令和8年改正個人情報保護法｜課徴金・顔特徴データ・16歳未満と、施行の時期

2026年9月4日 10:06

オフィスの入退室を顔認証で管理している。
防犯カメラに顔を識別する機能が付いている。
勤怠の打刻が顔認証になっている。
こうした会社は、2026年7月に公布された個人情報保護法の改正で、新しい義務の対象になる可能性があります。

顔から抽出した特徴情報は、これまで個人識別符号のひとつとして扱われるにとどまり、それ固有の規律は置かれていませんでした。
今回の改正では、これが独立した区分として立てられ、取扱いについての周知を義務づける規定が新設されます。
ただし、どの範囲が対象になるかは政令で決まります。

一方でこの改正は、規制を強める一方ではありません。
統計情報の作成に限っては、本人の同意なしに個人データを第三者へ提供できる特例が新設されます。
緩める側と締める側が同時に動く改正です。

この記事では、改正個人情報保護法を中心に、2026年10月に一部が施行されるサイバー対処能力強化法と、AI関連の法制度の現在地までをまとめます。

この記事は、
個人情報保護委員会・内閣官房・内閣府の一次資料をもとに、2026年9月時点の内容にしています。

この改正で、何が決まったのか

名前と日付

正式な法律名は「個人情報の保護に関する法律等の一部を改正する法律」です。
令和8年法律第56号として、2026年7月17日に公布されました。

名前に「等」が入っているとおり、改正されるのは個人情報保護法だけではありません。
マイナンバー法や医療情報に関する法律もあわせて改正されています。
この記事で扱うのは、そのうち個人情報保護法にあたる部分です。

国会での経過は次のとおりです。

2026年4月7日：閣議決定、第221回国会へ提出（内閣提出法律案第54号）
2026年5月26日：衆議院本会議で可決
2026年7月10日：参議院本会議で可決、成立
2026年7月17日：公布

この改正は、個人情報保護法が自ら定めている「3年ごと見直し」の規定にもとづくものです。
個人情報保護委員会が見直しの検討を始めたのは2023年11月15日で、そこから中間整理の公表と意見募集（2024年6月27日）、検討会報告書（2024年12月25日）、制度改正方針（2026年1月9日）という段階を踏んで、法案の提出に至っています。

なお、前回の令和2年改正のときは「制度改正大綱」という文書が取りまとめられましたが、今回の見直しで取りまとめられたのは「制度改正方針」です。
名前が違うので、資料を探すときは注意が必要です。

施行はいつになるのか

法律案要綱の施行期日の規定は、次のとおりです。

この法律は、一部の規定を除き、公布の日から起算して二年を超えない範囲内にて政令で定める日から施行する。

つまり「公布から2年以内で、政令で決める日」であって、日付そのものはまだ決まっていません。
公布が2026年7月17日なので、上限は2028年7月です。

ただし個人情報保護委員会が2026年7月31日に公表した「個人情報保護委員会の今後の取組」には、ロードマップの形で具体的な想定が示されています。
政令と委員会規則については、2027年の初めに意見募集を行い、春ごろに公布。
ガイドライン等はその後、2027年の半ばに意見募集と公表。
そのうえで改正法の施行を2028年の春から7月ごろに置く、という工程です。

上限は2028年7月で、委員会が見ている施行時期もその手前です。
ただし、政令と規則の中身が固まるのは2027年の前半なので、実務で何を求められるのかが見えてから施行までは1年ほどということになります。

先行して施行される規定もあります。
同じ資料には「一部規定（公示送達のデジタル化）については改正法の公布から６か月後に公布・施行」と書かれています。
公布から6か月後は2027年1月17日です。
先行するのはこの手続のデジタル化であって、罰則や課徴金ではありません。

なお、政令・規則で何を定めることになるのかは、個人情報保護委員会が2026年8月26日に「政令・規則等で定める事項の全体像について」として公表しています。
この記事で「政令で決まります」と書いている箇所の範囲は、この資料で確認できます。

緩める側と締める側が同時に動く

改正の中身は、大きく2つの方向に分かれます。

緩める側は、統計情報等の作成に限って、本人の同意なしに個人データを第三者へ提供できるようにする特例です。
政府資料は、この「統計作成等」にAI開発等も含まれるとしています。

締める側は4つです。
個人情報保護法として初めての課徴金制度、顔から抽出した特徴情報についての新しい規律、16歳未満の個人情報についての規律、そして罰則の法定刑の引上げです。

同じ改正の中で、データを使いやすくする規定と、使い方を縛る規定が同時に入っている。
この形が、今回の改正のいちばん大きな特徴です。

個人情報保護法として初めての課徴金制度

対象になるのは4つの行為

個人情報保護法として初めて、課徴金の納付を命じる制度が入ります。
条文は法第148条の3から第148条の17です。

対象になる行為として、個人情報保護委員会の改正法概要資料は次の4つを挙げています。

不適正な利用の禁止（法第19条）違反。具体的には「違法行為又は不当な差別的取扱いを行うことが想定される第三者への提供・当該第三者のための利用」
適正な取得（法第20条第1項）違反。「偽りその他不正の手段により取得」した場合
第三者提供の制限（法第27条第1項）違反
統計特例の違反。「統計情報等の作成以外の目的で利用」した場合と、「特例に依拠せず第三者提供」した場合

4つ目は、この改正で新設される統計作成等の特例を悪用した場合です。
緩和と課徴金がセットで設計されていることが、ここに表れています。

1つ目の不適正利用については、条文が「違法行為又は不当な差別的取扱いを行うことが想定される第三者への提供・当該第三者のための利用」に限定されている点に注意が必要です。
不適正な利用であれば何でも課徴金の対象になる、という作りではありません。

課徴金の額は、売上高では決まらない

課徴金の算定方法について、個人情報保護委員会の改正法概要資料は次のように書いています。

違反事業者が対象行為又は対象行為をやめることの対価として個人情報取扱事業者が得た金銭等の財産上の利益に相当する額

制度改正方針でも「当該違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずる」とされています。

つまり、独占禁止法のように売上高に一定の率を掛けて算出する方式ではありません。
基準になるのは、違反行為によって実際に得た利益のほうです。
会社の規模や売上の大きさが、そのまま課徴金の大きさになるわけではありません。

引用文の「対象行為をやめることの対価」という部分にも注意が必要です。
違反行為そのもので得た利益だけでなく、違反をやめる見返りとして受け取った金銭も算定の対象に入る、という書き方になっています。

要綱には、課徴金の算定基礎の推計と、額の加算・減額についての規定を整備する旨も書かれています。

除外のラインは、本人1,000人

人数の要件について、法律案要綱の書き方は次のとおりです。

課徴金対象行為に係る個人情報若しくは個人データの本人の数が千人を超えないときその他個人の権利利益を害する程度が大きくない場合として政令で定めるときは、課徴金の納付を命ずることができないものとする。

「1,000人を超えたら課します」という書き方ではなく、「1,000人を超えないときは命じることができない」という除外の規定です。
1,000人という数は割合ではなく実数で、対象行為に係る本人の人数を数えます。

除外の事由はもうひとつあります。
引用文の後半にあるとおり、権利利益を害する程度が大きくない場合として政令で定めるときも、課徴金は命じられません。
その中身は政令で決まります。

これまで個人情報保護委員会の執行は、行政指導や勧告が中心でした。
そこに金銭的なペナルティが加わることが、実務上のいちばん大きな変化です。

罰則の法定刑も上がる

課徴金とは別に、罰則の法定刑も引き上げられます。
改正法概要資料によれば、第176条が2年以下から3年以下へ、第179条と第180条が1年以下から2年以下へ、それぞれ上限が上がります。

顔特徴データという新しい区分

「特定生体個人情報」とは何か

改正法は「特定生体個人情報」という区分を新設します。
定義は改正後の法第16条第5項に置かれ、周知の義務は第21条の2第1項・第2項、利用停止等請求の要件緩和は第35条第7項が主な条文です。

定義の中核は、個人識別符号のうち、次の条件に当てはまるものとして政令で定めるものを変換したもの、という書き方になっています。

特別の技術又は多額の費用を要しない方法により取得することができる身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に認識することができないもの

条件は2つです。
特別な技術や多額の費用をかけずに取得できること。
そして、取得されていることを本人が容易に認識できないこと。

指紋の採取のように本人が明らかに気づく方法や、大がかりな装置が要る方法は、この条件から外れる方向に働きます。
逆に、歩いているだけで撮られる、気づかないうちに読み取られる、という性質のものが中心になります。

具体的に何が該当するかは政令で決まります。
現時点で政府資料に例示として挙げられているのは「顔特徴データ等」です。
その中身は次のように説明されています。

顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより、本人を識別することができるようにしたもの

単なる顔写真は、この新しい区分には入らない

ここが実務でいちばん誤解されやすいところです。
個人情報保護委員会の記者配布資料には「単なる顔写真ではなく、個人識別符号のうち顔特徴データを想定」と明記されています。

社員名簿に貼ってある顔写真や、社内報に載せた集合写真は、それ自体ではこの新しい区分に入りません。
もちろん、顔写真そのものは個人情報なので、これまでどおりの義務はかかります。
新設される規律が上乗せされるかどうかが、ここでの分かれ目です。

言い換えると、境目は「写真を持っているかどうか」ではなく「その写真から特徴を取り出して照合に使っているかどうか」にあります。

何が求められるのか

特定生体個人情報に該当した場合、改正法概要資料によれば、次の3つが適用されます。

その取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和するとともに、オプトアウト制度に基づく第三者提供を禁止する

1つ目の周知が、多くの会社にとって実際に手を動かす部分です。
同じ資料は、周知する事項の例として、顔特徴データ等の利用目的と、その元になった身体的特徴の内容を挙げています。

2つ目は新しい請求権が生まれるのではなく、すでにある利用停止等請求の要件が緩くなる、という改正です。
本人から止めてくれと言われたときに、断りにくくなる方向の変更だと考えると分かりやすくなります。

3つ目のオプトアウトは、本人の同意を取らずに、本人が拒否しない限り第三者へ提供できるという制度です。
特定生体個人情報については、この方法での提供ができなくなります。

自社が対象かどうかを見分ける

該当するかどうかを決めるのは政令なので、最終的な範囲は今後決まります。
ただ、いま時点で確認しておく価値のある設備は絞れます。

顔認証で開錠する入退室管理システム
顔認証機能つきの勤怠打刻システム
顔を識別する機能を持つ防犯カメラ、来訪者管理システム
顔で本人確認をするオンラインサービスの利用

これらを使っている場合、機器やサービスの中で顔の特徴量が生成され、保存されているかどうかがポイントになります。
メーカーやサービス提供者に確認する項目としては、顔の特徴量を保存しているか、保存場所は自社側か提供者側か、どのくらいの期間保持するのか、といったあたりになります。

対応そのものは、掲示物やウェブページでの周知など、規模の小さい会社でも取れる形です。
むしろ問題になりやすいのは、自社が該当することに気づいていない状態のほうです。

16歳未満の個人情報

相手方が法定代理人になる

改正法概要資料は、16歳未満の個人情報について次のように整理しています。

16歳未満の者が本人である場合、同意取得や通知等について当該本人の法定代理人を対象とすることを明文化

これは、まったく新しい義務が生まれたというより、これまでガイドラインの運用に委ねられていた部分が法律の条文になった、という位置づけです。

あわせて、16歳未満の本人の保有個人データについては、利用停止等請求の要件が緩和されます。
この部分に関係する条文が法第35条第9項です。
特定生体個人情報の要件緩和が第35条第7項なので、同じ条文の中に2つの緩和が並ぶ形になります。

責務規定は未成年者全般が対象

もう1つ、責務の規定が新設されます。

未成年者の個人情報等の取扱い等について、本人の最善の利益を優先して考慮すべき旨の責務規定を設ける

改正法概要では「当該未成年者の年齢及び発達の程度に応じて、その最善の利益を優先して考慮した上で」措置を講ずる旨が書かれています。

線の引き方が2段になっている点に注意してください。
法定代理人を相手にするという明文化と、利用停止等請求の要件緩和は16歳未満が対象ですが、最善の利益を考慮する責務規定は未成年者全般が対象です。

一方で、年齢確認をどう行うか、法定代理人の同意をどう取るかといった実務の手順は、今後の政令・規則・ガイドラインに委ねられています。
いま決められるのは「16歳未満の個人情報を扱っているかどうか」の確認までです。

統計作成等の特例

何が緩和されるのか

改正法は「統計作成等」という行為を定義し、そのためだけに使われる場合には本人の同意を不要とする特例を設けます。
定義は改正後の法第2条第13項です。

統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為

特例そのものの規定は、第30条の2、第31条の3、第72条の3に分かれて置かれています。

改正法概要は、この特例について「統計情報等の作成にのみ利用される場合は本人同意を不要とする」とし、AI開発等もここに含まれるとしています。
AIの学習に使うためのデータ提供が、この特例の射程に入るということです。

作られる成果物には条件があります。
定義に「個人に関する情報であるものを除く」と入っているとおり、出てくるのは大量データの傾向や性質についての情報でなければなりません。

3つの条件がセットになっている

同意が不要になるといっても、無条件ではありません。
改正法概要が挙げている条件は次の3つです。

一定の事項の公表。取得者、提供元・提供先の氏名または名称、作成する統計情報等の内容などを公表すること
統計情報等の作成のみを目的とした提供である旨の、書面による合意
取得者および提供先について、目的外の利用と第三者提供の禁止

法律案要綱には「公表されている内容の統計作成等を行うために必要な範囲を超えて取り扱ってはならないものとする」とも書かれています。

そして「個人情報保護法として初めての課徴金制度」で見たとおり、この特例に違反した場合は課徴金の対象になります。
緩和された道を通るなら、公表と書面と目的外禁止をセットで守る、という構造です。

なお、要配慮個人情報の取得についても、同様の特例が置かれます。
要配慮個人情報は本来、取得の時点で本人の同意が必要な類型なので、ここも緩和の対象に入っているという点は押さえておく価値があります。

サイバー対処能力強化法は、自社が対象か

正式名称と、施行の順番

2026年10月1日に一部が施行される法律として、「サイバー対処能力強化法」という呼び方をよく見かけます。
これは通称で、正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。
令和7年法律第42号として、2025年5月23日に公布されました。
あわせて関係法律の整備等に関する法律（令和7年法律第43号）も成立しています。

この法律は段階的に施行されます。
内閣官房の説明資料には「一部を除き、公布の日から起算して１年６月を超えない範囲内において政令で定める日」と書かれ、サイバー通信情報監理委員会の設置は公布から1年以内、通信情報の利用については一部を除き2年6月以内とされています。

公布日から数えると、次のような順番になります。

2026年5月まで：サイバー通信情報監理委員会の設置（公布から1年以内）
2026年10月1日：報告義務を含む中核部分（施行期日を定める政令で「令和八年十月一日」と指定）
2027年11月まで：通信情報の利用（公布から2年6月以内）

いわゆる能動的サイバー防御の中核にあたる通信情報の利用は、2026年10月の時点ではまだ動きません。

報告義務があるのは、指定された事業者

インシデントの報告について定めているのは第5条です。
条文は次のとおりです。

特別社会基盤事業者は、特定重要電子計算機に係る特定侵害事象又は当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知したときは、主務省令で定めるところにより、その旨及び主務省令で定める事項を特別社会基盤事業所管大臣及び内閣総理大臣に報告しなければならない。

主語は「特別社会基盤事業者」です。
第2条第3項の定義によれば、これは「特定社会基盤事業者のうち、前項第二号に該当する重要電子計算機（以下『特定重要電子計算機』という。）を使用するもの」です。

ここで出てくる「特定社会基盤事業者」は、経済安全保障推進法の基幹インフラ制度で指定される事業者です。
内閣官房が令和7年9月に公表した説明資料では、この基幹インフラ制度の対象は15事業、計257者とされています。

つまり報告義務がかかるのは、経済安全保障推進法で指定された基幹インフラ事業者のうち、政令で定める特定重要電子計算機を使っているところです。
一般の中小企業に、この法律にもとづく報告義務が生じるわけではありません。

条文には「認知したときは」とあるだけですが、期限は下位の命令で決まっています。「特別社会基盤事業者による特定侵害事象等の報告等に関する命令」が2026年5月28日に公布され、10月1日から施行されます。その第四条第二項に、こう書かれています。

法第五条の規定による報告は、特定侵害事象又は前項の事象（次に掲げる事象を除く。以下この条において「特定侵害事象等」という。）の発生を認知した後、速やかに、特別社会基盤事業所管大臣及び内閣総理大臣に次項に掲げる事項（同項第三号から第七号までに掲げる事項については、報告をしようとする時点において認知しているものに限る。）を記載した報告書（特別社会基盤事業所管大臣及び内閣総理大臣が定める様式による報告書をいう。以下この項において同じ。）を提出するとともに、当該特定侵害事象等の発生を認知した日から三十日以内に、特別社会基盤事業所管大臣及び内閣総理大臣に次項に掲げる事項を記載した報告書を提出して行うものとする。

認知したら速やかに1本目を出し、認知した日から30日以内に2本目を出す。会議資料の運用案ではなく、命令に書かれた期限です。

特定重要電子計算機の届出のほうも、同じ命令の第二条第一項が「当該特定重要電子計算機を導入した日から四月以内に」と定めています。10月1日の時点ですでに入っている機械については、法律の附則第四条が「この法律の施行の日から六月以内に」と読み替えていて、2027年3月31日が期限になります。

中小企業に効いてくるのは、取引を通じて

では関係がないかというと、そうとは限りません。
効いてくるのは取引の側です。

対象になる事業者は、自社のシステムに関わる事象を国に報告する立場になります。
そのシステムに部品やサービスを提供している会社、保守を請け負っている会社には、事象が起きたときに速やかに知らせることが求められるようになります。
契約や、取引開始時のチェック項目という形で降りてくる、という見方が現実的です。

基本方針「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」は、2025年12月23日に閣議決定されています。

2026年9月時点の最新状況

人工知能基本計画は第Ⅱ期に入った

AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律、令和7年法律第53号）は、2025年5月28日に成立し、6月4日に公布、9月1日に全面施行されています。
全4章28条で、企業に関わるのは第7条「活用事業者の責務」です。
条文は次のとおりです。

人工知能関連技術を活用した製品又はサービスの開発又は提供をしようとする者その他の人工知能関連技術を事業活動において活用しようとする者（以下「活用事業者」という。）は、基本理念にのっとり、自ら積極的な人工知能関連技術の活用により事業活動の効率化及び高度化並びに新産業の創出に努めるとともに、第四条の規定に基づき国が実施する施策及び第五条の規定に基づき地方公共団体が実施する施策に協力しなければならない。

前段のAI活用は「努める」という努力義務、後段の国と地方公共団体の施策への協力は「しなければならない」という書き方になっています。
ただしこの法律に罰則はなく、いずれも責務を定めた規定です。

動きがあったのは基本計画のほうです。
同法第18条第1項にもとづく最初の人工知能基本計画は2025年12月23日に閣議決定されましたが、約7か月後の2026年7月14日に第Ⅱ期の計画が閣議決定されています。
副題は「〜日本ＡＸ、より強く、より豊かに〜」です。
初版の副題は「〜『信頼できるＡＩ』による『日本再起』〜」でした。

AI関連の資料を参照するときは、どの期の計画を見ているかを確認する必要があります。

AI事業者ガイドラインは第1.2版

実務の指針にあたるAI事業者ガイドラインは、総務省と経済産業省が2026年3月31日に第1.2版を公表しています。
2026年9月時点で、これが最新版です。

公表までの順番は、更新内容の案が2026年2月16日、確定した「AI事業者ガイドラインの令和7年度更新内容」が3月12日、これを反映した第1.2版の本体が3月31日、となっています。
資料を引くときは、案と確定版のどちらかを確認してください。

第1.2版では、AIエージェントとフィジカルAIの定義が用語として置かれました。
AIエージェントは「特定の目標を達成するために、環境を感知し自律的に行動する AI システム」、フィジカルAIは「センサ等によるセンシングを通じて物理環境の情報を取り込み、AI モデルによる処理を経て、設定された目的を達成するための最適な方策を自律的に推論・判断し、アクチュエータ等を介して物理的な行動へとつなげるシステム」と定義されています。

今から着手できること

施行までには時間がありますが、政令や規則の内容が固まる前でも着手できることがあります。
次の4つです。

データの棚卸し

自社がどの個人データを、どこに、なぜ持っているか。
ここが分かっていないと、改正のどの部分が自社に関係するかを判断できません。

業務システムやクラウドサービスごとに、保有しているデータ項目を一覧にします。
項目ごとに、取得経路、利用目的、保管期間、委託先、海外へのデータ移転の有無を記録しておくと、そのままプライバシーポリシーの点検にも、漏えい時の対応にも使えます。

特定生体個人情報に当たりうるデータは、他の項目とは分けて管理しておくと後が楽です。
該当しうる設備の見分け方は「顔特徴データという新しい区分」に書いたとおりです。

プライバシーポリシーの見直し

利用目的の記載が「その他当社の事業活動のため」といった包括的な表現にとどまっている場合は、書き直しの対象になります。

顔認証の設備がある場合は、その取扱いについての記載が必要になる可能性があります。
ここは政令の内容を見てからでないと最終形が決まりませんが、いま何が書かれているかを確認しておくことはできます。

使っていない個人データを持ち続けない

棚卸しの結果、保存期間を超えているデータや、利用目的を失ったデータが出てくることがあります。

課徴金は本人の数が1,000人を超えないときは命じられない仕組みなので、使っていないデータを持ち続けることは、そのまま数のリスクになります。
念のため取っておく、という判断のコストが上がったと考えるのが実際的です。

漏えい時の報告フロー

検知から個人情報保護委員会への報告までの社内の流れを、あらかじめ決めておきます。

委託先が関わる場合は、委託先からの報告が遅れると自社の報告にも影響します。
契約の中で、委託先からの即時報告を担保する形になっているかを確認しておくことになります。

報告義務を実際に果たす場面の書式を、別の記事で配っています。
初動72時間のフローと、委員会への速報や本人への通知を含む書式6種です。

まとめ

正式名称は「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）。2026年7月10日に成立し、7月17日に公布されました
施行日はまだ決まっていません。条文は「公布の日から起算して二年を超えない範囲内にて政令で定める日」で、個人情報保護委員会のロードマップは2028年の春から7月ごろを想定しています。政令と規則の公布は2027年の春ごろです。先行して施行されるのは公示送達のデジタル化で、罰則や課徴金ではありません
課徴金の額は、売上高に率を掛けて出すものではありません。「違反事業者が対象行為又は対象行為をやめることの対価として個人情報取扱事業者が得た金銭等の財産上の利益に相当する額」です
課徴金の対象は4類型で、不適正利用、不正な取得、違法な第三者提供に加えて、新設される統計特例の違反が含まれます
人数の要件は「本人の数が千人を超えないときは命じることができない」という除外の形です。除外の事由はもうひとつあり、そちらは政令で決まります
罰則の法定刑も上がります。第176条が2年以下から3年以下、第179条と第180条が1年以下から2年以下です
「特定生体個人情報」は、特別な技術や多額の費用なしに取得でき、取得されていることを本人が容易に認識できないもので、政令で定めるものが対象です。現時点の政府資料の例示は「顔特徴データ等」です
単なる顔写真は、この新しい区分には入りません。境目は、特徴量を抽出して本人の識別に使っているかどうかにあります
該当した場合に求められるのは、一定事項の周知、利用停止等請求の要件緩和、オプトアウトによる第三者提供の禁止の3つです
16歳未満については、同意取得や通知等の相手方を法定代理人とすることが明文化され、保有個人データの利用停止等請求の要件も緩和されます。最善の利益を考慮する責務規定は、未成年者全般が対象です
統計作成等の特例で本人同意が不要になりますが、一定事項の公表、書面による合意、目的外利用と再提供の禁止がセットです。政府資料はAI開発等もここに含まれるとしています
サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）の報告義務がかかるのは、経済安全保障推進法で指定された基幹インフラ事業者のうち、特定重要電子計算機を使っているところです。一般の中小企業に直接の報告義務は生じません
AI推進法第7条は責務を定めた規定で、この法律に罰則はありません。人工知能基本計画は2026年7月14日に第Ⅱ期が閣議決定され、AI事業者ガイドラインは2026年3月31日公表の第1.2版が最新です
政令を待たずに着手できるのは、データの棚卸し、プライバシーポリシーの見直し、使っていないデータを持ち続けないこと、漏えい時の報告フローの整備の4つです

この改正は、施行日が決まっていないぶん、いつ動くかを自分で決めることになります。
ただ、政令を待たなくても始められることははっきりしています。
まとめの最後に挙げた4つは、政令の内容がどう転んでも無駄になりません。

皆さんの会社の入退室や勤怠、顔認証になっていませんか。

参考・引用元

個人情報保護委員会「令和8年改正個人情報保護法について」
https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の公布について」（令和8年7月17日）
https://www.ppc.go.jp/news/press/2026/260717/

個人情報保護委員会「改正法の概要」
https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf

個人情報保護委員会「新旧対照表」（第16条第5項・第2条第13項の条文）
https://www.ppc.go.jp/files/pdf/260717_sinkyutaisyohyo.pdf

個人情報保護委員会「法律案要綱」
https://www.ppc.go.jp/files/pdf/260407_houritsuan_yoko.pdf

個人情報保護委員会「記者配布資料」
https://www.ppc.go.jp/files/pdf/260407_kisyahaifusiryou.pdf

個人情報保護委員会「個人情報保護委員会の今後の取組」（令和8年7月31日）
https://www.ppc.go.jp/files/pdf/260731_kongonotorikumi.pdf

個人情報保護委員会「政令・規則等で定める事項の全体像について」（令和8年8月26日）
https://www.ppc.go.jp/files/pdf/260826_zentaizou.pdf

個人情報保護委員会「個人情報保護法いわゆる3年ごと見直しの制度改正方針」（令和8年1月9日）
https://www.ppc.go.jp/files/pdf/01-1_seidokaiseihousin.pdf

個人情報保護委員会「いわゆる3年ごと見直しの経緯」
https://www.ppc.go.jp/personalinfo/3nengotominaoshi/

参議院「第221回国会議案審議情報個人情報の保護に関する法律等の一部を改正する法律案」
https://www.sangiin.go.jp/japanese/joho1/kousei/gian/221/meisai/m221080221054.htm

内閣法制局「提出法律案」
https://www.clb.go.jp/recent-laws/diet_bill/detail/id=5281

内閣官房「サイバー安全保障分野での対応能力の向上に向けた取組（説明資料）」（令和7年9月）
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

参議院「重要電子計算機に対する不正な行為による被害の防止に関する法律（法律第四十二号）」
https://www.sangiin.go.jp/japanese/joho1/kousei/gian/217/pdf/s0802170042170.pdf

内閣府「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令」
https://www.cao.go.jp/cybersecurity/pdf/sekoukijitsu.pdf

内閣府「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」（令和7年12月23日閣議決定）
https://www.cao.go.jp/cybersecurity/pdf/kihonhoushin.pdf

内閣府「施行に向けた検討状況（会議資料）」
https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和七年法律第四十二号）
https://laws.e-gov.go.jp/law/507AC0000000042

e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」（2026年5月28日公布、2026年10月1日施行）
https://laws.e-gov.go.jp/law/508M60000F5A004

e-Gov法令検索「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和七年法律第五十三号）
https://laws.e-gov.go.jp/data/Act/507AC0000000053/624018_1/507AC0000000053_20250901_000000000000000_h1.pdf

内閣府「人工知能基本計画〜日本ＡＸ、より強く、より豊かに〜」（令和8年7月14日閣議決定）
https://www8.cao.go.jp/cstp/ai/ai_plan/aiplan_20260714.pdf

内閣府「人工知能基本計画〜『信頼できるＡＩ』による『日本再起』〜」（令和7年12月23日閣議決定）
https://www8.cao.go.jp/cstp/ai/ai_plan/aiplan_20251223.pdf

経済産業省・総務省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf

総務省「AI事業者ガイドラインの令和7年度更新内容」（令和8年3月12日）
https://www.soumu.go.jp/main_content/001059300.pdf

紀伊國屋書店「日経文庫個人情報保護法の知識（第５版）」
https://www.kinokuniya.co.jp/f/dsg-01-9784532114251

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40

令和8年 改正個人情報保護法｜課徴金・顔特徴データ・16歳未満と、施行の時期