個人情報保護法と生成AI：入力した個人情報の扱いと、2026年の改正法を、公式資料で確かめる

3行でいうと

個人情報保護委員会は2023年6月2日、個人情報を含む入力が利用目的の範囲内かの確認を事業者に求めた。
本人の同意なく個人データを入れ、応答以外の目的でも扱われると、法に違反するおそれがあるとしている。
2026年7月に改正法が公布され、統計として整理できるAI開発に限り、同意なしの第三者提供の特例が入った。
この改正はまだ施行されておらず、施行日は、委員会の資料によると、原則として公布から2年を超えない範囲とされている。

この記事は、個人情報保護委員会、e-Gov法令検索、関係官庁の公式資料を読んでまとめたものです。条文と公式資料の紹介であり、法的な助言ではありません。自分や自分の会社の個別の場面にどう当てはまるかは、弁護士など専門家、または個人情報保護委員会の相談窓口に確認してください。僕らの考えは「見立てです。」と分けて書きました。

先に結論

個人情報保護委員会は、令和5年（2023年）6月2日に「生成AIサービスの利用に関する注意喚起等」を出しています。事業者には、個人情報を含む入力が、決めた利用目的の範囲に収まっているかの確認を求めています。また、本人の同意なく個人データを入力し、それが応答を出す以外の目的でも扱われると、個人情報保護法に違反するおそれがある、と述べ、提供事業者が入力内容を機械学習に使わないかどうかの確認を求めています。
2026年7月に、個人情報保護法の改正法（令和8年法律第56号）が成立・公布されました。改正の中に、統計の作成と、統計として整理できるAI開発に限って、本人の同意なしに個人データを第三者へ出せる特例が入っています。
この改正はまだ施行されていません。施行日は、原則として公布の日から2年を超えない範囲で政令で決める、と委員会の資料にあります。条件の細かい部分は、委員会規則などで今後決まる予定で、2026年10月14日の時点でも検討中です。

何が起きているか（日付つき）

個人情報保護委員会（以下、委員会）のページから、日付を並べました。

日付	できごと
2023年6月2日（令和5年）	「生成AIサービスの利用に関する注意喚起等について」を公表。OpenAIにも注意喚起
2025年2月3日（令和7年）	「DeepSeekに関する情報提供」を公表（3月5日に更新）
2026年1月9日（令和8年）	委員会で「いわゆる3年ごと見直しの制度改正方針（案）」が議題に
2026年4月7日	改正法案を閣議決定し、国会に提出
2026年7月10日	改正法が成立
2026年7月17日	改正法を公布
2026年7月31日〜10月14日	委員会が「今後の取組」（7月31日）、「政令・規則等で定める事項の全体像」（8月26日）、「今後の進め方」（9月9日）、「基本的な考え方」①〜③（9月16日、10月1日、10月14日）を順に公表

「3年ごと見直し」は、個人情報保護法に定められた、法律の施行状況を定期的に見直す仕組みです。

原典1：2023年の注意喚起に書かれていること

委員会の注意喚起は、立場ごとに分かれています。

個人情報取扱事業者（会社など）へ

個人情報を含むプロンプト（AIへの入力文）を生成AIに入れるときは、特定した利用目的の達成に必要な範囲内かを確認する。
本人の同意なく個人データを入れて、それが応答の出力以外の目的でも扱われるなら、個人情報保護法に違反するおそれがある。だから、提供事業者が入力内容を機械学習に使わないことなどを十分に確認する。

リーフレットには、もう少しわかりやすい説明があります。提供事業者がAIの精度向上のために入力情報を学習データにする場合、利用者が個人データを入力することは、提供事業者への「提供」にあたる。個人データを第三者に出すには、原則として本人の事前の同意が必要（法第27条・第28条）、という趣旨です。

行政機関等へ

保有個人情報（役所が持つ個人情報）について、同じ趣旨の確認を求めています。リーフレットでは、特定した利用目的の範囲でだけ使う、出すのが原則（法第69条）、と案内されています。

一般の利用者へ

入力した個人情報が機械学習に使われると、他の情報と統計的に結びつけられ、正確な、または不正確な内容として出力されるおそれがある。
AIの応答には、不正確な個人情報が含まれることがある。
提供事業者の利用規約やプライバシーポリシーを確かめ、入力する内容に応じて使うかどうかを判断する。

OpenAIへの注意喚起

同じ日に、ChatGPTを提供する会社に、法第147条（委員会が事業者に必要な指導・助言をできる、という条文）にもとづく注意喚起も行われています。内容は、本人の同意なく要配慮個人情報（人種、病歴、犯罪の経歴など、特に配慮が必要な情報）を取得しないこと、機械学習のために集めるときの措置、利用目的を日本語で通知または公表すること、などです。委員会は、現時点で認識した懸念にもとづくものであり、今後追加の対応がありうる、としています。

条	見出し	内容（言い換え）
第17条	利用目的の特定	個人情報を扱うときは、利用の目的をできる限り特定する
第18条	利用目的による制限	あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲を超えて扱ってはならない（例外あり）
第20条	適正な取得	偽りその他不正の手段で取得してはならない。要配慮個人情報は、例外を除き、あらかじめ本人の同意を得ないで取得してはならない（第2項）
第27条	第三者提供の制限	例外を除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない
第147条	指導及び助言	委員会は、必要な限度で、事業者などに指導と助言をすることができる
第148条	勧告及び命令	一定の条文に違反した場合などに、委員会が勧告や命令をすることができる

基本の情報

名称は「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）です。令和8年4月7日に閣議決定・国会提出、7月10日に成立、7月17日に公布されました。施行日は、委員会の資料では、原則として公布の日から2年を超えない範囲で、とされています。具体的な日付は、読んだ資料には書かれていません。

AIに関わる部分

委員会の資料では、次の特例が説明されています（改正後の条番号で、第30条の2と第31条の3）。

個人データを第三者に提供することと、公開されている要配慮個人情報を取得することについて、統計情報などの作成にだけ使う場合は、本人の同意を不要とする。
注記によると、統計作成等として整理できるAI開発なども対象に含まれる。
条件として、提供する側と受け取る側の名称や、作る内容などの公表、書面での合意、目的外の利用や再提供の禁止、安全管理措置などが挙げられている。
公表の方法、対象の範囲、体制の基準などは、委員会規則で今後定める。

2026年10月1日付の「基本的な考え方②」の資料には、対象が「特定の個人との対応関係が排斥された統計情報やAIモデルの作成」とされています。また、衆参両院の附帯決議（国会が法律に付ける意見）が、AIモデル等による個人の識別や、要配慮個人情報の推知（推し量ること）のリスクへの配慮を求めている、とも書かれています。

AI以外の主な改正

課徴金制度（違法な取扱いで利益を得た場合などに、金銭の納付を命じる仕組み）の新設。
16歳未満の子どもの個人情報について、同意や通知の相手を法定代理人とし、利用停止を求めやすくする。
顔の特徴のデータなどについて、取扱いの公表や、利用停止の請求のしやすさなどを定める。

これらも施行は先で、政令や規則の整備が続いています。10月14日付の「基本的な考え方③」の資料には、課徴金の導入やオプトアウト制度の強化などが論点として並んでいます。

:::

くらしや仕事への影響

見立てです。2023年の注意喚起から、仕事で生成AIを使うときの基本の確認は、いまも変わっていないように見えます。ひとつは、個人の名前や連絡先などを入れるか、入れないか。もうひとつは、入れた内容がAIの学習に使われる設定かどうか。この2つを、提供事業者の利用規約や設定で確かめることです。

見立てです。2026年の改正法は、AIを開発する側の同意の手間を軽くする特例で、AIを「使う」側が日常で気にすることを直接変えるものには見えません。ただ、施行の前に、特例の条件を決める委員会規則やガイドラインが出ます。AI開発やデータの提供を仕事にしている人は、その公表を待って読む必要があると思います。

見立てです。個人の利用者にとっては、第三者に自分の情報が渡るかどうかは、サービスの設定画面にある「学習に使う」のオン・オフに表れることが多いと思います。ただ、どのサービスにどんな設定があるかは、ここでは確かめていません。

気をつけること

この記事は条文と公式資料の紹介で、法的な助言ではありません。個別の判断は、専門家に相談してください。
2023年の注意喚起は、当時の認識にもとづくものです。その後の運用や、サービス側の仕様の変化は、確認していません。
改正法の施行日は、確認できていません。2026年10月14日付の資料までで、具体的な施行日の日付は見つけられませんでした。「公布から2年を超えない範囲」は委員会の資料の記述で、附則の条文そのものは読めていません。改正法は、e-Gov法令検索のデータ検索では見つけられませんでした。法律番号は、委員会の資料（基本的な考え方②）で確かめ、内閣府の人工知能基本計画の本文にも同じ番号がありました。
委員会の資料の工程表は表の形で、各項目の月を読み取れませんでした。一部の規定が先に施行されるかどうかは、確認できていません。
改正後の条番号（第30条の2、第31条の3など）は、改正法の概要資料と法律本文の資料から拾ったものです。今後の整理で変わる可能性もあります。
注意喚起の本文に、第17条や第18条という番号は出てきません。表の対応は、条文の見出しと内容を見比べて並べたものです。
「基本的な考え方」①（9月16日付）は、題名と日付だけを確認し、本文は読んでいません。
官公庁以外のページは、事実の根拠にしていません。

出典

更新履歴

2026年10月23日 公式の資料を読み直して、次の点を直しました。
- 前：施行日は公布から2年を超えない範囲で政令で決まる → いま：施行日は、委員会の資料によると、原則として公布から2年を超えない範囲とされている
- 前：2026年10月1日の時点でも検討中 → いま：2026年10月14日の時点でも検討中
- 前：委員会が7月31日〜10月1日に資料を順に公表 → いま：10月14日までに公表された資料を、日付つきで書き足した
- 前：（書いていなかった） → いま：10月14日付の資料に、課徴金の導入やオプトアウト制度の強化などが論点として並んでいる
- 前：施行日の記載は見つけられなかった → いま：10月14日付の資料までで、具体的な施行日の日付は見つけられなかった
- 前：（書いていなかった） → いま：「基本的な考え方」①（9月16日付）は題名と日付だけを確認し、本文は読んでいない
一部の出典は読めなかったため、その部分は前のままです。