匿名加工情報・仮名加工情報・合成データの使い分け
この記事の結論
社内の分析やAIの開発に使うなら仮名加工情報、社外に提供するなら匿名加工情報が基本の選択肢です。合成データは作り方しだいで扱いが変わるため、元のデータとのつながりを確かめてから使います。いずれも、加工した後に守る義務があります。
自社の「データ」の準備度は？10問・約3分で確かめる（無料・登録不要）
顧客や従業員のデータをAIの開発や分析に使いたいとき、「個人情報のまま使ってよいのか」「加工すれば自由に使えるのか」という疑問がよく出ます。この記事では、個人情報保護委員会のガイドラインにそって、仮名加工情報・匿名加工情報・合成データの違いと選び方を整理します。個別の判断は、専門家にご確認ください。
この記事でわかること
- 仮名加工情報と匿名加工情報の違い（できること・守ること）
- 合成データの考え方と、使うときの注意
- 目的に応じた選び方と、社内で決めておくこと
そもそも、なぜ加工するのですか？
個人情報保護法では、個人情報を使えるのは、原則として特定した利用目的の範囲内です。目的の外で使うときや、個人データを第三者に渡すときは、原則として本人の同意が必要です（通則編のガイドライン）。
AIの開発や新しい分析は、データを集めたときに想定していなかった使い方になることがあります。そのため、個人が分からないように加工したうえで使う、という方法が制度として用意されています。それが仮名加工情報と匿名加工情報です。
仮名加工情報と匿名加工情報は、何が違いますか？
仮名加工情報
仮名加工情報は、ほかの情報と照らし合わせない限り特定の個人を識別できないように加工した情報です。ガイドラインは、氏名など個人を識別できる記述の削除・置き換え、個人識別符号の削除、クレジットカード番号など財産的な被害につながる記述の削除を、加工の基準として示しています。
社内で使う前提の制度で、主な特徴は次のとおりです。
- 利用目的を、元の目的との関連を超えて変えることができます。ただし、変えた後の目的は公表します。
- 個人データである仮名加工情報は、原則として第三者に提供できません。委託・事業の承継・共同利用に伴う場合などは例外です。
- 元の本人を識別するために、ほかの情報と照らし合わせることは禁止されています。本人への連絡などに、含まれる連絡先を使うこともできません。
- 仮名加工情報である個人データには、漏えい等の報告と本人への通知の規定（法第26条）は適用されません。ただし、元の個人データや、削除した記述と対応表などの「削除情報等」は対象になります。
匿名加工情報
匿名加工情報は、特定の個人を識別できず、元の個人情報に戻すこともできないように加工した情報です。ガイドラインは、識別できる記述の削除に加えて、データをつなぐための符号の削除、珍しい記述（特異な記述）の削除、データベースの性質に応じた措置などを基準として示しています。仮名加工情報より加工の水準が高くなります。
社外に渡すことを想定した制度で、主な特徴は次のとおりです。
- 作った後、遅滞なく、含まれる個人に関する情報の項目を公表します。
- 本人の同意なく第三者に提供できます。その際は、提供する項目と方法を前もって公表し、提供先に匿名加工情報であることを明示します。
- 元の本人を識別するために、ほかの情報と照らし合わせることは禁止されています。
- 加工の方法などの情報の安全管理は義務です。
| 比べる点 | 仮名加工情報 | 匿名加工情報 |
|---|---|---|
| 加工の水準 | 照らし合わせない限り識別できない | 識別できず、元に戻せない |
| 主な使い方 | 社内の分析・AIの開発 | 社外への提供・共同での分析 |
| 第三者への提供 | 原則としてできない（例外あり） | 公表と明示をしたうえでできる |
| 作った後の公表 | 変えた利用目的など | 含まれる情報の項目 |
※ 表は主な違いを整理したもので、すべての義務を示すものではありません。詳しくはガイドラインの記載でご確認ください。
目的から、加工の方法を選びます
- 社内で分析・AIの開発に使う仮名加工情報が候補。利用目的は公表すれば変えられるが、第三者への提供は原則としてできない（委託・事業の承継・共同利用などは例外）
- 社外に提供する匿名加工情報が候補。項目と方法を公表し、提供先に匿名加工情報であることを明示すれば、本人の同意なく提供できる
- 本物に近いテスト用のデータが要る合成データが候補。元のデータとのつながりが残る場合は、個人情報などとして扱う前提で考える
- 元の利用目的の範囲内で使える加工せずに、個人データとして安全管理措置をとって使う方法もある
いずれも、元の本人を識別するための照らし合わせは禁止されるなど、加工した後に守る義務があります。個別の判断は専門家にご確認ください。
合成データとは、どう違いますか？
合成データは、実際のデータの特徴をまねて、統計の手法やAIのモデルで人工的に作ったデータです。個人情報保護法の仮名加工情報・匿名加工情報のような定められた区分ではなく、作り方と中身によって、どう扱うかを考える必要があります。
米国の国立標準技術研究所（NIST）の文書「SP 800-188」は、合成データの作り方を大きく2つに分けて説明しています。
- 一部を置き換える方法（部分的な合成）：元のデータの一部の行・列・値を、統計のモデルで作った値に置き換えます。元のデータが多く残ります。
- すべてをモデルから作る方法（完全な合成）：元のデータからモデルを作り、そのモデルで新しいデータを作ります。元の記録と1対1で対応しない形になります。
同じ文書は、精度の高いモデルやそこから作った合成データでも、個人の情報がもれ、再び識別されるおそれがあるとしています。そのため、ノイズを加える「差分プライバシー」などの手法で、もれる量を抑える考え方を示しています。
企業が合成データを使うときは、次の点を確かめると安心です。
- 元のデータの記録が、そのまま、または少し変えた形で残っていないか
- 珍しい値（極端な年齢や、件数の少ない組み合わせ）から、特定の人が推測できないか
- 合成データを作るために元の個人データを使うこと自体が、利用目的の範囲内か
- 合成データを作るモデルを外部のサービスで動かす場合、元のデータの扱いはどうなるか
元の個人とのつながりが残る場合は、個人情報や仮名加工情報として扱う前提で考えるほうが無理がありません。判断に迷う場合は、専門家にご確認ください。
どれを選べばよいですか？
目的から考えると、次のように整理できます。
① 社内でAIの開発や分析に使う → 仮名加工情報が候補です。元の利用目的と関連の薄い使い方でも、公表すれば使えるようになります。社外の会社に分析を任せる場合は、委託として扱えるかを確かめます。
② 取引先や研究機関にデータを提供する → 匿名加工情報が候補です。加工の水準が高いため、分析に使える細かさが減ることも見込んでおきます。
③ テストや開発の環境で、本物に近いデータが必要 → 合成データが候補です。ただし、元のデータとのつながりを確かめます。
④ 利用目的の範囲内で使える → 加工せずに、個人データとして安全管理措置をとって使う方法もあります。加工には手間がかかるため、まず元の利用目的の範囲内かを確かめます（「顧客データをAIで活用するときの進め方と注意」参照）。
2026年の改正で、何が変わりますか？
2026年7月17日に、個人情報保護法を改正する法律が公布されました。個人情報保護委員会の資料では、統計の作成等にのみ利用される場合に、本人の同意なく個人データを第三者に提供できるようにすることが示され、AIの開発等も統計の作成等と整理できれば対象に含まれるとされています。個人の権利利益を害するおそれが少ないものに限られます。
施行の日と細かな条件は、今後の政令・規則・ガイドラインで示される予定です（2026年11月時点）。仮名加工情報や匿名加工情報の使い方との関係も含めて、施行の前に最新の情報を確かめてください。
社内では、何を決めておけばよいですか？
加工したデータは、作った後の管理で事故が起きやすくなります。次のことを決めておきます。
- 加工の手順と担当：誰が、どの基準で加工し、誰が確かめるか
- 削除情報等の管理：仮名加工で削除した記述や対応表を、加工したデータと分けて保管し、見られる人を限る
- 公表の手順：変えた利用目的（仮名加工情報）や、含まれる項目（匿名加工情報）を公表する場所と手順
- 照らし合わせの禁止の周知：使う人に、元の本人を探す行為が禁止されていることを伝える
- 台帳：どのデータを、いつ、何のために加工したかを記録する
データの分類ルールに、加工したデータの区分を加えておくと、扱いを取り違えにくくなります（「社内データの分類ルールの作り方」参照）。
チェックリスト
関連するひな形・ガイド・用語
ひな形
ガイド
よくあるご質問
Q氏名を消せば、個人情報ではなくなりますか？
A氏名を消しただけでは、個人情報のままである場合があります。社内に元のデータや対応表が残っていれば、照らし合わせて誰の情報か分かるためです。仮名加工情報や匿名加工情報として扱うには、個人情報保護委員会のガイドラインが示す加工の基準を満たし、それぞれの義務を守る必要があります。
Q仮名加工情報は、取引先やAIの開発会社に渡せますか？
A仮名加工情報である個人データは、原則として第三者に提供できません。ただし、委託・事業の承継・共同利用に伴う場合など、ガイドラインが示す例外があります。社外の会社に分析を任せる場合は、委託として扱えるかを確かめ、委託先の監督も行います。
Q合成データなら、個人情報保護法を気にしなくてよいですか？
A合成データは作り方によって扱いが変わるため、一律には言えません。元のデータの一部をそのまま使ったり、元の個人の情報が推測できたりする場合は、個人情報として扱う必要が出てきます。米国の国立標準技術研究所（NIST）の文書も、合成データから個人の情報がもれるおそれがあると述べています。判断に迷う場合は専門家にご確認ください。
Q2026年の個人情報保護法の改正で、扱いは変わりますか？
A2026年7月17日に公布された改正法では、統計の作成等にのみ利用される場合に、本人の同意なく個人データを第三者に提供できる仕組みなどが設けられます。AIの開発等も、統計の作成等と整理できれば対象に含まれるとされています。施行の日と細かな条件は今後の政令・規則・ガイドラインで示されるため、最新の情報を確かめてください。
この記事に出てくる用語
「データ」のほかの記事
この柱の解説 →出典
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 個人情報保護委員会「令和８年 改正個人情報保護法について」
- 個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律 政令・規則等で定める事項の全体像について」（2026年8月26日）
- NIST「SP 800-188 De-Identifying Government Datasets: Techniques and Governance」（2023年9月）
最終確認日：2026-11-12