個人情報を、AIに渡してよいか

名前の有無ではなく、人が分かるかを見る

個人情報は、生存する個人に関する情報で、氏名などから特定の個人を識別できるもの、他の情報と容易に照合して識別できるもの、または個人識別符号を含むものです。個人識別符号は法令で定める番号や身体の特徴を変換した符号などで、任意の管理番号が全部それに当たるわけではありません。

氏名がなくても、他の情報と容易に合わせて本人が分かれば個人情報に当たり得ます。仮の予約番号へ置き換えた表も、手元の対応表と容易に照合できるなら、個人情報でなくなったとは判断できません。

個人データは、個人情報データベース等を構成する個人情報です。一定の個人情報を検索できるように整理した予約名簿などが例です。「個人情報」と「個人データ」は法律上の範囲が同じではなく、第三者提供の一般規律は個人データを対象にしています。

法令で定めた符号と、任意の会員番号を区別する

個人識別符号の例には、運転免許証の番号など、法令で定められた番号があります。店が独自に作った会員番号が、同じ理由で法定の個人識別符号になるわけではありません。ただし、店の対応表と容易に照合して誰かが分かるなら、会員番号の記録も個人情報に当たり得ます。番号の呼び名と、本人を識別できる条件を分けます。

生存する個人の顔写真そのものと、身体の特徴から作った個人識別符号も区別します。写真から本人が分かれば、その写真は個人情報です。一方、顔などの身体の特徴を、コンピューターで本人の識別に使えるように変換し、特定の個人を識別できるものとして法令の基準を満たす符号は、個人識別符号に当たります。写真を保存したり数値化したりしただけで、すべての数値が個人識別符号になるわけではありません。

事業で検索できる個人情報を扱う主体

ここでは民間の事業者の一般的な規律を学びます。個人情報データベース等を事業のために用いる者を個人情報取扱事業者と呼びます。株式会社だけでなく、条件に当たる個人事業主や非営利団体も含まれます。氏名などで検索できる顧客台帳を事業に使う店が例です。

どの主体がどの情報を扱っているかを確かめることが、後の安全管理や委託先の監督を考える入口になります。単に「営利ではない」「担当者が自分の端末で処理する」という理由だけで、必要な確認を省きません。

根拠：個人情報保護委員会 通則編（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗

プライバシーは、本人の利益への影響も考える

プライバシーは、私生活などに関わる権利や利益として考えます。個人情報の取扱いだけに限らず、幅広い内容を含みます。法定の情報分類と、本人の利益への影響をそれぞれ確認します。

個人情報保護法は、個人情報の適正な取扱いを通じて、プライバシーを含む個人の権利利益を保護する仕組みです。「氏名を含むか」だけでなく、本人に望まない影響が生じないかも考えます。業務の秘密保持・NDA・営業秘密の条件は別の観点を含むため、後続のGA404で扱う計画です。

根拠：個人情報保護委員会 個人向けFAQ Q1-4（別のタブで開く） ↗ / 個人情報保護委員会 法の目的と保護する利益（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗

取扱いに、特別な配慮が必要な情報もある

要配慮個人情報は、人種、信条、病歴、犯罪の経歴など、不当な差別や不利益を防ぐために特別な配慮が必要な、法令で定める情報です。原則として取得に本人の同意が必要で、法令上の例外もあります。たとえば、人の生命・身体・財産を守るために取得が必要で、本人の同意を得ることが困難な場合には、例外の条件を確認します。二つの条件の両方が必要で、「AIで便利になる」という理由だけではこの例外にはできません。これは取得時の例外であり、利用や第三者提供の条件は別に確認します。

日常語の「機微な情報」は、慎重に扱う情報を広く指すことがあります。法定の要配慮個人情報と同じ範囲とは限りません。種類だけでAIへ送ってよいかを決めず、取得・利用・提供の条件を分けて確かめます。

分類の図では、要配慮個人情報と個人データが一部重なっています。病歴の情報は要配慮個人情報に当たり、検索できる患者名簿などに含まれれば個人データにも当たります。要配慮個人情報がすべて個人データという関係ではありません。

根拠：個人情報保護委員会 通則編（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗

利用目的から外れる使い道を、勝手に足さない

個人情報を扱う事業者は、利用目的をできる限り特定し、通知・公表など必要な手続を行います。利用は目的に必要な範囲が基本です。目的の範囲を超える利用は、原則として本人の同意が必要ですが、法令上の例外もあります。

利用目的を変更するときも、変更前と合理的に関連すると認められる範囲という条件があり、変更後の通知・公表が必要です。単に便利だから、という理由でどんな目的にも広げられるわけではありません。

予約連絡用の名簿を別の販売促進へ使うなら、元の目的に含まれるか、許される目的変更か、本人同意や例外の条件があるかを確認します。AIで処理する場合にも、情報の利用目的の確認は残ります。

根拠：個人情報保護委員会 通則編（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗

マスキングと、法定の加工情報は違う

まず、名前を伏せても誰かが分かるか、今回の作業に必要な情報は何かを確認します。次に、自己流の置換と、法定の加工情報の制度を区別します。法律の制度名を付けるだけで、外部AIへ送れるようになるわけではありません。

マスキングは、氏名などを伏せたり置き換えたりする処理です。残った日時・連絡先・対応表などから本人が分かる場合があります。名前を消しただけで、匿名になったとは限りません。

漫画の三つの資料を分けて読む

漫画では、民間の地域活動団体が持つ参加者名簿を整理しています。団体に保管する資料と、外部AIへ送ろうとした表は別です。ミオが「メールアドレスが残ってる」と示したのは、ローカルの保管用名簿です。

③にメールアドレスがあると読み替えてはいけません。一方で、メール欄がないことだけで匿名になったともいえません。団体は②を使って番号と氏名を容易に照合できます。この例では、氏名の置換だけで、特定の個人を識別できず元の個人情報も復元できないよう法定の基準で加工した「匿名加工情報」にしたとは扱いません。また、今後③の備考へ氏名や本人を特定できる事情を書くなら、その情報も確認が必要です。漫画にすでにその事情が記入されている、という意味ではありません。

①から③は、他の情報と照合しない限り本人を識別できないよう法定の基準で加工した仮名加工情報に当たると確認した例でもありません。ここでは通常の個人情報・個人データとして取扱いを確認します。法定の加工情報の制度は、続く説明で分けて学びます。

法定の加工情報は、加工基準と取扱いも含む

仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように、法定の基準で加工した情報です。照合による識別などに制限があり、第三者提供は原則禁止です。本人の同意を得れば一般の個人データと同じように提供できる、という制度ではありません。法令に基づく場合などの特有の条件を確認します。

匿名加工情報は、特定の個人を識別できず、元の個人情報を復元できないように、法定の基準で加工した情報です。加工方法等の情報の安全管理、公表、提供時の措置などの条件があります。自分で「匿名」と名付けることと、制度の要件を満たすことは別です。

匿名加工情報では、何を誰が公表するかも確認する

法定の匿名加工情報を検索できるよう整理して作成する個人情報取扱事業者には、加工基準や加工方法等の情報の安全管理だけでなく、作成後、遅滞なく（不必要に遅らせずに）、含まれる個人に関する情報の項目を公表する措置があります。「年代」「居住地域」などの項目を示すことであり、一人ひとりの元データを公表することではありません。作成を外部へ委託した場合も、委託元が作成者として項目の公表を行います。

作成者がその匿名加工情報を第三者へ提供する場合は、含まれる情報の項目と提供方法を、あらかじめ公表し、受け手へ匿名加工情報であることを明示します。法定の匿名加工情報を検索できる形で事業に使う者を匿名加工情報取扱事業者と呼びます。他から受け取った法定の匿名加工情報を提供する立場にも、提供時の公表・明示等の規律があります。作成者・提供者・受け手の立場と工程を区別して確認します。

これらの措置だけで匿名加工情報になるのではありません。先に法定の加工基準等を満たす必要があります。漫画の氏名を番号へ置き換えた送信候補を、この制度の匿名加工情報と扱った説明ではありません。

根拠：個人情報保護委員会 仮名加工・匿名加工情報（別のタブで開く） ↗ / 個人情報保護委員会 通則編（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗

送信先の目的と取扱いを読む

同じ名簿でも、受け手が何に使うかで確認が変わります。

日常語では「社外の相手」でも、法律のこの規定では、目的内の委託など一定の受け手を第三者に含めない場合があります。「社外だから必ず第三者提供」「委託だから確認不要」のどちらとも決めません。個人データを第三者へ提供する一般規律では、原則として事前の本人同意が必要です。法定例外などの経路もあります。先に、誰が実際に取り扱い、何の目的で使うかを確認します。

次の二つは、理由が異なります。目的内の委託は、一定の条件を満たす受け手を第27条上の第三者に含めない整理です。一方、第三者提供の法定例外は、第三者への提供に当たっても、法律が定める条件の下で事前の本人同意を不要とするものです。例として、生命・身体・財産を守るために提供が必要で、かつ本人の同意を得ることが困難な場合などがあります。「AIで便利になるから」という理由だけで、これらの条件を満たしたとはいえません。

AIサービス提供者による個人データの機械学習利用は、第三者提供の問題になり得ます。PPCは、本人同意なしで入力する事業者に対し、提供者が機械学習に利用しないこと等を十分確認するよう注意しています。学習に使わないという一条件だけでは、利用目的や安全管理まで確認したことにはなりません。

法と組織の手続を分けます。利用目的・安全管理・委託先への必要な監督などは、該当する法令の条件を確認します。契約の確認方法や社内承認などは、組織が定める運用条件も含みます。社内承認という手続自体が、すべての事業者へ一律に課される法律上の義務という意味ではありません。

生成AIが入力を処理する場合と、契約や、閲覧・操作できる人や範囲を制限するアクセス制御等により事業者が個人データを取り扱わない保管クラウドの場合も区別します。サービス名や通信先の表示だけでなく、契約内容と実際の取扱いを確認します。外国にある受け手なら、次の項の条件も確認します。

委託先を選ぶ・条件を定める・取扱いを確かめる

委託先の監督は、仕事を任せた後も、その個人データを安全に扱うために必要・適切な確認を行うことです。目的内の国内委託として第27条上の第三者に該当しない整理でも、委託先への監督は残ります。

たとえば、委託先が安全に扱えるかを選定時に確認する、契約で用途・保管・さらに別の相手へ仕事を任せる再委託などの条件を定める、委託後の取扱状況を確認する、といった行動を考えます。契約に「委託」「学習に使わない」と書くだけで、実際の取扱いの確認が終わるわけではありません。何を、どの程度確かめるかは、扱う情報やリスクに応じて定めます。

安全管理は、外へ漏らさず適切に扱うための措置

安全管理措置は、個人データの漏えい、紛失、破損などを防ぐための必要・適切な措置です。技術的な設定だけではなく、責任体制や担当者の教育、物理的な保管等も含みます。次は具体的な手段の例で、すべての事業者に同じ方法や保存期間を一律に求めるという意味ではありません。

作業を進める別の案も考えます。報告文の形を試すだけなら、実際の名簿の代わりに「参加50人・受付済45人・未受付5人」という架空の集計数を使えます。実際の人数を使う場合は、少人数の区分や他の情報と合わせて個人が分からないかなど、残る情報を改めて確認します。

個人ごとの記録が必要な作業なら、必要な項目と受け手の条件を整理して責任者へ確認し、条件がそろう前には送信しません。利用目的、必要な入力項目、送信先の取扱い、安全管理、委託先の監督をそろえて考えます。法令に該当する条件と、組織が決める承認手続を分けて確認し、未確認のまま送信しません。

根拠：個人情報保護委員会 生成AI利用の注意点（別のタブで開く） ↗ / 個人情報保護委員会 通則編（別のタブで開く） ↗ / GUGA 2027年2月適用シラバス（別のタブで開く） ↗ / 個人情報保護委員会 保管クラウドの取扱い Q7-53（別のタブで開く） ↗

国外への提供と、確認できない場合

外国の受け手なら、国内の目的内委託の整理だけで終わりません。

同じ名簿の同じ作業でも、外国にある受け手に個人データを渡す場合は、委託を含めて第28条の外国提供の規律を確認します。提供先の国・受け手・取扱い・体制を把握することが出発点です。

どの経路で扱えるかを確認する

外国提供への同意を根拠にする場合は、本人へその国の制度や受け手の措置等を情報提供する条件があります。日本と同等の水準と認められた国や、相当する措置を継続して講じる基準適合体制の場合は、外国提供の同意経路とは整理が異なります。その場合にも、第27条の第三者提供・委託等の経路の確認は残ります。法定例外や継続的な措置など、適用される条件を責任者・情報管理担当が確認します。

処理地域の表示だけで、どの法律上の条件で提供できるかを決めません。受け手の所在や、実際に取り扱う主体・再委託等も確認します。画面が日本語であることは、受け手が国内にあることの証拠にはなりません。

漫画のハルは、名前の加工だけで判断を終えず、主催責任者に確認する段階へ進みます。ここでは条件がそろう前の保留が結論です。教材の練習に本物の参加者・お客様の情報は使いません。

根拠：個人情報保護委員会 外国にある第三者への提供（別のタブで開く） ↗ / 個人情報保護委員会 生成AI利用の注意点（別のタブで開く） ↗

公布された改正と、今使うルールを分ける

この教材の問題に設定する制度の基準日は2026年10月2日、一次資料を再確認した日は2026年10月6日です。施行済みの個人データの一般規律と、2026年改正法の将来の適用を分けて説明しています。

公布は成立した法律を公に知らせること、施行はその規定が効力を持つことです。附則には、いつから適用するかなどの条件も書かれています。知らせた日と、適用が始まる日は分けて読みます。

成立・公布

2026年改正法は7月10日に成立し、7月17日に公布されました。

施行

改正法の本則は原則として公布から2年以内の政令で定める日から施行する仕組みです。附則には公布日や6か月後等から施行する規定もあり、全規定が同日に施行するわけではありません。

この教材の判断

将来のAI開発等に関する規定を、既に利用できる同意不要の経路として先取りしません。改正法の各規定・附則・施行日と、その利用の条件を別々に確認します。

2027年の受験前や公開・改訂時にも、一般社団法人生成AI活用普及協会（GUGA）の対象シラバスと、PPCが示す法令・施行情報を再確認します。公布済みという表示だけで、今の入力判断を変更しません。

根拠：個人情報保護委員会 2026年改正法の状況（別のタブで開く） ↗ / 個人情報保護委員会 2026年改正法・附則（別のタブで開く） ↗