますか

対象にしておくほうが説明が通ります。顧問先に棚卸しを勧める立場で、自事務所の利用実態を把握していないと、質問された際に答えが揃いません。所内で使っているチャット型AI、議事録の文字起こし、メール下書き支援、会計ソフトに組み込まれたAI機能まで含めて、入力しているデータ項目と学習利用の設定を一覧にしておくと、顧問先向けの説明資料をそのまま自事務所の資料としても使い回せます。

参考文献

• 個人情報保護委員会 個人情報の保護に関する法律等の一部を改正する法律の公布について（令和8年7月17日）
• 個人情報保護委員会 個人情報保護法等の一部を改正する法律について（令和8年7月）
• 個人情報保護委員会 個人情報の保護に関する法律等の一部を改正する法律案の閣議決定について（令和8年4月7日）
• e-Gov法令検索 個人情報の保護に関する法律
• e-Gov法令検索 税理士法
• e-Gov法令検索 弁護士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/