AIレコーダー GDPR SOC 2 対応の確認方法：準拠しているのはどれか、ベンダーの確かめ方

このページは一般的な情報であり、法的助言ではありません。今すぐ確認したい方は、7ステップのチェックリストへ進んでください。Comu自身の状況を知りたい方は、Comuのコンプライアンスの事実へ進んでください。

AIレコーダーにとって、GDPR、SOC 2、HIPAA、CCPAとは何ですか？

この4つは、性質の異なる3種類のものです。GDPRとCCPAは法律、HIPAAは米国連邦のルール、SOC 2は独立したCPAによる検査で、結果は報告書にまとめられます。どの種類に当たるかによって、ベンダーが提示できる証拠が決まります。

ベンダーは「GDPR認証」を取得できますか、それとも「準拠」だけですか？

GDPRは規則なので、ベンダーは準拠しているか、していないかのどちらかであり、認証は別の任意の手続きです。規則は任意の認証を定めています。Article 42は、認証は任意であること（第3項）、管理者または処理者の遵守責任を軽減しないこと（第4項）、最長3年間の期間で発行されること（第7項）を定めています。認証を持つベンダーはそれを示せます。持たないベンダーも準拠でき、契約と運用でそれを証明します。

ここで重要な役割が2つあります。Article 4は、管理者を処理の目的と手段を決定する者、処理者を管理者に代わって個人データを処理する者と定義しています。自社が会議の録音を決め、ベンダーが自社に代わって録音を処理する場合、自社が管理者、ベンダーが処理者です。

Article 28は、この関係のルールを定めています。

• 管理者は、十分な保証を提供する処理者だけを使います（Article 28(1)）。
• 処理者が別の処理者を使うには、管理者の事前の書面による承認が必要です。処理者は予定している変更を管理者に知らせ、管理者が異議を述べられるようにします（Article 28(2)）。
• 処理は、書面による拘束力のある契約に従います。契約には、対象事項、期間、処理の性質と目的、個人データの種類、管理者の義務と権利が含まれます（Article 28(3)および(9)）。この契約がデータ処理契約、つまりDPAです。

使っているAIレコーダーはGDPRに準拠していますか？15分でできる確認

ベンダーのトラストページを開き、3つの文書を探します。どれもArticleに対応しており、自分で読んで確かめられます。

1. 署名またはダウンロードできるDPA。 Article 28(3)は、すべての処理者との関係にDPAを求めています。
2. 変更通知を受け取る方法がついたサブプロセッサーの一覧。 Article 28(2)は、追加や入れ替えを知らされる権利を管理者に与えています。
3. 削除の手段。 Article 28(3)(g)は、サービス終了時に、管理者の選択に従ってすべての個人データを削除または返却することを処理者に求めています。Article 17は、特定の理由がある場合の消去を求める権利を個人に与えています。

3つとも揃っていれば、下の7ステップのチェックリストに進みます。1つでも欠けていれば、機密性の高い内容を録音する前に、ベンダーへ書面で質問してください。

SOC 2報告書とは何ですか？AIメモ作成ツールのSOC 2の主張は何を証明しますか？

SOC 2報告書は、資格を持つ独立したCPAが、AICPAのAttestation Standardsに基づいて行った検査の結果を書面にまとめたものです。検査では、組織のシステムのセキュリティ、可用性、処理の完全性、機密性、プライバシーに関する統制を評価します（AICPA、2026年10月28日）。この報告書は、ベンダーの統制が適切に設計され、有効に運用されていることを、顧客に独立した立場から保証します（Journal of Accountancy、2026年2月）。

この定義から、3つのことが言えます。

• 報告書です。 検査の結果は書面の報告書になるため、ベンダーに請求する文書は報告書です。
• 資格を持つCPA事務所が署名します。 AICPAは、資格を持たない監査人やピアレビューに登録していない監査人に対して措置を取ると述べており、資格のない事務所や実務者は州の会計士委員会に照会します。報告書に記載された事務所名は確認できます。
• 利用が制限されています。 SOC 2報告書は、サービス組織のシステムについて十分な知識を持つ特定の関係者に限って提供されます。

SOC 2 Type IとType IIの違いは何ですか？

Type I報告書は、特定の日付時点の統制を対象とします。Type II報告書は、その統制が有効に運用されたかどうかも対象とします。

SOC 2報告書では、まず日付を読んでください。

AICPAは基準の変更も進めています。2026年10月28日の公開草案は、学習データの管理を含め、AIに関する新しい着眼点を加えた2027年版のTrust Services Criteriaを提案しています。パブリックコメントは2027年1月15日まで受け付けており、承認された場合、2027年12月31日以降に始まる業務に適用されます。

HIPAAに準拠したAIレコーダーに必要なものは何ですか？

HIPAAに準拠したAIレコーダーでは、決め手となる文書はビジネスアソシエイト契約です。HHSは、ビジネスアソシエイトを、対象事業体に代わって、保護対象保健情報（PHI）の作成、受領、保管、送信を伴う機能や活動を行う個人または組織と定義しています。HHSが挙げる例は、AIレコーダーにとてもよく当てはまります。電子PHIを保管または処理するクラウドサービス事業者と、「医師に文字起こしサービスを提供するアプリのベンダー」です。

HIPAAのルールは、対象事業体がビジネスアソシエイトにPHIを開示することを、ビジネスアソシエイトがその情報を適切に保護するという十分な保証を対象事業体が得ている場合に認めています。この保証は契約またはその他の書面による取り決めの形を取り、HHSはこれをビジネスアソシエイト契約と呼んでいます。契約には次の内容が必要です。

• PHIの許可される使用と開示、必要とされる使用と開示を記載すること。
• ビジネスアソシエイトが、契約が許可する場合または法律が求める場合を除いて、PHIを使用またはそれ以上開示しないと定めること。

ビジネスアソシエイトは、自らの下請事業者にPHIを開示する前に、その下請事業者ともBAAを結ぶ必要があります（HHS、内容の最終確認日 2026年10月21日）。したがって、AIレコーダーのベンダーによるHIPAAの主張は、2か所で確認します。署名済みのBAAを自分が持っていること、そしてベンダーのサブプロセッサーがそれぞれ自らのBAAでカバーされていることです。

CCPAは何を求めていますか？

カリフォルニア州消費者プライバシー法は、カリフォルニア州の居住者に個人情報に関する権利を与えています（California Attorney General、2026年8月28日更新）。居住者は、事業者が収集する個人情報を知ること、削除すること、販売や共有を拒否すること、訂正すること、機微な個人情報の使用を制限することができます。事業者は、削除の依頼を受けると、サービス提供者にも同じ対応を通知する必要があります。ただし、法律上の保存義務などの例外があります。

CCPAは、カリフォルニア州で事業を行う営利事業者のうち、次の3つの基準のいずれか1つを満たすものに適用されます。

• 年間総売上高が$25 millionを超える。
• 10万人以上のカリフォルニア州の居住者または世帯の個人情報を購入、販売、または共有している。
• 年間売上高の50%以上を、カリフォルニア州の居住者の個人情報の販売から得ている。

CCPAは法律なので、正確な表現は「準拠している」です。

AIレコーダーのGDPR・SOC 2対応を確認する方法

ベンダーのトラストページ、セキュリティページ、プライバシーポリシーで、下の7ステップを実行し、確認した日付とともに各回答を記録してください。

ステップ1：報告書のタイプと日付を確認する

「SOC 2」という言葉を探し、4つの事項を記録します。Type IかType IIか、CPA事務所の名前、報告書が対象とする日付または期間、対象となるトラストサービスカテゴリです。日付のないAIメモ作成ツールのSOC 2の主張は、評価できない主張です。

• 運用の有効性も対象とするType II報告書を優先し、日付が新しいことを確認します。
• 録音と文字起こしは機密性の高い資料なので、カテゴリにセキュリティと機密性が含まれていることを確認します。
• 対象となるシステムが、自分が使う製品であることを確認します。アプリ、録音を保管するクラウド、AI処理が対象です。
• CPA事務所を調べ、資格を持つ事務所であることを確認します。

質問例：「どのSOC 2報告書をお持ちですか。どのCPA事務所が発行し、どの期間を対象とし、どのカテゴリとシステムが対象ですか。」

ステップ2：データ処理契約を入手する

トラストページまたはフッターでDPAのリンクを探します。ダウンロードして、Article 28(3)と照らし合わせます。契約には、ベンダーが次のことを行うと記載されている必要があります。

質問例：「DPAを署名用に送っていただけますか。どの法人が署名しますか。」

ステップ3：サブプロセッサーの一覧を読む

AIレコーダーは通常、クラウドストレージ、音声からテキストへの変換、言語モデルのために他の会社に依存しています。Article 28(2)は、処理者が別の処理者を使うには自社の承認が必要であり、追加や入れ替えの予定を自社に知らせることを求めています。Article 28(4)は、同じデータ保護義務が各サブプロセッサーに引き継がれることを求めています。

• サブプロセッサーの一覧を探し、音声、文字起こし、AI処理を扱う会社を書き留めます。
• メールの購読など、変更通知を受け取る方法を探します。
• HIPAAの場合は、PHIに触れる下請事業者がそれぞれ自らのBAAでカバーされていることを確認します。

質問例：「現在のサブプロセッサーの一覧はどこにありますか。追加する前に、どのように通知していただけますか。」

ステップ4：データの保管場所と処理場所を確認する

録音と文字起こしが保管されている地域と、処理が行われる地域を探します。Article 44は、GDPRのChapter Vの条件を管理者と処理者が満たしている場合に限り、第三国への個人データの移転を認めています。Article 28(3)(a)は、移転を自社の文書化された指示に結び付けています。

• 保管地域と処理地域を書き留めます。
• データが欧州経済領域の外に出る場合は、DPAに記載された移転の仕組みを探します。
• バックアップにも同じ地域のルールが適用されることを確認します。

質問例：「音声、文字起こし、AI処理はどの地域にありますか。EEAの外への移転には、どの法的な仕組みが適用されますか。」

ステップ5：保存期間と削除を確認する

録音、文字起こし、バックアップがどのくらいの期間保存されるか、そしてどう削除するかを探します。Article 28(3)(g)は、サービス終了時の削除を扱います。Article 17は、消去の請求を扱います。カリフォルニア州の居住者については、CCPAの削除権に、サービス提供者にも削除を通知することが含まれます。

• 製品内の削除を確認します。録音を1件だけ削除でき、文字起こしも一緒に削除されるか。
• アカウントの削除と、それによって何が削除されるかを確認します。
• 削除したデータがバックアップにどのくらい残るかを質問します。

質問例：「音声、文字起こし、バックアップの保存期間はどのくらいですか。削除の書面による確認はどうすれば得られますか。」

ステップ6：学習ポリシーを読む

ベンダーが録音や文字起こしをAIモデルの学習に使うかどうか、また、学習に使うモデル提供者に渡すかどうかを述べた文を探します。Article 28(3)(a)は、処理者を自社の文書化された指示に限定しているため、自社のデータでの学習について契約のどこに記載があるかを質問してください。CCPAの拒否権は、個人情報の販売または共有を対象としています。

• プライバシーポリシーとDPAの両方で方針を探します。2つは一致しているはずです。
• 設定が初期状態でオンかオフか、誰が変更できるかを確認します。
• ベンダーのモデル提供者が、自社のデータで何をすることを認められているかを確認します。

質問例：「御社またはサブプロセッサーは、私の音声や文字起こしをAIモデルの学習や改善に使いますか。それは契約のどこに書かれていますか。」

ステップ7：報告書と書類を請求する

SOC 2報告書は特定の関係者に限って提供されるため、ダウンロードボタンを探すのではなく、報告書を請求します。

1. ステップ1から6の質問を、ベンダーのセキュリティ担当または営業担当にメールで送ります。
2. SOC 2報告書、DPA、サブプロセッサーの一覧、健康情報の場合はBAAを依頼します。
3. SOC 2報告書が届いたら、監査人の意見と対象範囲を読みます。日付を、ステップ1で記録した日付と照らし合わせます。
4. 書類を受け取った日付とともに保管し、次の報告書を請求するリマインダーを設定します。

質問例：「最新のSOC 2報告書を守秘条件のもとで、DPA、サブプロセッサーの一覧、BAAとあわせて送ってください。」

7ステップのスコアカード

ComuのGDPR、HIPAA、SOC 2、CCPAの事実は何ですか？

ComuはGDPR、HIPAA、SOC 2に合格しており、CCPAにも準拠しています（2026年11月9日確認）。

同意は、データセキュリティとは別の義務です。録音することを相手に伝えてください。通話録音に関する法律は国ごとに異なり、法律を守る責任は録音する人にあります。

Comu Action Proは¥23,840です（2026年11月6日確認）。無料のStarterプランはデバイスに付属します。

よくある質問

GDPR準拠とGDPR認証は同じですか？

いいえ。GDPR準拠とは、ベンダーが個人データの処理において規則に従っていることを指し、DPA、サブプロセッサーの一覧、削除の条件で確認します。認証はArticle 42に基づく別の任意の手続きで、認証機関または監督機関によって最長3年間の期間で発行されます。ベンダーは、認証がなくても準拠でき、認証があっても準拠できます。

SOC 2報告書があれば、AIメモ作成ツールは私の録音で学習しないということですか？

ベンダーの学習ポリシーは、プライバシーポリシーとDPAで確認してください。SOC 2報告書は、セキュリティ、可用性、処理の完全性、機密性、プライバシーに関する統制の検査だからです。Comuはあなたのデータを使ってAIを学習させません。

SOC 2 Type IとType IIの違いは何ですか？

Type I報告書は、統制が1つの日付時点で適切に設計されているかどうかを対象とします。Type II報告書は、その統制が有効に運用されたかどうかも対象とします。まず報告書の日付を読んでください。

診察でAIレコーダーを使うには、ビジネスアソシエイト契約が必要ですか？

HIPAAの対象事業体であり、ベンダーが自社に代わってPHIを作成、受領、保管、送信する場合、HIPAAは契約またはその他の書面による取り決めで十分な保証を得ることを求めており、HHSはこれをビジネスアソシエイト契約と呼んでいます。HHSは、クラウドサービス事業者と、医師に文字起こしサービスを提供するアプリのベンダーを、ビジネスアソシエイトの例として挙げています。

CCPAは認証ですか？

いいえ。CCPAはカリフォルニア州の法律なので、事業者は準拠しているか、していないかのどちらかです。California Attorney Generalは、居住者に与えられる権利として、知る権利、削除する権利、販売や共有を拒否する権利、訂正する権利、機微な個人情報の使用を制限する権利を説明しています。ComuはCCPAに準拠しています。

ベンダーのサブプロセッサーの一覧はどこで見つけられますか？

トラストページ、フッターのリンク、プライバシーポリシー、DPAの別紙で探してください。Article 28(2)は、処理者がサブプロセッサーの変更予定を管理者に知らせることを求めているため、ベンダーは通知を受け取る方法も用意しているはずです。見つからない場合は、サポートに現在の一覧を問い合わせてください。

ComuはGDPR、HIPAA、SOC 2に準拠していますか？

はい。ComuはGDPR、HIPAA、SOC 2に合格しています（2026年11月9日確認）。ComuはCCPAにも準拠しています。

Comuから録音を削除できますか？

はい。Comuアプリで音声ファイルを1件削除でき、紐づく文字起こしも一緒に削除されます。連絡先を削除することも、アカウント全体を削除してすべてのデータを消去することもできます。

Comuは録音をAIの学習に使いますか。データを販売しますか？

いいえ。Comuはデータを第三者に販売せず、あなたのデータを使ってAIを学習させることもありません。ファイルは常に暗号化されています。

関連記事

• ComuのAI文字起こし・要約・機能ガイド

出典

2026年11月9日に確認しました。

1. European Union, Regulation (EU) 2016/679 (GDPR), Articles 4, 17, 28, 42 and 44, EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679
2. AICPA & CIMA, System and Organization Controls: SOC Suite of Services: https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services
3. AICPA & CIMA, "AICPA Proposes Update of SOC 2 Trust Services Criteria"（2026年10月28日）: https://www.aicpa-cima.com/news/article/aicpa-proposes-update-of-soc-2-r-trust-services-criteria-to-enhance-the-relevance-usability-and-value-of-cpas-reports
4. Journal of Accountancy, "Promises of 'fast and easy' threaten SOC credibility"（2026年2月）: https://www.journalofaccountancy.com/issues/2026/feb/promises-of-fast-and-easy-threaten-soc-credibility/
5. AICPA & CIMA, "Maintaining high standards for SOC engagements": https://www.aicpa-cima.com/professional-insights/video/maintaining-high-standards-for-soc-engagements
6. U.S. Department of Health and Human Services, Business Associates Frequently Asked Questions（内容の最終確認日 2026年10月21日）: https://www.hhs.gov/hipaa/for-professionals/privacy/guidance/business-associates/index.html
7. California Attorney General, California Consumer Privacy Act（2026年8月28日更新）: https://oag.ca.gov/privacy/ccpa