病歴は同意なしでAI学習に使われる？2026年改正個人情報保護法を解説

AI学習と病歴情報・個人情報保護法 法律・制度

2026年5月26日、政経プラスチャンネルでは、病歴などの個人情報が本人の同意なくAI開発に使われる可能性を取り上げました。

当時、個人情報保護法の改正案は衆議院を通過した段階でした。その後、法案は7月10日に参議院本会議で可決・成立し、7月17日に「令和8年法律第56号」として公布されています。

では、本当に私たちの病歴が「AIに筒抜け」になるのでしょうか。

結論から言うと、医療機関が持つ全カルテや健康情報が、無条件であらゆるAI事業者へ渡る制度ではありません。

一方で、今回の改正により、統計情報などの作成だけに使う場合は、個人データの第三者提供や、インターネット上で公開されている病歴などの取得について、本人同意を不要とする仕組みが新設されました。一定のAI開発も、この「統計作成等」に含まれます。

「何も変わらない」と片づけることも、「すべての病歴が自由に使われる」と断定することも正確ではありません。誰の同意が不要になり、どんな条件が付き、何がまだ決まっていないのかを分けて見ます。

▼元動画
同意なしで病歴収集！？AIにあなたの個人情報が筒抜けになる法改正が衆院通過…

※動画は2026年5月26日公開です。この記事では、その後の法案成立・公布まで反映しています。動画タイトルの「筒抜け」は問題提起を表したもので、個人情報が無条件で提供されるという意味ではありません。

結論｜同意なしで使える範囲は広がるが、どんなAI利用でも認められるわけではない

今回の改正で押さえたい点は、次の5つです。

  • 改正法は2026年7月10日に成立し、7月17日に公布された
  • 一定のAI開発を含む「統計作成等」だけに利用する場合、個人データの第三者提供で本人同意を不要にできる
  • 公開されている病歴、信条、犯罪歴などの要配慮個人情報も、同じ目的と条件のもとで同意なく取得できる
  • 利用目的や事業者名などの公表、提供元と提供先の書面による合意、目的外利用と再提供の禁止が予定されている
  • 原則的な施行日は「公布から2年以内」であり、具体的な対象範囲や公表事項は今後の政令、委員会規則、ガイドラインで決まる

つまり、現時点で明日から病院のカルテがAI企業に自由提供されるわけではありません。しかし、施行後は、本人同意を取らずにデータを使える法的な経路が増えます。

この二つを同時に見る必要があります。

動画公開後、法案は成立・公布された

元動画を公開した5月26日は、改正案が衆議院本会議で可決された日でした。

その後の経過は次のとおりです。

日付 動き
2026年4月7日 政府が法案を国会に提出
5月21日 衆議院の特別委員会で可決
5月26日 衆議院本会議で可決
7月8日 参議院の特別委員会で可決
7月10日 参議院本会議で可決・成立
7月17日 令和8年法律第56号として公布

個人情報保護委員会の発表によると、改正法は一部を除き、公布日から2年以内の政令で定める日に施行されます。

2026年7月22日時点では、具体的な施行日だけでなく、対象となる統計作成等の範囲や公表事項の細部も確定していません。個人情報保護委員会は、今後、政令、委員会規則、ガイドラインを検討するとしています。

病歴は「要配慮個人情報」として扱われている

現行の個人情報保護法では、病歴のほか、人種、信条、社会的身分、犯罪歴、犯罪被害の事実などを「要配慮個人情報」としています。

差別や偏見などの不利益につながるおそれがあるため、通常の個人情報より慎重な取扱いが求められます。現行制度では、要配慮個人情報の取得や第三者提供には、原則として本人の同意が必要です。一般の個人データで使われることがある、本人の求めに応じて提供を停止する「オプトアウト方式」による第三者提供も認められていません。

ただし、現行法にも例外があります。本人、国・自治体、報道機関など、法令や個人情報保護委員会規則で定められた者が要配慮個人情報を公開している場合は、取得時の本人同意が不要です。したがって、「ネット上にある病歴は、改正後に初めて同意なく取得できるようになる」という説明も正確ではありません。

今回の改正は、この原則をすべてなくすものではありません。新たに、統計作成等にだけ利用する場合の例外を設けるものです。

本人同意が不要になる二つの場面

1. 事業者が持つ個人データを、統計作成等を行う第三者へ提供する場合

一つ目は、企業や団体などが保有する個人データを、統計情報等を作る第三者へ提供する場面です。

現行法では、個人データを当初の利用目的を超えて第三者へ提供する場合、原則として本人同意が必要です。改正法の施行後は、統計作成等だけに使うことが担保されるなどの条件を満たせば、本人同意なしで提供できるようになります。

個人情報保護委員会の法案資料では、提供元と提供先の氏名・名称、作成する統計情報等の内容などを公表することが想定されています。さらに、統計作成等だけを目的とすることについて、提供元と提供先が書面で合意し、提供先による目的外利用や第三者提供を禁止する仕組みです。

ここで注意したいのは、提供される段階のデータまで、最初から完全に匿名化されているとは限らないことです。だからこそ、提供中の安全管理、利用目的の限定、再提供の禁止が重要になります。

2. 既存の例外に当てはまらない、公開中の要配慮個人情報を取得する場合

二つ目は、ウェブサイトやSNSなどで現に公開されている要配慮個人情報を取得する場面です。

前述のとおり、本人や報道機関などが公開した情報の取得には、現行法でも本人同意が不要となる例外があります。一方、現行法が列挙する者以外によって公開された病歴などを、事業者がデータとして取得しようとする場合は、公開されているという理由だけで直ちに同意不要になるわけではありません。

改正法の施行後は、統計作成等だけに使うことや、取得する事業者名、作成内容などを公表することを条件に、既存の例外に当てはまらない公開中の要配慮個人情報についても、本人同意なしで取得できる経路が設けられます。個人情報保護委員会の資料は、ウェブスクレイピングによる取得も想定しています。

現行法でも公開情報を同意なく取得できる場面はありますが、公開した情報だから、どの目的に再利用されても構わない――。そう考えて投稿する人ばかりではありません。闘病経験を同じ患者の参考にしてほしいと公開した人と、その情報をAI開発用データとして収集する事業者では、想定する利用目的が異なる場合があります。

法律上の条件を満たすことと、本人が納得できることは同じではありません。このずれは、今回の改正で残る大きな論点です。

「統計作成等」なら、どんなAI開発でも対象になるのか

対象になるのは、AI開発全般ではありません。

個人情報保護委員会の資料は、特定の個人との対応関係が排除された統計情報等の作成を想定し、そこに「統計作成等であると整理できるAI開発等」を含めています。

少なくとも、今回の例外は、収集した病歴や信条から特定個人を評価し、その人への広告、採用、融資、保険契約などの判断に直接使うことを自由にする制度ではありません。取得者や提供先には、統計作成等以外の目的で利用することや、別の第三者へ提供することを禁じる規律が置かれます。

ただし、AIの学習過程で個人データをどう処理すれば「特定の個人との対応関係が排除された」と評価できるのかは、技術的にも簡単ではありません。

衆議院の附帯決議も、他の情報と照合して特定の個人を識別できないようにする措置、安全管理、委託先の監督を政府に求めています。附帯決議は法律本文そのものではありませんが、国会が運用上のリスクを認識していることを示しています。

「AIに筒抜け」ではないが、本人が知らない利用は増え得る

元動画の「AIに個人情報が筒抜け」という表現は、法制度をそのまま説明する言葉としては強すぎます。

改正法には、次の歯止めがあります。

  • 統計作成等だけに利用する
  • 事業者名や作成内容などを公表する
  • 第三者提供では、提供元と提供先が書面で合意する
  • 目的外利用と再提供を禁止する
  • 特定個人との対応関係を排除する
  • 安全管理や委託先の監督を求める

一方、本人同意を不要とする以上、本人が個別に「この会社へ提供してよい」と判断する機会はありません。公表された情報を本人が自分で探さなければ、データ利用に気づけない可能性もあります。

したがって、より正確な表現はこうなります。

個人情報が無条件でAIに筒抜けになるわけではない。しかし、一定のAI開発を含む統計作成等では、本人同意なしで病歴などを取得・提供できる範囲が広がる。

規制緩和だけではなく、罰則や本人保護も強化される

今回の改正は、データ利用の規制を緩める内容だけではありません。

個人情報の違法な取扱いで財産上の利益を得た事業者に対する課徴金制度が設けられます。個人情報データベースの不正提供などに対する法定刑も引き上げられ、詐欺などによる個人情報の不正取得には新たな罰則が設けられます。

顔認証に使われる顔特徴データなどの「特定生体個人情報」については、違法な取扱いがなくても本人が利用停止等を請求できる範囲を広げます。16歳未満の子どもの個人情報については、法定代理人への通知や同意取得などの規定も整備されます。

利用を広げる一方で、違反への制裁や一部の本人権利を強める設計です。ただし、課徴金があるから漏えいや目的外利用を完全に防げるわけではありません。事後的に処分する仕組みと、事故を起こさない安全管理は別に検証する必要があります。

施行までに確認したい五つのルール

改正法の評価を確定するには、今後示される個人情報保護委員会規則とガイドラインを待つ必要があります。

特に確認したいのは次の5点です。

  1. どのAI開発が「統計作成等」に含まれるのか
  2. 病歴などを提供・取得する事業者が、何をどこで公表するのか
  3. 本人が自分の情報利用を見つけ、問い合わせる方法が用意されるのか
  4. 元データから個人を再識別できないようにする技術・管理基準は何か
  5. 委託先や国外事業者を含む監督を、誰がどこまで行うのか

法律が公布されたことで大枠は決まりました。しかし、本人が利用状況を容易に確認できるか、違反を監視できるかは、これから作られるルールに左右されます。

私たちは今、何を確認できるのか

改正法はまだ原則施行されていません。現時点で「同意なしのAI利用を一括して拒否する全国共通の画面」が用意されたわけでもありません。

今できることは、次の三つです。

  • 病歴などを公開する際、現行法の下でも一定の場合は同意なく取得され得ることを理解した上で公開範囲を決める
  • 利用するサービス、病院、保険会社などのプライバシーポリシーや第三者提供の案内を確認する
  • 不審な取得・提供が疑われる場合は、事業者の個人情報窓口や個人情報保護委員会の相談窓口に確認する

病気の経験を発信すること自体を萎縮させる必要はありません。患者同士の情報共有には大きな意味があります。問題は、本人の想定と違う利用が行われるときに、それを知り、問い合わせ、是正を求められる仕組みがあるかです。

まとめ｜動画の問題提起は「成立後の運用」を見る段階に入った

  • 元動画公開時は衆議院通過段階だったが、改正法は2026年7月10日に成立し、7月17日に公布された
  • 統計作成等だけに利用する場合、個人データの第三者提供と、既存の例外に当てはまらない公開中の要配慮個人情報の取得で本人同意を不要にできる経路が設けられる
  • 統計作成等には、一定のAI開発も含まれる
  • 全カルテが無条件でAIへ渡る制度ではなく、公表、書面合意、目的外利用・再提供の禁止などの条件がある
  • 原則施行は公布から2年以内。具体的な対象範囲や公表方法は今後の規則・ガイドラインで決まる

動画を公開した時点では、「法案が衆議院を通過した」という問題でした。いまは法律が成立し、施行までにどんなルールが作られるかを監視する段階へ移っています。

見るべきなのは、「AI推進か、個人情報保護か」という二者択一ではありません。

本人同意を不要とするなら、誰が、どの情報を、何のために使っているのかを、本人が無理なく確認できる仕組みが必要です。公表ページがどこかに置かれているだけで十分なのか。漏えいを防ぐ基準は実効性を持つのか。施行までの規則づくりを追い続けます。

関連記事

参考資料

関連して読む

行政や企業がAIを使うときの責任、個人情報、住民への説明は、次の記事で続けて確認できます。

タイトルとURLをコピーしました