2026年改正個人情報保護法で生成AI利用はどう変わる？士業事務所が今確認したい7項目

申請資料の要約に生成AIを使ったあと、「改正法が施行されたら、この使い方を変える必要があるのか」と迷うことはないでしょうか。相談記録の文字起こしやクラウド保存も含めると、どのサービスから確認すべきか分からず、対応を後回しにしがちです。
一方で、「AIなら顧客情報を同意なく使えるようになる」「公布されたので、すぐにプライバシーポリシーを改定すべきだ」と単純化することもできません。2026年8月3日時点では、施行日や具体的な条件に未確定の部分が残っています。
制度が自事務所へどう適用されるかは、個別の取扱実態に基づき、読者自身、個人情報保護委員会などの所管機関、または適切な有資格者へ確認する必要があります。本記事では法的な適用可否を判断せず、公布資料から分かる変更点と、制度に対応するためにAI・クラウド利用をどう整理するかを扱います。

2026年改正個人情報保護法で確定したこと・未確定のこと

2026年7月17日に公布、施行日は今後決まる

「個人情報の保護に関する法律等の一部を改正する法律案」は、2026年4月7日に閣議決定され、第221回国会へ提出されました。その後、7月10日に可決・成立し、7月17日に公布されています。

改正法は一部を除き、公布日から起算して2年以内の政令で定める日から施行されます。ただし、2026年8月3日時点では、原則的な施行日を特定する政令を確認できません。個人情報保護委員会は、施行に向けて政令、委員会規則、ガイドラインなどを今後検討すると説明しています。

したがって、「公布されたから、すべての新しい規律がすでに適用されている」と捉えるのは適切ではありません。一方、詳細が決まるまで何もしなくてよいわけでもありません。現在のサービス利用状況を把握していなければ、規則やガイドラインが公表されたあとに、何を変更すべきか比較できないためです。

現段階は、規程や契約書を一律に全面改定する時期というより、現在の運用と未確認事項を整理し、今後の差分確認に備える時期と考えられます。

特定の士業だけを対象とした改正ではない

今回の改正には、民間部門の個人情報取扱事業者や、その委託先に関係する規律が含まれます。行政書士、社会保険労務士、中小企業診断士など、特定の士業だけを対象にした制度ではありません。

そのため、「行政書士事務所だから該当する」「小規模事務所だから関係しない」と職種や規模だけで結論を出すことはできません。実際に扱う情報、利用目的、外部サービスへ送信する内容、契約関係などを基に確認する必要があります。

たとえば同じ文字起こしサービスでも、公開済みのセミナー音声だけを処理する場合と、氏名や相談内容を含む面談記録を処理する場合とでは、確認すべき情報が異なります。どの規定が適用されるかは個別事情によるため、必要に応じて所管機関または適切な有資格者へ確認してください。本記事では、その確認に先立ってサイト・AI・業務システム側の事実関係を整理する方法に焦点を当てます。

「AIなら同意不要」とは限らない――統計情報等の例外をどう読むか

例外は「統計情報等の作成」に限定される

改正法では、個人データなどが「統計情報等の作成」にのみ利用されることが担保されている場合、一定の条件の下で、本人同意のない第三者提供や、公開されている要配慮個人情報の取得を可能にする規定が設けられます。

個人情報保護委員会の資料では、この枠組みに「統計作成等であると整理できるAI開発等」が含まれ得ると説明されています。第三者提供の場合には、統計情報等の作成だけを目的とすることについて提供元と提供先が書面で合意することや、目的外利用、第三者提供を禁止する規律などが想定されています。

ただし、具体的な対象範囲、公表事項、担保措置などは、今後の委員会規則などで定められる予定です。「AI」という言葉が資料にあることだけを根拠に、あらゆるAI利用へ例外を広げられるわけではありません。

顧客向け文書の生成は同じ目的とは限らない

行政書士事務所で想定されるAI利用には、相談記録の要約、申請文案のたたき台作成、顧客への案内文作成などがあります。これらは特定の顧客や案件に対応する成果物を作る処理であり、「統計情報等の作成」に当たるかは、2026年8月3日時点の公表資料だけでは断定できません。

したがって、「改正後は生成AIへの顧客情報入力が一律に同意不要になる」と考えるのは早計です。例外が適用されるかは個別事情によるため、読者自身または適切な有資格者へ確認してください。本記事では例外の適用判断ではなく、通常業務で利用するAIの設定やデータの流れを確認する方法を扱います。

施行前の運用では、個人情報保護委員会が2023年に公表した生成AIサービスに関する注意喚起も確認材料になります。同委員会は、個人情報取扱事業者が個人情報を含むプロンプトを入力する場合、特定した利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。

また、本人の同意なく個人データを入力し、そのデータが回答の出力以外の目的で取り扱われる場合には、個人情報保護法に違反する可能性があるとしています。個人データを入力する際は、提供事業者がそのデータを機械学習に利用しないことなどを十分確認する必要があります。

この注意喚起は2023年時点の現行法に基づくものであり、改正法施行後の具体的な解釈を示した資料ではありません。それでも、詳細ルールが未確定の現段階で、利用目的や学習利用の条件を確認するための一次情報になります。

生成AIやクラウドは「委託先」になるのか

改正法では委託先の義務が明文化される

現行制度でも、個人データの取扱いを委託する個人情報取扱事業者には、委託先に対する必要かつ適切な監督が求められています。個人情報保護委員会は具体的な監督内容として、適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握を挙げています。

改正法では、委託先に対し、委託された個人データなどを業務遂行に必要な範囲を超えて取り扱わない義務が明文化されます。

また、委託元の指示に従って委託先が機械的にデータを処理する場合、取扱方法の全部や、委託元が取扱状況を把握するために必要な措置などを契約で合意すれば、委託先に対する一部義務を原則として免除する仕組みが設けられます。この場合でも、委託業務に必要な範囲を超えた取扱いの禁止や、安全管理に関する義務は残ります。

漏えいなどが起きた場合に委託先から委託元へ速やかに報告することも、合意事項として想定されています。ただし、契約で定めるべき事項や取扱状況を把握するための措置の全容は、今後の委員会規則などを待つ必要があります。

サービスの名称だけでは区分できない

生成AI、クラウドストレージ、OCR、文字起こし、顧客管理システムという名称だけで、個別サービスが法的な「委託先」に当たると断定することはできません。委託先なのか、第三者提供先なのか、それ以外の取扱いなのかは、契約内容と実際のデータ処理に基づく確認が必要です。

行政書士事務所であれば、次のような場面を具体的に整理します。

• 申請関連資料をOCRへ送信し、文字データへ変換する
• 顧客との面談音声を文字起こしサービスへ送信する
• 氏名や連絡先を含む相談記録をクラウドへ保存する
• 申請文案や案内文のたたき台を生成AIで作る

このとき、サービス名の横に「委託」「第三者提供」と推測で記入することから始める必要はありません。まず、「誰が」「どの情報を」「何の目的で」「どのサービスへ送り」「どこに保存または出力するか」を記録します。

たとえば、同じ生成AIでも、顧客情報を除いた一般的な文章の校正に使う場合と、相談記録をそのまま入力する場合ではデータの流れが異なります。契約プランや設定によって、保存期間や学習利用の条件が異なる可能性もあります。事実関係を整理したうえで法的な区分を確認する方が、所管機関や有資格者へ相談する際にも具体的な資料を示しやすくなります。

施行前に進めたいAI・クラウド利用の棚卸し7項目

ここから紹介する7項目は、改正法によってすべての士業事務所へ一律に義務付けられたものではありません。編集部が、今後の委員会規則やガイドラインと現在の運用を比較しやすくするために提案する業務改善上の整理です。

表計算シートを1枚用意し、1サービスにつき1行で記録すると更新しやすくなります。不明な情報を推測で埋めず、「未確認」と明記することが重要です。

1. 利用目的と利用部門・担当者

最初に、誰が、どの業務のためにサービスを使っているかを記録します。「文章作成」「業務効率化」といった広い表現だけでは、入力する必要のない情報まで送信していないか判断しにくくなります。

たとえば、「申請案内メールの文面を整える」「面談音声から相談記録の下書きを作る」「受領資料を文字データへ変換する」のように、成果物まで具体化します。複数の担当者が異なる目的で同じサービスを使う場合は、用途ごとに行を分ける方法もあります。

2. 入力するデータの種類

氏名、住所、連絡先、相談内容、申請資料、音声、画像など、実際に入力する情報を記録します。「顧客情報あり」だけではなく、どの項目が含まれるかを可能な範囲で分けます。

要配慮個人情報に当たる可能性がある情報や、士業固有の守秘義務が関係する資料を扱う場合は、事務所内の一般ルールだけで利用可否を決めず、所管機関や適切な有資格者への個別確認に切り替えます。法的な分類が分からない場合は、台帳上で無理に確定せず、「分類未確認」と残してください。

3. 学習利用・二次利用の条件

サービスの管理画面、利用規約、プライバシーポリシー、個別契約書などを確認し、入力データが機械学習やサービス改善といった別の目的に利用されるかを記録します。

単に「学習されない」と記入するのではなく、確認した画面や文書の名称、該当箇所、最終確認日も残します。管理者が学習利用を停止できる場合は、現在の設定と、誰が設定を変更できるかも確認します。

規約の表現を読んでも判断できない場合は、推測せず「二次利用条件を確認できず」と記録します。その状態で顧客データを入力するかどうかは、利用目的や個別事情を踏まえ、適切な確認先へ相談する必要があります。

4. 保存場所と保存期間

入力した文章やファイル、生成結果、操作ログが、どこに、どれくらいの期間保存されるかを確認します。画面上で履歴を削除しても、事業者側のシステムから直ちに消去されるとは限りません。

確認対象には、通常の履歴だけでなく、バックアップ、監査ログ、障害対応用データなども含まれる可能性があります。ただし、公開資料で確認できない内部処理を推測する必要はありません。「入力履歴は30日」「契約終了後の削除時期は未確認」のように、分かったことと分からないことを分けます。

事務所側に保存する生成結果についても、保存先、アクセス権限、削除時期を整理すると、AIサービスから出力したあとのデータの流れまで把握できます。

5. 再委託先・国外処理に関する情報

提供事業者が別の事業者へ処理を再委託しているか、国外の設備や事業者が処理に関係するかを、契約書や公開資料で確認します。

すべての技術的な処理先を独自調査するのではなく、提供事業者が公開している委託先一覧、サブプロセッサー一覧、データ保管地域の説明など、確認できる資料の所在を記録します。情報が見つからない場合は、未確認事項として残します。

再委託や国外処理があるだけで利用可否を断定することはできません。個別の法的評価が必要な場合は、事実関係と根拠資料をそろえたうえで、所管機関または適切な有資格者へ確認してください。

6. 漏えい等が起きた場合の連絡方法

サービス提供者側で漏えいなどが発生した場合、事務所へどの方法で通知されるのかを確認します。管理者宛てのメール、管理画面の通知、専用窓口など、連絡経路を具体的に記録してください。

あわせて、事務所内で最初に連絡を受ける担当者、その担当者が不在のときの代替連絡先、契約書に記載された報告条件も整理します。サービス提供者からの連絡先が、退職者や以前の制作会社のメールアドレスになっていないかも確認したいところです。

この項目は、事故発生時の法的な報告要否を判断するためのものではありません。通知を見落とさず、必要な確認へ移るための連絡経路を整える項目です。

7. 根拠資料の保管先と最終確認日

契約書、利用規約、プライバシーポリシー、設定画面の記録、提供事業者への問い合わせ回答などを、事務所内のどこで確認できるか記録します。

URLだけを残すと、後日内容が更新された際に、以前の条件が分からなくなる可能性があります。契約上許される範囲で確認時の文書や画面記録を保存し、確認日も付けます。保存場所は、関係者だけがアクセスできる共有フォルダーなどに統一すると探しやすくなります。

この欄があれば、委員会規則やガイドラインの公表後に、利用規約や設定を一件ずつ探し直す作業を減らせると考えられます。まずは利用頻度が高い3サービスから始めれば、少人数の事務所でも着手しやすくなります。

今すぐ全面改定せず、今後の差分確認に備える

プライバシーポリシーは「改定候補」を抽出する

2026年8月3日時点の公表資料からは、すべての士業事務所に対し、公布直後のプライバシーポリシー改定義務が生じたとは確認できません。詳細が未確定のまま全面改定すると、委員会規則やガイドラインの公表後に再び修正が必要になる可能性があります。

先に行いたいのは、現在の記載と実際の運用を照合することです。たとえば、プライバシーポリシーでは外部サービス利用に触れていない一方、実務では相談記録をクラウドで管理している場合、記載と実態のずれを「改定候補」として記録します。

正式な変更が必要かは、実際の利用目的、委託や第三者提供などの取扱区分、今後の委員会規則やガイドラインを確認したうえで判断する必要があります。要否を判断できない箇所は、候補一覧とサービス台帳を示して、適切な有資格者へ確認してください。

暫定的なAI入力ルールを整える

詳細ルールが決まるまでの内部運用として、承認済みサービスと入力可能な情報の範囲を整理する方法が考えられます。

少なくとも、次の内容を1枚の文書にまとめます。

• 利用を承認したサービスと契約プラン
• 各サービスで認める利用目的
• 顧客情報を入力する前の確認手順
• 学習利用や二次利用の設定を確認する画面
• 判断できない場合の事務所内の相談先
• 統計情報等の例外を通常業務へ独自判断で適用しないこと

これは改正法による一律の法定義務ではなく、誤入力や担当者ごとの判断のばらつきを抑えるための内部管理案です。入力履歴や承認履歴を残す場合も、記録自体に顧客情報を過剰に残さないよう、目的、保存項目、閲覧権限、保存期間を限定することが望ましいと考えられます。

公表資料の確認を担当業務に組み込む

「新しい情報が出たら確認する」だけでは、日常業務に追われて更新を見落とす可能性があります。確認する担当者、頻度、記録場所をあらかじめ決めます。

確認対象は、原則的な施行日、委員会規則、ガイドライン、統計情報等の作成に関する具体的条件、委託契約や取扱状況把握に関する基準、生成AIサービスに関する注意喚起の改訂有無です。

たとえば、担当者を1人決め、個人情報保護委員会の公式サイトを月1回確認し、サービス台帳に最終確認日を記入します。更新があったときは、規程をすぐに全面改定するのではなく、台帳の「未確認」欄と「改定候補」欄に影響する箇所を先に抽出します。

次のような場合は、事務所内の暫定ルールだけで結論を出さず、個別確認へ切り替えてください。

• 要配慮個人情報を扱う場合
• 学習利用や保存条件を確認できない場合
• 委託か第三者提供かを判断できない場合
• 顧客データをAI開発や統計作成へ利用する場合
• 士業固有の守秘義務、業法、所属会規則が関係する場合
• 現在の利用目的や顧客への説明との整合性が不明な場合

確認時にはサービス名だけを伝えるのではなく、入力データ、利用目的、処理の流れ、契約資料、未確認事項をまとめて示すと、論点を共有しやすくなります。

まとめ

2026年改正個人情報保護法は7月17日に公布されましたが、2026年8月3日時点では、原則的な施行日や委員会規則、ガイドラインなどに未確定事項が残っています。

統計情報等の作成に関する例外には、統計作成等と整理できるAI開発が含まれ得ます。しかし、特定顧客向けの文書や回答を作る通常の生成AI利用まで、一律に本人同意が不要になったとは確認できません。また、生成AIやOCR、クラウドストレージが委託先に当たるかは、サービスの名称だけでは判断できません。

現段階で優先したいのは、サービスを一律に停止したり、プライバシーポリシーを直ちに全面改定したりすることではなく、現在の利用実態を見える形にすることです。

今日から取れる行動として、まず利用頻度の高いAI・クラウドサービスを3件選んでください。各サービスについて、利用目的、入力データ、学習利用、保存期間、再委託・国外処理、事故時の連絡方法、根拠資料の7項目を1枚の表計算シートへ記入します。分からない欄には推測を書かず、「未確認」と入力します。

次に、管理画面、利用規約、契約書のどこを見れば未確認事項を埋められるかを記録します。要配慮個人情報を扱う、学習利用の条件が分からない、取扱区分を判断できないといった案件は切り分け、整理した台帳と資料を用いて所管機関または適切な有資格者へ確認します。

委員会規則やガイドラインが公表されたあとは、台帳の未確認事項とプライバシーポリシーなどの改定候補を照合します。この順序で進めれば、詳細が未確定の段階で過剰な変更を行うことを避けつつ、正式な対応が必要になった際の確認作業を進めやすくなると考えられます。

出典一覧

1. 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」（2026-07-17）
2. 個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026-07-17）
3. 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」（2026-04-07）
4. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023-06-02）
5. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」公表資料（2023-06-02）

この記事はAIが生成し、編集長のチェックを受けて公開しています。