個人情報保護委員会が2026年8月にも個人情報保護法の見直し方針の全体像を示し、AI開発における学習データとしての個人データ利用について、一定条件下で本人同意を不要とする方向で制度整備を進める見通しと報じられています。制度改正の議論が動く一方で、現行法のルールを正しく押さえておかないと、日々の業務でAIに顧客データを流し込んだ瞬間にコンプライアンス上のリスクが顕在化してしまいます。
そこで、事業者が個人データをAIの機械学習に利用する際、現行の個人情報保護法上どのような要件を満たす必要があるのかを、ことのりで実際に検索して整理しました。本記事では、利用目的の特定、本人同意の要否、第三者提供のルール、そして委託・共同利用・匿名加工情報といった実務上の選択肢について、条文と出典リンク付きでご説明します。
まず押さえる基本原則：利用目的の特定と目的内利用
個人情報取扱事業者がAIの機械学習に個人データを利用する場合も、個人情報保護法の基本原則に従う必要があります。最も重要なのは、個人情報を取り扱うにあたって「利用目的をできる限り特定」すること（個人情報の保護に関する法律第17条第1項）と、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないこと（同法第18条第1項）です。
AIの機械学習は、特定の目的のためにデータを分析・学習させる行為です。「サービス改善のため」といった漠然とした目的ではなく、「AIによるレコメンデーション機能の精度向上を目的としたユーザー行動履歴の分析」のように、具体的に特定する必要があります。
利用目的の通知・公表と変更ルール
特定した利用目的は、個人情報を取得した際に、あらかじめ公表している場合を除き、速やかに本人に通知するか公表する必要があります（同法第21条第1項）。本人から直接書面で個人情報を取得する場合は、あらかじめ利用目的を明示しなければなりません（同法第21条第2項）。
利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならず（同法第17条第2項）、変更された利用目的について本人に通知または公表する必要があります（同法第21条第3項）。AIの学習対象や目的が大きく変わる場合は、この変更手続きが必要となる可能性があります。
本人同意はいつ必要か
原則として、特定された利用目的の達成に必要な範囲内で個人情報を取り扱う限り、改めて本人の同意を得る必要はありません（同法第18条第1項）。しかし、特定された利用目的の範囲を超えて個人情報を取り扱う場合は、原則としてあらかじめ本人の同意を得る必要があります。
つまり、AIの機械学習に利用する目的が、当初特定し本人に通知・公表した利用目的の範囲内であれば追加の同意は不要ですが、当初の利用目的には含まれていなかった新たなAI学習目的で個人データを利用する場合には、原則として本人の同意が必要となります。ただし、法令に基づく場合や、人の生命・身体・財産の保護、公衆衛生の向上、国の機関等への協力、学術研究目的など、同法第18条第3項に定める例外に該当する場合は、同意なしで利用目的の範囲を超えて取り扱うことが可能です。
第三者提供のルール
個人データを第三者に提供する場合、原則としてあらかじめ本人の同意を得なければなりません（同法第27条第1項）。AIの機械学習のために、自社で保有する個人データを外部のAI開発企業や研究機関に提供するようなケースがこれに該当します。
同意なしで第三者提供できる例外
同法第27条第1項では、以下の場合に本人の同意が不要とされています。
- 法令に基づく場合（第一号）
- 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき（第二号）
- 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき（第三号）
- 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき（第四号）
- 学術研究機関等への提供で、学術研究目的である場合（第五号から第七号）
オプトアウト方式
本人の同意を得ずに第三者提供を行う特例として、オプトアウト方式があります（同法第27条第2項）。事業者の氏名・名称、第三者提供を利用目的とすること、提供される個人データの項目、取得の方法、提供の方法、本人の求めに応じて提供を停止すること、本人の求めを受け付ける方法などを本人に通知または本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出た場合に限り、同意なく第三者提供を可能とするものです。通知事項の詳細は個人情報の保護に関する法律施行規則第11条で定められています。
ただし、要配慮個人情報や不正に取得された個人データは、オプトアウト方式による第三者提供の対象外です（同法第27条第2項ただし書）。
「第三者」に該当しないとみなされるケース
同法第27条第5項では、以下の場合、提供先が「第三者」に該当しないとみなされ、第三者提供の同意原則が適用されません。
- 委託：利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託する場合（第一号）。AI開発を外部ベンダーに委託し、そのために個人データを提供するケースがこれに該当し、委託先に対する適切な監督義務が発生します。
- 事業承継：合併その他の事由による事業の承継に伴って個人データが提供される場合（第二号）。
- 共同利用：特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、共同利用する旨、共同利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的、管理責任者の氏名等をあらかじめ本人に通知または本人が容易に知り得る状態に置いているとき（第三号）。
匿名加工情報・仮名加工情報の活用
個人データを匿名加工情報や仮名加工情報に加工することで、個人情報保護法の規制が緩和される場合があります。匿名加工情報は、特定の個人を識別できないように加工され、かつその個人情報を復元できないようにした情報であり、第三者提供の際の同意が不要となるなど、利用の自由度が高まります。仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工された情報であり、利用目的の変更や漏えい時の報告義務などが緩和されます。AIの機械学習においては、これらの加工技術を活用することで、プライバシー保護とデータ利活用の両立を図ることが可能です。
実務での判断ステップ
ことのりの検索結果を踏まえると、AIの機械学習に個人データを利用する事業者は、次のように整理して判断するのが実務的です。
- 利用目的の明確化と具体化：AIの機械学習に個人データを利用する目的を、できる限り具体的に特定し、本人に分かりやすく通知または公表します。漠然とした表現は避けます。
- 同意取得の検討：既存の利用目的の範囲内でAI学習を行う場合は追加の同意は不要ですが、プライバシーポリシー等でAI利用の可能性を明記し透明性を確保することが望ましいです。新たなAI学習目的で利用する場合や外部のAI開発企業等に提供する場合は、原則として本人の同意取得を検討します。
- 第三者提供の形態の確認：外部にデータを提供する際は、「委託」「共同利用」「第三者提供」のいずれに該当するかを明確に判断し、それぞれに応じた法的要件を遵守します。委託の場合は委託先の監督が必須です。オプトアウト方式を利用する場合は、個人情報保護委員会への届出と本人への適切な通知・公表が不可欠です。
- 匿名加工情報・仮名加工情報の活用：プライバシーリスクを低減しつつデータ利活用を進めるため、加工技術の適用を検討します。
- 安全管理措置の徹底：AIモデルの学習過程や学習済みモデル自体からの個人データの漏えいリスクにも留意し、技術的・組織的な安全管理措置を講じます。
なお、経済産業省は「AI開発・利用におけるデータに関する契約上の留意点」に関するガイドラインを公表しており、学習用データセットの取扱いや学習済みモデル・パラメータの法的性質などの解釈例が示されています。実務上の契約設計を検討する際の参考になります。
条文の原文も、その場で確認できます
個人情報保護法は条文どうしの参照関係が複雑で、「同意が要るか」「委託か第三者提供か」の判断が実務ごとに変わります。ことのりなら、質問文を投げるだけで関連する条文と出典リンクをまとめて返します。
AI利用と個人情報保護法をことのりで調べるよくある質問
Q1. 既に取得した顧客データをAI学習に流用する場合、必ず本人同意を取り直す必要がありますか？
当初特定し本人に通知・公表した利用目的の範囲内にAI学習が含まれると合理的に解釈できるのであれば、追加の同意は不要です（同法第18条第1項）。範囲を超える場合は、原則として本人同意の取得か、利用目的の変更手続き（変更前の利用目的と関連性を有すると合理的に認められる範囲内での変更＋本人への通知または公表）が必要です。
Q2. 外部のAIベンダーにデータ処理を任せるのは、第三者提供にあたりますか？
利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合は、提供先は「第三者」に該当しないとみなされ、第三者提供の同意原則は適用されません（同法第27条第5項第一号）。ただし、この場合は委託先に対する適切な監督義務が発生する点に注意が必要です。
Q3. 学術研究目的であれば、同意なしにAI学習用データを提供できますか？
学術研究機関等への提供で学術研究目的である場合は、第三者提供の同意例外にあたります（同法第27条第1項第五号から第七号）。また、利用目的の範囲を超える取扱いについても、学術研究目的での利用は例外として認められる場合があります（同法第18条第3項）。それぞれ一定の要件を満たす必要があります。
出典（一次情報）
※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。