議事録AIのセキュリティで見るべき4点 — 国内保存・認証・学習利用・保持期間

なぜ精度より先にここを見るのか

文字起こしの精度は、トライアルを1週間回せば自社の会議音声で判断できる。一方セキュリティは、契約してから「実は海外保存だった」と分かっても後戻りできない。情報システム部門や法務のレビューで止まる論点を先に潰しておくほうが、結果として導入が早い。

以下の4点は、どのツールでも公式サイトか規約のどこかに書かれている。書かれていない場合は、問い合わせて書面で回答をもらう。回答が得られないものは候補から外していい。

音声と文字起こしがどの国のサーバーに保存されるかを確認する。国内保存を明示しているサービスと、保存リージョンを選べるサービス、そもそも開示していないサービスがある。個人情報保護法では外国にある第三者へ個人データを提供する場合に本人の同意や体制整備が必要になるため、会議の参加者に社外の個人が含まれるなら無視できない論点になる。

国内保存を前提にしたいなら、日本のベンダーが提供するサービスのほうが説明が簡単になる場面が多い。Rimo はセキュリティ認証の取得と国内保存を打ち出しており、LINE WORKS AiNote は法人向けの提供形態をとっている。

2. 第三者認証の有無

ISO/IEC 27001（情報セキュリティ）、ISO/IEC 27017（クラウドサービス）、SOC 2 Type II のいずれかを取得しているかを見る。認証は「安全の証明」ではなく「運用の仕組みが第三者に点検されている証明」である。稟議では、この点検が入っていること自体が通しやすさに直結する。

• 取得している認証の名称と範囲（会社全体か、該当サービスのみか）
• 認証の有効期限と最終更新日
• 報告書の開示条件（NDA締結後に開示、という形が多い）

3. 入力データが学習に使われるか

会議の音声や文字起こしが、モデルの学習や品質改善に使われるかどうか。ここは3つの状態がある。既定で使わない、既定で使うが設定でオフにできる、オフにできない。業務利用で選べるのは前の2つだけである。

注意したいのは、議事録ツール自身の規約と、その裏で使われている外部の大規模言語モデルの規約が別であることだ。要約機能が外部APIを呼んでいる場合、そのAPIのデータ取り扱いも確認対象になる。「要約に使っているモデルはどこのものか」「その事業者との契約でデータが学習に使われない扱いになっているか」を聞くとよい。

4. 保持期間と削除の方法

記録をいつまで保持するか、削除を依頼したときにバックアップからも消えるか、退職者のアカウントを停止したときにその人が録った記録がどうなるかを確認する。ここは運用の設計と直結する。

参加者への告知も設計に入れる

技術的な確認が終わっても、録音すること自体を参加者に伝える手順が必要になる。社内会議なら就業規則や社内規程に書く形、社外が同席する会議なら冒頭で口頭で伝えて議事録に残す形が一般的である。Bot が会議に参加して録音する方式のツールでは、参加者一覧に Bot が見えるため気づかれやすいが、気づかれることと同意を得たことは別である。

よくある質問

Q. 海外のサービスは使ってはいけないのですか。

A. そうではありません。外国にある第三者へ個人データを提供する場合の要件を満たせば利用できます。要件を満たすための説明資料を用意できるか、という運用の問題です。社外の方が同席する会議を録る場合はとくに事前の整理が必要です。

Q. 認証を取っていれば安全ですか。

A. 認証は運用の仕組みが第三者に点検されていることを示すもので、事故が起きないことの保証ではありません。認証の有無だけで判断せず、保存先と学習利用の条項を併せて確認してください。

Q. 無料プランでも同じ条件ですか。

A. 無料プランと有料プランで、データの取り扱いや保持期間が異なるサービスがあります。無料で試してそのまま業務に使う前に、有料プランの条項を確認してください。