2026年の夏、日本とEUで施行日が近接した2つの法改正が、実は同じ設計思想を共有している。
日本：同意を緩め、制裁を強めた
「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月10日に国会で可決・成立し、同月17日に公布された。今回の改正は、個人データの利活用を一律に抑え込むのではなく、権利利益を侵害するリスクが比較的低い取扱いについては同意規制を緩和する方向を採っている。統計作成等にのみ利用される場合の同意取得義務の免除が、その代表例だ。
一方で、締まった領域もはっきりしている。
- 子どもの個人データの規律強化
- 顔特徴データをはじめとする生体データの規律強化
- 個人情報ではないが連絡可能な情報についての規律整備
- 委託先管理の規律強化
そして最大の変更が、個人情報保護法として初めて導入される課徴金制度である。個人情報の違法な取扱いによって財産上の利益を得た場合、個人情報保護委員会が直接、課徴金の納付を命じることができる。複数の法律事務所の解説によれば、算定は違反行為に係る売上高がベースとなるため、大規模な事案では相当額に達しうる。勧告・命令その他の執行手段も拡充される。
施行時期は段階的だ。一部規定が2027年1月17日、主要部分は公布から2年以内（2028年7月16日まで）の政令で定める日とされている。つまり実務対応の猶予は1年半から2年ある。
EU：高リスクを延ばし、透明性を先に出した
EUのAI Actでは、第50条の透明性義務が2026年8月2日から適用開始となった。中身はマーケティング実務に直接刺さる。
合成音声・画像・映像・テキストを生成するAIシステムの提供者は、その出力を機械可読な形式でマーキングし、人工的に生成または改変されたものとして検知可能にしなければならない。マークは実効的・信頼性が高く・堅牢で・相互運用可能であることが求められる。加えて、AIとの対話であることの開示義務、ディープフェイクのラベリング義務も含まれる。オープンソースのAIシステムも免除されない。
ただし移行措置がある。2026年5月のAI Omnibus暫定合意により、8月2日より前に市場に出ていた生成AIシステムについては、第50条(2)の機械可読マーキング要件の充足期限が2026年12月2日まで猶予された。
そして注目すべきは、より重い高リスクAIの義務が延期されたことだ。2026年6月16日の改正で、Annex IIIの単独型高リスクAIシステムは2026年8月2日から2027年12月2日へ16か月の後ろ倒し、Annex Iの製品組込型は2027年8月2日から2028年8月2日へ移った。
2つの改正に共通する構図
ここからは筆者の読みだ。
日本は「同意」という事前手続きを一部緩め、代わりに課徴金という事後の結果責任を導入した。EUは「高リスク該当性の事前審査」という重い手続きを1年半先送りし、「AI生成物であることの開示」という透明性義務を先に走らせた。
方向は違うように見えて、重心の移し方は同じである。「事前に正しい手続きを踏んだか」から「結果として何を作り、何を漏らしたか」へ。前者はチェックリストで守れるが、後者は守れない。
この含意は小さくない。日本企業のプライバシー対応は、長らく「同意文言の整備」と「プライバシーポリシーの更新」を中心に回ってきた。課徴金が売上高ベースで算定されるなら、守るべきはドキュメントではなく実際のデータフローになる。
マーケターに直接効く3点
-
生成AIで作った制作物のEU向け配信。 8月2日以降、EU域内に向けて生成AI由来の広告クリエイティブ、記事、音声、動画を配信するなら、機械可読マーキングの射程に入りうる。既存システムには12月2日までの猶予があるが、新規に導入する生成ツールには猶予がない。使っているツールが透かしや来歴情報を出力しているか、ベンダーに確認する時期だ。本誌が先日報じたClaudeの全出力への透かし導入も、この文脈の中にある動きだった。
-
顔特徴データの棚卸し。 店舗のカメラ計測、来店者属性の推定、動画広告の視聴者分析。「個人を特定していないから大丈夫」という整理が、顔特徴データの規律強化後も通るとは限らない。ベンダーが何を取得し、どこに保存しているかを、契約書ではなく実装レベルで確認する。
-
委託先管理の実装。 広告運用、MAツール、CDP、分析ツール——個人データが渡っている委託先の一覧が、最新の状態で存在するか。委託先規律の強化は、この一覧が「作ってから更新されていない」組織を直撃する。
反対の見方もある
課徴金制度については、萎縮効果を懸念する声もある。データ利活用を進めたい事業者にとって、算定基準が売上高ベースであることは、投資判断の不確実性を高める。同意規制の緩和とセットになっているのは、そのバランスを取る意図と読めるが、実際にどう運用されるかは個人情報保護委員会のガイドライン次第だ。施行まで1年半以上あるのは、そこを詰めるための時間でもある。
日本発のOriginator Profileが報道と広告在庫の身元確認に向かっているように、「誰が作ったか」「何で作ったか」を機械が検証できる状態にすること——法規制と技術標準が、いま同じ場所を目指している。