韓国、AI開発向け個人情報の特例が国会通過｜日本の「統計特例」と何が違うのか

韓国の「個人情報保護法」改正案が8月20日、国会本会議を通過しました。AI技術開発のために個人情報を使える特例が新設されます。ただし条件は三つ、全部必要となります。うち一つは韓国個人情報保護委員会（PIPC）の審議・議決です。日本も令和8年改正で「統計特例」を入れましたが、そちらに事前審査は出てきません。同じ方向へ動い...

KEY POINTS

表面：見出しで流れてくる話	深層：原文を開くと出てくる話
韓国がAI開発に個人情報を使えるようにした	使える道は開くものの、通行許可証が要ります。仮名・匿名情報では困難であること、公益的・社会的必要性、強化された安全措置とPIPCの審議・議決。この三つが同時に必要となります
日本も韓国も同じ方向	韓国側の資料が詰まりの場所として挙げるのは「適法に収集した個人情報の目的外利用」。日本の統計特例が条文で名指しするのは「個人データ等の第三者提供」と「公開されている要配慮個人情報の取得」
手続きが緩くなった	韓国は事前に当局の議決を取ります。日本は公表と、提供元・提供先間の書面合意が入口。重心の置き場所が違います
そのうち施行される	韓国は公布後6か月施行ですが、公布日が未定。日本は公布済み（7月17日）でも施行期日は「公布の日から起算して２年を超えない範囲内」で政令待ち

何が可決されたのか

通ったのは「特例の新設」です。既存の処理根拠はそのまま残り、その横に条件付きの通り道が一本増えます。

PIPCの報道資料は、これまでの詰まりをこう説明しています。適法に収集した個人情報を別の目的で使うには、情報主体の別途同意か法律上の根拠が要ります。あるいは仮名情報・匿名情報の形にしなければ使えません。AI開発の現場は、そこで止まっていました。

従来の逃げ道は規制サンドボックスでした。AIを使ったボイスフィッシング防止、自動走行ロボット開発といった一部の革新サービスに限り、個人情報を含む映像や音声データの活用を認めてきた制度です。もっとも、資料には限界がはっきり書かれています。「일정 기간 동안(기본 2년, 최대 4년) 한시적으로 예외를 인정하는 제도（一定期間（基本2年、最大4年）にわたり、一時的に例外を認める制度）」。期限付きの例外の上に、事業計画を載せる形でした。

今回の改正案は、既存の個人情報処理根拠とは別に、独立した根拠を置きます。

効くのは、事前に当局の議決を取りに行く手続き

三つの条件が同時にそろって、初めて道が開きます。一つでも欠ければ従来通りです。

「▲가명정보나 익명정보만으로는 인공지능 개발이 곤란하고, ▲공익적, 사회적 필요성이 인정되는 경우에 한해 ▲강화된 안전조치와 개인정보위의 심의·의결을 전제로 적법하게 수집한 개인정보를 인공지능 기술 개발에 활용할 수 있는 특례를 마련했다」
。個人情報保護委員会（韓国）報道資料「안전한 인공지능 개발을 위한 개인정보 활용 특례 신설」2026年8月20日

訳すと、仮名情報や匿名情報だけではAI開発が困難であること。公益的・社会的必要性が認められる場合に限ること。強化された安全措置とPIPCの審議・議決を前提とすること。この三つです。

実務に効いてくるのは三つ目です。事前に規制当局の議決を取りに行く手続きが挟まります。開発カレンダーの上に、自社では動かせない期間が乗る。そういうことになります。

安全措置の中身も具体的です。機微情報や固有識別情報を処理するなど、情報主体の権利・利益への影響とリスクが大きい場合は、事前にリスク要因を評価し、改善策を用意しなければなりません。特例を使う企業・機関は主要な内容を個人情報処理方針で公開し、PIPC側も特例の運営状況をホームページで公開します。

審議手続の簡素化についても記述があります。すでに議決を経た特例と実質的に同一または類似のAI技術・サービスなら、手続を簡素化する、と。ただし原文の語尾は「할 예정」。これからそうする予定、という段階です。今ある制度として数えてはいけません。

日本の統計特例が名指ししている行為は、別のところにある

本質は「両国ともAI開発に例外を作った」ではなく、「例外が触れている行為が違う」ということです。

日本も同じ年に動いています。令和8年改正個人情報保護法は4月7日に法案が閣議決定され、7月10日に第221回国会で成立、7月17日に公布されました。その中に「統計作成等」の特例があります。

「個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成（※）にのみ利用される場合は本人同意を不要とする。※ 統計作成等であると整理できるAI開発等を含む。」
。個人情報保護委員会事務局『個人情報の保護に関する法律等の一部を改正する法律案（概要）』（第30条の２、第31条の３）

日本側が条文で名指ししているのは二つ。個人データ等の第三者提供と、公開されている要配慮個人情報の取得です。AI開発は「統計情報等の作成」として整理できる範囲で、その中に入ってきます。

韓国側の報道資料が詰まりの場所として挙げていたのは、適法に収集した個人情報を「다른 목적으로 이용」（別の目的で利用する）場面でした。そこに特例が置かれています。

並べて読むと、同じ「AI開発のための例外」でも、日本はデータが社外へ動く場面を、韓国は手元のデータを別目的に回す場面を、それぞれ言葉にしています。

ここで一つ、線を引いておきましょう。韓国側で今読めるのは報道資料であって、条文そのものではありません。「韓国の特例には第三者提供が含まれない」と結論するには早すぎます。条文の全文は、公布後に確認する話になります。

日本の統計特例に事前審査はない。入口は公表と書面合意

手続きの重心が、韓国は「審査」に、日本は「公表と契約」に置かれています。

統計特例に依拠するために想定されている規律は、委員会事務局の資料にこう並びます。一定の事項の公表（取得者、あるいは提供元・提供先の氏名・名称、行おうとする「統計情報等の作成等」の内容等）。第三者提供の場合は、その目的のみである旨の書面による提供元・提供先間の合意。そして取得者および提供先は、目的外の利用と第三者提供を禁止されます。

規制当局の議決を取りに行く手続きは、この並びに出てきません。入口には、公表文と契約書が立っています。

軽い制度という意味ではありません。同じ資料には「統計作成等の特例に関して課徴金の対象となり得る違反行為の例」という参考ページがあり、統計情報等の作成を目的として提供を受けた個人データを「統計化等せずにそのまま第三者に販売していた場合」といった例が挙がっています。

もう一点。日本側も細部は固まっていません。資料の脚注には「具体的な対象範囲や公表事項等は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、委員会規則等で定めることを想定」とあります。想定、です。EU側の表示義務でも同じ構図を見ました（EUのAI表示義務、欧州向けサイトで何をすればいいのか）。法律が先に立ち、運用の細目は後から降りてきます。

施行日はこれから。韓国は公布日待ち、日本は政令待ち

韓国は公布日のあと、日本は政令のあとに「いつから」が決まります。取り違えたときのずれは、社内スケジュール全体に及びます。

韓国の改正案は、国務会議への上程・議決を経て、公布後6か月後から施行される段取りです。もっとも、その公布日がまだ決まっていません。「2027年◯月から」と書くには材料が足りないわけです。

日本の統計特例は、公布まで済んでいます。施行期日のほうは「原則として公布の日から起算して２年を超えない範囲内」で、政令が決めます。

手続きの段階の違いも、混同しやすい点です。日本は成立・公布まで終わって下位規則を待っている段階。韓国は本会議通過が済んだところで、公布はこれから。「日本もまだ国会で審議中」と書けば誤りになりますし、「韓国は来年から施行」と書いても同じです。

本当の意味：方向は同じでも、社内に要る書類が別物になる

問うべきは「どちらが緩いか」ではありません。「うちのどのデータが、どちらの手続きに乗るか」です。

二つの国が近い時期に同じ方向へ動いた。そこまでは事実です。日本の感覚をそのまま韓国に持ち込むと、書類が足りなくなります。

日本の統計特例を前提に設計するなら、最初に出てくるのは公表文と、提供元・提供先の書面合意です。相手方との契約書に「統計情報等の作成のみを目的とする」旨を書き込む作業になります。つまるところ、法務と契約の仕事。

韓国の特例を前提にするなら、最初に出てくるのは審議・議決の申請です。仮名情報・匿名情報だけでは足りない理由を説明し、公益的・社会的必要性を立て、強化された安全措置を示す。ここまでが申請の中身です。機微情報や固有識別情報を扱うなら、リスク評価と改善策も要ります。特例を使っていること自体も、個人情報処理方針で公開。そこへ「当局と話す時間」が加わります。

スケジュール表の形が変わる。それが実務での違いです。

韓国市場そのものの作法が日本と違うことは、検索の側でも同じでした（NAVER、ユーザーの「保存リスト」を検索結果に推薦開始）。制度でも検索でも、「日本でこうだから韓国でもこう」が通じない場所が残っています。

韓国事業を持つ企業が今やること

扱っているデータを二列に分けて書き出す：韓国で扱う個人データを、「社外から受け取る／社外へ渡す」ものと「自社が集めて別目的に回したい」ものに分けます。前者は日本の統計特例の議論と地続きですが、韓国側では別の手続きになり得ます。棚卸し自体は、施行を待たずに着手できる作業です。
「仮名・匿名情報だけでは足りない理由」を今のうちに文章にする：韓国の特例は、この説明が入口にあります。開発チームの頭の中にしかない話を、法務が読める形に落としておくこと。施行後に書き始めると、審議の順番待ちで数か月が消えます。
公布日の告知担当を一人決める：韓国は公布後6か月で施行。公布は官報とPIPCの発表で分かります。誰がそれを見て、誰に知らせるか。名前を一つ決めておけば済む話です。
日本側の契約テンプレートの作り込みは、委員会規則を見てから：統計特例の対象範囲や公表事項は「委員会規則等で定めることを想定」の段階にあります。今から詳細を詰めると二度手間になり得ます。

参考資料

メニューメニュー

AI・SEO対策