AI会議ツールのGDPRチェックリスト2026（ベンダー評価ガイド）

コンプライアンス上の頭痛の種を作らずにAI搭載の会議アシスタントを使いたい方のための、実践的なガイドです。特定のツールを比較評価した内容は、詳細な解説GDPR準拠のAI会議ツールの比較をご覧ください。

AIで会議の洞察を捉え、要約を生成し、アクションアイテムを把握することは、ナレッジワーカーにとって標準的な習慣になりました。しかし、GDPRの適用を受ける場合（組織がEU域内に設立されている、またはEU域内の人々にサービスを提供している、あるいはその行動を監視している場合）は、これらのツールが個人データをどう扱うかを慎重に考える必要があります。

このチェックリストは、あらゆるAI会議ツールを評価し、利用をコンプライアンスの範囲内に保つためのものです。お客様側で行うべきことのガイダンスも含めています。どれほどプライバシーに配慮したツールでも、GDPRに基づくお客様のすべての義務を肩代わりすることはできないからです。

パート1：AI会議ツールを評価する

AI会議アシスタントを導入する前に、次の基本事項を確認してください。

データ処理契約

確認すること：

• GDPR第28条の要件を満たすデータ処理補遺（DPA）
• どのデータを何の目的で処理するかの明確な文書化
• 役割の定義（お客様が管理者、ツール提供者が処理者）

重要な理由： ベンダーがお客様に代わって個人データを処理する場合、DPAが必要です（第28条）。これは、処理そのものに対する第6条の適法性の根拠とは別のものであり、両方が必要です。第28条に適合する契約なしに処理者を使うことは、適法性の根拠にかかわらず、コンプライアンス違反です。

国際的なデータ移転

ツール提供者がEU域外（多くは米国拠点）にデータを送る場合、その移転には独自の法的根拠が必要です。

確認すること：

• 明示された移転メカニズム：十分性認定（米国ベンダーの場合はEU-米国データプライバシーフレームワークの認証）、または契約に組み込まれたEU標準契約条項（SCC）
• SCCを使う場合は、移転先の国の法的状況と補完的措置を文書化した移転影響評価（TIA）
• どの再処理者がお客様のデータをどこで扱うかについての明確な情報
• 本当のEUデータレジデンシーの選択肢：会話データが、物理的にEU域内にあるインフラに保存されること

重要な理由： シュレムスII判決により、2020年にEU-米国プライバシーシールドは無効とされました。その後継のデータプライバシーフレームワークは2026年9月時点でも有効ですが、圧力にさらされています。欧州連合司法裁判所では異議申立てが上訴中で（事件番号C-703/25 P）、FTCに関する2026年6月の米国最高裁判所の判決は、その枠組みが依拠する監督体制に新たな疑問を投げかけました（この判決がEU-米国間の移転に意味すること）。SCCは引き続き利用できますが、個別の評価と、必要に応じた補完的措置が求められます。EUレジデンシーは、それが対象とするデータについては、この問題そのものをなくします。

技術的・組織的措置（TOM）

確認すること：

• セキュリティ対策（暗号化、アクセス制御など）の文書化
• データがどこで、どのように保存されるかの情報
• データ保持ポリシー：データはどのくらいの期間保管されるか
• ローカル/オンデバイス処理とクラウド処理の選択肢

重要な理由： 処理者が、処理するデータの機微性に見合ったセキュリティ対策を講じていることを確認する必要があります。

AI特有の考慮事項

確認すること：

• お客様のデータがAIモデルの学習に使われないことの確認
• AI再処理者との明確なデータ保持ポリシー（理想的には保持ゼロ）
• どのAIサービスがお客様のデータを処理するかの透明性

重要な理由： 多くのAIツールは、会話データを第三者のAIサービスに送信します。誰が、どのような条件でお客様のデータを処理しているかを把握する必要があります。GDPRは特定の保持期間を義務づけていませんが、データ最小化の原則は短い保持を後押しし、AI再処理者による保持ゼロの確約は、お客様のリスクを減らします。

再処理者の透明性

確認すること：

• 再処理者の完全なリストと、その目的および所在地
• 再処理者の変更に関する通知プロセス
• 新しい再処理者に異議を唱える権利

重要な理由： 第28条（2）は、処理者が再処理者について管理者の承認を得ることを求めています。お客様のデータに触れるすべての相手を把握し、その関与が適切かどうかを評価できる必要があります。

パート2：データ管理者としてのお客様の責任

ツールが完全に準拠していても、どのソフトウェアにも肩代わりできない義務がお客様にはあります。

録音を始める前に

適法性の根拠

• GDPR第6条に基づく処理の適法性の根拠（正当な利益、同意、契約の履行など）を特定する
• この根拠を文書化し、求められたときに説明できるようにしておく
• 注：同意は選択肢の1つですが、状況によっては、正当な利益や契約上の必要性のほうが適切な場合もあります

透明性と通知

• AIツールが会話を処理することを、会議の参加者全員に知らせる
• 何が取り込まれ、どのように処理され、誰がアクセスできるかを説明する
• この情報を、処理が始まる前に、明確に提供する
• 会議の冒頭の短い口頭での通知は、より詳細なプライバシー通知（目的、保持、お客様の連絡先、人々の権利）への案内として行うのが最も効果的です。文例については会議の録音の許可を求める方法をご覧ください

録音に関する法律（GDPRとは別）

• 会話の録音に関する現地の法律を確認する。多くの法域では、GDPRとは別に参加者の同意が求められます
• これらの要件は国によって異なり、GDPRそのものより厳しい場合もあります
• 録音前に全員の同意を得るのは、録音に関する法律に対して最も安全な習慣ですが、それだけではGDPRは満たされません。完全なプライバシー通知は依然として必要であり、雇用の場では同意が自由になされたとは認められないことがあるため、別の適法性の根拠が必要になる場合があります

リスク評価

• データ保護影響評価（DPIA）が必要かどうかを検討する
• 個人の権利と自由に高いリスクをもたらす可能性が高い処理には、DPIAが必須です
• 高いリスクを示す要因には、大規模な処理、機微なデータ、新しい技術、体系的な監視などがあります
• 厳密には必須でない場合でも、AIベースの処理にはDPIAが望ましい実務であり、説明責任を示す助けになります

EU AI法（GDPRとは別）

• AI法の義務は、AIシステムの分類とお客様の役割（提供者かデプロイヤーか）によって決まり、個人データを処理するかどうかでは決まりません
• 第50条の透明性義務は2026年8月2日から適用されます
• AIオムニバス（2026年7月27日施行）の後、採用候補者の評価に使われるAIなど、附属書IIIの用途に対するハイリスクの義務は2027年12月2日から、附属書Iの製品に対しては2028年8月2日から適用されます
• 通常の会議メモは、列挙されたハイリスクの用途ではありません。AIの出力を人に関する判断に使う場合は、DPOまたは法律顧問に確認してください

継続的なコンプライアンス

プライバシーポリシーの更新

• AI会議ツールの利用を反映するようにプライバシーポリシーを更新する
• 記載する内容：収集するデータ、目的、適法性の根拠、保持期間、関与する第三者、データ主体の権利

データ主体の権利

• アクセス請求（人々は、お客様が自分についてどんなデータを保有しているかを問い合わせられます）に対応するプロセスを整える
• 削除請求に対応できるようにする。会議の記録から、特定の人のデータを削除できる必要があります
• 特に正当な利益に依拠する場合は、異議申立てへの対応方法を文書化する

保持と削除

• 定めた目的に基づいて、会議データを保管する期間を決める
• 定期的な削除スケジュールを実施する
• データ最小化の原則により、必要以上に長くデータを保管してはいけません

記録の保持

• 第30条が求める処理活動の記録を維持する
• コンプライアンス上の対策と判断を文書化する

年次レビュー

GDPRへの準拠は、一度きりの作業ではありません。

• ツールの更新された規約、DPA、再処理者リストを、少なくとも年1回確認する
• ユースケースが変わった場合は、適法性の根拠を見直す
• 処理活動が大きく変わった場合は、DPIAを更新する
• 保持スケジュールが守られていることを確認する

パート3：設定の判断

ほとんどのAI会議ツールには、プライバシーの状況に影響するさまざまな機能があります。有効にする機能ごとに、コンプライアンス上の影響を検討してください。（Hedy固有の設定ガイダンス、つまり各設定の働きと、弁護士、医療従事者、コーチ向けの推奨プロファイルについては、Hedyのプライバシー設定の解説をご覧ください。）

音声録音についての注： 音声の録音は個人データです。人を一意に識別する目的（声紋分析、話者識別システムなど）で処理される場合は、第9条の特別カテゴリーの生体データに該当する可能性があります。文字起こしやメモ作成に使う標準的な会議の録音は、通常この区分には入りませんが、声による識別機能を使う場合は、第9条の要件が適用されます。

一般原則： 必要なものだけを有効にしてください。機能を追加するたびに、データ処理の範囲が広がり、データ最小化の原則に照らした正当化が必要になります。

特別カテゴリーのデータ

会議で、GDPR第9条にいう機微なデータ（健康情報、政治的意見、宗教的信条、一意の生体識別のために処理されるデータなど）を扱う場合は、強化された保護が必要です。

• 第6条の特定の適法性の根拠と、第9条（2）の条件の両方
• 明示的な同意がよく使われますが、状況によっては他の条件が適用される場合もあります
• 機微性に見合った、より強力なセキュリティ対策
• DPIAが必要になる可能性が高い
• リスクの特性に照らして、クラウド機能が適切かどうかを検討する

パート4：実践的な導入

通知と同意の文例

録音を伴う会議を始める前に：

「会話のメモや洞察を取り込むために、AIアシスタントを使いたいと思います。つまり、私たちの議論はAIによって文字起こしされ、分析されます。文字起こしは私の管理下に置かれ、AIモデルの学習には使われません。よろしいでしょうか」

確認が取れるまで開始しないでください。このような口頭での通知は基本的な事項を押さえていますが、それだけではGDPRに基づく完全なプライバシー通知にはなりません。残りの内容（保持、連絡先、人々の権利）を読める場所を案内し、録音に関する現地の法律も確認してください。雇用の場では、同意が自由になされたとは認められないことがあるため、唯一の適法性の根拠として頼らないでください。

カレンダー招待への追記

「この会議では、AIによるメモ作成を活用します。ご懸念がある場合は、会議の前にお知らせください。」

注：これは事前の通知になり、望ましい実務です。適法性の根拠や録音に関する現地の法律によっては、会議の冒頭で、あらためて同意を確認する必要がある場合もあります。

プライバシーポリシーの文言（テンプレート）

プライバシーポリシーに含める内容：

AI会議支援

当社は、[アクションアイテムの把握/コミュニケーションの改善/正確な記録の維持]を目的として、AI搭載ツールを使って会議の文字起こしと分析を行います。この処理は、[適法性の根拠。例：正確な業務記録を維持するという正当な利益/契約の履行/同意]に基づいています。

会議データは、当社のAI会議ツールの提供者とその再処理者によって処理される場合があります。データは、[EU-米国データプライバシーフレームワーク/適切な補完的措置を伴うEU標準契約条項]に基づいて米国に移転される場合があります。

会議の文字起こしと要約は[X期間]保持され、その後削除されます。データへのアクセス、訂正、削除は、[連絡先]へのご連絡によりご請求いただけます。

ご自身の状況と適法性の根拠に合わせて調整してください。

HedyによるGDPR準拠への取り組み

Hedyは、プライバシーを後付けではなく、中核となる原則として構築しました。DPA、SCC、移転影響評価を含むHedyのGDPR準拠の詳細は、専用の記事をご覧ください。このチェックリストの要件に、私たちがどう対応しているかをご紹介します。

契約上の枠組み

• EU標準契約条項を含むデータ処理補遺が、アカウントに自動的に含まれます
• 米国へのデータ移転の保護措置と補完的措置を文書化した、移転影響評価を入手できます
• 技術的・組織的措置の完全な文書
• 変更通知付きの、透明性のある再処理者リスト

プライバシーを最優先にしたアーキテクチャ

• オンデバイスの音声認識がデフォルトのため、クラウドの文字起こしプロバイダーを選ばない限り、音声がデバイスの外に出ることはありません。保存されたセッションの音声がHedyのサーバーに届くことはありません
• Nemotronエンジンによるオンデバイスの話者ラベル。対応するiPhoneとApple Siliconを搭載したMacでは、NVIDIAのNemotron 3 Diarizationによるセッション後の再確認も含み、音声がクラウドサービスに送られることはありません
• 対応するハードウェアでの、オプションの完全ローカルなAI分析（ローカルAI処理は、パイプライン全体をオンデバイスで実行し、オフラインでも動作します）
• EUアカウントのクラウドAIは、EU域内にあるスウェーデンのInceptronで処理されます。処理をEUおよびEEAに限定する契約があり、フォールバックはEUリージョンのGoogle Vertex AIです。Apple Private Cloud Computeは、対応するiPhoneとiPadで選べるオプション設定で、リージョンに縛られないため、EUレジデンシーの要件を満たしません
• AI再処理者との保持ゼロの契約
• お客様のデータがAIモデルの学習に使われることはありません
• きめ細かなコントロール：必要な機能だけを有効にできます

コンプライアンス関連文書

• 完全な文書は、トラストセンターで入手できます
• ユーザー向けのGDPR準拠ガイダンス（管理者の責任）
• 独立したSOC 2 Type Iの審査とHIPAAの評価が完了しています

ユーザーによるコントロール

• プライバシーを最大限に守るローカル専用モードがあります
• データはいつでも削除できます
• データポータビリティのためにデータをエクスポートできます
• EUデータリージョンはサインアップ時に選択するため、同期された会話はEUに保存されます
• 共有コントロール：公開共有リンクは非公開ではなく限定公開で、音声は一切含まれません。機密性の高いセッションでは、受信者にサインインを求められるよう、メールでの招待を使ってください

完全なコンプライアンス関連文書はtrust.hedy.aiでご覧いただけます。

よくある質問

AI会議ツールのGDPR準拠をどう評価すればよいですか？

確認すべきは4点です。第28条を満たすDPA、EU域外への移転に対する有効なメカニズム（米国ベンダーがEU-米国データプライバシーフレームワークの認証を受けている場合はそれ、または移転影響評価を伴うEU SCC）、文書化された技術的・組織的措置、そして通知の権利を伴う完全な再処理者リストです。ベンダーがこれらを示せない場合は、署名する前に再考を求めてください。

GDPRについてベンダーにどんな質問をすべきですか？

基本の質問は5つです。（1）第28条の条項を備えたDPAを提供できますか。（2）データは物理的にどこに保存され、EU内でのデータ保存に対応していますか。（3）EU域外への移転では、どのメカニズム（データプライバシーフレームワークの認証かEU標準契約条項）に依拠しており、SCCを使う場合はTIAを入手できますか。（4）再処理者は誰で、どこで業務を行っていますか。（5）私のデータがAIモデルの学習に使われることはありますか。回答が欠けている項目があれば、再考を求めてください。

標準契約条項（SCC）とは何ですか。必要ですか？

標準契約条項（SCC）は、個人データがEU域外に移転される際に、EU域外のデータ輸入者にEUレベルの保護を義務づける、EUが承認した契約のひな形です。これは移転メカニズムの1つであり、唯一のものではありません。EU-米国データプライバシーフレームワークの認証を受けた米国ベンダーは、代わりにその十分性認定に依拠できます。たとえばFirefliesは、まずフレームワークに依拠し、SCCを予備として維持しています。SCCをメカニズムとする場合は、移転影響評価と、必要に応じた補完的措置が求められます。いずれの場合も、第28条のDPAは必要です。

AI会議ツールにはデータ保護影響評価（DPIA）が必要ですか？

処理がデータ主体に高いリスクをもたらす可能性が高い場合、第35条に基づきDPIAは必須です。体系的な監視、大規模な処理、機微なデータ、新しい技術は、そのリスクを示す一般的な指標です。AIベースの録音では、これらのうち1つ以上に当てはまることがよくあります。厳密には必須でない場合でも、DPIAは望ましい実務であり、説明責任を示すことにもなります。

AI会議ツールを使う場合、データ管理者としての責任は何ですか？

第6条に基づく適法性の根拠（正当な利益、同意、契約の履行）を確立し、録音前に参加者へ透明性に関する通知を行い、第30条の処理活動の記録を維持し、必要な場合はDPIAを実施し、データ主体の権利（アクセス、削除、異議）に対応し、プライバシーポリシーを更新します。処理者側の義務はベンダーが担い、管理者側の義務はあなたが担います。

ご質問は？

GDPRへの準拠は複雑に感じられるかもしれませんが、難しく考えすぎる必要はありません。GDPRに準拠した形でHedyを使うことについてご質問がある場合は、privacy@hedy.aiまでご連絡いただくか、ヘルプドキュメントをご覧ください。

お客様の組織に固有の複雑なコンプライアンスの問題については、資格を持つデータ保護の専門家、またはデータ保護責任者（DPO）にご相談いただくことをお勧めします。

このガイドは、AI会議ツールのGDPR準拠に関する一般的な情報を提供するものです。法的助言ではなく、そのように依拠すべきではありません。要件は、お客様の具体的な状況、法域、処理するデータの性質によって異なる場合があります。会話の録音に関する現地の法律は、GDPRを超える追加の要件を課す場合があります。