ニュース原文:https://www.47news.jp/14601348.html

2026年7月10日、参議院本会議において改正個人情報保護法が可決・成立しました。AIモデルの性能は学習データの量と質に直結しますが、膨大なデータに対して個別に同意を取得することは実務上不可能に近いという課題がありました。本記事では、この改正法が企業にどのような便益をもたらし、その裏側でどのようなデータガバナンスの仕組みが求められるのかを紐解きます。

医療AIやリスク分析を加速させる「同意不要」の特例

企業や病院が保有するデータを第三者に提供する際は、原則として本人の事前の同意が必要です。特に病歴や犯罪歴、人種といった「要配慮個人情報」は極めて厳格に扱われてきました。今回の改正により、「統計作成等（AIモデルの学習や統計情報の作成）」のみに利用される場合に限り、これらの個人データを本人同意なしで取得・提供できる特例が設けられました。

たとえば、SNS上に公開されている特定の疾患に関する投稿データを収集し、医療診断AIの学習データとして活用する場合、これまでは投稿者全員から個別の許諾を得るプロセスが必須でした。この特例措置により同意取得のプロセスが省略できるため、企業は迅速かつ大規模なデータセットの構築が可能となり、国産AIの競争力強化に直結します。

事前規制を緩和し、事後の抑止力を高める「課徴金制度」

本改正と同時に、ルール違反に対する事後規制を大幅に強化する仕組みが導入されています。その中核となるのが新設された「課徴金制度」です。

同意不要で収集したデータをAIの学習以外の目的（例えば個人のプロファイリングやマーケティングなど）で利用した場合や、外部へ不正に再提供した場合、重い経済的制裁が科されます。具体的には、1,000人を超える個人情報に対して違反行為を行い、適切な注意を怠った事業者などが課徴金納付命令の対象となります。データを提供する側と受け取る側の双方が、「AI開発のみを目的とする」という書面による厳格な合意を結び、システムの用途を技術的・法的に限定することが特例適用の必須条件となります。

委託先管理のルール見直しによる外部リソースの活用

AI開発の現場では、データの整形や入力作業を外部のベンダーに委託するケースが多々発生します。これまでは委託元の監督責任が重く、データ活用のボトルネックになっていました。

改正法では、委託先に対して「指示された業務範囲を超えてデータを利用してはならない」という義務が法律上明記されました。これに付随して、委託先がデータの内容に一切関与せず、指示通りに機械的なデータ入力処理のみを行う場合は、契約で合意しておくことで委託先に対する一部の義務が免除される仕組みが導入されます。企業は法的リスクをコントロールしつつ、外部の専門リソースを効率的に活用してプロジェクトを推進できるようになります。

AI特例の裏で高まる、データ管理基盤の必然性

本改正によりAI開発が大きく加速する一方、それを組み込んだ実サービスを提供する場面では、依然として厳格なプライバシー保護が求められます。今後の企業は「AI学習用のデータ」と「実サービス用のデータ」を適切に分けて管理する体制づくりが問われるでしょう。

この新たな課題へのアプローチには様々な手法が考えられますが、解決の糸口の一つとして、私たちReceptが社会実装に取り組んでいるDID/VCや、必要な情報だけを開示するSD-JWTといった標準技術も有用な手立てになり得ます。

法改正の便益を活かしつつ、ユーザーが安心して使える次世代のエコシステムを構築していく上で、弊社のトラスト技術が一つの選択肢として貢献できればと考えています。