個人情報保護法では、原則として、利用目的の通知またはHP上等での公表を行っておけば、個人情報取得・利用の際の本人同意は不要である。
一方、以下の行為を行う場合は本人の同意を得る必要がある。
- 個人情報の目的外利用（18条1項）
- 要配慮個人情報（病歴や犯罪歴など）の取得（20条2項）
- 第三者提供（27条1項）
例えば、利用目的に自社製品開発を記載していなかったものの、取得した個人情報を自社のAIモデルの学習用データとして流用したくなった場合は、本人同意が必要となる。
また、学習用データに使うため、他企業が取得した個人情報を提供してもらう場合も、本人同意が必要となる。
しかし、既に個人情報を取得した後、各個人に同意を取りに行くのは正直現実的ではない。
ところで、個人情報保護委員会は2026年1月9日に「個人情報保護法の改正方針（案）」を公表した。
この改正が、AIモデル開発企業にとっては朗報となるかもしれない。
統計情報等の作成なら同意取得不要
上記の通り、第三者提供等の場合は本人の同意が必要である。
例外として学術研究目的の場合は本人の同意を取得しなくて良いところ、改正方針ではこれが更に緩和する動きとなる。
具体的には、第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は、本人同意を不要とするとのことである。
ここで注目すべきは、統計情報等の作成には、統計情報等の作成と整理できるAI開発等も含むという点である。
これまでは、あらかじめ公表した目的にAI開発に用いる旨が記載されてなければ同意取得が必要であったし、仮に記載があっても個人情報を第三者に提供する場合は別途同意取得が必要であった。
第三者提供の場合は、同意取得を避けるためAI開発業務を委託するという形を取るスキームもあったが、契約などの検討コストが馬鹿にならない。
しかし、
- 統計情報等の作成のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっている
- 特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ない
という背景から、統計情報等の作成等（AI開発含む）に限るなら、本人の同意がなくても利用・第三者提供を可能にしよう、というわけである。
また、AIモデルのユーザ企業としても、入力したプロンプトに個人情報が含まれたとしても、プロンプトをモデル学習に利用する規約となっている生成AIサービスを利用する際に同意取得する必要が無くなる。
###同意不要となる条件 ただ手放しでOKではなく、「統計情報等の作成」にのみ利用される場合は、それを担保するための規律として、以下の条件を課すよう検討されている。
- 一定の事項の公表
- 氏名・名称（要配慮個人情報取得なら取得者、第三者提供なら提供元・提供先）
- 行おうとする「統計情報等の作成等」の内容等
- 第三者提供の場合は、「統計情報等の作成」のみを目的とした提供である旨の書面による提供元・提供先間の合意
- 取得者及び提供先による、目的外の利用及び第三者提供の禁止（要配慮個人情報取得、第三者提供） 等
Webスクレイピングにも適用
改正方針が適用されれば、AIモデルの学習用データをWeb上から収集する際に要配慮個人情報を取得する場合も同意取得が不要となり、学習用データが収集しやすくなると考えられる。
なお、Webスクレイピングで収集した場合も上に述べた条件を満たす必要があるので、どのような統計を作成するかを公表したり、複数企業の個人データを集めて統計分析を行う場合は、両社間の合意内容を公表させ第三者が検証できるようにする、といった運用が想定される。
ソフトウェア開発企業にとっては朗報
仮にこの改正方針が採用されれば、個人情報を使ったAIモデル開発の自由度が高まるため、ソフトウェア企業にとっては嬉しいニュースとなるだろう。
もちろん、情報の活用にあたってはその他知財権の侵害も避ける必要があるが、例えば学習モデルとしての利用であれば、著作権法上は問題ないとされている（著作権法第30条の4）。
個人的には、今回の改正方針が過去に取得された個人情報の取り扱いについても効力が及ぶかという点は気になるところである。
通常、取得時期ごとに取り扱いが異なると管理が非常にに煩雑になるはずなので、過去取得済みの個人情報についても適用されるものと考えられるが、改正に関する情報は引き続きウォッチしておきたい。
Webスクレイピングについては個人情報保護法以外にも考えるべき点（取得先サービスの利用規約など）が色々あるが、それはまた別の記事で検討することとしたい。