AI文字起こしツールのセキュリティリスクについて

お答えいたします

ご利用頂き有難うございます。

ご相談の件ですが、示された案件は人事労務の問題ではなく情報セキュリティに関わる業務上の問題といえます。

従いまして、ハード面の課題についてはIT分野の技術者へ、ソフト面の課題については法令に広く通じた弁護士といった各々の専門家へご相談頂ければ幸いです。

投稿日：2025/05/26 09:50　ID：QA-0152895

回答いたします

ご質問について、回答させていただきます。

情報セキュリティのガイドラインに関しましては、
独立行政法人情報処理推進機構の、
中小企業の情報セキュリティ対策ガイドライン
がベースになっているものと思案します。

なお、当方は情報セキュリティの専門家ではございませんので、
手厚いフォローにつきましては、セキュリティコンサルタント会社等へ
コンサル委託されることをお勧めいたします。

投稿日：2025/05/26 10:24　ID：QA-0152909

相談者より

ご回答ありがとうございました。
大変参考になりました。

投稿日：2025/05/27 18:23　ID：QA-0153063参考になった

対応

人事マターではないので専門外ですが、秘密情報を扱う以上は明確にセキュリティ上の安全が担保されたシステムを使うことになります。
インターネットなどを介さない、明確なセキュリティが保障されたシステムを、システム担当者とともに選ぶのが良いと思います。

投稿日：2025/05/26 10:48　ID：QA-0152919

ご回答申し上げます。

ご質問いただきまして、ありがとうございます。
次の通り、ご回答申し上げます。

１．はじめに
AI文字起こしツールの導入に際しては、情報セキュリティ・コンプライアンス・業務効率のバランスを取る必要があるため、貴社の慎重なご姿勢は非常に適切です。

２．AI文字起こしツールの社内ルール整備について
（１）大企業でのガイドライン・ポリシー例
多くの大企業では以下のようなポリシーを設けています：
項目→具体例
利用対象の明確化→「社内会議のうち、部門内のみでの定例会議に限る」など範囲を限定
個人情報・機密情報の定義と禁止対象→機微な個人情報（病歴、家庭事情など）や、未公開の経営情報はツール利用不可と定義
同意取得ルール→会議参加者全員の事前同意を必須（特に録音・録画を伴う場合）
記録データの取り扱い→原文データ（音声・文字起こし）は、指定ストレージに保存、定期削除（例：30日以内）
アクセス権限管理→作成者と上長のみにアクセスを制限する等のルール設定
ツールの指定→情報システム部門またはセキュリティ部門が認定したツールのみ利用可能

（２）保存期間・削除ポリシーの例
種類→ポリシー例
音声データ→速やかに削除、または30日以内に自動削除
文字起こしデータ→社内ポータルで共有後、一定期間（例：60日）で削除
バックアップ→重要会議のみ、社内の暗号化ファイルサーバで管理、3か月で削除

３．ツール提供事業者による違いについて
（１） 国内企業 vs 海外企業の違い
観点→国内企業→海外企業
データ保存先→日本国内サーバを明示しているケースが多く、扱いやすい→海外リージョンのクラウドがデフォルトであることが多く、情報流出懸念あり
法令準拠→個人情報保護法（改正法含む）に即している→GDPRや米国クラウド法（CLOUD Act）により、第三国アクセスの可能性
サポート体制→日本語対応のヘルプデスクや導入支援が充実→時差・言語・サポート体制に課題があることも
監査対応→ISMSやPマーク取得企業が多く、審査対応にも柔軟→SOC2/ISO27001などは取得しているが、日本の基準に合致しないことも
推奨：社内機密・個人情報を扱う部署では「日本法人が運営し、データが国内で完結するサービス」を優先検討することが安全です。

（２）オンプレ型 vs SaaS型の比較
観点→オンプレ型→SaaS型
セキュリティ制御→企業側でフルコントロール可能→ベンダー依存の部分あり
導入コスト→高い（初期投資・インフラ・保守）→低い（月額・年額課金）
拡張性・利便性→カスタマイズ可能だが柔軟性に欠ける→簡易導入・最新AIの活用が可能
更新対応→自社でアップデート管理→自動で最新バージョン提供
推奨：機微情報を扱う場合はオンプレ型やプライベートクラウド環境も検討範囲に含めると安心です。一方で、業務効率化重視でリスクを限定できる範囲であれば、SaaS型も候補となります。

４．セキュリティ上の配慮事項
（１）最低限チェックすべきセキュリティ観点
チェック項目→説明
通信の暗号化→TLS/SSLによる通信暗号化は必須
保存データの暗号化→AES256などで静止データも暗号化されているか
認証・アクセス制御→多要素認証（MFA）対応、IP制限、権限管理
データの所在→データの保管場所（国内/国外）、バックアップ先の明示
ログ管理→アクセス・編集履歴の取得と監査対応性
外部委託先の管理→二次受託企業が存在するか、情報の再委託範囲

（２）情報漏えい・第三者提供リスク
AIベンダーが学習目的でデータを使用するリスク
利用規約に「学習用途に使用しない」旨の明記があるか確認
明示的なオプトアウト設定が可能か
法令に基づく第三者提供（例：米国CLOUD Act）
特に海外ベンダー利用時にリスクあり
日本法人かつ日本国内リージョンで運用されているか確認
人的操作ミス・設定漏れによる社外漏えい
利用部門への教育、アクセス権限設定の厳格化が必要

５．補足：導入の進め方（ステップ例）
（１）情報システム部門・法務部門と連携したリスク評価
（２）パイロット利用（限定メンバー・用途）で効果検証
（３）ルール整備（ガイドライン・同意テンプレート等）
（４）正式運用と定期的な見直し（内部監査・レビュー）

以上です。よろしくお願いいたします。

投稿日：2025/05/26 11:00　ID：QA-0152927

相談者より

ご回答ありがとうございました。
大変参考になりました。

投稿日：2025/05/27 18:23　ID：QA-0153064大変参考になった