個人情報保護法と海外委託 – AI開発を海外に委託する前に確認すべきこと

要点まとめ

• 国内の事業者への委託では、委託先は「第三者」に当たりませんが（個人情報保護法第27条第5項第1号）、外国にある第三者に個人データの取扱いを委託する場合は第28条第1項の規律が同様に適用されると、個人情報保護委員会のQ&A 12-1が示しています。
• 海外委託で個人データを提供する際は、原則として本人の同意が必要です。ただし、規則で定める国（2026年10月時点でEUと英国）への提供、基準に適合する体制を整えた提供先への提供、法第27条第1項各号に該当する場合には例外があり、委託形態に応じて確認します（個人情報保護委員会Q&A 12-1）。
• 体制整備による例外では、委託契約などで相当措置を担保したうえで、提供後も実施状況を確認し、本人の求めに応じて情報を提供する義務があります（第28条第3項）。
• 氏名などを削除・置換しただけのデータでも、元のデータや対応表と容易に照合できれば個人情報に当たる場合があるため、マスキングだけで規律の対象外になるとは限りません。
• 個人情報保護法の改正法は2026年7月17日に公布され、委託先に関する規律の見直しや課徴金制度の創設を含み、原則として公布から2年以内に施行されます。

個人情報保護法で海外委託に適用されるルール

まず、この記事で使う主な用語を整理します。

個人情報保護法は、本人の同意なく個人データを第三者に提供することを原則として禁じています（第27条第1項）。ただし、利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、委託先は第三者に当たらないとされます（第27条第5項第1号）。国内の開発会社への委託で本人の同意が不要なのはこのためです。

一方、提供先が外国にある第三者の場合は、第28条第1項により、原則としてあらかじめ「外国にある第三者への提供を認める旨の本人の同意」が必要です。個人情報保護委員会は、この点は外国にある第三者に個人データの取扱いを委託する場合も同様であると説明しています（Q&A 12-1）。「委託だから同意は不要」という国内の感覚のまま海外の開発会社にデータを渡すと、要件を満たさないおそれがあります。

AI開発で問題になりやすいのは、学習・検証用に顧客データや問い合わせ履歴を開発会社に渡す場面、本番環境の運用・保守を海外のチームに任せて個人データを閲覧・操作できる状態にする場面、開発会社が使うクラウドやAIサービスを通じて第三国でデータが処理される場面です。

同意の原則と例外、それぞれの義務

根拠と詳細は、個人情報保護委員会のガイドライン（外国にある第三者への提供編）にまとめられています。

体制整備による例外では、提供先は第28条の「外国にある第三者」から除かれるため、第27条の規律が適用され、委託であれば本人の同意なく提供できる構造になります。Q&Aは、委託契約や社内規程等によって提供先が相当措置を継続的に講ずることを実質的に担保できれば、適切かつ合理的な方法に当たるとしています（Q&A 12-6）。契約を結んで終わりではなく、委託先の取扱い状況や所在国の制度の影響を定期的に確認し、問題があれば是正を求める運用が必要です。

委託先の監督と外的環境の把握

海外委託でも、委託先に対する必要かつ適切な監督義務があります（第25条）。一般的には、適切な委託先の選定、委託契約の締結、委託先での取扱い状況の把握の3点で考えます。

さらに、外国で個人データを取り扱う場合は、その国の個人情報保護制度などを把握したうえで安全管理措置を講じることが、ガイドライン（通則編）で「外的環境の把握」として示されています。国別の制度は委員会が調査結果を公表しており、ベトナムやシンガポールのページがあります。これらは調査時点の情報のため、最新の制度は別途確認します。

契約主体の国と、実際にデータを扱う国が異なる場合もあります。たとえば、ベトナム・ハノイを拠点とするAI開発会社NKKTech Globalは、契約主体がシンガポール法人、開発拠点がベトナムです。どの国のどの環境で、誰がデータにアクセスするかを、委託前に具体的に確認してください。

AI開発でデータの扱いを設計する

国外の委託先による個人データの取扱いを不要にできるか、開発と運用の両方で検討します。主な方法と注意点は次のとおりです。

• ダミーデータを優先する。実在しない人物のデータで開発・検証できる部分は、ダミーデータで進めます。
• 加工したデータは性質を確認する。氏名などを削除・置換したデータでも、元のデータや対応表と容易に照合して特定の個人を識別できれば個人情報に当たります（Q&A 14-2、仮名加工情報・匿名加工情報編ガイドライン）。実データを加工する場合は、加工後も個人データに当たるかを確認します。
• 本番環境へのアクセス範囲を決める。国外のエンジニアが本番環境の個人データを閲覧・操作できる状態にするかどうかを、権限設計とログで管理します。
• クラウドの扱いを確認する。クラウド事業者が個人データを取り扱わないこととなっている場合（契約条項で取り扱わない旨が定められ、適切にアクセス制御されている場合など）は「提供」に当たらないとする考え方がQ&Aで示されています（Q&A 7-53）。ただし、自社管理のクラウドに置くだけで結論は出ず、契約とアクセス制御の実態で判断されます。

令和8年改正の動き

個人情報保護法の改正法は2026年7月10日に成立し、7月17日に公布されました。一部を除き、公布日から2年以内で政令で定める日に施行されます（個人情報保護委員会 公布のお知らせ）。委員会の改正法の解説ページによると、統計作成等（統計作成等と整理できるAI開発等を含む）に関する本人同意の規律の見直し、委託を受けた事業者が委託業務の遂行に必要な範囲を超えて個人データ等を取り扱ってはならない旨の明文化を含む委託先の規律の見直し、課徴金制度の創設などが含まれます。具体的な要件の多くは今後の政令・規則・ガイドラインで定められるため、海外委託の契約を見直す際は最新の公表資料を確認してください。

公開事例と委託前のチェックリスト

当社の公開事例として、米国のヘルスケア系スタートアップ（NDAにより社名非公開）向けのコンプライアンス文書の自動処理があります。期間12週間で、手作業によるレビュー時間が90%減少し、3週間分の滞留を2週間で解消、月600時間以上の作業を削減したと公開されています。米国の事例であり日本の個人情報保護法への対応例ではありませんが、機微な文書を扱う処理では、どのデータを誰がどこで扱うかを最初に設計する点が共通します。

委託前には、次の点を確認しておくと安心です。

1. 開発に個人データが本当に必要か。ダミーデータで代替できないか
2. 個人データを扱う場合、どの国のどの環境で、誰がアクセスするか
3. 第28条の原則（本人の同意）と例外のどれで対応するか（契約条項全体の確認はオフショア開発の契約チェックリストを参照）
4. 委託契約に、利用目的の制限、再委託の条件、安全管理措置、漏えい時の報告、契約終了時のデータ削除、報告・監査の方法が入っているか
5. 委託先の取扱い状況を定期的に確認する方法と担当者
6. 利用するAIサービスやクラウドの規約と、データの処理地域

日本向けの体制は日本向けページ、データの扱いを含むご相談はお問い合わせからどうぞ。社内文書を扱うAIの構成例はRAG開発で紹介しています。

よくある質問

海外の開発会社への委託でも本人の同意は必要ですか？ 原則として必要です。外国にある第三者への提供の規律（第28条）は委託の場合も同様に適用されると、個人情報保護委員会のQ&A 12-1が示しています。ただし、EU・英国への提供、基準に適合する体制を整えた委託先への提供、法第27条第1項各号に該当する場合は例外となるため、データの内容と委託の形態に応じて専門家と確認してください。

ベトナムは我が国と同等の水準にある国に含まれますか？ 含まれていません。2026年10月時点で規則に定められているのはEUと英国です。ベトナムの事業者に個人データの取扱いを委託する場合は、本人の同意を得るか、委託契約などにより委託先が基準に適合する体制を整えているかを確認することになります。

個人データを渡さずにAI開発を海外委託することはできますか？ ダミーデータのみで検証し、国外の委託先が本番の個人データを取り扱わない設計なら、国外提供を避けられる場合があります。マスキング後のデータの性質と、国外からの閲覧・操作権限は個別に確認が必要です。