改正の核心は、AI開発・統計作成（Statistical Purposes）なら本人同意なしに個人データを使える特例。何が変わるのかのBefore/After、特例のスキームと4つのガード、本当の射程（効く用途・効かない用途）、なぜ生データが要るのか、賛否の対立軸、日・米・欧・中の比較、実務アクションまで——図解と読み物を一体化して、この1枚に全体像を収める。
「規制緩和（アクセル）」と「執行強化（ブレーキ）」を同時に積んだ改正です。
3年ごと見直しに基づく大規模改正。柱のうち、AX（AI変革）に最も効くのが同意規制の緩和だ。
核心は、統計作成等（AI開発を含む）に限って、本人同意なしに個人データを使える特例（改正法30条の2）だ。まず前提になる3つの言葉を押さえておきたい。
生存する個人に関する情報で、氏名や生年月日・住所等の記述、または個人識別符号によって特定の個人を識別できるもの。利用や提供には原則として本人同意が必要になる。
個人データを本人以外の第三者に渡すこと。原則は本人同意が必要。届出を前提に同意なしで渡す「オプトアウト提供（Opt-out）」の例外があるが、要配慮個人情報はその対象外。
人種・信条・社会的身分・病歴・犯罪歴・犯罪被害など、不当な差別や偏見が生じないよう取扱いに特に配慮を要する情報。取得と第三者提供に原則同意が必要で、今回の特例が「同意なし取得」を認めて議論を呼んだのがこの類型。なお氏名・住所はこれには当たらない。
統計作成等（AI開発を含む）に限れば、本人同意なしに個人データの第三者提供や、公開された要配慮個人情報の取得が可能に。利用目的による制限・第三者提供の同意原則を緩和する。
不適正利用・不正取得・違法な第三者提供・統計特例違反のうち、大規模（本人1,000人が基準）で悪質な違反に、違反で得た財産上の利益相当額を課す。個情法で初の金銭制裁。
顔特徴データ等について、取扱いに関する一定の事項の周知を義務化。利用停止等請求の要件を緩和し、届出による同意なしの第三者提供（オプトアウト提供）を禁止する。
16歳未満の個人情報は原則、法定代理人の同意を要するなど、未成年に対する保護を上乗せする。事業者には「こどもの最善の利益」を考慮する責務も明文化された。
データベース不正提供罪に加害目的類型を追加し、詐欺・不正アクセスによる不正取得罪を新設。権利利益の侵害が切迫する場面では、従来必要だった勧告を経ずに個人情報保護委員会が直ちに命令を出せる「緊急命令」も導入される。
委託範囲外のデータ取扱いの禁止を明文化し、既存の委託契約の見直しを促す。漏えい通知は権利利益保護に支障がない場合の代替措置を許容。単体では個人情報でない連絡可能なメールアドレス等（個人関連情報）への不正利用・不正取得の禁止、医療機関の学術研究例外への位置づけの明確化も入った。
従来は「本人同意（Consent）」が原則の壁だった。改正後は、AI開発・統計作成に限って壁を迂回する"特例ルート"が新設される。データの流れで見るとこうなる。
特例の背骨は、条文の定義にある一本の縛り——成果物が「個人に関する情報」であってはならない。この一線で、何に効いて何に効かないかがきれいに分かれる。
傾向・集計・汎用モデルを作る用途。出力が特定の個人にならないので、特例に素直に乗る。今回の緩和が本当に効く中心はここ。
生成モデルは学習データを断片的に吐き出す（regurgitation）ため、「個人が出ない」と言い切りにくい。どこまで含むかは委員会規則・ガイドライン待ちで、まだ未確定。
統計的な手法を使っていても、成果物が個人に関する情報ならこの特例の外。統計の名を借りたプロファイリング（Profiling）は通らない。
この線引きを、実務の場面に落とすとこうなる。
誰から誰へ、何を条件に渡せるのか。特例の担保はオプトアウトではなく、公表・書面合意・目的外利用の禁止による。
個人情報保護法を所管する独立監督機関。ガイドラインの策定、事業者への監督・指導、そして今回新設された課徴金など、執行の主体。改正の実務ルールは、今後このPPCの政令・ガイドラインで具体化される。
使途は統計作成等に限定し、個人が特定される結果は出さないことが前提。提供先も民間の個人情報取扱事業者か行政機関等に限られる。
提供元・提供先の両社が、社名と実施する統計作成等の内容を、ウェブ等の見やすい場所で事前に公表する義務を負う。
「統計情報等の作成」のみを目的とする提供である旨を、提供元・提供先間で書面により合意することが必須。受け取り側の目的外流用は直接の法令違反となる。
取得者・提供先は統計作成等以外の目的外利用と第三者提供が禁止。これに反した「統計特例違反」は課徴金の対象になる（大規模・悪質な違反が対象）。提供先にも安全管理措置など通常の個人情報保護義務がフルに適用される。
同意の壁やデータの分断で止まっていた"個人を出力しない"モデルが、具体的にこう作りやすくなる（個人スコアや属性推定のような個人単位の出力は、統計手法でも対象外）。
匿名加工情報という既存ルートがあるのに、なぜ特例が要るのか。加工は安全と引き換えに、AI学習にとって致命的な3つの劣化を起こす。
AIは細かい相関から学ぶ。属性をバケツに丸めると、本来学ばせたいパターンそのものが消える。
匿名加工は「同一人物と分からなくする」処理。同じ人の時系列（診断→手術→転帰）を意図的にバラすため、longitudinalな構造が失われる。
特異値・希少疾患の除去は、モデルに最も学ばせたいエッジケースの削除でもある。非構造テキストでは文脈から特定できるため「名前だけ置換」はほぼ機能しない。
AIが本当に欲しいのは「名前」そのものではなく、加工で失われる粒度・紐付け・レアケースだ。名前の文字列はむしろ無情報なことも多い。だから「加工すると有用性が落ちる」までは共有された感覚だが、「実名・住所という記述が絶対必要」かは用途次第。ここを混同すると議論がずれる。
この議論の前提になるのが、加工情報の分類だ。「個人情報 ⊃ 個人データ ⊃ 保有個人データ」という入れ子と合わせて押さえる。
「個人データ」は、個人情報をデータベース化したもの。第三者提供規制などの対象になる。さらに事業者が開示・訂正・削除の権限を持つものが「保有個人データ」で、本人の開示請求権等が及ぶ。個人情報 ⊃ 個人データ ⊃ 保有個人データ という入れ子の関係にある。
特定の個人を識別できる情報（氏名・住所等を含む）。利用・第三者提供に原則同意が必要。今回の特例が「生データのまま」使えるようにしたのがこの類型。
他の情報と照合しない限り個人を特定できないよう加工。氏名等は削るが、特異値や希少疾患名の削除は不要。対応表が残りうるため復元の余地があり、原則として第三者提供は禁止（主に社内利用向け）。
特定の個人を識別できず、かつ復元もできないように加工。特異値・希少値の削除まで求められる厳しい基準。その代わり本人同意なしで第三者提供が可能。
Cookieや閲覧履歴など、単体では個人を特定しないが個人に関連する情報。提供先で個人データになることが想定される場合に、同意取得の確認が必要になる。改正では連絡可能なものへの不正利用・不正取得禁止も加わった。
国会審議で最も割れたのは、病歴・犯罪歴を含む要配慮個人情報まで特例の対象になり得る点だ。「解禁」と「懸念」はセットで語られてはじめて正確になる。
米国・中国に後れを取る国内AI開発の競争力を高めるには、大量・多様な実データが不可欠。特例の成果物は「特定の個人に関する情報でない」ことが要件で、公表・書面合意・目的拘束の担保もある——という整理。
要配慮個人情報が本人の知らないところで外部提供され得る。提供時の氏名匿名化義務がない点、公表ベースの透明性で本人が実際に気づけるのかという点への批判が強く、医療関係者からは「改悪」として廃案を求める声も上がった。
「個人情報保護法が改正されて、生成AIの学習データが自由になった」——この一行の要約が、いちばん危ない。今回の特例が素直に効くのは、需要予測や異常検知のような"個人を出力しない"統計・機械学習だ。LLMの事前学習に生データを流す話は「成果物が個人であってはならない」要件と吐き出し問題に正面からぶつかる。AIと一括りにした瞬間、議論はほぼ必ず混線する。
条文も報道も「AI開発」とひとくくりにするため、「ChatGPTのような生成AIに自分の情報が学習されてしまうのでは」という誤解が広がりやすい。実際に効く中心は"個人を出力しない"統計・機械学習であり、LLMの事前学習は未確定——この線引きを制度側も発信側も明示しないと、不信だけが独り歩きしてしまう。用語の解像度を上げることが、そのまま信頼の設計になる。
特例の担保は事前公表と書面合意であり、本人への個別通知や氏名の匿名化義務はない。病歴・犯罪歴を含む要配慮個人情報まで対象になり得るだけに、本人が提供の事実を現実に認知できる導線をどう作るかは、施行までに残された宿題だ。
「権利利益を害するおそれが少ない行為」の範囲、公表事項の粒度、LLM学習の扱い——特例の使い勝手を決める要素はほぼすべてPPCの政令・委員会規則・ガイドラインに委ねられている。2028年頃の全面施行に向けて、パブリックコメントを含む規則整備の定点観測が、実務側の必須動作になる。
同じ「AI学習にどう個人データを使わせるか」でも、根っこの発想が国ごとに違う。日本の特例は、この地図のどこに置かれるのか。
原則は本人同意ベース。今回の改正で、統計作成等に限り、公表・書面合意・目的限定を条件に、実名を含む生データを同意なしで使える特例を新設（違反は課徴金）。監督は個人情報保護委員会（PPC）。規制の重さは欧州と米国の中間に位置づく。
GDPR（EU一般データ保護規則）の下、処理には同意等の「適法根拠（Legal Basis）」が必須。EDPBは2024年12月、AI学習に「正当な利益（Legitimate Interest）」を根拠にできると認めたが、3ステップ審査で厳格に絞る。2026年のガイドラインは公開データのスクレイピングにもGDPRを適用し、事前のデータ最小化と厳格な匿名化を要求する。
連邦の包括的プライバシー法は不在。HIPAA（医療）等の分野別法＋州法の寄せ集めで、2026年時点で20を超える州が包括法を制定。多くはオプトアウト型（Opt-out＝拒否権）で、既定ではAI学習に使いやすい。最先はカリフォルニア（CCPA/CPRA、専門機関CPPA、自動意思決定ADMT規則が2026年1月施行）。
個人情報保護法（PIPL）は同意原則で例外が狭く、越境移転には安全評価等の厳しい統制がかかる。一方で生成AIサービス管理暫定弁法などにより、国家がAI開発を政策的に主導。企業への規律は重いが、公共・国家目的のデータ利活用は進みやすいという非対称が特徴だ。
特例は「使える会社」と「使えない会社」をくっきり分ける。分水嶺は、データの棚卸しと契約の整理を施行前に済ませているかどうかだ。