3行でいうと

  • PPCは、2023年6月2日の注意喚起で、事業者に2点を求めています。入力する個人情報が、特定した利用目的の範囲内かを確認すること。同意なく入力した個人データが、AIの提供事業者に「応答の出力以外」の目的（機械学習など）で使われないかを確認することです。
  • 確認項目は、条文に沿って「目的」「要配慮」「学習・提供先」「委託の監督」「外国」「漏えい」の6つに分けると作りやすくなります。AIの利用ごとに、1行ずつ当てはめます。
  • 個人情報保護法は2026年7月17日に改正法が公布されましたが、施行は公布から2年以内で、政令や規則はまだ整っていません。確認項目には、見直しの日を入れておく必要があります。

この記事は、実際に使って確かめた記録ではありません。この記事は、PPCの文書と、e-Govの法令データを、2026年10月16日に読んでまとめたものです。法律の話ですが、助言ではありません。自社への当てはめは、専門家や所管の窓口に確認してください。「個人情報保護法と生成AI」の全体像は、別の記事で扱っています。

先に結論

PPCの文書は、何を言っているか

2023年6月2日の注意喚起（PPC）。 個人の権利利益の保護と、イノベーションや生産性の向上のバランスを考える、という前置きのあと、次のように整理されています。

同じ文書の別添に、PPCが2023年6月1日付で、OpenAIの2つの法人（OpenAI, L.L.C.とOpenAI OpCo, LLC）に、法147条に基づく注意喚起を出したとあります。要配慮個人情報を、本人の同意なく取得しないこと。機械学習目的の収集では、要配慮個人情報を含まないようにする取組を行い、判明したら削除や識別できない形にすること。利用目的を日本語で通知・公表すること、などです。これは、特定の事業者への注意喚起で、自社の義務を直接決める文書ではありません。ただ、「AIのサービス側に何が求められうるか」が分かります。

ガイドライン（通則編）とQ&A。 通則編は、2026年6月14日付の一部改正が表示されています。新旧対照表を読むと、改正は条文番号の基準日の更新などで、AIに関する記述は見当たりませんでした。構成は、利用目的、取得、安全管理、漏えい報告、第三者提供などの章に分かれています。ただ、僕らが読めたのは目的・定義と、第3章の目次までです。

Q&A（2025年7月1日付）は、設問の一覧から、Q1-8が「機械学習の学習済みパラメータは個人情報に当たるか」を、Q7-53が「クラウドサービスを使うとき、個人データの第三者提供か委託か」を問うものだと分かりました。回答は読めていません。

条文で確かめる：確認項目の「背骨」

PPCの注意喚起は、条文に沿った整理と読めます。e-Govの法令データで、関係する条文を読みました（前提：この記事で読んだデータが、2026年の改正を反映しているかは確認できていません）。

場面 条 読んだ内容（言い換え）
目的 17条・18条 利用目的をできる限り特定する。原則、同意なしに、その達成に必要な範囲を超えて取り扱わない
取得したとき 21条 取得したら速やかに、利用目的を本人に通知か公表する
要配慮情報 20条2項 要配慮個人情報は、原則、事前の同意なしに取得できない
管理 23条 漏えいなどを防ぐ、必要かつ適切な安全管理措置
委託 25条 取扱いを委託するなら、委託先を必要かつ適切に監督する
報告 26条 個人の権利利益を害するおそれが大きい漏えい等は、委員会へ報告し、本人にも通知する
提供 27条 原則、同意なしに第三者へ提供しない。利用目的の範囲での委託は「第三者」に当たらない
外国 28条 外国の第三者への提供は、原則、事前の同意。ただし、同等水準の国や、相当の措置の体制がある相手は例外

確認項目の作り方：4つの手順

ここからは、読んだ文書をもとにした僕らの見立てで、PPCの推奨ではありません。

1. AIの利用を、一覧にする。 「どの部署が、どのAIサービスに、どんな情報を入れているか」を行にします。契約の種類（個人向けか、法人向けか）も書きます。一覧にない利用（いわゆる私物のアカウント）は、点検の外に残ります。

2. 各行に、6つの問いを当てる。

  1. 目的。 入れる情報は、あらかじめ決めた利用目的の範囲に入るか。
  2. 要配慮。 要配慮個人情報が混じっていないか（何が当たるかは、条文とガイドラインで確かめる）。
  3. 学習・提供先。 AIの提供事業者は、入れた内容を応答以外（学習など）に使うか。使わない設定や契約か。
  4. 委託の監督。 委託と整理するなら、提供事業者を必要かつ適切に監督できる材料（契約、管理の説明）があるか。
  5. 外国。 提供事業者や保存先は外国か。外国の第三者への提供に当たる場合の整理は済んでいるか。
  6. 漏えい。 誤って送ったとき、報告と本人への通知の判断を、誰がするか。

3. 「根拠」と「確認先」の欄を作る。 各問いに、条文や注意喚起と、自社で確かめる資料（利用規約、契約書、設定画面、プライバシーポリシー）を書きます。確認先を書かないと、「たぶん大丈夫」で止まります。

4. 「判断が分かれる」行に、印を付ける。 提供か委託かの整理など、読めなかったQ&Aに関わる部分は、僕らも判断できません。印を付けて、専門家に確認する行にします。

記入の例を、3つ並べます（架空の例で、結論ではありません）。

利用 入れる情報 先に確かめること
会議の議事録の要約 社内の発言、顧客名が混じることがある 問い3（学習に使われないか）、問い1（目的の範囲）、顧客名を伏せる運用
問い合わせメールの返信の下書き 顧客の氏名、連絡先 問い1、問い3、問い6（誤送信の手順）
人事面談のメモの整理 個人の事情の詳細が含まれうる 問い2（要配慮）が最優先。使わない、と決める選択もある
注意喚起の2つの問いと、条文の対応
  • 「入力が、特定済みの利用目的の範囲内か」は、18条（利用目的による制限）に対応します。目的の範囲を超えるなら、同意など、別の整理が要ります。
  • 「提供事業者が、入れた内容を機械学習に使わないか」は、27条（第三者提供の制限）と、27条5項1号（委託は「第三者」に当たらない）の整理に関わります。PPCの注意喚起は、同意なく入れた個人データが応答以外の目的で扱われると違反のおそれがある、と述べています。この「出力以外の目的」を、入れる前に確かめる、というのが、僕らの見立てた実務上の読み方です。
  • Q7-53は、クラウド全般について、提供と委託のどちらかを問う設問です。AIサービスに同じ整理が当たるかは、回答を読めていないので、僕らは判断できません。

令和8年の改正と、見直しの日

PPCのページによると、「個人情報の保護に関する法律等の一部を改正する法律」は、2026年4月7日に国会へ提出され、7月10日に成立、7月17日に公布されました。施行は、一部を除き、公布から2年以内で政令が定める日です。政令、規則、ガイドラインは未整備で、PPCの委員会には、9月16日、10月1日、10月14日に「基本的な考え方」が議題として挙がっていますが、これは議論の資料で、確定した政令ではありません。改正の中身の詳細は、僕らは読めていません。

確認項目には、「改正法の政令・規則が出たら、見直す」と書いた見直しの日を入れておくのが、現実的だと考えます。これは見立てです。

気をつけること

出典

更新履歴