第１ 記事の対象と結論
令和８年改正個人情報保護法の施行に備えた委託契約の見直しでは，サービス提供者が実際に何をするかが出発点となる。
本記事では，クラウド及び生成AIの利用を機能ごとに三類型へ分け，二次利用，ログ，再委託，国外処理，報告及び削除を契約へ反映する方法を検討する。
特に，改正法第３０条の３は委託先等に委託業務の必要範囲を超える利用を直接禁止し，改正法第５８条の２は一定の処理者について契約及び実際の取扱いを条件とする特例を設けるものであるから，契約書の名称又は「学習利用なし」という表示だけで結論を出すべきではない。
本記事は，令和８年９月７日時点で公表されている令和８年法律第５６号，個人情報保護委員会の改正法資料及び現行Q&Aに基づく一般的な整理である。
同法は令和８年７月１０日に成立し，同月１７日に公布されたが，第３０条の３及び第５８条の２を含む主要部分の具体的な施行日は，公布の日から２年以内の政令で定める日とされており，本記事の基準日現在では確定していない。
また，第５８条の２の契約事項及び取扱方法の細目は個人情報保護委員会規則等に委ねられているため，今後の規則，ガイドライン及びQ&Aによって契約実務を更新する必要がある。
第２ 現行法上の三類型
１ サービス提供者が個人データを取り扱わないクラウド利用
クラウドサービスの利用が個人データの第三者提供又は取扱いの委託に当たるかは，サーバに個人データを保存するという外形だけでなく，サービス提供者が当該個人データを取り扱うこととなっているかによって判断される。
個人情報保護委員会のQ&A7-53は，契約条項によってサービス提供者が個人データを取り扱わないこと及び適切なアクセス制御が確保されている場合には，個人データの提供に当たらず，現行法第２５条の委託先監督義務も生じないとする。
もっとも，この場合でも利用者である事業者自身の安全管理措置義務がなくなるわけではない。
Q&A7-54が示すとおり，クラウド環境を利用する事業者は，保存した個人データについて自ら安全管理措置を講ずる必要がある。
２ サービス提供者が委託業務として個人情報を取り扱う場合
サービス提供者が，入力，集計，保管，検索，要約又は応答生成等のために個人情報を取り扱う場合は，取扱いの委託に当たるかを検討する必要がある。
現行法上，個人データの取扱いを委託する場合には，第２５条による必要かつ適切な監督が必要となり，委託先の選定，契約及び取扱状況の把握を組み合わせることになる。
個人情報保護委員会のQ&A5-11は，定型的業務の委託について，外部事業者の約款等を吟味し，その遵守によって個人データの安全管理が図られると判断できる場合，自己の社内規を守らせる覚書の追加締結までは必須でないと説明する。
しかし，改正法第５８条の２の特例を用いる場合には同条所定の契約事項が必要となるため，現行法上の委託先監督の方法と同条の適用条件を混同してはならない。
なお，Q&A1-56が示すように，委託先が委託元の指示に従って個人データを取り扱い，自ら開示等を行う権限を有しない場合，当該個人データは委託先の保有個人データには当たらない。
そこで，契約では，本人からの開示等の請求，漏えい等又は目的外取扱いが生じたときの委託元への連絡及び協力方法を定めておく必要がある。
３ サービス提供者が自己の目的でも利用する場合
サービス提供者が，委託された処理を超えて，自己のモデル学習，製品改善，広告，プロファイリング，他の保有情報との照合又は第三者への提供のためにデータを利用する場合，単純な委託として扱えるとは限らない。
個人情報保護委員会のQ&A7-41も，委託先が受領した個人データを独自に取得した個人データ又は個人関連情報と本人ごとに突合する処理は，通常の委託に伴う取扱いとしては認められないとする。
同Q&Aは，そのような処理を行う場合，原則として本人同意を得た第三者提供として構成する方法のほか，委託先で本人同意を取得する等の対応も示している。
この類型では，委託という名称に依存せず，利用目的の特定，本人同意その他の第三者提供の根拠，外国にある第三者への提供及び安全管理措置を個別に検討する必要がある。
サービス提供者の利用規約，プライバシーポリシー，管理画面の設定及び実際のデータフローが一致しているかも確認すべきである。
第３ 改正法第３０条の３
１ 委託先等に対する直接の利用範囲制限
改正法第３０条の３は，他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの委託を受けた個人情報取扱事業者に対し，委託業務の遂行に必要な範囲を超える取扱いを禁止する。
委託元の監督義務とは別に，委託先等自身へ法定の利用範囲制限を課す点に実務上の意味がある。
例外となる「法令に基づく場合等」は，同じ章に置かれる第３０条の２第４項の定義による。
その範囲は，法令に基づく場合及び人命の救助，災害の救援その他非常の事態への対応のため緊急の必要がある場合であり，単に本人同意を得たことだけを同条の例外とする規定ではない。
二段階以上の委託を受けた者も対象に含まれるため，元請事業者だけでなく，再委託先及びその先の処理者までデータフローを確認する必要がある。
契約上は，再委託先にも同等の利用範囲制限を課し，再委託の事前承認又は通知，委託先一覧，変更時の対応及び違反時の報告を定めることが考えられる。
２ 対象情報と必要な範囲
委託を受けた者にとって個人関連情報にすぎない情報は，第３０条の３の対象となる「委託を受けた個人情報」から除外される。
したがって，委託元で個人データに当たるという事情だけで結論を出さず，各処理者が本人を識別できるか，他の情報と容易に照合できるか，委託契約及び実装上どの情報にアクセスできるかを確認する必要がある。
「委託業務のために必要な範囲」は，処理の目的，方法及び実態に即して判断されるため，契約書には，許される処理と禁止する二次利用を識別できる程度の具体性が必要である。
例えば，応答生成のための一時的な処理を許容しつつ，基盤モデルの学習，広告，独自の顧客分析又は他の利用者へのサービス改善に用いることを禁止する場合は，対象となる入力，出力，ログ及びフィードバックごとに範囲を定めるべきである。
第４ 改正法第５８条の２
１ 契約を基礎とする特例の条件
改正法第５８条の２は，他の個人情報取扱事業者等又は行政機関等から個人情報等の取扱いを委託された個人情報取扱事業者等について，契約と実際の取扱いを条件に一部規定を適用しない制度である。
契約には，①規則で定める取扱方法，②第２６条第１項の事態又は必要範囲外・①の契約違反の取扱いを知った場合に委託者へ速やかに報告する旨，③その他の規則事項を定めることが求められる。
実際の取扱いが委託業務の遂行に必要な範囲内であり，①の取扱方法に係る契約の定めに従っていることも条件となる。
①の取扱方法を規則で定める際には，安全管理措置に係る事項及び個人の権利利益の保護に支障を及ぼすおそれのない事項が除かれるが，安全管理の義務そのものがなくなるわけではない。
個人情報保護委員会の改正法概要１２頁（PDF１３頁）は，委託元の指示どおり機械的にデータ入力を行う事業者等を典型例として示している。
この典型例だけでクラウド又は生成AIの機能全体を特例の対象と判断することはできない。
もっとも，「機械的な処理」は法律上の唯一の定義ではなく，特例の適用は，最終的には契約事項，実際の取扱い，委託業務への必要性及び今後定められる規則等に照らして判断される。
名称だけを「処理者」，「クラウド」又は「AIサービス」としても，実際に独自目的の利用又は契約外の処理をしていれば条件を満たさない。
２ 特例によっても残る義務
第５８条の２は包括的な免除ではない。
改正法の条文上，安全管理措置，従業者の監督，委託先の監督，漏えい等の報告及び本人への通知並びに第３０条の３の利用範囲制限等は，特例が適用される場合にも残る構造となっている。
したがって，特例を利用できる可能性がある場合でも，アクセス制御，認証，暗号化，ログ，再委託先の管理，削除，インシデント対応及び委託元の監査可能性を弱める理由にはならない。
契約で取扱方法を定めることと，安全管理措置を設計して継続的に確認することは，別々に実施すべき事項である。
３ 現時点で確定していない事項
第５８条の２が要求する取扱方法その他の契約事項の細目は，個人情報保護委員会規則等で具体化される予定である。
個人情報保護委員会の改正法成立後の今後の取組６頁～７頁（PDF７頁～８頁）では，政令・規則，ガイドライン及びQ&Aの整備が予定されている。
施行準備では，法律本文から確定できる事項を先に整備し，規則等の公表後に追補できる条項構造とすることが実務的である。
規則等の公表，施行日政令の公布又はサービス仕様の変更を更新の契機として管理する必要がある。
第５ クラウド及び生成AIへの当てはめ
１ 「学習利用なし」だけでは足りないこと
生成AIサービスが入力情報を基盤モデルの追加学習に用いないとしても，応答生成，障害解析，不正利用監視，ログ保存，品質評価又は人手によるレビューのために情報を取り扱う可能性がある。
したがって，「学習利用なし」は重要な確認事項であるが，サービス提供者が個人情報を取り扱わないこと又は委託業務の範囲外利用がないことを当然に意味しない。
個人情報保護委員会の生成AIサービス利用上の注意喚起は，個人データを入力する場合，利用目的の範囲内であることを確認するとともに，本人同意を得ずに入力した個人データが応答出力以外の目的で取り扱われるときは法違反となる可能性があるため，機械学習に利用されないこと等を十分確認するよう求めている。
同注意喚起は生成AI一般に対する現行法上の留意事項であり，第３０条の３又は第５８条の２の具体的な適用範囲を確定する資料ではない点にも注意を要する。
２ 契約，設定及び実装を一体で確認すること
企業向けプランの契約で二次利用が禁止されていても，個人アカウントの利用，任意のフィードバック送信，外部連携機能又は保持期間の設定によって取扱いが変わることがある。
反対に，規約上は広い権限が記載されていても，個別契約，管理者設定及び技術的なアクセス制御によって利用範囲が限定される場合がある。
そのため，契約締結時の規約だけでなく，採用するプラン，管理画面の設定，API又はチャット画面の別，入力から削除までのデータフロー及び提供者側の運用を記録する必要がある。
利用規約又は仕様が一方的に変更されるサービスについては，変更通知，再評価，利用停止及びデータ移行の手順も契約又は社内規程に組み込むべきである。
３ 国外処理及び再委託
クラウド及び生成AIでは，保存場所だけでなく，サポート要員のアクセス元，推論処理の場所，障害解析，再委託先及びバックアップ先が国外に存在することがある。
「国内リージョン」という表示だけで外国にある第三者への提供又は外的環境の把握に関する検討が不要になるとは限らない。
契約では，再委託の条件，再委託先一覧，所在国，変更通知，委託元の異議又は利用停止の権利及び再委託先にも同等の義務を課すことを確認する必要がある。
国外処理の法的評価は事実関係に左右されるため，利用開始前に具体的なデータフローに基づいて判断すべきである。
第６ 委託契約の確認事項
以下は，上記の法律及び委員会資料を踏まえ，本記事が提案する契約見直しの確認項目である。
すべての項目について同じ条項又は監査方法を一律に要求する趣旨ではなく，データの性質・量，処理内容及び提供者の説明に応じて選択する。
１ 目的，対象及び二次利用
委託業務の目的，対象データ，データ主体，処理の種類及び処理期間とともに，許される処理方法，サービス提供者の裁量並びに委託元の指示方法を定めることが考えられる。
モデル学習，製品改善，品質評価，広告，プロファイリング，他のデータとの照合及び第三者提供の可否は，入力，出力，ログ及びフィードバックごとに確認すると，許容範囲を明確にしやすい。
禁止事項を抽象的な「目的外利用の禁止」だけで表現すると，障害解析，安全性評価又は品質改善が委託業務に必要な処理か否かを判定できないことがある。
許容する処理，禁止する処理及び個別承認を要する処理を分け，契約変更又は新機能追加の際にも同じ区分で再評価できるようにすることが望ましい。
２ 安全管理，再委託及び国外処理
アクセス権限，認証，暗号化，脆弱性管理，ログ及び従業者の監督について，まずサービス提供者の説明資料と取得可能な証跡を確認する方法が考えられる。
追加の監査又は第三者認証は一律に要求せず，説明だけでは確認できない点を特定した上で，報告，質問への回答，証跡の保存及び是正措置を組み合わせるのが実務的である。
再委託については，承認又は通知の方法，再委託先及び所在国，変更通知並びに同等義務の連鎖を契約で定めることが考えられる。
国外処理の確認範囲には，保存場所に加え，アクセス，推論，監視，サポート及びバックアップの処理場所を含めるとよい。
３ 報告，削除及び変更管理
第５８条の２の特例を用いる契約には，同条第２号に対応した委託者への速やかな報告の定めが必要である。
実務上は，報告事項，連絡先，証拠保全及び初動協力も具体化し，本人対応，委員会への報告，原因調査，再発防止，損害負担及び終了時の協力を分担する方法が考えられる。
個人情報保護法上の委託先監督又は報告等の義務と，事故による損害について利用企業，AI提供者又は開発者が負う契約責任又は不法行為責任は，同じ問題ではない。
生成AI利用に伴う責任主体の一般的な判断順序については「AI利活用に伴う民事責任－補助／支援型AI・依拠／代替型AI・AIエージェントで誰が責任を負うか（AI作成）」参照。
入力，応答，フィードバック，監視ログ及びバックアップごとに保存期間，返還，削除及び削除確認の方法を定めることが望ましい。
規約，機能，再委託先又は処理場所が変更された場合の通知，再審査，利用停止及びデータ移行も，契約に組み込む候補となる。
第７ 導入及び見直しの手順
①データフローを作る。
契約条項の検討前に，誰が，どの画面又はAPIから情報を入力し，どこで処理・保存され，誰がアクセスでき，いつ削除されるかを整理するのが出発点となる。
生成AIの場合は，入力，応答，会話履歴，評価ボタン，添付ファイル，検索拡張用データベース及び監視ログを分けて確認すべきである。
②機能ごとに法的な構成を検討する。
各処理を，非取扱いクラウド，委託業務としての取扱い，提供者自身の目的を含む取扱いの三類型に照らす。
一つのサービス内でも，ファイル保存は非取扱いクラウド，応答生成は委託処理，任意フィードバックは提供者の独自目的を含む処理となるなど，機能ごとに結論が異なる可能性がある。
③契約と技術的設定を照合する。
契約上禁止されている二次利用が管理画面でも無効化されているか，保存期間を設定できるか，利用者が個人アカウントを使えないようにしているか，外部連携及びフィードバック送信を制御できるかを確認する必要がある。
確認結果は，規約の版，取得日，画面の設定，提供者の説明資料及び社内承認記録とともに保存すべきである。
④規則等の公表後に更新する。
第５８条の２の契約事項及び取扱方法の細目が公表された時点で，契約ひな型，ベンダー質問票，生成AI利用基準及び監査項目を再確認する必要がある。
それまでの間も，現行法上の委託先監督及び安全管理措置は適用されるため，既存サービスの二次利用，ログ，再委託，国外処理，報告及び削除を先に棚卸しすることができる。
第８ 関連記事
改正全体の施行準備については，「令和８年改正個人情報保護法への企業の対応」で扱っている。
同記事に対し，本記事は委託処理の三類型，第３０条の３，第５８条の２及び契約条項に対象を限定したものである。
生成AIに秘密情報を入力する場合の第三者開示及び「学習利用なし」の意味については，「生成AIの学習利用・履歴利用をオフにした場合の秘密情報の取扱い」で扱っている。
外部委託先における漏えい等の発生後の対応については，「外部委託先で個人情報が漏えいした場合の委託元の対応」で扱っている。
第９ 出典・参考資料
１ 法令
①個人情報保護委員会掲載「個人情報の保護に関する法律等の一部を改正する法律（令和８年法律第５６号）」（令和８年７月１７日公布）PDF１２頁，２０頁，３９頁～４２頁及び９４頁～９５頁
②e-Gov法令検索「個人情報の保護に関する法律」（令和８年９月７日現在の施行条文。第３０条の３及び第５８条の２は未施行である。）
２ 個人情報保護委員会の解説・Q&A・運用資料
①個人情報保護委員会「令和８年改正個人情報保護法」
②個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（令和８年７月）１２頁（PDF１３頁）
③個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（令和８年７月３１日）６頁～７頁（PDF７頁～８頁）
④個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A7-53，Q&A7-54，Q&A7-41，Q&A5-11及びQ&A1-56」（令和８年９月７日確認）
⑤個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和５年６月２日）PDF２頁