LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

AIの学習データをめぐる法改正が、韓国で一歩進みました。個人情報保護委員会（PIPC）は、国会が2026年8月20日に個人情報保護法（PIPA）の改正法案を可決したと公表しています*1。AI開発とイノベーションに合わせた特例を設けるための改正法案です*1。

従来の枠組みでは、同意を得て適法に収集した個人情報や契約の履行のために収集した個人情報を当初の目的を超えて使うには、法的な根拠か個別の同意が必要でした*1。AI開発では仮名化または匿名化した形での利用が前提となり、それが実務上の制約になっているという指摘があった、という説明です*1。

本記事では、韓国向けにサービスを出している企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、何が特例として認められ、その引き換えに何を用意することになるのかを整理します。制度の解釈が要る部分は法令の本文と専門家の確認を経て進めてください。

可決された内容と、施行までの時間

まず、事実関係を押さえます*1。

PIPCによれば、改正法案は国会政務委員会で二人の議員による案を統合・調整したうえで、法制司法委員会の審査を経て、2026年8月20日の本会議で可決されました*1。

施行の時期も示されています。改正法案は、閣議での提出と審議を経て、公布から6か月後に施行されるとされています*1。施行までの間に、PIPCは専門家と実務者から意見を集め、AI特例の運用計画と、改正の趣旨に沿った下位法令を整備するとしています*1。

この改正は、規制サンドボックスの限界への対応という文脈でも説明されています*1。サンドボックスでは、映像や音声に含まれる個人情報を使う革新的なサービスを認めてきたものの、仮承認を得るまでに2年から4年を要するとされていました*1。産業振興のための各法令における例外だけではプライバシーの保護に十分でなく、個人情報保護を所管する一般法の中に根拠を置く必要があるという整理です*1。

つまり、いま確定しているのは枠組みだけです。具体的にどのような手続きで審議を受けるのか、リスク評価に何を含めるのかといった細部は、下位法令を待つことになります。この段階で作り込むと、確定時に作り直しになります。

韓国では、AIそのものを対象とする法律も並行して動いています。韓国AI基本法の要点で扱う枠組みと、今回の個人情報保護法の特例は別の法律です。前者はAIの開発と利用に関する義務、後者は学習に使う個人情報の扱い。守備範囲が違うため、どちらか一方への対応で足りるという整理はできません。

特例が使えるのは、示された二つの場合

改正法案は、適法に収集した個人情報を、PIPAが定める既存の適法な根拠を超えてAI開発に使うことを認める特例を置くとされています*1。

使える場面として挙げられているのは、次の二つです*1。

第一に、仮名化または匿名化したデータのみに依拠するとAIの開発が困難、または大きく制限される場合です*1。

第二に、公益のためのAI開発に個人情報の利用が必要な場合です*1。

この書きぶりから読み取れることを整理します。

まず、仮名化・匿名化が原則である構図は変わっていません。特例は、それでは足りないことを示せる場合に開くという建て付けです。最初から特例に頼る前提で設計すると、その前提が崩れたときに逃げ場がなくなります。

次に、「困難または大きく制限される」の判断が要ります。技術的にどう困難なのかを説明できることが前提になります。試した加工の方法、その結果として精度がどうなったか。こうした記録が残っていなければ、後から説明を組み立てるのは容易ではありません。

そして、公益という要件があります。PIPCの説明では、規制サンドボックスの例としてAIによるボイスフィッシング防止や自動走行ロボットの開発が挙げられています*1。何が公益にあたるかは下位法令と運用で定まる部分であり、いまの段階で自社の用途が該当すると決め打ちするのは早いでしょう。

もう一点、特例が及ぶのは適法に収集した個人情報である点も見落とせません*1。収集の時点で適法でなかったデータは、特例の対象になりません。学習データの中に、出所が説明できないものや、同意の範囲が確認できないものが混ざっていれば、そこから整理することになります。データセットの出所を記録していない場合、この確認自体ができません。

データを匿名化・加工して扱う技術そのものについては、差分プライバシーの実装で扱うような選択肢があります。特例に頼る前に、加工でどこまで届くのかを測っておくことが、そのまま「困難である」ことの根拠にもなります。

引き換えに求められる三つの措置

特例は無条件ではありません。PIPCは、プライバシーのリスクを最小化するための安全装置が含まれていると説明しています*1。

この四つのうち、システムの負担が大きいのは前の二つです。

リスク評価は、対象データの特定から始まります。機微情報や固有識別情報が学習データに含まれているかを判定できなければ、評価の対象が決まりません。データセットの中身をカラム単位で把握できているかが分かれ目になります。取り込んだファイルをそのまま学習に流している運用では、ここが答えられません。

ポリシーでの開示は、実態との一致が問われます。開示した内容と実際の処理がずれると、開示そのものが問題になります。どのデータをどの用途で使っているかを、ポリシーの文面と突き合わせられる形にしておく必要があります。同意管理と外部送信の開示で扱うような、開示の内容を実装から導く考え方が土台になります。

審議に出す資料は、日常の記録から作れることが望ましいところです。審議のたびに手作業で資料を組み立てる運用では、対象のモデルが増えたときに回りません。学習に使ったデータセット、その出所、適用した加工、根拠とした条項。これらが記録として残っていれば、資料は集計で作れます。

AIの開発体制そのものをどう組むかという論点は、AIガバナンス体制の構築で扱う内容と重なります。特例を使う判断を誰がするのか、記録を誰が保つのか。技術の問題であると同時に、体制の問題でもあります。

並行して広がるデータ移転要求権

韓国で進んでいるもう一つの動きが、データ移転要求権（MyData）です*2。

PIPCと韓国インターネット振興院（KISA）は、2026年7月14日にMyData仲介インフラ実証支援事業を開始したと公表しています*2。雇用と教育の分野でデータの移転を可能にする技術基盤を整えることを目的とした事業です*2。

PIPCは、データ移転要求権の対象分野を段階的に広げるとしています*2。示されている順序は次のとおりです*2。

2025年：医療、通信。2026年：エネルギー、雇用、レジャー。2027年：福祉、交通、不動産、流通。

2026年6月末には、実証事業のコンソーシアムの主幹としてKOSCOMが指定され、韓国雇用情報院、全南大学校、漢陽大学校が参加するとされています*2。雇用の分野では求人応募や応募先のデータ、教育の分野では学歴、在学の状況、成績証明、卒業に関する情報の移転を実証するとされています*2。

実証の対象として挙げられているのは、利用者の認証、データの標準化、移転履歴の管理、OnMyDataプラットフォームとの連携、そして要求を行ったデータ主体本人への移転という一連の流れです*2。あわせて「雇用・教育分野のデータ移転システム実装ガイドライン」を提供するとされています*2。

ここから読める実務上の含意を挙げます。

移転の履歴を残す要件が明示されています。誰が、いつ、何を、どこへ移したか。移転そのものを実装するだけでは足りず、その記録が求められるという構図です。

データの標準化が前提になります。移転先が読める形で出す必要があるため、社内の項目名や区分をそのまま出すことはできません。ガイドラインが示す形式へ変換する層が要ります。

移転の単位を決めることになります。実証の対象として挙げられているのは、雇用では求人応募や応募先、教育では学歴・在学の状況・成績証明・卒業に関する情報です*2。自社の持つデータをこの単位へ切り出せるかは、既存のテーブル設計に左右されます。画面表示のために正規化を崩している場合、切り出しに手間がかかります。

本人確認の強度が問われます。移転の要求を受け付ける以上、なりすましによる持ち出しを防ぐ必要があります。既存のログインの仕組みで足りるのかは、別に検討することになります。

日本でも、個人情報保護法の改正が動いています。2026年改正の要点で扱う内容と、韓国の動きは方向が近い部分があります。ただし条文も期日も別であり、片方への対応がそのまま他方を満たすわけではありません。

着手の順序と、受託で進めるときの要点

優先順位をつけるなら、次の順になります。

第一に、学習データの棚卸しです。どのデータセットに何が含まれ、どこから来たのか。特例を使うにせよ使わないにせよ、ここが分からなければ判断ができません。

第二に、加工の記録です。仮名化・匿名化で何をどこまで試し、結果がどうだったか。特例の要件を説明する材料になります*1。

第三に、開示との突き合わせです。プライバシーポリシーの記載と、実際の処理が一致しているか*1。ずれがあれば、まずそこを直します。

第四に、データ移転の受け口です。自社の業種が対象分野に入る時期を確認し、移転の要求を受け付ける経路と履歴の残し方を設計します*2。

受託で進める場合の要点も挙げます。

下位法令待ちの部分を作り込まないことです。施行は公布から6か月後とされ、それまでに下位法令が整備されるとされています*1。審議の手続きやリスク評価の様式は、その段階で定まります。項目を追加できる構造を先に用意するほうが確かです。

データの来歴を残す設計にすることです。どのデータをどの根拠で学習に使ったか。これが後から辿れないと、特例の適用も、適用しなかったことの説明もできません。学習の実行ログとデータセットの版を紐づけられるかが要点です。

他国の枠組みと項目を揃えることです。EU AI規則への対応で扱うような要求とも、学習データに関する記録は重なります。国ごとに別の台帳を立てると、更新が片方だけ止まります。

記録の保存期間を決めておくことです。リスク評価、加工の履歴、移転の履歴。いずれも「残す」ことは決めやすい一方、いつまで残すかを決めていないと、データが際限なく積み上がります。監督や審議に応じられる期間を業務側と決めたうえで、削除の運用まで設計しておくほうが確かです。

本人からの請求を業務として設計することです。移転の要求は、システムの機能である前に業務の手続きです*2。受付、確認、実行、記録。誰がどこで確認するのかを決めずに機能だけ作ると、運用が止まります。

体制としては、AIの開発実務と個人情報の取扱いの実務、その双方に触れられる要員が入れるかが分かれ目になります。データセットの実態、加工の手順、ポリシーの記載。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：韓国PIPA改正で押さえる3つの視点

韓国の個人情報保護委員会（PIPC）は、国会が2026年8月20日に個人情報保護法（PIPA）の改正法案を可決したと公表しました。押さえたい視点は三つです。第一に、AI開発のための特例が置かれること。適法に収集した個人情報を既存の適法な根拠を超えて使えるようになり、使える場面として、仮名化または匿名化したデータのみに依拠するとAI開発が困難または大きく制限される場合と、公益のためのAI開発に必要な場合の二つが示されています。第二に、その引き換えに措置が求められること。機微情報や固有識別情報など権利行使に大きく影響し得る情報を扱う場合はリスク評価と改善計画が求められ、特例に基づく取扱いはプライバシーポリシーで開示することとされ、PIPCの監督と審議が置かれます。施行は閣議での審議を経て公布から6か月後とされ、それまでに下位法令が整備される予定です。第三に、データ移転要求権が並行して広がっていること。対象分野は2025年の医療と通信から、2026年のエネルギー・雇用・レジャー、2027年の福祉・交通・不動産・流通へと拡大するとされ、2026年7月14日には雇用と教育の分野で実証事業が始まりました。まずは学習データの棚卸しと、加工の記録が残っているかの点検から着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：個人情報保護委員会（PIPC、韓国）「The PIPA Amendment Bill for AI Development Passed at the National Assembly Plenary Meeting」（2026年8月20日付プレスリリース）（https://www.pipc.go.kr/eng/user/ltn/new/noticeDetail.do?bbsId=BS217&nttId=3171）。改正法案が2026年8月20日の国会本会議で可決されたこと、AI開発のための特例が既存の適法な根拠を超える利用を認めるものであること、使える二つの場合（仮名化・匿名化データのみでは開発が困難または大きく制限される場合／公益のためのAI開発に必要な場合）、機微情報や固有識別情報を扱う場合のリスク評価と改善計画、プライバシーポリシーでの開示、PIPCによる監督・審議と運用状況の公表、類似事例の審査の簡素化、国会政務委員会での統合と法制司法委員会の審査という経緯、公布から6か月後の施行と下位法令の整備予定の一次情報として（2026年8月確認）
2. *2　参考：個人情報保護委員会（PIPC、韓国）「The PIPC Expands the Technical Infrastructure for Right to Data Portability to Cover Employment and Education Sectors」（2026年7月14日付プレスリリース）（https://www.pipc.go.kr/eng/user/ltn/new/noticeDetail.do?bbsId=BS217&nttId=3121）。MyData仲介インフラ実証支援事業が2026年7月14日に開始されたこと、データ移転要求権の対象分野の拡大順序（2025年に医療・通信、2026年にエネルギー・雇用・レジャー、2027年に福祉・交通・不動産・流通）、2026年6月末のKOSCOMの主幹指定と参加機関、雇用・教育の各分野で移転を実証するデータの種類、実証の対象（利用者の認証、データの標準化、移転履歴の管理、OnMyDataプラットフォームとの連携、本人への移転）、実装ガイドラインの提供の一次情報として（2026年8月確認）

Tweet