● 実は、AI開発の多くは現在法でも可能だった
後者（名寄せによる統計の作成）については、現行法でも「統計データへの加工を行うこと自体を利用目的とする必要はありません」とされています[7]。
そのため、事業者が単独でおこなう限り、統計作成は（AIが含まれるかという論点はあるものの）、本人への公表すら不要です。
完成した統計情報や学習済みAIモデルは、個人情報の前提である「個人に関する情報」に該当しない限り、個人情報保護法の規制対象外であるため、他社へ提供することも可能です[8]。
つまり、現行法でも、事業者が単独で統計やAIを作成し、それを他の事業者へ提供して追加分析や再学習をさせたりすることもできます。
●複数の事業者が名寄せによる統計やAI学習データの作成は不可
ここでできないのは、複数の事業者が本人を名寄せして統計やAIの学習データを作ることということになります。
特に統計では、名寄せをおこなわないと、A社での本人Xと、B社での本人Xは別の人として扱われますので、名寄せしたうえで正確な統計を作成したいというニーズがあります。
ここで対応すべきは、個人データの第三者提供規制（27条1項）ということになります。
なお、安全管理措置（セキュリティの義務）については、統計特例の場面は、個人データのみならず個人情報にも義務を課しています（改正後30条の2第14項）。
データベース化されていなくても安全管理措置義務が掛かるということです。
