個人情報保護法の令和8年改正と会計事務所のAI利用｜委託・漏えい報告の変更点

2026年7月17日に公布された個人情報保護法の令和8年改正（令和8年法律第56号）は、AIサービスや記帳代行を外部委託する会計事務所にとって、委託先の義務と漏えい時の対応に関わる改正です。本体は未施行のため、今は現行法に沿って契約と記録を整え、罰則強化と本体施行に備えます。

この記事では、令和8年改正のうち会計事務所・記帳代行に関わる委託先の規律、漏えい等報告、統計作成等の特例、課徴金と罰則を、2026年10月10日時点の現行法と改正後（未施行）に分けて整理し、今から進められる契約と記録の見直し手順を示します。

個人情報保護法の令和8年改正とは｜成立・公布・施行時期（2026年10月時点）

改正法の正式名称は「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）です。2026年4月7日に国会へ提出され、7月10日に成立、7月17日に公布されました。所管は個人情報保護委員会（以下、PPC）で、法律の細部は政令とPPCが定める規則（個人情報保護委員会規則）に委ねられています。

実務上は罰則強化と本体施行の2段階で準備する

附則13条・16条・17条は公布日施行です。本体の施行日を定める政令は、確認日時点で見当たりませんでした。e-Govの表示を見て「2028年7月16日に施行される」と読み違えないよう注意してください。

政令・規則・ガイドラインは整備中

PPCは2026年9月9日の「今後の進め方」で、意見交換・ヒアリング、条文案の提示、意見募集（パブリックコメント）の流れを示し、9月16日と10月1日に「基本的な考え方」①②を公表しました。7月31日の「今後の取組」では、施行までに十分な期間を確保し、説明会や資料で周知するとしています。2026年10月時点で事務所が従うのは現行法で、改正後の細部は今後変わる余地があります。

改正の4本柱と会計事務所への関係

現行法と改正後の比較表｜会計事務所・記帳代行に関わる8項目

次の表は、2026年10月10日時点で有効な現行法と、改正後（未施行）の内容を分けたものです。右端の列は、PPCが規則整備の論点として示している段階のもので、確定した内容ではありません。

16歳未満の規定は、例えば年末調整で扱う扶養親族の子どもの情報が漏えいした場合に、通知の相手が親権者などの法定代理人になる形で関係すると考えられます。年末調整の情報の扱いは年末調整でAIを使える工程・使えない工程もあわせてご覧ください。

委託先の新しい規律｜30条の3と58条の2で何が変わるか

「委託」とは、個人データの取扱いの全部または一部を外部に任せることです。現行法では、利用目的の達成に必要な範囲内で委託に伴って個人データを渡す場合、委託先は第三者に当たらず（27条5項1号）、27条1項の本人同意なく渡せます。ただし外国事業者への委託は28条の同意又は例外を別途確認します。その代わり、委託元は委託先を監督する義務を負います（25条）。改正は、この委託先の側に新しい規律を加えます。

30条の3：委託業務の範囲を超えた取扱いの禁止

委託を受けた事業者（再委託など二段階以上の委託を含む）は、法令に基づく場合などを除き、委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱ってはならないとされます。現行のQ&A7-37は、委託と無関係の自社の営業利用や、複数の委託元のデータを区別せずに混ぜる取扱いを挙げています。7-38は委託業務の範囲外で統計情報に加工して自社のために使うことも認めていません。改正後は、これが委託先自身の法律上の義務として明記されます。

58条の2：契約で取扱方法を定めた委託先の義務の免除

委託契約で、規則の定めに従って(1)取扱いの方法の全部、(2)漏えい等や契約に反する取扱いを知ったときに委託元へ速やかに報告すること、(3)その他規則で定める事項を定め、その範囲内で取り扱う委託先には、利用目的の特定・通知、第三者提供の制限、開示等の請求への対応など、多くの義務が適用されなくなります。取扱状況を委託元が把握するための措置などにも合意することが前提です。

ただし、安全管理措置（23条）、従業者の監督（24条）、委託先の監督（25条）、漏えい等の報告（26条）と30条の3は、免除後も適用されます。PPCは対象として、データ入力作業を委託元の指示どおり機械的に行う場合などを想定しています。

契約に書く事項の案（規則の論点で、確定ではない）

PPCが2026年10月1日に示した論点では、契約で定める事項の例として次が挙がっています。定め方は書面（電磁的記録を含む）とする案です。

• 取扱いの方法：対象となる個人情報等、処理の内容（取得・保存・評価・加工・提供・消去など）、取扱いの始期と終期、取り扱う国または地域
• その他の事項：委託業務の内容、取扱記録の作成と委託元への提供、安全管理措置の情報提供、漏えい等の報告、委託元の求めによる取扱いの停止、委託終了時の返還・消去

会計事務所は「委託元」と「委託先」の二つの立場を持つ

会計事務所は、給与計算や記帳代行などで顧問先から個人データの取扱いを任される委託先になることがあり、同時に、AIサービス・クラウド・BPO（業務の外部委託）事業者に処理を任せる委託元にもなります。顧問先から預かったデータの処理をさらに外部へ任せる場合は、再委託に当たり得ます。現行の通則編3-4-4でも、委託元が再委託の事前報告を受けたり承認したりすることが望ましいとされており、顧問契約の条件を確認します。

58条の2の免除は、取扱いの方法を委託元が契約で決めておくことが前提です。税理士が専門的な判断で勘定科目や処理を決める業務がこれに当てはまるかは、規則とガイドラインを待つ必要があり、現時点では判断できません。

現行法の確認事項：受託する事務所は「中小規模事業者」の特例から外れる

PPCのガイドライン（通則編）は、従業員100人以下の「中小規模事業者」について安全管理措置の手法の例を緩和しています。ただし、過去6か月以内のいずれかの日に5,000人を超える個人情報を扱った者と、委託を受けて個人データを取り扱う者は除かれます。記帳代行や給与計算を受託する事務所は、規模が小さくても通常の手法を前提に確認しましょう。なお、個人情報取扱事業者の定義（16条2項）に事業規模による除外はありません。

AIサービス・クラウドの利用は委託か｜現行法の判断基準と改正後の影響

改正後の委託先の規律が及ぶかどうかは、そもそもAIサービスやクラウドの利用が「委託」に当たるかで変わります。この判断基準は現行法のQ&Aで示されています。

判断基準は「事業者が個人データを取り扱うこととなっているか」

Q&A7-53は、クラウドサービスの利用が委託や第三者提供に当たるかを、クラウド事業者が個人データを取り扱うこととなっているかで判断するとしています。契約で取り扱わない旨を定め、適切にアクセス制御しているなど、取り扱わないこととなっている場合は、提供にも委託にも当たらず、25条の監督義務もありません（7-54）。ただし、利用者自身が安全管理措置を講じる必要があります。

海外のAI・クラウドでも28条を確認する

外国事業者への委託でも、原則として28条の本人同意、同等水準国又は基準適合体制などの例外を確認します（Q&A12-1）。事業者が取り扱わない契約・アクセス制御の条件を満たせば提供に当たらない場合がありますが（12-3）、サーバが国内でも外国事業者がデータを取り扱えば外国提供の問題は残ります（12-4）。国内保存や学習オフだけで判断せず、守秘義務と生成AIの判断表で契約主体と再委託先を確認してください。

PPCが「委託に当たる」と判断した要素

PPCは2024年3月25日の注意喚起で、あるクラウド事業者を委託先と判断した考慮要素として、利用規約でデータの監視・分析・調査などができると定めていたこと、保守用IDでアクセスでき技術的なアクセス制御がなかったこと、確認書を取り交わして実際にデータを扱っていたことを挙げています。生成AIサービスやSaaSの規約を読むときは、次の点を確認するとよいでしょう。

• 事業者が入力データを閲覧・分析・調査できる条項があるか
• 保守や不正監視の名目で事業者がデータにアクセスできるか、その技術的な制限はあるか
• 入力データをサービス改善やAIの学習に使う条項があるか、使わない設定や契約にできるか

生成AIへの入力と学習への利用

PPCは2023年6月2日の生成AIに関する注意喚起で、個人情報を含むプロンプト（AIへの指示文）を入力する場合は利用目的の達成に必要な範囲内かを十分に確認するよう求めています。本人の同意なく個人データを入力し、それが応答結果の出力以外の目的で扱われると法違反となる可能性があるため、事業者が機械学習に利用しないことなどを十分に確認する必要があります。

Q&A7-39も、委託先が自社の分析技術の改善にデータを使えるのは、委託元の利用目的の達成に必要な範囲内に限られるとしています。改正後は、委託を受けた業務の遂行に必要な範囲を超える利用が、委託先自身の30条の3違反となり得ます。Q&A7-39の「委託元の利用目的の達成に必要な範囲」という整理が改正後どう扱われるかは、ガイドラインの改正を確認する必要があります。

士業事務所も「委託の認識がなかった」事案の当事者になり得る

2023年6月に社会保険・人事労務の業務支援クラウドがランサムウェア攻撃を受けた事案では、多くの社会保険労務士事務所や企業がこのシステムに個人データの取扱いを委託していました。PPCの調査（2024年12月25日の委員会資料）によると、利用者の中には委託に当たるという認識がない、または薄い者がいました。会計事務所が使うクラウドでも、同じことが起こり得ます。

顧問先情報の入力と守秘義務の関係は税理士の守秘義務と生成AI、会計ソフトとAIをつなぐときの権限設計は会計ソフトとAIの連携方法の比較で詳しく解説しています。

漏えい等報告の現行ルールと改正点｜会計事務所で起こりやすいケース

現行ルール：報告対象の4類型と、速報・確報

個人データの漏えい・滅失・毀損（以下、漏えい等）のうち、規則7条の4類型に当たる場合は、PPCへの報告と本人への通知が必要です。4類型は、①要配慮個人情報（病歴など、不当な差別や偏見が生じないよう特に配慮が必要な情報）を含むもの、②財産的被害が生じるおそれがあるもの、③不正の目的をもって行われたおそれがある行為によるもの、④本人の数が1,000人を超えるもので、いずれも漏えい等が発生した「おそれ」がある段階を含みます。

報告は、事態を知った後「速やかに」行う速報と、30日以内（③は60日以内）の確報の2段階です（規則8条）。「速やか」の目安は、ガイドラインでおおむね3〜5日以内とされています。委託先が規則に従って漏えい等を委託元に通知した場合は、委託先はPPCへの報告義務を免れます（26条1項ただし書。委託元への通知も速やかに行う）。一方、クラウド事業者が個人データを取り扱わないこととなっている場合は、利用者側が報告義務を負います（Q&A6-22）。

会計事務所で起こりやすい場面と報告の考え方

医療費控除の資料などは、少人数の誤送付でも報告対象になり得ます。件数だけで判断せず、含まれる情報・流出のおそれ・不正目的の有無を記録し、現行の報告類型に照らしてください。

改正点①：本人通知の緩和（26条2項）

改正後は、通知が困難な場合に加えて、「通知しなくても本人の権利利益の保護に欠けるおそれが少ない場合」として規則で定める場合も、代わりの措置で足りるようになります。PPCが想定する例は、外部と共用性のない社内IDなど、それ単体ではほとんど意味を持たない情報だけが漏えいした場合です。衆参両院の附帯決議は、規則で具体的な範囲と判断基準を明記するよう求めています。顧問先の氏名や金額を含む漏えいが緩和の対象になるとは限らない点に注意してください。

改正点②：報告の対象と方法の見直し（規則で検討中）

PPCは2026年10月1日の論点で、次の見直し案を示しています。いずれも検討段階で、確定していません。

• 違法な個人データの第三者提供を、内容や件数を問わず報告対象にする案
• 本人が1人の誤交付・誤送付などについて、認定個人情報保護団体などの第三者に体制・手順を確認されていることを前提に、速報を免除し、確報を一定期間ごとにまとめて報告できるようにする案
• ランサムウェアなどの報告基準を、サイバー対処能力強化法のインシデント報告と整合させる案

改正後も、現行の速報・確報を事務所内で確実に回せることが前提になります。

統計作成等（AI開発等）の同意不要化｜顧問先データをAI学習に使えるのか

改正後の30条の2は、提供先が「統計作成等」だけを目的として取り扱う場合に限り、本人の同意なく個人情報を第三者に提供できる特例（18条・27条1項の特例）を設けます。統計作成等とは、大量の情報から傾向や性質に関する情報（個人に関する情報を除く）を作る行為のうち、規則で定めるものをいいます（2条13項）。条件は、提供元と提供先の双方が氏名・名称や統計作成等の内容などを公表すること、この規定による提供であることを書面（電磁的記録を含む）の合意で明確にすることなどです。

PPCの概要資料は、この特例に「統計作成等であると整理できるAI開発等」を含むとしており、具体的な範囲は規則で定める予定です。AIの学習全般が当然に対象になるわけではありません。

本人の意思に反しないことが明らかな場合の例外は別の制度

改正は、本人との契約の履行に不可欠であるなど、取得状況から本人の意思に反しないため権利利益を害しないことが明らかな場合についても、同意の例外を新設します。具体的な範囲は規則待ちです。AIサービスはまず委託か第三者提供かを整理する必要があり、この例外で顧問先情報の入力が一律に自由になるとは考えられません。

AIベンダーから「学習に使いたい」と言われたら

会計事務所としては、特例の要件を満たすかに加えて、税理士法の守秘義務（38条、使用人などの従業者は54条）と顧問契約上の秘密保持を別に検討する必要があると考えられます。統計特例と税理士の守秘義務の関係について、確認日時点で公的な整理は確認できませんでした。参議院の附帯決議は、医療分野について医師などの守秘義務との関係を明確に示すよう求めています。

また、事務所が委託を受けて預かっているデータであれば、委託業務の範囲を超えた取扱いを禁じる30条の3との関係も問題になると考えられます。統計特例に違反した目的外利用・提供は課徴金の対象にも含まれるため、判断に迷う場合は弁護士などの専門家に確認してください。顧問先の同意の取り方や契約書の見直しはAI利用に顧問先の同意は必要？同意書・顧問契約書の見直し方で整理しています。

課徴金と罰則の強化｜小規模な事務所にも関係するか

課徴金（148条の3以下）

課徴金は、違反行為の対価に相当する金銭を国に納めさせる制度です。対象は、違法な行為などを行うことが想定される者への提供・利用（不適正利用）、27条1項に違反する第三者提供、統計特例の違反、不正に取得した個人情報の利用で、違反の対価として金銭などを得た場合に、対価相当額の納付が命じられます。

本人の数が1,000人を超えないなど個人の権利利益を害する程度が大きくない場合や、違反を防止するための相当の注意を怠っていない場合は命じられません。過去10年以内に確定した納付命令を受け、その後も同じ対象行為を続けていた場合は1.5倍に加算され（148条の5）、調査を予知する前に自主的に報告すれば50%減額されます（148条の6）。対象行為と要件が限られているため、通常の会計業務で直ちに対象になるものではないと考えられますが、個別の判断は専門家に確認してください。

罰則の強化（2027年1月17日施行）

役員や従業者などが業務で扱った個人情報データベース等を、不正な利益を図る目的で提供・盗用した場合の罪（現179条、改正後178条）は、法定刑の上限が「1年以下・50万円以下」から「2年以下・100万円以下」に引き上げられ、「本人その他の者に損害を加える目的」も処罰対象に加わります。詐欺行為や不正アクセスなどによる個人情報の不正取得罪も新設されます（新180条）。法人に1億円以下の罰金を科す規定（現184条、改正後185条）は維持されます。

事務所にとっては、退職者や職員による顧問先データの持ち出しへの備え（アクセス権限の最小化、操作ログ、誓約書）を見直すきっかけになります。

会計事務所・記帳代行が今から準備すること｜契約と記録のチェックリスト

規則の確定を待たずに、現行法のもとで意味があり、改正後にも生かせる準備から始めましょう。

AI・クラウド・BPOとの契約で確認する項目

人事労務クラウドの注意喚起では、チェックシートで委託先を定期的に確認していた企業があったことも紹介されています。ベンダーに送る質問票はAIツール選定セキュリティチェックシート、BPO事業者に委託する場合の確認項目は記帳代行・経理BPOのセキュリティ対策、職員が生成AIに入力してよい情報の区分は会計事務所の生成AIセキュリティ対策を参考にしてください。

受託側の仕組みを業務に合わせて設計する選択肢

例えばZeimeeはセキュリティと承認の考え方で、AI処理では目的に不要な個人情報や取引情報を含めず、必要な情報に絞ること、担当者による承認と会計ソフトへの反映を別の段階として扱うことを方針として公開しています。改正後の規則への適合を示すものではありませんが、委託先に求める「取扱いの方法」や「取扱記録」を具体的に考える材料になります。既存サービスの設定見直しと規程の整備で足りる事務所であれば、まずはそちらから始めるのが現実的です。

よくある質問

まとめ

令和8年改正個人情報保護法は、2026年10月10日時点で本体が未施行です。罰則の強化は2027年1月17日から、委託先の規律などの本体は政令で定める日から施行されます。それまでは現行法で運用します。

• 委託先にも「委託業務の範囲を超えて扱わない」義務がかかるため、AI・クラウド・BPOとの契約で、対象データ、処理内容、学習への利用、漏えい時の報告を明確にしておく。
• 漏えい時の本人通知は一部緩和される。報告は速報の合理化と、違法な第三者提供の報告対象化が規則で検討されている段階のため、まず現行の速報と確報（30日、不正目的は60日）の運用を固める。
• 規則案と意見募集を確認し、確定した時点で契約のひな形と個人情報保護方針を更新する。

個別の事案への当てはめは、弁護士などの専門家や個人情報保護委員会の相談窓口に確認してください。