说清楚你的生意，拿走一份能派工的义务清单

信仰、病历、犯罪经历等可能导致歧视的“要配虑个人信息”，除法定例外外须事前取得本人同意方可取得。对 AI 企业而言，抓取含健康、宗教、政治倾向内容的公开网页用于训练，不因其公开而免除该同意要求，须逐案核查例外是否成立。

需留存证据：要配虑个人信息识别与过滤规则；同意取得记录或例外适用评估；数据集敏感内容抽样审查报告

对所处理的个人数据实施组织、人员、物理与技术层面的安全管理措施，防止泄露、灭失或毁损；委托境外处理时还须掌握境外相关制度并实施必要且适当的措施。

需留存证据：安全管理措施规程（四类措施逐项）；境外处理所在国制度调查记录；访问控制与日志审计记录；员工保密与培训记录

发生个人信息保护委员会规则规定的、对个人权利利益有较大侵害之虞的泄露、灭失、毁损等事态时，须按规则向 PPC 报告，并向本人通知该事态已发生；本人通知困难且已采取替代保护措施的除外。受托方在向委托方通知后可免于自行报告。报告采速报与确报两阶段。

需留存证据：事件响应预案（含日本报告路径）；速报与确报提交记录；本人通知文本与发送证明；替代保护措施的采用理由与记录

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

向外国第三方提供个人数据，原则上须事前取得本人“同意向外国第三方提供”的同意，且取得同意前须按 PPC 规则向本人提供该外国的个人信息保护制度、该第三方所采取的保护措施等参考信息。两类情形除外：接收方所在国被 PPC 规则认定为具有与日本同等水平保护制度的外国；或接收方已建立符合 PPC 规则基准的“相当措施”持续实施体制。依赖后者时，提供方须采取确保相当措施持续实施的必要措施，并应本人要求提供该等措施的信息。

需留存证据：向本人提供的外国制度与保护措施信息文本；同意取得记录（含同意时点与范围）；“相当措施”体制文件（合同、内部规则与对照表）；持续实施状况的年度确认记录；应本人要求提供信息的答复记录

打开工具：跨境传输矩阵

取得个人信息时须尽可能特定利用目的，并以公示或通知方式告知本人；变更目的须在与原目的具有合理关联的范围内，并重新告知。把日本用户数据用于模型训练前，须确认训练用途已落在已公示的利用目的之内，否则须先扩充目的或取得同意。

需留存证据：日文隐私政策与利用目的公示页面；利用目的变更的合理关联性评估记录；模型训练用途与已公示目的的映射表

将个人数据处理的全部或一部分委托他方时，须对受托方实施必要且适当的监督，通常体现为：适当选定受托方、签订含安全管理要求的委托合同、掌握受托方的实际处理状况。中国 AI 企业作为日本客户的受托方时，须准备好接受该监督并配合审计。

需留存证据：委托合同（含安全管理与再委托限制条款）；受托方选定评估记录；定期处理状况报告与现场/远程审计记录；再委托审批记录

第 171 条规定：个人信息处理事业者、假名加工信息处理事业者、匿名加工信息处理事业者或个人关联信息处理事业者，在与向日本境内者提供商品或服务相关联的情形下，于外国处理以日本境内者为本人的个人信息、拟作为该个人信息取得的个人关联信息、或以该个人信息制作的假名加工信息、匿名加工信息的，同样适用本法。境外企业据此须具备接收本人请求、接受 PPC 询问与报告要求的实际能力。

需留存证据：域外适用判定备忘（业务动作与日本用户的关联说明）；日文对外联络渠道与响应时限内规；本人请求处理台账；PPC 询问应对预案与授权人指定

新特例允许在担保数据仅用于统计信息等作成（含可整理为统计作成的 AI 开发）的前提下，无本人同意地进行个人数据第三方提供，以及取得已公开的要配虑个人信息。配套约束包括：公表一定事项（取得者或提供元与提供先的名称、拟进行的统计信息等作成内容等）；第三方提供场合须由提供元与提供先以书面就“仅以统计信息等作成为目的”达成合意；取得者与提供先被禁止目的外利用与再提供。具体对象范围与公表事项由委员会规则另行规定。

需留存证据：统计信息等作成用途的公表页面与存档；提供元—提供先书面合意（限定为统计信息等作成目的）；目的外利用与再提供禁止的技术与流程控制记录；统计化处理流程说明与输出样本；特例适用范围的内部法务判定备忘

处理人脸特征数据等的，须周知一定事项：事业者的名称、地址、代表者姓名，处理人脸特征数据等的事实，其利用目的，作为其来源的身体特征内容，以及响应停止利用请求的手续。同时放宽本人请求停止利用的要件（不问是否存在违法行为），并禁止以选择退出制度为依据向第三方提供人脸特征数据等。周知方式与对象范围由政令与委员会规则规定。

需留存证据：人脸特征数据处理周知文本与公示位置记录；人脸特征数据处理台账（来源身体特征、目的、保存期限）；停止利用请求受理与执行记录；禁止以选择退出方式提供的系统配置证明

修订法以明文规定对受托方课以义务：不得超出所受托业务遂行所必要的范围处理被委托的个人数据等（法令依据、以及为救助生命、救灾或应对非常事态而有紧急必要的情形除外）。同时，若委托合同就处理方法的全部达成合意、并就委托方掌握受托方处理状况所需措施达成合意，则该受托方原则上免除第四章各项义务的适用，但“不得超范围处理”与安全管理义务仍适用。

需留存证据：委托合同中处理方法与掌握措施的完整约定；受托数据与自有数据的技术隔离证明；禁止自用的内部管控与访问日志；紧急事态例外适用的记录

本人未满 16 岁时，同意取得与通知等须以其法定代理人为对象（设有例外：事业者不知本人未满 16 岁有正当理由、法定代理人已许可本人营业且系就该营业取得、本人无法定代理人等）。同时放宽该本人的保有个人数据停止利用等请求要件，并新设责务规定：处理未成年人个人信息等时，须按其年龄与发展程度优先考虑其最佳利益，努力采取必要措施以免损害其权利利益。

需留存证据：年龄判定机制与准确性评估记录；法定代理人同意取得流程与记录；未成年人最佳利益评估文件；面向未成年人的功能限制与默认设置说明

对含有可用于联系特定个人的记述（住居或工作地等所在地、电话号码、邮箱地址、Cookie ID 等）的个人关联信息，新设与个人信息相同的不当利用禁止与不正当取得禁止；含此类记述的假名加工信息与匿名加工信息同样适用。这意味着即便数据在本方不构成“个人信息”，以欺骗方式取得或用于助长违法行为仍属违法。

需留存证据：个人关联信息来源合法性核查记录；数据供应商尽调与合同承诺；用途限制与禁止清单（含禁止助长违法行为）；取得方式说明与用户告知文本

课徵金以“违法行为所获财产性利益”为计算基础，并以行为人是否怠于相当注意作为限定条件。企业应据此：建立并留存能证明已尽相当注意的内控证据（合规审查、数据来源核查、内部审批）；对第 19、20(1)、27(1) 条及统计特例相关处理建立专项台账；并能在受调查时区分与违法行为相关与无关的收益。官方概要以“对象行为涉及本人数 1,000 人”为大规模基准。

需留存证据：相当注意义务履行证据包（审查、审批、培训）；高风险处理活动专项台账；与处理活动关联的收入口径说明与核算底稿；违规发现后的中止与整改记录

依选择退出届出制度向第三方提供个人数据时，须事前确认该提供先的身份（姓名或名称、地址、代表者姓名）与利用目的；就确认事项作虚假陈述的，将成为过料对象。取得该个人数据时其已由本人、国家机关或地方公共团体公开的等情形除外。

需留存证据：提供先身份与利用目的确认记录；选择退出届出文件；提供先尽调与合同条款；公开来源例外适用的证据

本法不设罚则、不设审批与备案，因此在日本的 AI 合规判断必须回到既有法律：个人信息保护法（含 2026 年修订）、著作权法（训练与输出）、不正竞争防止法、产品责任法，以及金融、医疗、汽车、电信等行业监管。企业内部须建立“日本 AI 法不产生独立义务、但相关义务分散于他法”的映射，避免误判为已合规。

需留存证据：日本 AI 相关法律义务映射表（法域—义务—责任部门）；各既有法律的合规状态评估；法律变更监测机制与复核记录

第七条把“拟开发或提供利用 AI 相关技术的产品或服务者，以及其他拟在事业活动中活用 AI 相关技术者”定义为“活用事业者”，要求其依基本理念努力通过积极活用 AI 提升事业活动效率与高度化、创出新产业，并须协力国家依第四条、地方公共团体依第五条实施的施策。这是责务条款而非可罚义务，实务上表现为配合政府调查、参与指针与标准制定、响应信息提供请求。

需留存证据：配合政府调查与信息提供的往来记录；参与指针或标准制定的记录；内部 AI 活用方针文件

第十三条规定国家为谋求 AI 相关技术研究开发与活用的适正实施，应制定符合国际规范宗旨的指针并采取其他必要施策；第十八条规定政府制定人工智能基本计划。企业应把这两份文件作为日本市场的治理期待基线纳入内部 AI 治理体系，并在政府采购与大客户尽调中据此作答。2025-12-23 内阁会议已决定《人工智能基本计划》。

需留存证据：内部 AI 治理制度与国家指针的对照表；基本计划相关举措的跟踪记录；尽调问卷答复底稿

ISO/IEC 42001 人工智能管理体系实施与认证准备清单