2026年7月10日、改正個人情報保護法が国会を通過しました。今回の改正は、AIと個人情報の扱いに正面から踏み込むもので、AIを法務に使う私たちにとっても見過ごせない内容です。この記事では、改正の要点、いわゆる「クラウド例外」との関係、そして当事務所自身が運用しているAIシステムがこの改正でどう評価されるのかまでを、順を追って整理します。

本記事は2026年7月11日時点の情報に基づく、企業法務を専門とする弁護士による解説です。改正法の具体的な運用条件（統計特例の該当範囲、公表事項の粒度、クラウド例外との整理など）は、今後策定される政省令・ガイドライン（2027年頃公表見込み）に委ねられており、確定していません。個別の事案については専門家にご相談ください。

この記事の要点(30秒まとめ)

• 2026年7月10日、改正個人情報保護法が国会を通過。目玉は「統計作成等特例（AI特例）」と課徴金制度の新設。
• AI学習・統計作成目的に限り、本人同意なしで個人データを第三者提供できる仕組みが新設され、要配慮個人情報（病歴・信条等）も対象に。
• クラウド例外は「そもそも提供が存在しない」という別ルート。AI学習で内容に着目した処理をすると適用が難しくなる。
• 両者は置き換えではなく役割分担。学習に使うなら統計特例、学習に使わない処理ならクラウド例外、が基本線。
• 当事務所のシステム（S3・Bedrock・Claude）はデータを学習に使わない設計のため、改正が緩和した領域には踏み込まず、クラウド例外で整理できる保守的な運用です。
• 取引先の企業秘密は個人情報保護法の対象外（不正競争防止法・秘密保持契約の問題）。改正法の緩和は企業秘密の開示を正当化しないため、AIに入れる際は別の配慮が要ります。

① 2026年7月10日、改正個人情報保護法が国会を通過

2026年7月10日、参議院本会議で改正個人情報保護法が賛成多数で可決・成立しました（5月26日の衆院通過を経ての成立です）。最大の改正点は「統計作成等特例」（統計特例）の新設で、AIモデルの学習や統計情報の作成を目的とする場合に限り、個人データを第三者へ提供する際の本人同意を不要とする仕組みです。病歴・犯罪歴・信条といった「要配慮個人情報」もこの特例の対象に含まれます。政府は、国内AI開発を後押しする狙いを説明しています。

もう一つの柱が課徴金制度の創設です。法令違反で得た利益相当額を行政が徴収する仕組みで、従来の刑事罰中心の制裁体系を補完します。このほか審議過程では、16歳未満の子どもの個人情報取得における保護者同意の義務化、生体認証データのルール厳格化、Cookieや広告IDを個人関連情報として明確化する定義拡充なども含まれています。

施行は公布後2年以内とされ、2028年頃の全面施行が見込まれます。統計特例の具体的な運用条件やデータ提供先に求めるセキュリティ水準などの詳細は、今後の政省令・ガイドラインに委ねられており、2027年頃にその内容が明らかになる見通しです。

② AIの扱いは、従前と改正後でどう変わったか

AIに関係する部分を、従来法と改正法で項目ごとに比較すると、次のようになります。

項目	従来法	改正法
個人データの第三者提供（AI学習目的）	原則、本人同意が必要。同意なしで行うには「委託」構成に頼るしかなく、委託先は委託目的の範囲内でしか使えず、AIモデルの学習自体には使えないという壁があった	統計作成等特例（統計特例）により、AI学習目的であることが担保されていれば、委託構成に頼らず本人同意なしで提供・入力が可能に
要配慮個人情報（病歴・信条等）の取得	取得に原則本人同意が必要。公開情報でもAI学習用の収集は同意の問題が残った	統計作成等目的で「現に公開されている」要配慮個人情報を取得する場合に限り、事業者名・利用目的等の公表を条件に同意不要に
個人関連情報（Cookie・広告ID等）の提供	提供先で個人データとなる場合に同意取得の確認義務。個人関連情報自体には不適正利用・不正取得の明文規制がなかった	AI・統計目的では特例（統計特例）の対象となり、双方公表＋書面合意で同意なし提供が可能に。あわせて不適正利用・不正取得の禁止規定を新設
外国事業者（海外AIベンダー等）への提供	基準適合体制の整備等が必要。本人の求めに応じた情報提供で足りた	特例による提供でも基準適合体制の整備が必要。加えて相当措置の継続的実施の確保と、その内容の「公表」が新たに義務化
委託構成との関係	委託先は委託業務の範囲内でしか利用できず、委託元データを自社AIの改善等に転用できなかった	委託と並行して統計特例に基づく提供を行えば、受託事業者が委託の枠を超えてAI開発目的で利用できる可能性が生じる

ただし、統計特例で提供できるのは受領者が「個人情報取扱事業者又は行政機関の長等」に限られ、データセットの一般公開は対象外です。また、特例で取得・提供を受けた情報の再提供は原則禁止で、目的外利用や再提供禁止違反は新設の課徴金の対象にもなります。要するに、緩和と引き換えに「公表・書面契約・目的限定」という厳格な手続がセットで課される構造です。

③ 「クラウド例外」とは何か

ここで、実務で頻出する「クラウド例外」を整理しておきます。これは法律の明文規定ではなく、個人情報保護委員会のガイドラインQ&A（7-53、7-54）による解釈上の整理です。

クラウドサービス事業者が、①契約上、預かった個人データを取り扱わない旨が定められており、②適切なアクセス制御が行われている場合には、そもそもユーザー企業からクラウド事業者への「提供」自体が存在しない（＝第三者提供にも委託にも当たらない）と扱われ、本人同意は不要になる、という考え方です。「取り扱わない」ことが前提なので、そもそも同意の要否を論じる場面に至りません。

問題は生成AIです。個人情報保護委員会は2023年2月、「クラウド事業者が個人データに対して編集・分析等の処理を行う場合には『取り扱わないこととなっている場合』に該当しない」との見解を示しています。AIモデルの学習は、入力データの内容を使ってモデル内部のパラメータを調整する、まさに「データの内容に着目した処理」です。ですので、AI学習にデータが使われる場面では、クラウド例外（＝提供が存在しないという整理）を素直に当てはめるのは難しく、従来は委託構成で整理せざるを得ませんでした。

④ クラウド例外と改正法（統計特例）の関係をどう考えるか

「クラウド例外」と新設の「統計作成等特例」は、目的が重なる部分はあっても、法的な仕組みとしては別次元のものであり、単純に置き換わる関係にはありません。

クラウド例外は「そもそも提供がない」という構成です。これに対し統計特例は「提供はある（AI事業者は現にデータを取り扱う）が、AI学習・統計作成のみに使うことが担保されているので同意は不要」という、提供の存在を前提とした別ルートの適法化根拠です。

したがって、両者は次のように役割分担すると考えられます。クラウド事業者・AIベンダーが本当にデータの中身に関知せず、単なるペイロードとして処理するにとどまる場合（暗号化ストレージ、推論結果のみを都度返し学習に使わないAPI利用など）は、従来どおりクラウド例外により「提供」自体が生じないと整理できます。これに対し、AIベンダーがモデルの学習・改善のためにデータの内容を実質的に利用する場合は、クラウド例外の適用は困難であり、統計特例の要件（受領者の目的限定、双方の公表、書面合意）を満たして初めて同意なしの提供が適法になります。

もっとも、この整理はまだ法令上明記されたものではなく、政府による公式な整理も示されていません。実務上は、AI学習を伴う場面では統計特例への依拠を軸に検討し、クラウド例外は「学習に使わないことが技術的・契約的に担保された処理」に限定して主張する、という保守的な立場をとっておくのが安全だと考えます。

⑤ 当事務所のシステムは、改正法でどう評価されるか

ここまでを踏まえて、当事務所が実際に運用しているAIシステムを、改正法の観点から評価してみます。当事務所のシステムの構成は、おおまかに次のとおりです。

• S3：法律情報や契約書関連のデータを、当事務所の管理下（自社のクラウドストレージ）に保管する。
• Bedrock：AWSのマネージドAIサービスを通じて、必要なときにだけ生成AIを呼び出す。
• MCPによるEC2との接続：当事務所のシステムが動くサーバ（EC2）を、MCP（モデルと外部システムをつなぐ仕組み）でAIと接続し、処理に必要なデータだけを渡す。なお、データが暗号化されるのは、BedrockからEC2に送られた後のこの段階のみです。
• Claudeの呼び込み：Bedrockを介してClaudeを呼び出し、推論（その場の分析・回答）だけを行わせる。入力データは処理後に消去し、AIモデルの学習には一切使わない。

この構成の要点は、データが最後まで当事務所の管理下（自社のAWS環境）にとどまり、しかもAIには「学習」をさせず「推論」だけをさせているという点です。Bedrockは、入力を基盤モデルの学習に使わず、外部のモデル提供者にも共有しない設計になっています。当事務所はさらに、契約・技術の両面で「学習に使わない・処理後に消去する」ことを担保しています。

これを改正法に当てはめると、次のように評価できます。第一に、当事務所のシステムは、AIモデルの学習という「データの内容に着目した処理」を行っていません。行っているのは推論のみです。したがって、③で述べた「クラウド例外が使えなくなる典型場面（＝学習処理）」に当たらず、クラウド例外（提供が存在しないという整理）の射程内に収まると考えられます。第二に、そうであれば、当事務所は改正法が新設した統計特例（学習目的の同意緩和）に依拠する必要すらありません。

言い換えると、今回の改正が緩和したのは「AI学習のために個人データを第三者提供する」場面ですが、当事務所はそもそも顧客のデータを学習に使わず、自社の管理下で推論だけを行っているため、改正が問題にしている（そして懸念も指摘されている）領域に、はじめから踏み込んでいません。改正によって「学習のための提供」に走る事業者が増えるほど、「学習に使わない・自社管理下で推論のみ」という当事務所の設計思想の価値は、むしろ相対的に高まると考えています。

ただし、慎重な留保も付しておきます。生成AIの「推論」が、どこまで行っても「データの内容に着目した処理」に当たらないと言い切れるかは、それ自体がなお検討を要する論点です。最終的な該当性は、個別の事情と、2027年頃に示されるガイドライン次第です。だからこそ当事務所は、法的な整理に頼り切るのではなく、契約と技術の両面で「学習させない・処理後に消去する」ことを実装し、そもそもリスクが生じない構造にしています。この設計思想については「弁護士が自社開発したAI法務システム」で詳しくご紹介しています。

⑥ 取引で得た取引先の企業秘密と、改正個人情報保護法の関係

ここまでは「個人情報」の話でした。しかし企業法務の実務では、取引の過程で取引先の企業秘密（営業秘密）——価格や原価、取引条件、設計・製造のノウハウ、顧客リストなど——を預かる場面が数多くあります。これらと改正個人情報保護法の関係も、あわせて整理しておきます。

まず大前提として、企業（法人）そのものの秘密は、個人情報保護法の保護対象ではありません。個人情報保護法が守るのは、生きている個人に関する情報だからです。したがって、今回新設された統計特例（AI学習のための同意緩和）も、取引先の企業秘密には直接適用されません。「改正で緩和されたからAIに入れてよい」とはならない、ということです。

ただし、注意点が2つあります。第一に、企業秘密の中に個人情報が含まれている場合（顧客名簿、従業員データ、担当者の連絡先など）は、その個人情報の部分については個人情報保護法が適用されます。第二に、企業秘密そのものを規律するのは個人情報保護法ではなく、不正競争防止法上の営業秘密の保護と、契約上の秘密保持義務（NDA）です。

ここでAIとの関係が問題になります。不正競争防止法で営業秘密として保護されるには、①秘密として管理されていること（秘密管理性）、②有用性、③非公知性、の3要件が必要です。取引先から預かった秘密を、学習や履歴保持が行われるクラウドAIにそのまま入力すると、第三者がその内容に触れ得る状態を作ってしまい、①の秘密管理性が失われたり、秘密保持契約に違反したりする事態が起こり得ます。改正個人情報保護法の緩和は、この不正競争防止法・契約上の義務を一切免除しません。個人データの同意が不要になっても、取引先の企業秘密を守る義務は、別途そのまま残るのです。

この点でも、当事務所のシステムは有利に働きます。⑤で述べたとおり、当事務所は預かったデータを自社の管理下（S3）にとどめ、AIには学習させず推論のみを行わせ、処理後に消去しています。第三者が内容に触れる状態を作らないため、取引先の営業秘密についても秘密管理性を損なわず、秘密保持義務にも反しない形でAIを利用できます。個人情報だけでなく、取引先の企業秘密の保護という観点からも、「学習させない・自社管理下・処理後消去」という設計は理にかなっています。

※営業秘密該当性や秘密保持義務違反の成否は、契約内容や管理実態などの個別事情によります。重要な取引で判断に迷う場合は、事前にご相談ください。

おわりに

今回の改正は、国内のAI開発を後押しする一方で、要配慮個人情報まで本人同意なく提供できるようになるなど、データの流出・悪用への懸念も指摘されています。緩和されたからといって、何でも許されるわけではありません。むしろ、緩和の時代だからこそ、「使う側がどういう設計思想でAIを運用しているか」が問われます。

当事務所は、顧客の情報を学習に供さず、自社の管理下で推論のみを行う——という、改正法の緩和の外側にある保守的な運用を貫いています。AIを企業法務に活かしたいが情報の扱いが不安、という方は、ぜひ一度ご相談ください。