改正個人情報保護法とAI利用。課徴金時代に企業が準備すべきこと

何が変わったのか

2026年、課徴金制度の導入を含む改正個人情報保護法が成立しました。これまで個人情報保護委員会による対応は指導・勧告・命令が中心で、金銭的な制裁は限定的でした。今後は、重大な違反に対して金銭的なペナルティが科され得る枠組みが加わります。

この変化が意味するのは、「気をつけていました」という主張だけでは不十分になるということです。実際にどのような管理体制を敷いていたかが問われます。

生成AIとの接点はどこにあるか

個人データの第三者提供・目的外利用

社員が顧客の氏名や連絡先を外部のAIサービスに入力した場合、その行為が個人データの第三者提供や、取得時に示した利用目的の範囲を超えた利用に該当する可能性があります。社員個人の判断で行われたとしても、監督責任は会社にあります。

漏えい等の報告義務

個人データの漏えい等が発生し、一定の要件に該当する場合、個人情報保護委員会への報告と本人への通知が義務づけられています。速報は事態を知ってから概ね3〜5日以内という短い期限が設けられています。

ここで実務上いちばん困るのは、「誰が何を入力したか分からない」という状態です。影響範囲が特定できなければ、報告書の第一行も書けません。

企業が準備すべき4つのこと

1. 01利用実態の把握：社内でどのAIサービスが使われているかを、まず可視化する
2. 02入力禁止情報の明確化：個人データを含む入力を禁止し、その範囲を具体的に定義する
3. 03技術的な歯止め：ルールだけに頼らず、個人情報を含む送信を検知して警告する仕組みを導入する
4. 04記録の保持：いつ・どのサービスが利用されたかを追跡できる記録を残し、有事の影響範囲特定に備える

「記録を残す」ときのジレンマと解き方

記録を残そうとすると、しばしば「社員のプライバシーをどこまで侵害するのか」という議論になります。入力内容をすべて保存すれば管理は容易になりますが、その保存データ自体が新たな漏えいリスクになり、社員の信頼も損ないます。

現実的な解は、記録する範囲を絞ることです。「どのAIサービスを・いつ使ったか」というメタデータだけを保持し、入力された文章そのものは保存しない。この設計であれば、有事の影響範囲の特定に必要な情報を確保しつつ、保有するデータ量を最小限に抑えられます。データ最小化の原則にも沿った考え方です。

※ 本記事は2026年7月時点の公開情報に基づく一般的な解説です。施行時期や適用の詳細は、個人情報保護委員会の公式情報および専門家にご確認ください。

Layer Security は、社内で使われているAIを可視化し、個人情報の入力や未承認AIへの送信といった危険な使い方だけをその場で止めるサービスです。社員が入力した文章（プロンプト）は記録しません。メールアドレスだけで、2週間無料でお試しいただけます。