AIエージェント改正個人情報保護法、中身は政令・規則でこれから決まります
改正個人情報保護法は2026年7月17日に公布済みですが、実務が変わる中身は政令・規則でこれから決まります。個人情報保護委員会は9月16日に「基本的な考え方①」を公表し、子供・顔特徴データ・本人関与の規律を先に議論しました。公表資料のスケジュールと、いま社内規程を書き直さないほうがよい理由を整理しました。
佐野 泰規株式会社AIエージェント 代表取締役
出典（一次情報）
法律が通ったのだから、もうルールは決まっている。そう読みたくなりますが、今回はそうなっていません。
改正個人情報保護法は令和8年7月17日に公布済みです。ただし、中小企業の実務が実際に変わる部分は、政令と規則にかなり委ねられています。 そして、その中身を決める議論がいま動いている最中です。
改正個人情報保護法の政令・規則はこれから決まる｜9月16日に第1弾が出た
個人情報保護委員会事務局は2026年9月16日に「政令・規則の整備に向けた基本的な考え方について①」を公表しました。①という番号が付いているのが要点で、これから何回かに分けて議論されます。
今回の検討項目は3つです。
- 目的外利用・要配慮個人情報の取得・第三者提供に関する規律（取得の状況からみて本人の意思に反しないことが明らかな取扱い等）
- 子供の個人情報の取扱いに関する規律
- 顔特徴データ等に関する規律
同じ資料に、第三者提供の同意例外について「具体的な対象範囲は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定」と書かれています。同意が不要になる場面がどこまでかは、まだ決まっていません。
いつ、何が議論されるのか
9月9日に公表された「今後の進め方」の資料に、当面のスケジュールが載っています。会合日程は今後調整と注記があるので、日付そのものは動きます。
| 回 | 時期の目安 | 主なテーマ |
|---|---|---|
| 全体像・進め方 | 8月26日 | 政令・規則等で定める事項の全体像 |
| 基本的考え方① | 9月中旬 | 子供／顔特徴データ／本人関与に関する規律 |
| 基本的考え方② | 9月下旬〜10月上旬 | 統計作成等／委託先／漏えい等 |
| 基本的考え方③ | 10月中旬 | 連絡可能な個人関連情報／オプトアウト／課徴金 |
| 意見募集（パブコメ） | 2027年1月以降 | 政令・規則の条文案 |
流れも書かれています。委員会で基本的な考え方を議論 → 個人の立場・事業者の立場の団体と意見交換 → 具体的内容を議論 → 条文案を提示してパブリックコメント、という順番です。条文が先に出るのではありません。
誰に効くのか
16歳未満の利用者がいる会社。 資料には、同意取得や通知等に係る規定に法定代理人の関与を義務付ける方向と、本人が16歳未満である場合の読み替えが記されています。現行はガイドラインとQ&Aの記載のみで、一般には12歳から15歳までの年齢以下で法定代理人の同意が必要とされてきました。学習塾・スポーツクラブ・小児科・子ども向けアプリは、ここを見ておく側です。
顔で人を識別している会社。 顔特徴データ等について、資料は一意性と不変性が高く、特定の個人を識別する効果が半永久的に続くことを理由に挙げています。入退室管理や防犯カメラの顔認証を入れているなら、②③を待たずに「何のために使っているか」を書き出しておく価値があります。
契約の流れで他社へ情報を渡している会社。 資料の想定事例はホテル予約と海外送金で、契約の履行のために不可欠な第三者提供が挙がっています。予約・決済・配送の取次をしているなら該当しえますが、範囲は規則待ちです。
で、中小企業は何を変えるのか
当社の判断です。
やること
- 社内規程の全面改訂は、今はしない。 代わりに「どこが未確定か」を1枚にする——子供／顔特徴データ／統計作成等／委託先／漏えい等／オプトアウト／課徴金の7項目を並べ、自社に当たるものに印を付けるだけで十分です。
- 16歳未満の利用者がいるかを確認する。 いるなら、同意を誰から取っているかを今の運用で書き出しておきます。
- 顔特徴データを扱っているかを確認する。 入退室・防犯カメラ・受付端末が対象になりえます。
- 9月下旬〜10月上旬の②を見る。 統計作成等・委託先・漏えい等が入るので、AIに学習させる話と外注の話はここです。
やらないこと
- 「同意が不要になった」と決めて運用を変えない。 資料が自分で「具体的な対象範囲は規則等で定めることを想定」と書いています。
- パブコメの前に規程を確定させない。 条文案が出るのはその後です。
いつまでに
②と③は10月中旬までに出る想定で、会合日程は今後調整とされています。今月中に「未確定リスト」を1枚作り、②が出たら1行だけ足す——この形なら、規則が出たときに書き直す量が最小で済みます。
よくある誤解
「公布された＝もう守らないといけない」ではありません。 公布と施行は別で、しかも今回は具体の多くが政令・規則に委ねられています。施行時期と改正の全体像は「AI学習なら同意なしでOK」は間違いですに整理しました。
「大企業の話」でもありません。 子供の個人情報も顔特徴データも、規模ではなく何を扱っているかで当たります。
「社内ルールを作らなくていい」わけでもありません。 生成AIに何を入れてよいかの線引きは、法改正とは別に今日から必要です（生成AIの社内ルールの作り方）。
自社のどのデータが対象になりそうかを、先に点数にしておく
未確定リストは、自社が何のデータをどこに渡しているかが分かっている会社ならすぐ書けます。分からない会社は、そこから始めることになります。
AI適合度診断は10問で、どこから手を付けるべきかを点数にします。連絡先の入力は要りません。 作りたい仕組みが決まっているならAI見積もりに書くと約3分で概算が出ます。
出典
- 政令・規則の整備に向けた基本的な考え方について①（適正なデータ利活用の推進、リスクに適切に対応した規律①）｜個人情報保護委員会事務局（令和8年9月16日公表／2026年9月24日閲覧）——検討項目3つ、規則委任の明記、子供の16歳未満と法定代理人の関与、顔特徴データ等の理由
- 政令・規則・ガイドライン等の整備に関する今後の進め方について｜個人情報保護委員会事務局（令和8年9月9日公表／2026年9月24日閲覧）——当面のスケジュール、意見交換と事務局ヒアリングの流れ
- 令和8年 改正個人情報保護法について｜個人情報保護委員会（2026年9月24日閲覧）——公布日（令和8年7月17日）と資料の一覧
自社の場合、いくら？
作りたいものを入力するだけで、AIが約3分で概算見積もりを作成します。一般的なSIer相場との比較つき、無料・営業からのしつこい連絡はありません。
AIで概算見積もり（無料） →先に費用の目安を知りたい方は用途別の費用相場へ。