海外製AIサービスの業務利用リスク。データはどこへ行き、どの国の法律が適用されるのか

データの保存先と準拠法

AIサービスに入力したデータは、そのサービスを運営する事業者のサーバーに送信されます。サーバーが国外にある場合、保存されたデータにはその国の法令が適用され得ます。日本の個人情報保護法における外国にある第三者への提供に該当する可能性もあります。

個人情報保護委員会は、DeepSeekについて、入力データが中国国内に保存され、中国の法令が適用され得る旨の情報提供を行っています。政府からも各省庁に対し、業務利用にあたってのリスク認識を求める事務連絡が発出されています。

確認すべき5つのポイント

1. 01データの保存先の国はどこか。プライバシーポリシーに明記されているか
2. 02入力データが学習に利用されるか。オプトアウトできるか、法人プランでは扱いが変わるか
3. 03保存期間はどれくらいか。削除を要求できるか
4. 04運営事業者の所在国の法制度上、政府によるデータへのアクセス要求が生じ得るか
5. 05日本語での問い合わせ窓口・サポート体制があるか。有事の際に連絡が取れるか

「使わせない」より難しいのは「使われていることに気づく」こと

多くの企業は、リスクの高いサービスを利用禁止リストに入れます。しかしこの方式には限界があります。禁止リストは既知のサービスにしか効かないためです。

生成AIサービスは毎週のように新しいものが登場します。社員が「翻訳が速い」「無料で使える」という理由で見つけてきた新しいサービスは、リストに載っていません。リストの更新が普及の速度に追いつかない構造になっています。

そのため、既知のサービス名の照合だけに頼らず、通信の特徴からAIサービスの利用そのものを検知できる仕組みが有効になります。名前を知らないサービスであっても、AIとのやり取りに特有のパターンから検知できれば、リストの更新遅れに左右されません。

現実的な運用

• 会社として承認するAIを明示し、業務上必要な機能（翻訳・要約・コード補助）を公式に提供する
• 未承認のサービスへ送信しようとした際に、承認済みの代替サービスへ誘導する
• 新規に検知されたAIサービスを定期的に確認し、承認・非承認を判断する運用を回す

重要なのは、特定の国のサービスを一律に敵視することではなく、どのサービスにどの情報が渡っているかを把握し、判断できる状態を保つことです。

Layer Security は、社内で使われているAIを可視化し、個人情報の入力や未承認AIへの送信といった危険な使い方だけをその場で止めるサービスです。社員が入力した文章（プロンプト）は記録しません。メールアドレスだけで、2週間無料でお試しいただけます。