個人情報保護法令和8年改正と士業事務所が押さえる生成AI対応の要点

個人情報保護法の令和8年改正とは、2026年7月公布の一部改正法のことです。

士業事務所が生成AIに顧客情報を入力するときの拠り所は、令和8年改正ではなく、今も効力を持つ現行の個人情報保護法です。令和8年改正個人情報保護法は成立・公布まで進んでいますが、本記事の執筆時点ではまだ施行されておらず、施行日も確定していません。本記事では、現行法が求める安全管理措置と第三者提供の枠組みを整理したうえで、令和8年改正の経緯と要点、そして施行日が定まるまでに事務所が準備しておける実務を解説します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は個人情報保護委員会の公表資料で確認しています。改正法は2026年7月17日に公布され、令和8年法律第56号として官報に掲載されました。施行日は公布の日から2年を超えない範囲で、今後政令により定められます（個人情報保護委員会いわゆる3年ごと見直しの経緯）。

令和8年改正の経緯と、士業事務所にとって今日時点で変わっていないこと

個人情報保護法は、令和2年改正の際に設けられた附則の規定に基づき、施行の状況について3年ごとに検討を加える仕組みを持っています。個人情報保護委員会はこの見直しの検討を2023年11月から進め、2025年3月5日には論点整理となる考え方を公表しました。その後しばらく議論の進捗が公になっていない時期を経て、2026年1月9日に改正の方向性を示す制度改正方針を公表しています（個人情報保護委員会いわゆる3年ごと見直しの経緯）。この改正方針を受けて、2026年4月7日に個人情報の保護に関する法律等の一部を改正する法律案が閣議決定されて第221回特別国会に提出され、同年5月26日に衆議院で可決、7月10日に参議院で可決されて成立しました。改正法は同年7月17日に公布され、令和8年法律第56号として官報に掲載されています。附則の規定により、施行日は公布の日から起算して2年を超えない範囲内で、今後政令によって定められる建てつけです。つまり令和8年改正は、成立と公布までは完了しているものの、政令で施行日が指定されるまでは効力を持ちません。士業事務所が今日の実務で従うべきルールは、令和2年改正時点の枠組みを引き継ぐ現行の個人情報保護法であり、本記事で紹介する条文の説明はすべて現行法を指しています。改正法の内容は、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等の防止、規律遵守の実効性確保という4つの柱に整理されています。柱の中には、データの取扱いを委託された事業者側の規律を整備する項目や、統計情報の作成にのみ利用される場合の同意取得義務を緩和する項目、行政上の課徴金制度を新設する項目などが含まれています。これらは施行日が確定してから事務所の対応が具体化する話であり、現時点で規程やベンダー契約を作り直す必要はありません。むしろ、現行法に基づく運用を丁寧に固めておくことが、施行後の見直しをスムーズにする近道です。

顧問先データを生成AIに入力する前に整理する現行法の5つの視点

生成AIに顧客情報を入力する運用を事務所として決めるときは、思いつきで可否を判断するのではなく、次の手順で現行法の枠組みに沿って整理すると漏れが少なくなります。

第1に、入力の棚卸しです。どの業務で、誰が、どのAIツールに、どの範囲の情報を入力しているかを一覧にします。契約書のレビュー、議事録の要約、税務相談の下書き、就業規則のチェックなど、業務ごとに入力内容は異なります。氏名や住所といった基本的な情報だけの場合もあれば、健康情報や口座情報、家族構成のような機微な内容を含む場合もあります。棚卸しをしないまま規程だけを先に作っても、実際の運用とずれてしまい、規程が形だけのものになりがちです。事務所内の複数人がそれぞれ別のツールを使っている場合は、まずこの棚卸しの段階で全体像を揃えることが出発点になります。

第2に、利用目的の範囲内かどうかの確認です。個人情報保護法は、個人情報を取り扱うにあたって利用の目的をできる限り特定しなければならないと定めており（個人情報保護法第17条）、取得時に本人へ通知または公表した目的の範囲を超えて利用してはならないという枠組みを持っています。顧問契約や委任契約の締結時に説明している業務遂行の目的の範囲内で生成AIを使っているかどうかを、契約書や重要事項説明の文言に照らして確認する作業です。目的の記載が古いままになっている事務所では、この機会に見直しておくと後の説明がしやすくなります。

第3に、第三者提供か委託かという整理です。個人情報保護法は本人の同意なく個人データを第三者へ提供することを原則禁止していますが（個人情報保護法第27条）、利用目的の達成に必要な範囲内で取扱いの全部または一部を委託することに伴って個人データが提供される場合、この提供先は同条の第三者に該当しないと定められています。生成AIサービスへの入力が、事務所の業務遂行のためにベンダーへ処理を委託する構図なのか、それともベンダー自身の目的にも使われる第三者提供の構図なのかは、契約の建てつけとベンダー規約の書きぶりによって整理が分かれる論点です。委託にあたる整理を採る場合は、委託先に対して必要かつ適切な監督を行う義務が生じます（個人情報保護法第25条）。この整理は事務所単独で判断しきれない部分も含むため、契約書とベンダー規約を照らし合わせる作業を丁寧に行う価値があります。

第4に、ベンダーのデータ利用ポリシーの確認です。入力した内容がモデルの学習に使われるかどうかは、サービスや契約プランによって既定の設定が異なります。個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表し、個人情報を含むプロンプトを入力する事業者に対して、利用目的の達成に必要な範囲内であることの確認と、入力内容が機械学習に利用される場合の取扱いへの留意を求めています（個人情報保護委員会生成AIサービスの利用に関する注意喚起等について）。個々のベンダーの学習利用の可否や設定方法は各社の公式文書で確認する必要があり、たとえばOpenAIは入力データがモデル改善にどう使われるかを公式ヘルプページで説明しています（OpenAI公式ヘルプ：データがモデル改善にどう使われるかの説明）。個人向けの無料プランと法人向けプランとで学習利用の既定設定が異なるサービスもあるため、契約プランの単位で確認しておくことが実務的です。個人情報保護委員会の注意喚起を事務所の入力ルールに翻訳する観点は、個人情報保護委員会の生成AI注意喚起を読むで扱っています。

第5に、有資格者による最終確認の工程です。棚卸しと契約整理を終えても、実際に出力された文面や数値、条番号を有資格者が確認する工程を業務フローに組み込まなければ、誤りが顧問先に届く前に止まりません。生成AIは条文番号や統計の数字を、正しいものと同じ体裁で誤って出力することがあります。ドラフト作成はAIが担い、事実関係と最終的な判断は有資格者が担うという役割分担を、事務所内のフローとして明示しておくと、担当者ごとの運用のばらつきが減ります。ここまでの整理を事務所規程に落とし込む手順は、士業事務所のAI利用規程テンプレートで扱っています。

以下は、入力可否を判断する材料を洗い出すためにChatGPTやClaude、Geminiに投げられるプロンプト例です。実在する顧問先名は使わず、架空の名称に置き換えて使ってください。

甲事務所は、顧問先A社の月次試算表データをクラウド型の生成AIサービスに入力し、
異常値のチェックを行うことを検討しています。
以下の観点で確認すべき論点を、個人情報保護法の枠組みに沿って箇条書きにしてください。
1. 入力データの利用目的と、顧問契約上の業務範囲との整合性
2. 当該生成AIサービスへの入力が第三者提供と委託のどちらに整理されるか判断するための確認事項
3. 委託先の監督として事務所が確認しておくべき事項
4. 顧問先A社への説明が必要な範囲

甲事務所のAI利用規程の骨子案を作成してください。
対象は、税務相談・議事録要約・書面下書きの3業務で、
使用ツールはChatGPT Team、Claude Enterprise、Geminiの3種類とします。
規程には、入力してよい情報の範囲、学習利用の設定確認、
有資格者による最終確認の工程、顧問先への説明方法の4項目を必ず含めてください。

顧問先情報を預ける前に決めておく守秘義務・規程上の論点

生成AIの活用を勧める記事は、便利さだけで終わらせず、守秘義務との関係を整理しておく必要があります。8士業にはそれぞれの資格法に守秘義務規定が置かれています。弁護士は、職務上知り得た秘密を保持する権利と義務を負うと定める弁護士法第23条、税理士は、正当な理由がなく税理士業務に関して知り得た秘密を他に漏らしまたは窃用してはならないと定める税理士法第38条、社会保険労務士は、正当な理由がなくその業務に関して知り得た秘密を他に漏らしまたは盗用してはならないと定める社会保険労務士法第21条に、それぞれ根拠を持っています。他の士業にも同様の規定があり、8士業それぞれの根拠条文は士業の生成AIと守秘義務で一覧にしています。

守秘義務の根拠条文とあわせて押さえておきたいのが、個人情報保護法の安全管理措置の規定です。個人情報取扱事業者は、取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならないと定められています（個人情報保護法第23条）。生成AIサービスを選定する際は、この安全管理措置の観点から、通信の暗号化やアクセス権限の管理、ログの保存期間、管理者によるアカウント一元管理の可否といった項目をベンダーの資料で確認しておく事務所が増えています。

事務所によっては、生成AIの利用範囲を業務ごとに段階分けしているところもあります。議事録の要約のように原則として個人を特定する情報が主目的でない業務と、税務相談の下書きのように具体的な顧問先の数値や事情を扱う業務とでは、確認の厳格さを変える考え方です。どの段階分けが自事務所に合うかは扱う業務の性質によって異なるため、まずは棚卸しの結果をもとに事務所内で議論してみることが出発点になります。

顧問先への説明も欠かせない論点です。顧問契約の締結時や更新時に、業務の一部で生成AIを利用する可能性があること、入力する情報の範囲、学習利用の設定をどう扱っているかを説明し、疑問があれば個別に確認できる窓口を用意しておくと、後から不信感につながりにくくなります。重い同意書のような手続きを毎回求める事務所ばかりではありませんが、顧問先向けの説明資料を用意しておく事務所は増えています。作り方は顧問先へのAI活用説明資料の作り方で扱っています。

これらを事務所規程に落とし込むときは、入力してよい情報の区分、利用を認めるツールの一覧、学習利用設定の確認手順、違反時の対応という骨格を持たせると運用しやすくなります。委託先の監督義務（個人情報保護法第25条）を踏まえ、ベンダーの規約変更を定期的に確認する担当をあらかじめ決めておくことも実務上の論点です。令和8年改正には、データの取扱いを委託された事業者側の規律を整備する項目が含まれており、改正法が施行された段階では、委託先であるAIベンダーに対して事務所が求める確認事項がさらに具体化する可能性があります。この点は施行日が定まった時点で改めて見直す前提を置き、現時点では現行法の枠組みで規程を運用しておくのが実務的な進め方です。

生成AI導入でよくある3つの失敗と回避の視点

第1に、生成AIが実在しない条番号をそれらしい文体で出力し、確認されないまま書面案に残ってしまう失敗です。生成AIは条文番号や引用元を、実在するものと同じ体裁で誤って出力することがあり、見た目の自然さと正確さは一致しません。条文が含まれる出力は、e-Gov法令検索の原文で確認する工程を挟むことが回避策になります。数字や固有名詞、日付についても同様に確認する工程を挟みます。

第2に、顧問先の同意や説明を経ないまま、資料をクラウド型の生成AIに投入してしまう失敗です。担当者が業務効率化のために良かれと思って行うケースが多く、悪意はなくても事務所の説明責任を欠く結果になります。入力してよい情報の区分をあらかじめ規程で決めておき、判断に迷う情報は上長に確認してから使う運用にしておくと防ぎやすくなります。

第3に、事務所内でのツール利用が野良化し、誰がどのツールにどの情報を入力したか事務所として把握できなくなる失敗です。個人が契約した無料版のアカウントで顧問先情報を扱ってしまうと、委託先の監督以前に、そもそも事務所が把握していないツールが増えてしまいます。利用してよいツールを事務所として指定し、契約はできる限り事務所名義でまとめておくことが回避策になります。退職者のアカウントを止め忘れる、というのも野良化の一種です。生成AIの情報漏えいがどの経路で起きやすいかは、生成AIの情報漏えいはどこで起きるかで経路別に整理しています。

費用・体制を考えるときの視点

事務所単位でAI利用規程を整備する場合、たたき台の作成自体は既存のひな形を土台にすれば大きな負担にはなりませんが、有資格者や事務スタッフを含めた合議と周知の工程まで含めると、小規模の事務所であっても一定の調整期間を見込んでおいたほうが現実的です。規程整備の骨子作りは士業事務所のAI利用規程テンプレートを土台にすると、ゼロから議論するより短い期間で合意形成しやすくなります。

生成AIサービス自体の利用料は、個人向けの無料プランではなく、事務所として管理できる法人向けプラン（ChatGPT TeamやClaude Enterprise、Gemini for Workspaceなど）を選ぶと、アカウント管理や学習利用のオプトアウト設定がしやすくなります。無料プランや個人契約のプランを積み重ねる運用は、一見するとコストを抑えられるように見えますが、誰が何を入力したか事務所として把握できなくなるリスクと引き換えになりがちです。法人向けプランの料金体系は各社の公式サイトで随時更新されるため、契約前に最新のプラン内容を確認してください。

運用体制としては、規程の作成者と日常的な問い合わせ窓口を分けている事務所が一般的です。所長や社員が規程の最終責任を持ち、実務に近いスタッフが日常のツール選定やベンダー規約のアップデート確認を担う体制にすると、規程が形骸化しにくくなります。ベンダーの規約変更やAI事業者ガイドラインの更新を確認する頻度をあらかじめ決めておくと、見直しの機会を逃しにくくなります。

施行日確定後に事務所が見直す3つの論点

令和8年改正は公布されたばかりで、施行令や施行規則、各種ガイドラインの改正はこれから個人情報保護委員会が順次進めていく段階にあります。事務所として今すぐ動く必要はありませんが、施行日が政令で定まった段階では、少なくとも3点を見直す価値があります。

1点目は、データの取扱いを委託された事業者に関する規律の整備です。改正法には、委託を受けた事業者側の義務を明確化する項目が含まれており、AIベンダーとの契約書や利用規約の記載が、この整備を踏まえて更新される可能性があります。事務所側の委託先監督の実務も、あわせて見直す価値があります。

2点目は、統計作成等の目的に限定した取扱いに関する新しい枠組みです。改正法には、統計情報の作成にのみ利用されることが担保されている場合の同意取得義務を緩和する項目が含まれています。これは主に大量のデータを扱う事業者向けの制度であり、士業事務所の日常的な生成AI利用に直接影響する場面は限定的とみられますが、AIベンダー側の学習データの取扱いに関する説明が今後変わる可能性はあります。

3点目は、行政上の課徴金制度の新設です。改正法には、重大な違反行為があった場合に金銭的な制裁を科す仕組みが盛り込まれています。刑事罰より機動的に発動し得る制裁であるため、事務所としての説明責任の重みは、施行後にこれまでより増す可能性があります。

いずれも施行日が確定してから対応が具体化する論点です。現時点でできることは、現行法に基づく規程とベンダー確認の運用を丁寧に固めておくことにつきます。

よくある質問

令和8年改正個人情報保護法はいつから適用されますか

令和8年改正個人情報保護法は、2026年7月17日に公布されましたが、施行日はまだ確定していません。公布の日から起算して2年を超えない範囲内で、今後政令によって定められます（個人情報保護委員会いわゆる3年ごと見直しの経緯）。事務所としては、政令が公布される段階で改めて情報を確認する前提でよいと考えられます。

現行法と令和8年改正、事務所は今どちらを見ればよいですか

今日の実務で従うべきルールは、現行の個人情報保護法です。令和8年改正は成立・公布まで進んでいますが施行前であり、施行日が確定するまでは現行法の枠組みがそのまま適用されます。改正法の内容を先取りして規程を書き換える必要はありません。

生成AIへの入力は個人情報保護法上の第三者提供にあたりますか

事務所とベンダーの契約構造によって整理が分かれる論点です。個人情報保護法は、利用目的の達成に必要な範囲内で行われる委託に伴う提供を第三者提供から除いています（個人情報保護法第27条）。自事務所の契約がどちらの整理になるかは、契約書とベンダー規約を照らし合わせて確認する事項です。

生成AIベンダーが入力データを学習に使うかはどう確認すればよいですか

各ベンダーが公表しているデータ利用ポリシーやヘルプページを確認するのが基本です。個人情報保護委員会も、入力内容が機械学習に利用される場合の取扱いに留意するよう注意喚起しています（個人情報保護委員会生成AIサービスの利用に関する注意喚起等について）。法人向けプランでは学習利用をオプトアウトできる設定を用意しているサービスもあります。

顧問先への説明はどこまで必要ですか

法律上、一律の説明義務が明文で定められているわけではありませんが、顧問契約の締結や更新の際に、生成AIを利用する可能性と入力情報の範囲を伝えている事務所が増えています。疑問に答えられる窓口を用意しておくことが、実務上の対応として現実的です。

事務所のAI利用規程はいつまでに整えればよいですか

令和8年改正の施行を待つ必要はなく、現行法の枠組みに沿って早めに整えておくことが望ましい進め方です。入力してよい情報の区分と有資格者による最終確認の工程を先に決めておけば、施行日が確定した段階での見直しも部分的な更新で済みます。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。