第１ 記事の対象と結論
本記事は，業務の委託を受けて取引先から個人情報や秘密情報を預かっている事業者（以下「受託者」という。）が，取引先から生成AIの利用状況に関する調査票への回答や，生成AIへの入力を制限する誓約書・覚書への署名を求められた場合に，回答・署名の前に確認すべき事項を整理するものである。
基準日は令和８年１０月２５日であり，令和８年法律第５６号による改正後の個人情報保護法の条文は，個人情報保護委員会が掲載する改正法の本文とe-Gov法令検索の改正後の条文で確認した。
改正法は令和８年７月１７日に公布されたが，受託者の義務を定める第３０条の３と，契約を条件とする特例を定める第５８条の２は，公布の日から起算して二年を超えない範囲内で政令で定める日に施行され，本記事の基準日現在は施行されていない。
結論は次のとおりである。
①個人情報の取扱いの委託に伴う取引先からの調査票は，委託元が現行法第２５条の委託先監督を行うための手段と位置付けられ，個人情報保護委員会も，委託先がクラウドサービスを利用している場合に，委託元がその安全性などを委託先に確認することを挙げている。
②回答の前に，預かっている情報の種類，契約の定め，社内の実際の利用状況，利用しているサービスの規約・設定を確認する。
会社として生成AIを導入していないことと，従業員が業務に使っていないことは別の事実である。
③改正法の施行後は，個人情報取扱事業者である受託者が，法令に基づく場合等を除き，委託された個人情報を委託業務の遂行に必要な範囲を超えて取り扱うことが，委託元との契約の問題にとどまらず，受託者自身の個人情報保護法違反となる（改正後の第３０条の３）。
④第５８条の２の特例を受けるために委託契約に定める事項は個人情報保護委員会規則で定められる予定であり，令和８年１０月１日に事務局が検討の方向を示した段階であるから，現時点の回答や誓約では，確定していない事項を約束しすぎないようにすることが望ましい。
第２ 取引先が調査票を送る理由
１ 委託元の委託先監督義務
現行法第２５条は，「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」と定めている。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」３－４－４は，必要かつ適切な措置として，適切な委託先の選定，委託契約の締結及び委託先における個人データ取扱状況の把握を挙げている。
同ガイドラインは，委託先の選定や取扱状況の把握に当たり，必要に応じて個人データを取り扱う場所に赴く又はこれに代わる合理的な方法（口頭による確認を含む。）により確認することが考えられるとしており，委託先への調査票は，この把握の方法の一つと位置付けることができる。
また，同ガイドライン３－６－３は，委託に伴って個人データの提供を受けた者について，「委託された業務以外に当該個人データを取り扱うことはできない。」としている。
現行法の下でも，同ガイドラインの解釈上，受託者が委託に伴って預かった個人データを委託業務以外に使うことは許されず，取引先は，生成AIへの入力がこの範囲を超えていないかを確かめようとすることになる。
２ 委託先がクラウドサービスを使う場合の注意喚起
個人情報保護委員会は，令和６年３月２５日，「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」を公表した。
同注意喚起は，クラウドサービスの利用が個人データの取扱いの委託に当たるかどうかは，クラウドサービス提供事業者が個人データを取り扱うこととなっているか否かが判断の基準になるとし，利用規約で提供事業者が保守・運用上必要な場合にデータを監視・分析・調査できるとされていたこと，提供事業者が保守用IDを保有し，技術的なアクセス制御等が講じられていなかったこと等を，提供事業者が個人情報取扱事業者に該当すると判断した考慮要素として挙げている。
同注意喚起の第３項は，個人データの取扱いの委託先が，クラウドサービス提供事業者の提供するアプリケーションを利用して委託された個人データを取り扱っている場合について，「委託元である個人情報取扱事業者は、委託先事業者に対する監督の一内容として、当該クラウドサービスの安全性などを委託先事業者に確認することが考えられます。」としている。
同項は，委託先事業者のクラウドサービスの利用によって，委託先からクラウドサービス提供事業者に対する「再委託」となっている場合があることを念頭に置くよう求めている。
受託者が生成AIサービスを使って委託業務を処理する場合も，そのサービスの提供事業者が入力された情報をどう取り扱うかによって同じ問題が生じるから，調査票でサービス名・プラン・設定を尋ねられるのは，この確認のためであると考えられる。
個人情報保護委員会は，この注意喚起のポイントを解説する動画を，令和６年１２月１６日に公式YouTubeチャンネルで公開している。
３ 生成AIサービスへの入力に関する注意喚起
個人情報保護委員会は，令和５年６月２日，「生成AIサービスの利用に関する注意喚起等」を公表した。
同注意喚起は，個人情報取扱事業者が個人情報を含むプロンプトを入力する場合には，特定された利用目的を達成するために必要な範囲内であることを十分に確認するよう求めている。
また，本人の同意を得ずに個人データを含むプロンプトを入力し，その個人データが応答結果の出力以外の目的で取り扱われる場合には，個人情報保護法の規定に違反することとなる可能性があるとして，生成AIサービスの提供事業者が個人データを機械学習に利用しないこと等を十分に確認するよう求めている。
第３ 回答の前に確認すること
１ 預かっている情報を分ける
最初に，取引先から預かっている情報を種類ごとに分ける。
個人情報保護法の問題になるのは，生存する個人に関する情報で特定の個人を識別できるもの等であり，その中でも個人情報データベース等を構成する個人データかどうかで適用される規定が異なる。
これに対し，取引先の技術情報や営業情報は，個人情報でなくても，秘密保持契約（NDA）や基本契約の秘密保持条項によって第三者への開示や目的外の利用が制限されていることがある。
個人情報保護法上問題がないことと契約上許されることは別の問題であるから，両方を確認する必要がある。
生成AIへの入力と秘密保持契約上の第三者開示の関係は，学習オフの生成AIに秘密情報を入力することは第三者開示に当たるか（AI作成）で扱っている。
２ 契約の定めを確かめる
次に，委託契約，秘密保持契約及び基本契約で，目的外利用の禁止，再委託の禁止又は事前承諾，第三者への開示の制限，国外での取扱い，委託終了後の返還・消去がどう定められているかを確認する。
前記の注意喚起のとおり，クラウドサービスの利用が再委託に当たる場合があるから，再委託に委託元の事前承諾を要する契約では，生成AIサービスの利用が承諾の対象になるかを検討しておく必要がある。
秘密保持契約の各条項の確認方法は，秘密保持契約（NDA）の審査ポイント―秘密情報の定義，開示先，AI利用及び終了後の義務（AI作成）で整理している。
３ 社内の実際の利用状況を確かめる
会社として生成AIサービスを契約していなくても，従業員が個人のアカウントで業務の資料を入力していることがある。
「利用していない」と回答する場合は，どの部署・期間・方法で確認した結果なのかを社内に記録し，確認できていない範囲があればその限度で回答することが望ましい。
調査票への回答や誓約書が取引先との契約の内容となる場合，事実と異なる回答は契約違反の問題を生じ得るからである。
会社が把握していない生成AIの利用の問題点は，シャドーAIの問題点――営業秘密，個人情報保護法及び懲戒処分をめぐる法的枠組み（AI作成）で扱っている。
４ 利用しているサービスの規約と設定を確かめる
生成AIサービスを使っている場合は，入力した情報が機械学習に利用されるか，保存期間，提供事業者の従業員がアクセスする場合，処理が行われる国又は地域を，利用規約・プライバシーポリシー・管理画面の設定で確認する。
法人向けの契約で学習に利用しない旨が定められていても，従業員が会社の管理外の個人のアカウントで使えば，通常その契約条件は及ばない。
確認した規約の版，取得日及び設定画面の状態を記録しておけば，取引先から追加の質問を受けたときにも同じ根拠で説明できる。
第４ 改正法で受託者に生じる義務
１ 第３０条の３の内容
改正後の第３０条の３は，次のとおり定めている。
「他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの全部又は一部の委託（二以上の段階にわたる委託を含む。）を受けた個人情報取扱事業者は、法令に基づく場合等を除くほか、その取扱いを委託された個人情報（当該個人情報取扱事業者において個人関連情報となるものを除く。）を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない。」
(1) 受託者自身が義務を負う
現行法では，委託先が委託業務以外に個人データを取り扱わないことは，委託元の監督義務とガイドラインの解釈を通じて確保されてきた。
個人情報保護委員会事務局の令和８年１０月１日の資料は，委託元による委託先の監督等が十分に機能せず，委託先が委託された業務の範囲を超えて独自に個人データ等を利用する事案も生じているとした上で，この義務を委託先に明文規定により課すと説明している。
(2) 対象は「個人情報」であり，再委託先も含む
対象は「個人データ」ではなく「個人情報」であるから，データベースに入力されていない契約書案，議事録，メール等に含まれる個人情報も対象となり得る。
また，「二以上の段階にわたる委託を含む」とされているから，再委託先やその先の受託者も，個人情報取扱事業者である限り同じ義務を負う。
ただし，受託者にとって個人関連情報となるものは，括弧書きにより対象から除かれる。
(3) 例外は法令に基づく場合等に限られる
「法令に基づく場合等」は，改正後の第３０条の２第４項で，法令に基づく場合及び人命の救助，災害の救援その他非常の事態への対応のため緊急の必要がある場合と定義されている。
業務の効率化のような理由は，この例外に当たらない。
(4) 生成AIへの入力との関係
本記事では，生成AIサービスへの入力が直ちに委託業務の範囲を超えるわけではないと考える。
すなわち，入力した情報が応答の生成以外に使われない設定のサービスを，委託業務を処理するために使う場合は，委託業務の遂行に必要な範囲内と評価できる余地がある一方，提供事業者の学習に使われる設定のまま入力する場合や，委託業務と関係のない自社の目的のために入力する場合は，範囲を超える取扱いとして問題になると整理する。
もっとも，必要な範囲の判断は委託の内容によって異なり，委託契約で生成AIサービスの利用が禁止されていれば，契約違反の問題は別に残る。
２ 違反した場合
施行後に第３０条の３に違反した場合は，個人情報保護委員会の勧告・措置命令の対象となり得る（改正後の第１４８条）。
措置命令に違反したときは，１年以下の拘禁刑又は１００万円以下の罰金に処せられる（改正後の第１８１条）。
また，改正後の第３５条第１項は，本人が保有個人データの利用の停止又は消去を請求できる場合に，その保有個人データが第３０条の３の規定に違反して取り扱われているときを加えている。
他方，第３０条の３の違反は，改正後の第１４８条の３が定める課徴金の対象行為には挙げられていない。
課徴金の対象行為と罰則の見直しについては，個人情報保護法の課徴金と罰則はどう変わるか―令和８年改正の対象行為，１０００人基準，算定方法と令和９年１月１７日施行の罰則強化（AI作成）で扱っている。
３ 第５８条の２の特例
改正後の第５８条の２は，委託を受けた事業者（受託個人情報取扱事業者等）について，委託契約に個人情報保護委員会規則で定めるところにより所定の事項が定められ，取扱いが委託業務の遂行に必要な範囲内で契約の定めに従って行われるときは，第４章第２節から第４節までの規定の多くを適用しないとする特例である。
契約に定める事項は，①取扱いの方法（安全管理のための措置に係る事項等を除く。）として規則で定める事項，②漏えい等の事態が生じ，又は委託業務の遂行に必要な範囲を超え，若しくは①の定めに違反して取り扱われたことを知ったときは，速やかに委託者に報告すること，③その他規則で定める事項である。
もっとも，同条は第２３条から第２６条まで（安全管理措置，従業者の監督，委託先の監督，漏えい等の報告等）や第３０条の３等を適用しない規定から除いているから，特例を受けても，安全管理と委託業務の範囲内での取扱いの義務は残る。
(1) 対象として想定される受託者
個人情報保護委員会事務局の令和８年１０月１日の資料は，この特例の対象として，委託先自らは取扱いの方法を決定しないケース，すなわち委託先が委託元から指示された方法で機械的に個人データ等を取り扱うのみの場合（データ入力作業を委託され，委託元の指示に従って機械的に入力作業を行う場合等）を挙げている。
(2) 報告義務が契約に入ること
②の報告事項には，漏えい等だけでなく，委託業務の遂行に必要な範囲を超えた取扱いや，取扱いの方法の定めに違反した取扱いを知ったときの報告が含まれる。
本記事では，特例を前提とする契約を結んだ受託者は，従業員が取引先の個人情報を許されていない生成AIサービスに入力したことを知った場合にも委託者へ速やかに報告することになり，調査票への回答は一度で終わるものではなく，継続的な報告体制の問題になると整理する。
４ 契約に定める事項の検討状況
個人情報保護委員会事務局は，令和８年１０月１日の「政令・規則の整備に向けた基本的な考え方について②」で，特例の対象となるために契約で定めるべき事項の論点を示した。
同資料は，「取扱いの方法」として，対象となる個人情報等，行われる処理の内容（取得・保存・評価・加工・提供・消去等），取扱いの始期及び終期，取扱いの行われる国又は地域を定めておく必要があるのではないかとし，国又は地域については，外国において取り扱うか否か，取り扱う場合にはその外国の名称を想定している。
また，定める方法を書面（電磁的記録を含む。）とすることや，その他の事項として，委託を受ける業務の内容，取扱いの記録の作成と委託元への提供，安全管理のために講じた措置に関する情報の提供，漏えい等事案等の報告，委託元の求めに応じた取扱いの停止等，委託終了時の返還又は消去を挙げている。
他方，同資料は，個人の権利利益に影響を及ぼさないような細目的な事項については，委託先が自らの裁量で判断することは当然に想定されているとも述べている。
この方向で規則が定められた場合，本記事では，受託者が外国で処理される生成AIサービスを使って委託業務を処理するときは，その国又は地域を契約に記載することが求められる可能性があると整理する。
ただし，これは事務局が示した論点と方向性であり，確定した規則の内容ではない。
５ 施行までの日程
個人情報保護委員会事務局の「今後の進め方について」（令和８年９月９日）は，政令・規則の条文案を示した後に意見公募手続を行う流れを示し，当面のスケジュールのイメージでは，意見募集（パブコメ）を２０２７年１月以降の欄に置いている。
したがって，今の時点で届く調査票・誓約書・覚書は，規則が確定する前のものである。
第５ 回答書・誓約書の書き方
以下は，上記の法令と委員会資料を踏まえて本記事が提案する書き方である。
１ 事実，予定及び約束を分ける
回答書では，確認した事実（利用しているサービス，プラン，設定，確認した範囲），今後の予定（社内規程の整備時期等）及び取引先に約束する事項を分けて書く。
社内規程がまだない場合も，ないことを前提に，整備の予定時期を示す方が，後に事実と食い違うおそれが小さい。
使っているサービス名を開示したくない場合は，そのサービスの規約から確認できる条件（学習への利用の有無，保存期間，処理の国又は地域等）を示す方法も考えられる。
２ 規則の公表前に約束しすぎない
第５８条の２の契約事項は規則で定められる予定であるから，誓約書や覚書には，例えば「取扱いの方法の詳細は，改正個人情報保護法に係る個人情報保護委員会規則等の公表後，別途協議して定める。」のような協議条項を置くことが考えられる。
規則の内容が確定する前に，取扱いの方法を細部まで確約すると，規則の公表後に契約を改めて見直す必要が生じ得る。
３ 全面禁止を求められたとき
「貴社から受領した情報を一切生成AIに入力しない」という全面禁止の誓約書を求められた場合は，まず取引先がどの情報についてどのような危険を懸念しているかを確認する。
そのうえで，対象とする情報の範囲を限定する，学習に利用されない設定の特定のサービスに限って許容する，再委託として事前承諾を得る，処理の国又は地域を限定する等の条件付きの代案を示すことが考えられる。
業務の実態として生成AIの利用を止めることができない場合に，全面禁止に署名することには慎重であるべきである。
４ マスキングは匿名加工情報と同じではない
氏名を記号に置き換える等のマスキングをしてから入力すれば足りるという条件も，交渉で用いられることがある。
もっとも，法第２条第６項は，匿名加工情報を「次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの」と定義している。
また，法第２条第１項第１号は，個人情報に「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」を含めている。
氏名を伏せても他の記述から本人が分かる場合や，受託者が元の資料や置換えの対応表を持っていて照合できる場合は，個人情報のままと考えられるから，マスキングを条件とするときは，対象の情報と加工の方法を具体的に定める必要がある。
第６ 関連記事
委託元の立場から，クラウド・生成AIを使う委託契約で見直す事項は，令和８年改正個人情報保護法と委託契約－クラウド・生成AI利用で見直す事項（第３０条の３・第５８条の２）（AI作成）で扱っている。
改正法全体への社内規程の対応は，令和８年改正個人情報保護法に基づき，民間企業の個人情報保護規程で対応が必要な事項（AI作成）で整理している。
委託先の第三者認証をどこまで信頼できるかは，Pマーク・ISMS取得済みの委託先なら安心か―AI・クラウドの認証範囲，安全管理措置及び委託先監督（AI作成）で扱っている。
第７ 出典
①個人情報保護委員会掲載「個人情報の保護に関する法律等の一部を改正する法律（令和８年法律第５６号）」（令和８年７月１７日公布） https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf
②e-Gov法令検索「個人情報の保護に関する法律」（現行条文及び令和８年法律第５６号による改正後の条文。第２条，第２３条から第２６条まで，第３０条の２，第３０条の３，第３５条，第５８条の２，第１４８条，第１４８条の３及び第１８１条。令和８年１０月２５日確認）
③個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成２８年１１月，令和８年６月一部改正）３－４－４，３－６－３ https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
④個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」（令和６年３月２５日） https://www.ppc.go.jp/files/pdf/240325_alert_cloud_service_provider.pdf
⑤個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和５年６月２日）別添１ https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
⑥個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律 政令・規則の整備に向けた基本的な考え方について②」（令和８年１０月１日）６頁，３７頁～４１頁 https://www.ppc.go.jp/files/pdf/261001_kihonntekinakanngaekatanitsuite_2.pdf
⑦個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律 政令・規則・ガイドライン等の整備に関する今後の進め方について」（令和８年９月９日）３頁 https://www.ppc.go.jp/files/pdf/260909_kongonosusumekatanitsuite.pdf
⑧個人情報保護委員会「【注意喚起】クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について」（YouTube，令和６年１２月１６日公開） https://www.youtube.com/watch?v=mo9XRfXON8I