日本拟放宽个人信息使用准则,降低AI应用开发的制度性成本

来源：清华智能法治研究院，仅供学习，如有侵权，请联系删除！

2026年4月7日，日本内阁会议通过了《个人信息保护法》修订案，并提交第221届特别国会。新规允许机构在某些情况下，无需获得用户同意就能使用个人信息，标志着该法自2015年全面改革以来的又一次关键转型。从官方说明来看，本次修法的直接动因在于“数字技术迅速发展背景下，数据利用需求与个人权益风险同步上升”。但如果从制度演进的长周期观察，其实质并非简单的“修补性立法”，而是一次围绕人工智能时代的数据利用模式所展开的结构性重构。日本数字化转型大臣松本尚对此表示，通过一系列法律调整，日本将成为“全球最容易开发 AI 应用的国家之一”。

一、修法背景

传统日本个人信息保护法体系，长期处于“同意中心主义”的规范框架之下，即以个人同意作为个人信息处理的核心合法性基础。这一模式在互联网平台时代尚可运行，但在大模型训练、跨主体数据融合与自动化决策广泛展开的背景下，逐渐暴露出明显的制度瓶颈：一方面，数据供给不足成为AI产业发展的核心约束；另一方面，形式化同意机制难以真实反映个人意志，反而演化为“合规形式主义”。

因此，本次修法的根本目标，并非单纯强化保护，而是在“促进数据流通”与“控制数据风险”之间重构平衡。官方文件明确提出，要“在保护个人权益的同时，促进有助于AI利用的数据联通”。

从比较法视角看，这一转型与欧盟近年来在GDPR之后制定《数据治理法》《数据法案》的趋势具有高度一致性，即从“隐私保护法”向“数据治理法”的范式迈进。但与欧盟强调权利结构不同，日本本次修法更明显地体现出“产业促进导向”，其制度设计更为务实、直接。

二、AI训练与统计利用的合法性基础重构

在传统法律框架下，AI训练数据的获取通常面临两大合规障碍：其一，数据来源分散，难以逐一取得同意；其二，即使取得同意，也难以覆盖后续模型训练的多重用途。因此，如何为AI训练提供稳定的合法性基础，成为各国数据法改革的核心议题。

本次修法通过新增第30条之2、第31条之3，明确规定：在“仅用于统计信息等生成”的情形下，可以不取得本人同意，并特别指出“包括可归类为统计用途的AI开发”。

这一规定具有高度突破性，其关键在于两个方面：

第一，将“统计利用”扩展解释为包括AI训练。这意味着，大模型训练在法律上被类比为统计分析活动，从而获得与传统统计同等的合法性基础。

第二，确立“目的限定型豁免结构”。该豁免并非全面放开，而是以“仅用于统计生成”为前提条件，这实际上保留了目的限制原则的约束。（三）制度逻辑：从“同意基础”转向“用途基础”

该条款的制度意义在于，将数据处理的合法性判断，从“是否取得同意”转向“处理目的的性质”。这一转型与日本著作权法中的“非享受性利用”逻辑具有内在一致性，即只要利用行为不直接服务于内容消费，即可放宽权利控制。

换言之，日本通过将AI训练归类为“统计行为”，在法律上实现了对训练阶段与使用阶段的区分：训练阶段侧重数据利用自由，应用阶段再通过其他规则进行约束。但是，本次修法并非将所有人工智能训练一概纳入统计利用，而是明确指出，在“属于统计信息生成范围的人工智能开发”等情形下，可以适用无同意规则。

尽管该制度极大缓解了AI数据供给问题，但其潜在风险同样明显：

一是“统计目的”的界限存在高度不确定性。AI训练与商业利用之间往往难以区分，企业可能通过形式上的“统计名义”规避同意规则。二是对数据主体控制权的弱化。在该制度下，个人对数据进入模型训练过程的控制能力显著下降。因此，该条款的运行效果，在很大程度上依赖于监管解释与执法实践。

按照《法律案纲要》的定义，这里的“统计制作等活动”并非泛指一切数据分析行为，而是指对大量个人信息进行汇总、加工和分析，从而生成不以识别特定个人为目的的信息，例如反映整体趋势、结构或特征的数据结果。在该制度设计下，关键判断标准并不在于是否涉及个人相关信息，而在于处理结果是否指向具体个人、是否具备再识别可能性。同时，该类活动之所以被允许在一定条件下免于取得本人同意，并非因为其在定义上当然属于“低风险行为”，而是基于立法通过用途限定、再识别禁止及后续利用规则等机制，对其潜在风险进行结构性控制。因此，“统计制作等活动”本质上是一类以非个体化信息生成目的为核心、并受到严格用途约束的数据处理行为，而非对所有数据分析活动的概括性豁免。

三、同意规则的一般性松动与“利益衡量模式”的引入

引入“明显不损害权益”的同意例外：修法在多个条文中引入新的同意例外，即：若从取得情形来看“明显不违反本人意志且不损害其权益”，则可不经同意处理个人信息。

同时，还对公共卫生、生命保护等情形下的同意取得条件进行了放宽，并扩大了学术研究例外的适用范围。

制度逻辑：从“形式同意”转向“实质衡量”

该制度的核心在于引入类似GDPR“合法利益”的判断模式，即通过综合衡量处理行为的必要性与对个人权益的影响，决定其合法性。

这意味着，日本法在结构上已经突破“同意一元论”，转向“多元合法性基础体系”。在这一体系中，同意不再是唯一基础，而成为多种合法性依据之一。

虽然该制度与GDPR第6条第1款(f)项存在相似性，但仍有显著差异：一是日本法未建立明确的三步测试（合法利益—必要性—利益平衡），而是采用较为概括的标准；二是缺乏明确的程序性保障（如评估义务、记录义务）；三是未明确数据主体的反对权。概而言之，该规则在功能上接近利益衡量思路，但并未建立类似GDPR第6条的“合法利益”制度体系，其仍属于日本法内部的例外性同意规则扩张，而非独立的合法性基础。

因此，日本的制度更具弹性，但也带来更高的不确定性。

该制度显著降低了企业合规成本，但同时削弱了个人信息自决权的刚性边界。从长期看，其效果取决于监管机构是否能够建立稳定的裁量标准。

四、未成年人保护的结构性强化

修法明确规定：16岁以下个人信息处理，应以法定代理人为同意主体；同时放宽未成年人请求停止利用等权利的行使条件，并引入“应优先考虑未成年人最佳利益”的原则性义务。

从“同意能力”到“利益优先”：该制度的关键突破在于，将未成年人保护从“是否具备同意能力”的问题，提升为“是否符合其最佳利益”的实质判断标准。

这意味着，即使形式上取得了同意，只要处理行为损害未成年人利益，仍可能被认定为违法。

该制度明显受到欧盟GDPR及儿童数据保护规则的影响，但日本修法并未确立严格意义上的“未成年人最佳利益原则”，而是通过“应当予以适当考虑”的义务性表述，引入一种原则性保护导向，而非具体化的合规义务体系。

该规则为监管提供了更大的裁量空间，但也可能增加企业合规不确定性，特别是在算法推荐与行为分析等场景中。

五、生物识别数据与“可影响信息”的扩张性规制

修法对“脸部特征数据”等生物识别信息引入特别规则，包括：

— 强制信息公开义务

— 放宽利用停止请求条件