海外AIサービスへ個人データを送る前に、越境移転の条件を確認する

2026年10月25日2026年10月28日

URLをコピーしました！

公開日: 2026年10月25日

海外AIサービスへ個人データを送るときは、送信先の法人、実際にデータを扱う主体、保管・処理・アクセスの場所を分けて特定し、適用される法域の移転条件と照合します。日本語の画面、国内の販売代理店、国内リージョンという一つの情報だけでは、国外への提供がないとは判断できません。

日本の個人情報保護法では、外国にある第三者への提供について、本人同意を得る場合、一定の制度や体制を根拠とする場合などで確認事項が異なります。EUのGDPRが適用される処理には、別にその移転規律を検討します。同じ契約書を持っていることを理由に、異なる法域の条件を一つにまとめないことが重要です。

以下は2026年10月19日に確認した個人情報保護委員会の現行掲載ガイドライン・FAQと、GDPRおよび欧州データ保護会議の資料に基づく整理です。特定のサービスや個別契約について適法性を認定するものではありません。対象者、処理主体、利用目的、データの種類を整理したうえで、法務担当者が適用法と移転の根拠を確認するための手順として使ってください。

送信先と保存先を別の欄にする

最初に、顧客対応のどの処理へAIを使うかを決めます。回答案を作る目的なら、AIに顧客名や連絡先まで渡す必要があるかを先に検討します。渡す項目の絞り方は個人情報をAIへ渡す前に、目的に必要な項目へ絞るで扱っています。入力を減らせても個人データに当たる場合は、その範囲について移転条件の確認が残ります。単純な符号への置換を、規律の対象外になる加工だと扱わないようにします。

次は、架空の日本企業が顧客対応AIを導入する例です。顧客管理システムから問い合わせを取り出し、社内アプリがAIへ送って回答案を受け取り、担当者が確認します。構成は説明用の仮定であり、実在するサービスの保存場所や契約を示していません。

社内の顧客管理システム → 社内アプリ → AI提供者 → 回答案 → 社内の担当者

この主要経路に加えて、AI提供者の保管領域、運用・障害調査担当者、再委託先、外部検索や接続機能への分岐を記入します。矢印には「問い合わせ本文」「添付」「検索語」「診断情報」のように渡る情報を付けます。回答の中にも顧客識別情報が含まれ得るため、入力だけでなく出力とログの流れも対象にします。

確認する対象	記録する内容	主な照合先
契約・提供の相手	正式な法人名、役割、所在地、契約当事者との関係	利用契約、データ処理契約、提供者回答
推論処理	どの主体がどの国で入力を処理するか	機能別仕様、構成資料、契約条件
保存	入出力、添付、履歴、ログの保管場所	保持仕様、リージョン設定、管理資料
運用者のアクセス	所属法人、アクセス元、目的、権限、例外条件	サポート条件、アクセス管理記録
再委託・外部接続	受領者、受領国、送る項目、変更通知	再委託先一覧、接続設定、データフロー

この表の目的は、国名を集めることではありません。誰から誰へ何が渡るのかを確定し、法的な提供や移転を判断できる単位に分けることです。所在地不明の再委託先があれば、「海外のどこか」とまとめず、対象機能を特定して照会します。担当者の推測で国名を埋めたり、販売拠点の国を処理国として代入したりしないようにします。

日本法では、委託かどうかと国外提供の条件を分ける

日本の事業者から外国にある第三者へ個人データを提供する場合、個人情報保護法第28条の検討が必要です。個人情報保護委員会のFAQ Q12-1は、国外の事業者への取扱いの委託でも、原則として国外提供を認める本人同意が必要と説明し、所定の国、基準に適合する体制、法定の例外を挙げています。「業務委託契約があるので同意は要らない」とだけ結論付けることはできません。

実務では、次のどの根拠を使うかを対象の提供ごとに明確にします。

外国にある第三者への提供を認める本人同意を得る
個人情報保護委員会が定める同等水準の制度を有する国にある提供先として扱う
提供先が、相当する措置を継続的に講ずるための基準に適合する体制を整えていることを根拠とする
法令に基づく場合など、適用可能な法定例外を確認する

これらは、どれでも都合よく選べる名称ではありません。必要な事実と資料がそろう根拠を選びます。また、第28条の特別な同意が不要になる場合でも、第27条などの取扱いがすべて免除されるわけではありません。委託の範囲、利用目的、安全管理、第三者提供についての別の条件を確認します。外国にある第三者への提供編を、選んだ根拠に対応する箇所まで読み進める必要があります。

同意を根拠にする場合は、外国の名称、その国の個人情報保護制度、提供先が講ずる措置など、所定の情報を事前に本人へ提供する手続を確認します。国を特定できない場合等についても所定の扱いがあり、単に「世界各地で処理する可能性があります」と書けば足りるとは限りません。確認できない理由、代替して示すべき情報、実際のサービス仕様を法務担当者が照合します。

契約があることと、相当措置が続くことを分ける

データ処理契約は、提供者による取扱いを確認する重要な資料です。ただし、契約書の名称や締結済みという事実だけでは、基準に適合する体制を確認したことになりません。

FAQ Q12-6は、契約や内規によって相当措置の継続的な実施を実質的に担保できるかを問題にしています。この体制を根拠に国外提供する場合には、第28条第3項に基づく継続実施の確保や、本人の求めに応じた情報提供の扱いも確認します。同意を根拠とする場合と、同じ義務の組み合わせになると決め付けないようにします。

架空の顧客対応AIなら、担当者は契約の対象サービスと実際に使用する機能が一致するか、再委託先へ同じ条件が及ぶか、変更を把握できるかを確認します。定期確認を誰が行い、措置に支障が出た場合に誰が改善要求や提供停止を判断するかも運用へ落とします。これは単なる契約保管の作業ではありません。

たとえば、導入時には回答生成だけを使う前提だったのに、後から外部検索やCRMへの接続を追加すると、別の受領者へ情報が渡る可能性があります。以前の契約確認がその経路まで含んでいたかを見直します。提供者が仕様変更を通知しても、社内で受信する担当者や判断期限が定まっていなければ、利用設定へ反映できません。法務、システム管理、業務責任者の間で通知と停止の手順をつなげます。

国内保管でも、運用主体によって判断は変わる

個人情報保護委員会のFAQ Q12-4は、外国の事業者が保存された個人データを取り扱う場合、サーバが国内でも外国にある第三者への提供に当たり得ることを説明しています。一方、その事業者が日本国内で取り扱い、日本国内で個人情報データベース等を事業に用いていると認められる場合などには、別の判断があります。外国企業という名称だけで決めるのではなく、具体的な取扱いを確認します。

逆に、国外サーバへ保存することがすべて外国第三者提供になるわけでもありません。FAQ Q12-3は、自ら設置・管理運営するサーバや、提供者が保存された個人データを取り扱わないこととなっている場合を区別しています。後者については、契約上の取扱い禁止と適切なアクセス制御などが例示されています。この場合でも、外国の制度等を把握した安全管理措置の検討は残ります。

AIによる推論サービスを使うときに、この「取り扱わない」場合を当然に当てはめるのは避けます。「学習には使わない」「人は通常読まない」という説明と、個人データを取り扱わないという条件は同じではありません。入力を処理して回答を作る機能、運用時のアクセス、契約上の役割を具体的に照合してください。

架空例の導入審査で「国内保管は確認済み、海外サポートのアクセス主体は未確認」と分かったなら、国内保管の欄まで未確認に戻す必要はありません。確認済みの条件を残しつつ、サポートが受け取る情報と取扱主体を照会し、その回答が得られるまで実顧客データを使う対象機能を保留する、と判断できます。

GDPRが関係する場合は、適用と移転を別に調べる

EUの一般データ保護規則であるGDPRは、日本法と同じ国・主体の区分で一律に処理できる制度ではありません。まず、今回の処理にGDPRが適用されるかを確認し、そのうえで第三国移転を検討します。EUの国籍者が含まれるという一事だけで、個別処理への適用を決めないようにします。

欧州データ保護会議のガイドライン05/2021は、GDPRの対象となる処理をする輸出者、別の管理者・処理者への開示または利用可能化、第三国等にある輸入者という条件から移転を整理しています。EU内に保存したデータへ、第三国の処理者がサポート目的でアクセスする例も示されています。保存場所だけを見て、移転がないと判断することはできません。

移転に当たる場合は、GDPR第5章に基づき、十分性認定、適切な保護措置、限定された例外など、適用可能な仕組みを検討します。標準契約条項を付ける場合も、対象者、移転の役割、関係国の状況や追加措置を含めた評価が必要です。日本法で国外提供の条件を満たすという判断を、そのままGDPRの結論へ置き換えないでください。

ここではEUの個別移転手続を網羅しません。日本からの提供、EUの拠点からの提供、グループ内のアクセスなど、どの経路へどの規律が関係するかを切り分け、必要な経路を専門家へ渡せるようにすることが目的です。

架空の導入審査を、確認済みと未確認に分ける

顧客対応AIの検討では、契約上の受領法人、回答生成の用途、国内の保管領域が確認できた一方、再委託先と海外からの障害対応が未確認だったとします。この段階で「国内版なので問題なし」と結論付けず、次の記録を残します。

確認する命題	照合資料	この架空例の判定と次の対応
契約の受領法人と実際の推論提供者の関係が分かる	契約、構成資料	はい。対象機能と資料版を記録する
入出力の保存先が要件に一致する	保存仕様、設定	はい。保存の確認に限定し、処理場所の確認とは分ける
再委託・サポートの受領者と取扱国が特定できる	再委託先一覧、サポート条件	未確認。対象情報を示して提供者へ照会する
選んだ移転根拠が実際の全対象経路を支える	法的整理、契約、経路一覧	未確認。未特定の経路を確定して再審査する
顧客の氏名を送らず回答案を作れる	業務要件、加工後の材料	はい。目的に必要な問い合わせ要点だけを候補にする

「はい」は表の命題が照合結果と一致する意味です。「いいえ」は食い違いが分かった場合、「未確認」は照合に必要な材料が不足する場合です。GDPRが適用されないと確認できた処理については、その理由を記録してGDPRの欄を「対象外」にできます。資料が見つからないことだけを理由に対象外とはしません。

本番前の経路確認には、実個人データではなくダミー情報を使う方法があります。社内で許可された確認環境で、送信先、接続機能、ログに含まれる項目を点検し、契約で想定した構成と照合します。ただし、ネットワークで見えた宛先だけでは、提供者内部の再委託や保管場所の全容は分かりません。観測結果と契約・提供者回答を組み合わせます。本記事ではこの試験を実施していません。

変更時に、判断の根拠を更新する

確認記録には、対象データ、目的、提供者と関係主体、法域、使用する移転根拠、根拠資料の版と適用日、設定、確認者、未確認事項を残します。法令の確認日と契約の発効日、設定を検査した日を分けると、どの条件が変わったかを追えます。

法律の改正案や公布済みの改正内容も、施行済みの規定と区別します。たとえば個人情報保護委員会の令和8年改正法の案内では、改正法は令和8年7月17日に公布されたとされていますが、2026年10月19日に確認した時点では政令・規則等の整備を進めている段階で、施行日は示されていませんでした。こうした更新情報を確認する際も、今回の行為に適用される施行時点まで照合してください。AI利用に関する新しい方針が示されたというだけで、既存の国外提供条件が解除されたと考えてはいけません。

利用機能、再委託先、処理国、データの種類が変わったときは、影響する経路を再確認します。重要な条件が解消できない間は、対象データを減らす、接続を使わない、実データを扱う範囲を保留するなど、仕事を進める範囲を明確にします。越境移転の確認は、国名に丸を付ける作業ではなく、確認した契約条件を実際のデータの流れに保つ作業です。

AIに渡したデータが残る場所と、削除までの管理は「AIに渡したデータはどこに残るか分類から削除までの管理」で解説しています。

国内リージョン固定が必要な業務でのモデルとデータ経路の選び方は「国内リージョン固定が必要な業務で、モデルとデータ経路を選ぶ」で解説しています。

出典・参考資料

データ・プライバシー・情報管理

よかったらシェアしてね！

URLをコピーしました！

この記事を書いた人

さかっぺ PAP Research運営／ AIガバナンス・アーキテクト／プロンプトデザイナー

ITインフラの実務経験をもとに、AIの安全性と実用性を両立する仕組みを研究。PAP Researchでは、AIモデルの継続観測と、プロンプト・AI技術の実務解説を発信しています。

経歴や研究方法、発信方針は運営者プロフィールで紹介しています。