海外のAIサービスと個人データの外国への移転：個人情報保護法で確かめること
この記事の結論
海外の事業者のAIサービスで個人データを扱うときは、①事業者が個人データを取り扱うことになっているか、②取り扱う場合は本人の同意・同等の制度の国・体制の整備のどれで移転できるか、③取り扱わない場合も外国の制度を把握した安全管理と本人への情報提供ができているか、の3点を順に確かめます。
自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）
生成AIや分析のサービスの多くは、海外の事業者が提供しています。便利な一方で、顧客や社員の個人データを扱う使い方では、個人情報保護法の「外国にある第三者への提供」の決まりが関わります。この記事では、個人情報保護委員会のガイドラインとQ&Aにそって、会社として確かめる順番を整理します。
この記事でわかること
- 外国にある第三者へ個人データを渡すときの原則と、例外の3つの道
- クラウドやAIサービスの利用が「提供」に当たるかの考え方
- 契約・設定・社内の手続きで確かめる点
外国への提供には、どんな決まりがありますか？
個人情報保護法第28条は、外国にある第三者へ個人データを提供するときは、原則として、あらかじめ「外国にある第三者への提供を認める」旨の本人の同意を得ることを求めています。国内の第三者への提供よりも、一段階ていねいな手続きになっています。
同意が要らないのは、主に次の場合です。
| 道 | 内容 | 会社が行うこと |
|---|---|---|
| 本人の同意 | 外国への提供を認める同意を得る | 同意の前に、移転先の国の名称・その国の制度・移転先の措置の情報を示す |
| 同等の制度の国 | 個人情報保護委員会が、日本と同等の水準の制度があると認めた国にある第三者への提供 | ガイドラインでは、EU（英国を含まない）と英国が該当するとされています |
| 体制の整備 | 移転先が、日本の決まりに沿った措置を続けて講じる体制を整えている | 契約・内規などで措置を確保する、または国際的な枠組み（APEC CBPRなど）の認証を確かめる |
このほか、法令にもとづく場合など、国内の第三者提供と同じ例外もあります。
本人の同意を得る場合も、情報を示さずに得た同意では足りないことがあります。移転先の国を特定できない場合は、その旨と理由を示すことが求められています。
体制の整備で移転する場合に続けること
体制の整備を理由にする場合、移転したら終わりではありません。ガイドラインは、移転元の会社に、移転先が措置を実施しているかと、その国の制度を定期的に（年に1回程度またはそれ以上の頻度で）確かめること、支障があれば必要な措置を講じ、続けることが難しくなれば提供を止めることを求めています。外国の委託先に取扱いを任せる場合も、委託契約で、委託先から先へ勝手に提供しないことや、再委託先にも同じ措置を求めることなどが例に挙げられています。
外国にある第三者へ個人データを渡すときの3つの道
- 本人の同意外国への提供を認める同意を得ます。同意の前に、移転先の国の名称・その国の制度・移転先の措置の情報を示します
- 同等の制度の国日本と同等の水準の制度があると認められた国にある第三者への提供です。ガイドラインでは、EU（英国を含まない）と英国が該当するとされています
- 体制の整備移転先が日本の決まりに沿った措置を続けて講じる体制を整えている場合です。移転後も、措置の実施とその国の制度を定期的に確かめます
このほか、法令にもとづく場合などの例外もあります。個別の判断は専門家にご確認ください。
AIサービスやクラウドの利用は「提供」に当たりますか？
ここが実務で迷いやすい点です。個人情報保護委員会のQ&Aは、クラウドサービスの利用が提供や委託に当たるかを、保存するデータに個人データが含まれるかではなく、サービスの事業者が個人データを取り扱うことになっているかで判断するとしています。
取り扱わないことになっている例として、Q&Aは、契約の条項で事業者が保存データを取り扱わない旨を定め、適切にアクセス制御をしている場合を挙げています。この場合は提供に当たらず、外国の事業者が管理するサーバーであっても、外国にある第三者への提供には当たらないとされています。
ただし、AIサービスでは注意が要ります。入力した内容をサービスの改善や学習に使う、人がチェックのために閲覧する、といった条件がある場合は、事業者が個人データを取り扱う可能性があります。利用規約・データの取扱いの条件・管理画面の設定を確かめ、学習への利用の有無と、事業者の側での閲覧の条件を記録しておくと判断しやすくなります。生成AIへの入力の注意は「生成AIと個人情報の扱い」もご覧ください。
提供に当たらなくても、やることは残ります
Q&Aは、提供に当たらず委託先の監督の義務がない場合も、利用する会社が自ら安全管理措置を講じる必要があるとしています。さらに、外国の事業者のサービスを使う場合は、外国で個人データを取り扱うことになるため、その国の個人情報の保護の制度などを把握したうえで安全管理措置を講じる必要があるとしています。サーバーが国内にある場合も同じです。
あわせて、保有個人データの安全管理措置として、サービスの事業者の所在国と、個人データを保存するサーバーの所在国の名称を、本人が知ることができる状態に置く必要があるとされています。サーバーの国を特定できない場合は、その旨と理由、本人の参考となる情報を示す形です。プライバシーポリシーの「安全管理措置」の記載を見直すきっかけにしてください。
AIサービスの利用が「提供」に当たるかの分かれ道
- 事業者が個人データを取り扱う提供や委託に当たり得ます。外国の事業者なら、外国への提供の決まり（同意・同等の制度の国・体制の整備）を確かめます
- 事業者が取り扱わないことになっている契約で取り扱わない旨を定め、適切にアクセス制御をしている場合などは、提供に当たらないとされています
- どちらの場合も自ら安全管理措置を講じます。外国の事業者なら、その国の制度を把握し、事業者とサーバーの所在国を本人が知り得る状態に置きます
判断の基準は、保存するデータに個人データが含まれるかではなく、事業者が個人データを取り扱うことになっているかです（個人情報保護委員会のQ&A）。詳しくは専門家にご確認ください。
確かめる手順は？
① 使い方を書き出す：どの業務で、どの個人データ（顧客の名前、問い合わせの内容、社員の評価など）を、どのAIサービスに入れるかを一覧にします。
② 事業者と国を確かめる：契約の相手方の会社の所在国と、データを保存・処理する国を、契約書や公開資料で確かめます。
③ 取り扱うかを確かめる：学習への利用、事業者の側での閲覧、保存期間、削除の方法を利用規約と設定で確かめます。法人向けの契約で条件が変わることもあるため、契約の種類ごとに見ます。
④ 移転の道を決める：事業者が取り扱う場合は、本人の同意・同等の制度の国・体制の整備のどれで移転するかを決め、必要な手続き（同意の画面の文言、契約の条項）を整えます。
⑤ 安全管理と公表を整える：外国の制度を把握した記録を残し、プライバシーポリシーの安全管理措置の記載に、事業者とサーバーの所在国を反映します。
⑥ 定期的に見直す：サービスの規約や提供の国は変わることがあります。年に1回など時期を決め、委託先・サービスの確認リストで見直します。
2026年の法改正はどう関係しますか？
個人情報保護法は、2026年7月17日に改正法が公布されました。個人情報保護委員会のページでは、政令・規則・ガイドラインなどを整えて準備の期間を設ける方針が示されており、施行の日はこの記事を確かめた時点では示されていません。外国への提供や委託先の決まりにどのような影響があるかは、今後の政令・規則・ガイドラインと委員会の案内で確かめてください。
判断の目安
- 個人データを入れない使い方で足りるなら、まずその形から始めると、確かめる範囲を小さくできます。
- 顧客の個人データを入れる使い方は、契約・設定・公表の3点がそろうまで広げないのが安全です。
- EUの顧客や社員のデータを扱う場合は、日本の決まりに加えてGDPRの移転の決まりも関わります（「GDPRの基本とAI活用の注意」）。
チェックリスト
関連するひな形・ガイド・用語
ガイド
よくあるご質問
Q海外の会社の生成AIサービスに個人データを入力すると、すぐに法律違反になりますか？
Aすぐに違反になるとは限りません。サービスの事業者が入力された個人データを取り扱うことになっているか、取り扱う場合は本人の同意や体制の整備などの決まりを満たしているかで判断が分かれます。契約と設定を確かめたうえで、判断に迷う場合は専門家にご確認ください。
Qサーバーが日本にあれば、外国への移転の心配はいりませんか？
Aサーバーの場所だけでは決まりません。個人情報保護委員会のQ&Aは、外国の事業者が保存された個人データを取り扱うことになっていれば、サーバーが国内にあっても外国にある第三者への提供に当たるとしています。取り扱わない場合も、その外国の制度を把握して安全管理措置を講じる必要があるとしています。
Q本人の同意を得れば、それで足りますか？
A同意を得る際には、移転先の国の名称、その国の個人情報の保護の制度、移転先が講じる措置についての情報を本人に示す必要があります。情報を示さずに得た同意では足りない場合があるため、同意を得る画面や書面の文言も確かめます。
この記事に出てくる用語
「ガバナンスと法令」のほかの記事
この柱の解説 →出典
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
- 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」
- 個人情報保護委員会「令和8年改正個人情報保護法について」
- 個人情報保護委員会「EU（外国制度）」
最終確認日：2026-11-12