個人情報の新ルール案｜AIの特例より先に見る委託先

個人情報保護委員会が、改正個人情報保護法の細かいルールの案を出しました。見出しになりやすいのは「AI開発のためなら、本人の同意なしにデータを渡せる特例」です。ただ、従業員の少ない会社がこの案から受け取るべきなのは、AIの特例ではありません。顧客のデータを外の会社に預けたとき、その会社が預かった範囲を超えて使うことを、法律ではっきり禁じるという部分です。

今日やること 顧客や取引先の個人データを、外の会社やサービスに一切預けていない会社は、何もしなくて構いません。 預けている会社は、1つだけやります。顧客データを預けている外の先を、1枚に書き出す。契約の見直しは、ルールが固まってからで間に合います。

何が起きたか

個人情報保護委員会は2026年10月1日の委員会で、改正法を動かすための政令・規則の「基本的な考え方（案）」を示しました（個人情報保護委員会：第370回 委員会 資料1）。改正法そのものは2026年7月17日に公布されています（個人情報保護委員会：改正法の公布について）。今回の案で扱ったのは次の3つです。

• 統計作成等の特例：統計情報などを作るためだけに使うと担保されていること等を条件に、本人の同意なしでの第三者提供などを認める。統計作成等と整理できるAI開発等も含む
• 委託先の義務：委託を受けた会社に、任された業務に必要な範囲を超えて個人データを扱ってはならない義務を、条文で課す
• 漏えい等の報告：本人が1名の誤送付のようなケースは、確報を一定期間ごとにまとめて出すことを認めるなど、報告の範囲と中身を見直す

資料は、ほかの項目やガイドラインは今後の委員会で順に検討するとしています。施行の日付は、この資料には書かれていません。

中小企業にとって何が変わるか

よくある誤解：「AIのためなら、顧客データを同意なしで渡せるようになる」

まず、いちばん読み違えやすいところを潰しておきます。

AI開発の特例には条件が付いています。資料に並んでいるのは、取得する側や提供する側の名前と、何を作るかの公表、提供する側と受け取る側の書面での合意、目的外の利用や第三者への提供の禁止などです。統計やAIのモデルを作るためだけに使う、と仕組みで担保できる場合の話です。

社員がAIに顧客の名前を入れてお礼メールを書かせる、問い合わせの返事の下書きを作らせる。小さな会社のAIの使い方の大半はこちらで、特例とは別の話です。「法律が緩くなったから、顧客データをAIに入れてもいい」とは読めません。

関係が深いのは「預けた先が、勝手に使わない」という話

小さな会社ほど、顧客データの扱いを外に任せています。

• 給与計算や年末調整を、社労士や外注先に頼んでいる
• 顧客の一覧を、クラウドの顧客管理や会計のサービスに入れている
• ネットショップや予約の仕組みを、外のサービスで動かしている
• ホームページの問い合わせフォームの中身が、制作会社のサーバーに届いている

資料は、任せた先が業務の範囲を超えて、独自に個人データを使う事案が起きていると書いています。これまでは、任せた側が任せた先を監督する決まりで守ってきました。案では、任された側にも「範囲を超えて使ってはならない」という義務を、条文で直接課すとしています。

ここで気をつけたいのは、任せた側の監督の決まりがなくなるわけではない、という点です。義務が足されるのは任された側です。こちらが「どこに何を預けたか」を把握していなければ、範囲を超えたかどうかも分かりません。

AIの機能が付いたサービスは、ここで引っかかりやすい

最近は、顧客管理や会計、メールのサービスにAIの機能が足されています。預けたデータを、そのサービスがAIの学習や新しい機能に使うのかどうか。これは、まさに「任せた業務の範囲」の話です。

規約に「預かったデータを何に使うか」が書いてあるかは、サービスによって違います。読んでみると、思っていたより広く書いてあることもあります。ルールの細部が決まる前でも、自社の分を見ておくことはできます。

うちは当てはまるのか

いま何をすべきか

顧客データを預けている先を、1枚に書き出す

列は3つで足ります。

• どこに：外注先、クラウドのサービス、制作会社など
• 何を：顧客の名前と連絡先、社員の給与、問い合わせの中身など
• 使い道の範囲が、契約か規約に書いてあるか：「書いてある」「書いていない」「分からない」のどれか

3列目は、いま「分からない」で構いません。分からない先が分かること自体に意味があります。契約を結び直すかどうかは、規則とガイドラインが出てから決めれば間に合います。

小さな会社では、「預けた先」を社長が全部覚えているつもりでいることが多くあります。ただ、問い合わせフォームの行き先や、辞めた社員が契約した無料のサービスは、書き出すまで出てきません。法律が変わるたびに慌てる会社と、慌てない会社の差は、この1枚があるかどうかです。

関連するもっと詳しい話

• 書き出した結果を社内ルールにどう足すかは、生成AIの社内ルールは3つで足りる｜急ぐ義務はまだないで書いています。改正法の施行がまだ先であることも、ここで整理しています
• 書き出しが終わらない心配があるなら、業務棚卸のやり方｜全部書き出さないで済ませるの「範囲を絞って終わらせる」考え方がそのまま使えます

顧客データの預け先をどこから整理すればいいか迷ったら、ご相談ください。相談と見積りに費用はいただきません。