AI開発の委託先に渡した個人データは、どこまでが「委託」か：第27条第5項第1号と第25条を読む

AI 2026/10/14

三つの定めは、それぞれ別のことを決めている
第27条第5項第1号を、語ごとに読む
「委託された業務の範囲」を出た使い方は、委託の外に出る
委託しても、委託元に残るもの
渡す範囲を、工程ごとに決める
実データを渡すのを先に延ばしたほうがよい場面
条文を読んだだけでは決まらないこと
令和8年の改正法（公布済み・未施行）との関係
当社の公開ページに書いていること
相談したいとき

AI化を外部に頼むとき、最初に引っかかるのは「実際の業務データを、委託先に見せてよいのか」です。顧客や取引先、従業員の情報が入った帳票やメールを渡さなければ、試作も確認もできない場面があります。ところが、法律のどこを読めば考え方の筋が見えるのかは、経営者にも、総務や情報システムの責任者にも分かりにくいところです。

この記事は、個人情報保護法のうち、個人データを委託先に渡す場面に関わる三つの定め（第23条の安全管理措置、第25条の委託先の監督、第27条第5項第1号の「委託」）を、e-Govと個人情報保護委員会（以下「委員会」）が掲載している原文で読み直したものです。そのうえで、委託元（頼む側）に何が残るかと、渡す範囲を工程ごとに決める表を整理しました。個別の渡し方が適法かどうかは判断しません。契約や運用に当てはめるときは、専門家や委員会の窓口に確認してください。

この記事が読むのは、民間の個人情報取扱事業者（個人情報データベース等を事業の用に供している者）が委託する場合の規律です。国の機関、地方公共団体、独立行政法人等、地方独立行政法人は、個人情報取扱事業者から除かれています（第16条第2項）。これらが委託する場合の規律は、この記事では読んでいません。

次のことは、この記事の範囲外です。著作権、営業秘密、業法上の守秘義務、外国にある委託先への提供（第28条）、要配慮個人情報の取得の可否、委託先が使うクラウドや生成AIサービスごとの個別の判断です。

三つの定めは、それぞれ別のことを決めている

「委託すれば同意はいらない」という短いまとめは、三つの定めの役割を混ぜてしまいます。先に分けておきます。

条文	決めていること（要約）	この記事での位置づけ
第27条第1項	本人の同意を得ないで個人データを第三者に提供してはならない（例外は各号に列挙）	原則
第27条第5項第1号	利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を委託することに伴って提供される場合、提供を受ける者は第三者に該当しない	原則の適用から外れる場面と、その条件
第25条	個人データの取扱いを委託する場合、委託を受けた者に対して必要かつ適切な監督を行う	外れても残る、委託先への監督
第23条	取り扱う個人データの漏えい、滅失、毀損の防止その他の安全管理のために必要かつ適切な措置を講ずる	自社が取り扱う分の安全管理

第27条第5項第1号は、提供を受ける者を「第三者」から外す定めです。第25条の監督を免れさせる定めではありません。委員会のガイドライン（通則編）も、この号に当たる提供には、第25条による委託先への監督責任が課されると書いています。

第27条第5項第1号を、語ごとに読む

条文の該当部分は、「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」です。語ごとに分けると、AI化の委託で問われることが見えてきます。

条文の語	原文を確認した範囲での読み方	AI化の委託で問われること
「個人データ」	個人情報データベース等（特定の個人情報を検索できるように体系的に構成したもの）を構成する個人情報（第16条第1項・第3項）	渡すファイルに、検索できる形で体系的に整理された個人情報（顧客の管理表、応募者の一覧、問い合わせ履歴など）が入っているか。氏名を伏せても、他の情報と容易に照合して特定の個人を識別できる場合は、個人情報に含まれる（第2条第1項第1号）
「利用目的の達成に必要な範囲内において」	提供の条件として、条文の中に入っている。利用目的の特定は第17条、その範囲を超える取扱いの制限は第18条	渡すデータを、もともと何のために持っているのか。AI化の依頼がその目的の範囲に入るかは、自社で整理し、判断が分かれるときは専門家へ
「取扱いの全部又は一部を委託する」	ガイドラインは、契約の形態・種類を問わず、他の者に個人データの取扱いを行わせることを指すとし、入力、編集、分析、出力等の処理を行わせる場合を例に挙げる	設計、試作、検証、運用のうち、委託先に個人データを取り扱わせる作業はどれか
「委託することに伴って」	提供が、委託する業務に伴って行われる場合を指す。ガイドラインは、委託する業務に対して必要のない個人データを提供しないことを、当然のこととしている	委託する作業に要らない項目や、対象外の人のデータを、一緒に渡していないか
「第三者に該当しない」	ガイドラインは、提供先は委託された業務の範囲内でのみ、本人との関係で提供する側と一体のものとして扱われ、委託された業務以外に個人データを取り扱うことはできないと説明している	委託先が、受け取ったデータを頼んだ業務以外にも使える契約や運用になっていないか

ガイドラインは、この要件を満たす場合、提供する側は、あらかじめ本人の同意を得ることも、第三者提供のオプトアウトの手続を行うこともなく、個人データを提供できると説明しています。これを「同意が要らない場面」と読むなら、裏返しに、要件のどれかを外れる部分は、この定めの外にあることになります。どの部分が外れるかは、データ、目的、契約の中身で決まるため、この記事では判断しません。

「委託された業務の範囲」を出た使い方は、委託の外に出る

委員会のQ&Aは、委託先による使い方のうち、委託の範囲に収まらないものを事例で示しています。AI化の委託に近いものを並べます。

委託先の使い方	Q&Aの整理（要約）	AI化の委託で確かめたいこと（例）
自社の営業活動等への利用、複数の依頼元のデータの混在	委託の内容と関係のない自社の営業活動等に使うこと、複数の委託元から提供されたデータを区別せずに混ぜて取り扱うことは、委託された業務以外に取り扱う事例とされる（Q7-37）	委託先が、依頼元ごとにデータを分けて扱っているか
統計情報への加工	委託された業務の範囲内なら加工できる。範囲外で加工し、作成した統計情報を自社のために用いることはできない（Q7-38）	試作の評価のための集計か、委託先が自社の資料のために行う集計か
分析技術の改善	個別の事例ごとの判断としたうえで、委託元の利用目的の達成に必要な範囲内である限り、委託先は提供された個人データを自社の分析技術の改善に利用できる（Q7-39）	委託先が受け取ったデータで自社の仕組みを改善することを、どこまで認めるか。範囲は委託元の利用目的との関係で決まる
取得した別の個人データ	委託された個人データを利用して取得した別の個人データも、委託された業務以外に取り扱えない（Q7-40）	運用の中で、利用者の反応や修正の記録など新しい個人データが生じるとき、誰がどう扱うか
突合	委託先が独自に取得した個人データや個人関連情報と、本人ごとに突合することはできない（Q7-41）	委託先が別に持つデータと結びつけて精度を上げる使い方が、契約や運用に紛れ込んでいないか

AI開発の委託では、委託先が受け取ったデータで自社のモデルや仕組みを良くできるかが、契約の交渉で論点になりやすいところです。上のQ&A（Q7-39）が扱うのは「分析技術の改善」です。確認した範囲では、委託に関するこの一連の問答（Q7-37からQ7-41）に、機械学習や生成AIの学習への利用を直接取り上げた記述は見当たりませんでした。同じQ&Aには、複数人の個人情報を機械学習の学習用データセットとして用いて生成した学習済みパラメータが個人情報に当たるかを扱う問答（Q1-8）があります。ただし、これは学習済みパラメータの性質についての答えで、委託先が学習に使ってよいかの答えではありません。したがって、学習への利用を認めるかどうかは、Q&Aの文言を延ばして決めず、委託元の利用目的との関係で、専門家に確認する事項として扱います。

委員会は令和5年6月2日の注意喚起で、事業者が本人の同意を得ずに生成AIサービスへ個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、法に違反することとなる可能性があるとして、サービス提供事業者が機械学習に利用しないこと等を十分に確認するよう求めています。これは生成AIサービスを利用する場面の文書で、AI開発を頼む委託契約を直接扱ったものではありません。

委託しても、委託元に残るもの

渡した時点で委託元の仕事が終わるわけではありません。条文と資料から読み取れる、委託元に残る事項を並べます。

条文・資料	内容（要約）	渡す前に自社で決めること
第23条	取り扱う個人データの漏えい、滅失、毀損の防止その他の安全管理のために、必要かつ適切な措置を講ずる	渡すファイルの作り方、送る手段、誰が出すか、渡した記録
第25条とガイドライン3-4-4	委託先に対する必要かつ適切な監督。ガイドラインは、委託先の選定、委託契約の締結、委託先における取扱状況の把握を挙げ、リスクに応じて行うとする	どの委託先を何を確かめて選ぶか。契約に何を入れるか。渡した後にいつ、どう確かめるか
再委託（ガイドライン3-4-4の注）	委託先が再委託する場合、委託元は再委託の相手方、業務内容、取扱方法について事前報告を受け、または承認を行うことが望ましい。委託元が必要かつ適切な監督を行っていない場合に再委託先が不適切な取扱いをすると、元の委託元による法違反と判断され得る	再委託の可否と、再委託先を知る方法
第26条第1項	一定の漏えい等が生じたときは委員会へ報告する。ただし書で、他の個人情報取扱事業者から委託を受けた者が、委員会規則の定めにより事態の発生を委託元へ通知したときは、報告の義務の対象から外れる	事故のとき、委託先から自社へ届く連絡の経路と時期。報告の対象になる事態は委員会規則が定めており、この記事では読んでいない
第22条とガイドライン3-4-1	利用目的の達成に必要な範囲内で正確・最新に保ち、利用する必要がなくなったときは遅滞なく消去するよう努める（努力義務）。ガイドラインは、消去を、個人データとして使えなくすることとし、削除のほか、特定の個人を識別できないようにすることなどを含むと説明している	試作や試験が終わったとき、委託先の手元に残る分をどう扱うか。条文は期間を定めていない。委託先の手元の複製にどう及ぶかは、この記事では判断しない
Q&A A1-56	個人データの取扱いが委託される場合、特に定めのない限り、委託元の保有個人データになると考えられる（個別の事例ごとに判断）	本人から開示などの請求を受けたとき、委託先にあるデータを取り出せる経路
第17条・第18条	利用目的をできる限り特定する。あらかじめ本人の同意を得ずに、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない	頼むAI化が、自社が特定している利用目的の範囲に入るか

監督の形は一律ではありません。Q&Aは、委託先の取扱状況の把握のために委託先に立ち入ることは義務付けられておらず、取扱いを委託する個人データの内容や規模に応じた適切な方法（口頭での確認を含む）で足りるとしています（A5-9）。委託契約の書式も問わず、安全管理措置の合意内容を客観的に明確化できる手段であればよいとしています（A5-8）。渡す範囲を絞るほど、確かめる量も減らせます。次の表は、そのための整理です。

渡す範囲を、工程ごとに決める

ガイドライン3-4-4は、委託する業務に対して必要のない個人データを提供しないことを当然のこととしたうえで、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさや、取扱いの規模・性質などのリスクに応じて、監督の内容を決めるとしています。 AI化の委託は、工程が進むと、委託先に必要なデータが変わります。WITHPROJECTSの公開サービスページは、業務のAI化を要件整理、設計、PoC、受入試験、運用改善の工程で進めると説明しています。この工程に合わせて、渡す範囲を工程ごとに決めておく整理が考えられます。

まず、渡すものを三つに分けます。

A　個人情報を含まない資料：業務の手順書、様式、項目名だけの帳票など。
B　加工した見本：実際の帳票やメールから、氏名や連絡先などを削除または置き換えたもの。渡す前に、他の情報と照合して特定の個人が分かる状態でないかを確かめる。
C　実データ：個人データを含む、実際の帳票やメール。

仮名加工情報や匿名加工情報（第2条第5項・第6項）は別の規律があり、この記事では扱いません。

次の表は一般的な整理の枠で、法令への適合を確認するものでも、特定の委託先への提案でもありません。

工程	委託先がすること	渡す区分の考え方	工程の前に決めること
要件整理・設計	業務の流れ、入力と出力の形、例外の種類を把握する	Aと、必要ならB。Cは、Bでは足りない理由を言葉にできるときに限って検討する	見本をつくる人、伏せる項目、伏せたあとの確認者
PoC（試作）	小さな範囲で動かして確かめる	B。Cを渡す場合は、試作に必要な項目と対象に絞ったもの	項目、対象の範囲、期間、保管場所、終了時の返却と消去
受入試験	合否の基準に沿って確認する	基準の確認に足りる範囲のC	試験に使う実データの選び方、結果の記録に個人データが残らない形にするか、試験後の消去
運用改善・本番	稼働後の誤りや例外を見て直す	業務を回すのに必要なC。誤りの調査のために渡す抜粋は、都度、範囲を決める	委託先が見られる範囲、閲覧の記録、契約終了時の返却と消去

見積依頼メールの振り分けをAI化の対象にした会社が、工程ごとに渡す範囲を書いた例を示します。架空の例です。実在の会社や案件ではなく、この渡し方が適法かどうかを示すものでもありません。

工程	渡すもの	範囲の決め方	終わったときの扱い	決める人
要件整理・設計	依頼メールの文面の見本（氏名、会社名、電話番号、メールアドレスは置き換え済み）	依頼の種類ごとに、判断の違いが分かる数通	工程の終わりに委託先の控えを消去してもらい、連絡を受ける	営業部門の責任者
PoC	実際の依頼メールのうち、振り分けの確認に必要な項目だけを抜き出したもの	対象の部署と期間を区切る	試作の終了時に消去を依頼し、完了の連絡を受ける	営業部門の責任者と情報システム担当
受入試験	合否の基準に使う、実際の依頼メール	基準を確認できる範囲にとどめる	試験結果の記録には、個人名を残さない形にする	営業部門の責任者
運用改善	誤って振り分けたメールの該当部分	誤りの調査に必要な部分に限り、渡す前に自社で確認する	契約の終了時に、返却と消去の手順をとる	情報システム担当

「決める人」の列は、渡す前に、社内で誰が渡してよいと言うのかを決めておくための欄です。

実データを渡すのを先に延ばしたほうがよい場面

次のような場面では、Cを渡す前に、Bで足りないか、あるいは条件が整うかを見直します。判断の手がかりの一つになるのは、委託先の説明が書面で出てくるかどうかです（この記事の提案で、法令の要件ではありません）。

渡したい理由が「そのほうが早いから」だけで、Bでは足りない理由を言葉にできない
委託先が、受け取ったデータをどの業務に使うのかを書面で説明できない
再委託の有無や、再委託先を教えてもらえない
依頼するAI化が、自社の特定している利用目的の範囲に入るか、社内で整理できていない
工程が終わったあとのデータの返却や消去の手順が決まっていない

条文を読んだだけでは決まらないこと

実際の取扱いが「委託」に当たるか。ガイドラインは契約の形態・種類を問わないとしているため、契約書の題名ではなく、実際に誰が何を取り扱うかで見ることになります。
委託先に学習への利用を認めてよいか。上で見たとおり、委員会のQ&Aの委託に関する問答は、この点を直接は扱っていません。
委託先が外部のクラウドやAIサービスを使う場合。Q&Aは、クラウドサービスの利用が第三者提供や委託に当たるかは、保存しているデータに個人データが含まれるかではなく、提供事業者が個人データを取り扱うこととなっているかが基準になると説明しています（A7-53）。取り扱わないこととなっている場合の例として、契約条項で取り扱わない旨が定められ、適切にアクセス制御が行われている場合などが挙げられています。
外国にある委託先への提供、要配慮個人情報、著作権、営業秘密、業法上の守秘義務。いずれも、この記事では読んでいません。

令和8年の改正法（公布済み・未施行）との関係

e-Govで、令和8年7月17日公布の改正法（令和8年法律第56号）による未施行の版を、令和8年10月14日に取得し、現行の版と、下の表に挙げた条文を比べました。比べたのは表の条文に限ります。この記事の別の節で引いた第18条（第3項）、第26条（第2項）、第27条（第1項の各号）にも未施行の版で変更があります。この記事で読んだのは、変更のない項（第18条第1項、第26条第1項、第27条第1項の原則の部分）と、同じ文言だった第17条・第22条です。

条文	現行の版	未施行の版（e-Govの表示）
第23条	この記事に書いた文言	同じ文言
第25条	この記事に書いた文言	同じ文言
第27条第5項	この記事に書いた文言	同じ文言。第27条の他の項には、変更や追加がある
第30条の3	なし	新設。委託を受けた個人情報取扱事業者は、法令に基づく場合等を除き、委託を受けた業務の遂行に必要な範囲を超えて、取扱いを委託された個人情報を取り扱ってはならない
第58条の2	なし	新設。契約で取扱いの方法などが定められている受託者についての適用の特例。内容は、この記事では読んでいない

e-Govは、この改正の施行期日を「公布の日から起算して二年を超えない範囲内において政令で定める日」と表示し、未施行の版の予定日として令和10年7月16日を載せています。確定した施行日ではありません。委員会の改正法のページは、法律が令和8年7月10日に成立し、同月17日に公布されたことと、円滑な施行に向けて政令、規則、ガイドライン等の検討を引き続き行うことを載せています。この記事で読んだガイドライン（通則編）は、令和8年6月の一部改正の版で、公布より前のものです。契約が施行日をまたいで続く場合は、施行日と、そのときのガイドラインを確認してください。

当社の公開ページに書いていること

WITHPROJECTSの公開サービスページには、次の記載があります。

AI業務設計・業務AXのページ：業務のAI化を、要件整理、設計、PoC、受入試験、運用改善の工程で進めること。AIが担う部分と、人が判断する部分を分けて設計することを基本にしていること。
見積もりを頼む前のページ：相談用のサンプルには、必要に応じて個人情報や機密情報を伏せたものを使い、実データの共有方法は先に取り決める、という案内。
委託先の選び方のページ：データの持ち出し範囲を具体的に説明できるか、データの保管場所・削除・再利用の扱いを聞いたときに答えが曖昧でないか、を確認の見どころとしていること。
社内文書をAIに読ませる前の点検のページ：個人情報、著作権、機密区分に関わる文書をAIに渡してよいかは、点検では判断しないこと。

この記事も、個別の適否は判断しません。この記事の整理は一般的な進め方の提案で、WITHPROJECTSが提供する支援の内容や納品物、法令への適合を示すものではありません。

各ページは、AI業務設計・業務AX：ツール導入ではなく、仕事の流れを再設計して実装まで任せる、AI導入の見積もりを頼む前に、社内で整理しておく5つのこと、業務AI化の委託先の選び方：見積の前に確認すべき「設計・実装・検証・運用」の条件、AIに社内文書を読ませる前の点検：どれが正か、判断の根拠、例外の扱い、更新の持ち主を文書ごとに確かめるです。