個人情報保護法の改正、施行はいつ — 施行までは今の法律で判断、AIを使う事務所の確認表つき

「個人情報保護法が変わったらしいが、AIの使い方を今すぐ変えるべきか」と迷っている方は多いと思います。結論から言うと、本体の施行日はまだ決まっておらず、施行までは今の法律で判断します¹。 改正法は2026年7月10日に成立し、7月17日に公布されました¹。この記事では、個人情報保護委員会の原文から、AIサービスを使う事務所が見ておく5項目を整理します。書いているのは、AIエンジニアとして小さな事業を運営している者で、元ICU看護師です。

この記事でわかること

• 本体の施行日は「公布から2年以内で政令で定める日」で、まだ決まっていません
• 罰則の見直しだけは、公布から6か月を経過した日に先に施行されます
• 施行までは、2023年の生成AIの注意喚起を含む今の法律で判断します
• AIを使う事務所が見ておくのは、委託先・漏えい・子ども・統計作成・医療機関の5項目です
• 今週できるのは、使っているAIサービスの規約と委託の中身を表に書き出すことです

改正法はいつ施行されるか

改正法の本体は、公布の日から2年を超えない範囲で政令が定める日に施行されます³。 公布は2026年7月17日なので、遅くとも2028年7月までに施行される計算です。ただし、具体的な日付はまだ公表されていません¹。

決まっている日付

個人情報保護委員会の公表資料によると、法律案の閣議決定は2026年4月7日、成立は7月10日、公布は7月17日でした¹。法律の附則には、例外として先に施行される規定が書かれています。罰則の見直しなどは「公布の日から起算して六月を経過した日」から施行されます³。計算すると、2027年1月17日です。

まだ決まっていないこと

細かいルールは、これから政令・委員会規則・ガイドラインで決まります。委員会は公布の発表で「円滑な施行へ向け、今後、政令、委員会規則、ガイドライン等の検討を行ってまいります」と書いています¹。9月9日の資料には、当面の予定のイメージが載っています⁴。

表のとおり、AIサービスを使う事務所に近い「委託先」と「漏えい等」は、ちょうど今の時期に議論される予定です。ただし資料はこの予定を「当面のスケジュールのイメージ」としており⁴、日付は動く可能性があります。条文案が固まると、意見公募手続（パブリックコメント）が始まる流れです⁴。

施行までは、今の法律で判断する

改正法が施行されるまでは、今の個人情報保護法がそのまま適用されます。 個人情報保護委員会は2023年6月2日に、生成AIサービスの利用について事業者向けの注意喚起を出しています⁵。

入力が利用目的の範囲内か

注意喚起の1つ目は、個人情報を含むプロンプトを入力するときの確認です。原文は「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」と書いています⁵。

入力したデータが学習に使われないか

2つ目は、入力したデータの行き先です。本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、法律に違反する可能性があると書かれています⁵。そのため、AIサービスの提供者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」が求められています⁵。AI利用者としての確認項目は、AI事業者ガイドラインの7項目にもまとめています。

AIを使う事務所が見ておく5項目

改正の中身は多いものの、AIサービスを使う小さな事務所に関わりが近いのは5項目です。 委員会の概要資料から、該当するものだけを抜き出しました²。

表の右端は、改正を読んで事務所の側で確かめる場所です。5項目とも、細かい範囲は規則やガイドラインで決まると資料に書かれています²。

1. 委託先の義務

AIサービスに業務の一部を任せる形は、委託に当たる場合があります。改正法の第30条の3は、委託された個人情報を「当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」と定めています³。

これまでは、委託元が委託先を監督する義務が中心でした²。改正後は、委託先そのものにも義務が課されます。

2. 漏えい時の本人通知

今は、報告の対象になる漏えいが起きると、原則として本人に通知する義務があります²。改正では、本人への通知がなくても権利利益の保護に欠けるおそれが少ない場合に、代わりの措置を認めます²。資料が挙げる例は、単体ではほとんど意味を持たない社内のIDだけが漏れた場合です。どこまでが対象かは、これから委員会規則で決まります。

3. 16歳未満の本人

16歳未満の本人について、同意や通知の相手を法定代理人とすることが法律に書かれます²。教室や学習塾の予約、小児の受診の受付などをAIで下書きしている事務所は、子どもの情報の流れを確認しておくと安心です。

4. 統計作成等の特例

統計情報等の作成にのみ使う場合は、本人の同意なく第三者に提供できるようになります²。資料は、この「統計作成等」に「AI開発等を含む」と注記しています²。ただし、名前の公表や、提供元と提供先の書面の合意などが条件です²。自分の事務所が入力したデータが、自由に学習に使われてよくなるという意味ではありません。

5. 医療機関の位置づけ

学術研究の例外が使える「学術研究機関等」に、医療の提供を目的とする機関が含まれることが明示されます²。資料は「病院や、その他の医療の提供を目的とする機関等（診療所等）が含まれることを想定」と書いています²。院内の生成AIの使い方の決め方は、院内の生成AI利用ガイドラインの作り方で扱っています。

課徴金は小さな事務所に関係するか

課徴金は、大量の個人情報を扱う悪質な違反を抑えるための新しい制度です²。

対象は4つの違反に限られる

概要資料が課徴金の対象に挙げているのは、不適正な利用・不正な取得・第三者提供の制限への違反・統計特例への違反の4つです²。規模については、対象行為に関わる本人の数について「1,000人を基準とする」と書かれています²。

小さな事務所が気にすべきこと

日々の業務でAIに文章を下書きさせる程度の使い方が、そのまま課徴金に結びつくとは読めません。一方で、個人情報データベース等を不正な利益や損害を加える目的で提供する行為などは、罰則の見直しが先に施行されます²³。課徴金より先に、今の法律と規約の確認に時間を使うほうが実務的です。セキュリティの基本は、IPAが挙げる生成AIのセキュリティ対策が参考になります。

今週できる確認

施行日を待たずにできるのは、使っているAIサービスと個人情報の流れを1枚の表にすることです。 下の表を写して、空欄を埋めてください。

「不明」が残った行は、サービスの設定画面か規約で確かめます。補助金の要件にもなっている基本的な宣言は、SECURITY ACTIONの宣言手順にまとめています。

よくある質問

まとめ

• 改正個人情報保護法は2026年7月17日に公布され、本体の施行日はまだ決まっていません
• 施行までは今の法律と、2023年の生成AIの注意喚起で判断します
• 委託先・漏えい・子ども・統計作成・医療機関の5項目は、規則の議論が続いています
• 課徴金の対象は4つの違反で、本人の数1,000人が基準です

まずは、使っているAIサービスと個人情報の流れを表に書き出してください。

• 個人情報をAIに入力していないなら、今回の改正で急いで変えることはありません
• 入力していて学習の設定が「不明」なら、規約と設定の確認から始めます
• 診療所で院内のルールがまだ無いなら、院内の生成AI利用ガイドラインづくりに進みます