生成AIを業務に使い始めた会社が、遅かれ早かれ必ずぶつかる問いがあります。「この情報を、AIに貼りつけていいのか」——見積書、問い合わせメール、履歴書、顧客リスト。答えを決めないまま各自の判断で使い続けている、という会社は少なくないはずです。その問いを社内で整理し直すのに、ちょうどよい機会が来ました。個人情報保護法の改正法が、2026年7月17日に公布されたのです。
とはいえ、慌てて何かを止める必要はありません。この記事では、中小企業が押さえておけば十分なところに絞って、変更点と「いま何をしておくと後が楽か」を整理します。
改正個人情報保護法はいつから施行されるのか
改正法は2026年7月10日に国会で可決・成立し、同月17日に公布されました。ここで大事なのは、公布と施行は別物だということです。主要な部分の施行は「公布から2年以内で政令が定める日」とされており、遅くとも2028年7月16日までに動き出す、という時間軸になります。罰則に関する一部の規定など、先行して施行されるものは公布から半年後の2027年1月17日とされています。
つまり、本格的な対応の期限までにはまだ相応の時間があります。細かい運用は、今後の政令や個人情報保護委員会のガイドライン整備を待つ部分も残っています。いま必要なのは駆け込みの対応ではなく、方向性を知って、自社の使い方を一度点検しておくことです。
初めて導入される課徴金——ただし対象は大規模な事案
今回の改正でいちばん話題になったのが、個人情報保護法として初めて課徴金制度が導入される点です。「うちも罰金を取られるのか」と身構えたくなりますが、報道や法律事務所の解説を読むかぎり、対象は限定された違反類型の、しかも大規模な事案という設計になっています。
対象となるのは、不適正な利用、不正な手段による取得、本人の同意を得ない第三者提供、そして後述する統計作成等の特例に違反した場合——といった類型で、影響を受ける本人の数が1,000人という規模を一つの基準として、大規模な事案に絞られると説明されています。通常の業務を誠実に行っている小さな会社が、ある日突然その対象になる、という性質のものではありません。
ただし、課徴金だけが執行手段ではありません。今回の改正では勧告・命令といった従来の手段も拡充されています。「罰金の対象になるかどうか」だけを基準に考えるのではなく、そもそも個人情報の扱いを説明できる状態にしておく——そちらのほうが実務的です。
生成AIの利用で本当に効いてくるのは「入力のルール」
中小企業にとって、この改正がいちばん実感を伴って効いてくるのは、日々の生成AI利用の場面だと考えています。法律の条文が変わったから、というより、「誰の情報を、どこへ渡しているのか」を説明できるようにしておく必要が高まった、という意味においてです。
外部の生成AIサービスに顧客の名前や連絡先を含む文面を貼りつける行為が、法律上どう位置づけられるかは、使っているサービスの契約形態と設定によって変わります。入力内容を学習に使わない設定になっているか、事業者向けのプランかどうか、データの保存期間はどうか。ここは一律に「危ない」「大丈夫」と言えるところではなく、ツールごとに確認するしかない部分です。
そのうえで、多くの会社にとって現実的な第一歩は「入れてよいもの／入れてはいけないもの」を紙一枚に書き出しておくことです。たとえば、個人名や連絡先は伏せ字にしてから貼る、健康や病歴に関する情報は入れない、といった線引きです。難しい規程は要りません。全員が同じ判断をできる状態になっているかどうかが本質で、以前このコラムで取り上げた企業のAI導入、最初に決めるべきこととも重なる話です。
統計作成等の特例は、主に「作る側」の話
今回の改正には、AIの開発や統計の作成といった目的であれば、一定の条件のもとで本人の同意を得ずにデータを扱える「統計作成等の特例」が設けられました。国会審議でも議論になった部分です。
ただしこれは、主としてAIを開発する側・統計を作る側の事業者に関わる規定です。AIを道具として使う立場の中小企業が、この特例をすぐに使う場面はそう多くないでしょう。関係してくるとすれば、自社が持っているデータを、AI開発を行う相手先に提供してほしいと頼まれたときです。特例には、目的の公表や利用範囲の限定といった条件が付いています。安易に応じず、どの範囲で、何のために使われるのかを書面で確認する——その一手間だけは、覚えておいて損はありません。
顔写真と、子どもの情報は特に慎重に
規律が強まる方向の変更もあります。ひとつは顔の特徴データなど「特定生体個人情報」で、利用前に本人へ通知することや、本人からの利用停止請求に応じることなどが求められる方向です。入退室管理や勤怠の仕組みに顔認証を検討している会社は、導入前に一度、扱いを確認しておくとよいでしょう。
もうひとつは16歳未満の子どもの個人情報で、法定代理人の同意を求めるなど、より手厚い保護が図られます。学習塾、スポーツクラブ、小児を対象とするサービスなど、子どもの情報を日常的に預かる事業では、撮影した写真の扱いや同意の取り方を見直しておく価値があります。
いまのうちにやっておくと、後が楽になること
期限まで時間があるとはいえ、直前になると本業が忙しい時期と重なるのが常です。負担にならない範囲で、次の三つだけ手をつけておくことをおすすめします。
ひとつめは、自社が預かっている個人情報の棚卸しです。顧客名簿、応募者の履歴書、従業員の健康に関する情報、防犯カメラの映像。どこに何があるかを一覧にするだけで、後の判断がずいぶん速くなります。
ふたつめは、使っている生成AIサービスの設定確認。入力データが学習に使われる設定かどうかは、管理画面で確認できることがほとんどです。会社として使うツールを決めて、設定をそろえておく。個人のアカウントで各自が業務データを扱っている状態は、法改正の前から見直しておきたいところです。
みっつめは、委託先・取引先との取り決めの確認です。個人情報を含む業務を外部に出している場合、その相手先がAIを使って処理していることもあり得ます。契約書の記載を一度読み返しておくだけでも意味があります。あわせて、AI事業者ガイドライン1.2版で示されている考え方に目を通しておくと、社内の説明がしやすくなります。
おわりに
法改正のニュースは、どうしても「罰則」や「課徴金」といった強い言葉が先に立ちます。けれども今回の改正を通して読むと、データを使いやすくする方向と、守りを固める方向を、両方同時に進めようとしていることが見えてきます。使うなという話ではないのです。
生成AIを業務に取り入れている会社にとって、これは「うちは何を、どこまで預けているのか」を言葉にしておく良いきっかけになります。ルールを決めた会社のほうが、結果として思い切って使えるようになる——現場を見ていると、そう感じることが多くあります。時間はまだあります。棚卸しの一枚から、気楽に始めてみてください。
稀株式会社では、中小企業のAI活用と業務のデジタル化について、AI・DX支援のご相談を承っています。「社内のルールをどう決めればよいか」といった整理の段階からで構いませんので、お問い合わせフォームよりお気軽にお声がけください。
本稿の内容は執筆時点（2026年8月28日）の公開情報に基づきます。施行期日や具体的な運用は今後の政令・個人情報保護委員会のガイドライン等により定められます。個別の判断にあたっては、最新の公表情報および専門家へのご確認をお願いいたします。
← コラム一覧へ戻る