第１ この記事の対象と結論
本記事は，AI又はデータを利用する新規事業について，法務が企画を止める又は無条件に通すのではなく，事業目的を保ちながら適法かつ実行可能な設計へ変更する方法を扱う。
基準日は令和８年９月１６日である。
結論として，最初に作るべきものは長い法律意見書ではなく，①事業目的，②関係者，③データの流れ，④AIの入力・出力，⑤人又はシステムが行う判断，⑥外部へ生じる効果を一枚で確認できる図である。
その上で，個人情報保護法だけでなく，事業に応じてAI法，知的財産法，業法，消費者法，競争法及び契約を横断し，禁止又は許可の二択ではなく複数の代替案を比較する。
第２ 事業モデルを事実に分解する
１ 目的と価値を先に固定する
法令名から検討を始めると，事業上なくてはならない機能と，変更できる実装とが混同されやすい。
まず，誰のどの課題を解決し，どの機能が収益又は利用価値を生み，どの処理は代替できるかを確認する必要がある。
例えば，個人別の推薦精度を上げることが目的であっても，実名を保持すること，社外データを結合すること，結果を自動的に本人へ適用することの全てが不可欠とは限らない。
事業目的を固定し，データ項目，処理場所，保持期間及び人の関与を可変要素として扱えば，法的リスクを下げる設計変更を検討しやすい。
２ データフローに最低限載せる事項
データフローには，①取得元，②データ項目，③本人又は対象者，④取得方法，⑤利用目的，⑥保存場所・期間，⑦アクセス者，⑧AIへの入力，⑨モデル又はサービス提供者による利用，⑩出力，⑪出力を用いる判断，⑫委託・再委託，⑬第三者提供，⑭国外処理，⑮削除及び⑯事故時の停止点を載せる。
「クラウドを使う」又は「AIを使う」という製品名だけでは，実際の取扱いを確認できない。
同じサービスでも，組織向けと個人向け，学習利用の有無，履歴保存，外部コネクタ，管理者権限，再委託先及び処理国が異なり得る。
契約，管理画面の設定，実際の通信及び運用手順を照合する必要がある。
３ 判断と外部効果を分ける
AIが順位，予測又は文章を出力するだけの場面と，その出力によって採用，価格，勧誘，診療，融資，契約又は公表が自動的に行われる場面とでは，リスクが異なる。
出力の受領者，人が覆せる範囲，説明方法，異議申立て，誤りの訂正及び停止権限をデータフローとは別の判断フローとして記録するべきである。
第３ 横断して確認する法令と規範
１ 個人情報保護法及びプライバシー
個人情報，個人データ，要配慮個人情報，個人関連情報，仮名加工情報及び匿名加工情報は，適用される規律が異なる。
公開情報であることだけで，無制限な収集，結合，学習，評価又は再公表が許されるわけではない。
利用目的，適正取得，不適正利用，第三者提供，委託先監督，国外取扱い，安全管理，正確性，開示等及び漏えい等対応を，実際の処理ごとに確認する。
個人情報保護委員会は，データマッピング，責任者・責任部署及びPIAを，民間事業者のデータガバナンスに役立つ自主的取組として案内している。
２ AI法及びAIガバナンス
人工知能関連技術の研究開発及び活用の推進に関する法律（令和７年法律第５３号）は，令和７年９月１日に全面施行された。
同法はAIの研究開発及び活用，国による調査・指導・助言並びに事業者の責務を無視してよいという意味ではない。
経済産業省等のAI事業者ガイドライン（第１．２版）は法令そのものではないが，方針，責任，リスク管理，透明性，公平性，安全性及び継続的改善を社内手順へ落とす際の公的な参照資料となる。
３ 事業に応じて追加する法領域
追加して確認する主な法領域は，次のとおりである。
①通信ログ，Cookie，位置情報又は外部送信を扱う場合の電気通信事業法及び通信の秘密
②求人，職業紹介，労務管理又は採用評価を扱う場合の職業安定法，労働関係法令及び差別・説明の問題
③診断，治療，医療データ又はヘルスケア表示を扱う場合の医療法，医薬品医療機器等法，次世代医療基盤法及び関係ガイドライン
④広告，表示，定期購入又は消費者向け勧誘を扱う場合の景品表示法，特定商取引法及び消費者契約法
⑤決済，送金，暗号資産又は与信を扱う場合の資金決済法，金融商品取引法，貸金業法その他の金融規制
⑥学習用データ，出力又はデータセットを扱う場合の著作権法，不正競争防止法，営業秘密，限定提供データ及び契約上の利用権限
⑦データ共有，プラットフォーム又は囲い込みを伴う場合の独占禁止法
この一覧は，全ての事業に全法令が適用されるという意味ではない。
事業者，利用者，対象者，収益構造及び実際の処理を確定した後に，適用の有無を絞り込む。
第４ 代替案を比較する
１ 法的結論を選択肢へ変換する
法務の成果物は，「リスクがある」という指摘だけでは足りない。
少なくとも，実装を維持する案，データ又は機能を限定する案，人の確認又は試行運用を加える案及び別の法的構成へ変更する案を比較する。
各案には，①必要な法的条件，②残る不確実性，③開発費・運用費，④リリース時期，⑤利用者体験，⑥売上又は精度への影響，⑦必要な証拠・ログ，⑧事故時の停止・撤退方法を記載する。
経営判断は，法的リスクだけでなく，事業価値，費用，時間及び回復可能性を並べて行う必要がある。
２ 主な設計変更
設計変更には，①取得項目を減らす，②実名又は結合キーを分離する，③端末内処理へ変更する，④保存期間を短くする，⑤外部提供をやめて委託又は共同利用の要件を再検討する，⑥学習利用をしない契約・設定にする，⑦対象者又は地域を限定する，⑧自動決定を人の判断支援に変える，⑨説明・訂正・異議申立てを設ける，⑩本番前に限定的な実証を行う方法がある。
「同意を取る」ことだけを万能の解決策にしない。
拒否してもサービスを利用できるか，撤回できるか，説明が理解可能か，契約上の優越を利用していないか，実際のデータフローが説明どおりかを確認する必要がある。
第５ 行政相談を事業工程へ組み込む
１ PPCビジネスサポートデスク
個人情報保護委員会のPPCビジネスサポートデスクは，新技術を用いた新たなビジネスモデル等について，個人情報保護法上の留意事項の相談を受け付けている。
個社の新ビジネスだけでなく，業界又は複数事業者に共通する相談も対象である。
申込みからオンライン等の面談までには通常１週間～２週間前後を要すると案内されているため，リリース直前ではなく設計変更が可能な時期に組み込むべきである。
予約フォームでは，事業概要，相談事項，社内法務又は外部弁護士への事前相談及びガイドライン・Q&Aの参照状況を入力する。
２ 相談前に作る資料
相談前には，①一枚のデータフロー，②関係者と役割，③対象データ，④利用目的，⑤契約・同意・公表の案，⑥代替案，⑦確認した条文・ガイドライン，⑧具体的な質問及び⑨回答によって変える設計を準備する。
「事業全体が適法か」という抽象的質問ではなく，「このデータをこの目的と条件で取得・提供する場合に，この条項の要件を満たすか」という形へ分解する。
行政相談の回答は，事実関係，前提及び質問の範囲に基づく。
相談日，提出資料，前提，質問，回答，未回答事項及びその後の設計変更を記録し，事業又は法令が変わった場合の再確認条件を定める。
３ 所管が複数の場合
個人情報保護委員会への相談だけで，通信，金融，医療，消費者，競争又は知的財産の問題が解決するわけではない。
所管省庁，業界ガイドライン，認定個人情報保護団体及び許認可窓口を整理し，質問と回答の射程を混同しないことが重要である。
第６ 制度変更への対応
令和８年７月１７日に公布された個人情報保護法等の改正法（令和８年法律第５６号）は，一部を除き，公布日から起算して２年以内で政令で定める日から施行される。
令和８年９月１６日現在，主要部分は未施行であり，政令，委員会規則及びガイドライン等の整備が続いている。
現行法で実施できる設計と，未施行改正法への準備を分ける必要がある。
未確定の下位規範を確定事項のように書かず，施行日，対象情報，公表事項，契約事項及び手続の確定を変更トリガーとして台帳に登録する。
第７ 弁護士が作る成果物
AI・データ事業の法務では，次の成果物を同じ版番号で管理するとよい。
①事業目的・関係者・データフローの一枚図
②法令・契約・技術・運用の論点表
③複数案の比較表
④PIA又はこれに相当するリスク評価
⑤行政相談メモ
⑥契約・規約・プライバシーポリシー・同意画面の対応表
⑦設定・受入試験・ログの確認記録
⑧経営判断と残余リスクの決定記録
⑨法令・サービス・事業変更の再確認条件
動画「AIビジネスとデータ法務の最前線」で示された，事業モデルの早い段階から関与し，個人情報保護法に限られない論点を横断し，代替案と行政対応を組み合わせるという実務上の示唆は，本記事の構成に反映した。
ただし，動画は講演者の経験及び見解を含む二次資料であり，法令又は個別事案の適法性を裏付ける一次資料ではない。
第８ 判例及び一次資料の確認状況
本記事は，特定のAI・データ事業の適法性を一つの裁判例から導くものではない。
具体的な案件では，問題となる処理，権利及び請求類型を確定した上で，裁判所HP及び判例秘書等により対象を絞った裁判例検索が必要である。
本記事の一般的な設計手順について，これを直接定める裁判例が存在するとの確認はしていない。
判例秘書については，本記事の作成時にテーマ専用の網羅検索を実施していないため，判例の不存在を意味しない。
第９ 出典
①e-Gov法令検索「個人情報の保護に関する法律」 https://laws.e-gov.go.jp/law/415AC0000000057
②内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」 https://www8.cao.go.jp/cstp/ai/ai_act/ai_act.html
③経済産業省「AI事業者ガイドライン検討会」 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/
④個人情報保護委員会「データガバナンス（民間の自主的取組）」 https://www.ppc.go.jp/personalinfo/independent_effort/
⑤個人情報保護委員会「PPCビジネスサポートデスク」 https://www.ppc.go.jp/personalinfo/business_support/
⑥個人情報保護委員会「ビジネスサポートデスク予約フォーム」 https://www.ppc.go.jp/form/ppcbiz/entry/
⑦個人情報保護委員会「令和８年改正個人情報保護法について」 https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
⑧個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の公布について」 https://www.ppc.go.jp/news/press/2026/260717/
⑨福岡真之介・松村英寿『データの法律と契約』（商事法務，２０１９年）４７頁～５４頁，５５頁～８６頁，１６０頁～２８８頁，２８９頁～４１８頁
⑩YouTube「AIビジネスとデータ法務の最前線」 https://www.youtube.com/watch?v=gv6VcJUWTaw&t=1s