生成AIの越境データ移転とは、入力データが国外の事業者に渡る状態のことです。

事務所で使っているAIサービスの処理サーバが、どの国にあるかを言えるでしょうか。生成AIは画面の向こう側が見えないため、入力した資料が国境を越えていることに気づきにくい構造になっています。この記事では、顧問先の情報を扱う事務所が越境の論点をどう整理し、何を確認して、同意をどう設計するかを7項目に分けて扱います。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。政府の調達ガイドラインは、国外サーバを利用する生成AIについて、現地政府によるデータの検閲や接収を受ける可能性があることの理解を利用者に求めています（出典: デジタル庁 生成AIの調達・利活用に係るガイドライン2.0版について（概要））。

入力した瞬間に国境を越える 生成AIで越境が起きる3つの経路

生成AIで越境が起きる経路は、大きく3つあります。サービス本体の処理が国外で行われる経路、事業者が国外の再委託先を使う経路、そして事務所側が海外拠点や海外の外注先と共有する経路です。いちばん見落とされやすいのが2つ目で、利用規約では国内処理と書かれていても、サブプロセッサの一覧を見ると国外の事業者が並んでいることがあります。

法令の側では、個人情報の保護に関する法律第28条が外国にある第三者への提供の制限を定めています。同条は、外国にある第三者に個人データを提供する場合の規律を置き、個人の権利利益を保護する上で日本と同等の水準にあると認められる制度を有している外国として個人情報保護委員会規則で定めるものを除く、という構造になっています。運用の詳細は個人情報保護委員会のガイドライン（外国にある第三者への提供編）に置かれています。

もうひとつ、生成AIに固有の論点として、入力したデータが応答の生成以外に使われるかどうかがあります。個人情報保護委員会は2023年6月2日に生成AIサービスの利用に関する注意喚起を公表し、個人情報取扱事業者が個人情報を含むプロンプトを入力する場合には、特定された利用目的の達成に必要な範囲内であることを十分に確認する必要がある旨を示しています（出典: 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について）。越境の話と利用目的の話は別々の論点ですが、事務所の実務では同じ一手、つまりプロンプトへの投入という行為で同時に発生します。

経路の3つ目、事務所側から国外へ渡す形も、生成AIの普及で増えています。海外在住のスタッフに文字起こしの整理を頼む、海外の翻訳会社に契約書のドラフトを回す、といった場面です。この場合、AIサービスが国内処理でも、事務所から国外へ渡る経路がもう一本できていることになります。所内の議論がAIサービスの選定に集中していると、この経路が点検から漏れます。

越境が起きているかどうかを確かめる手がかりは、意外なところにあります。利用規約の準拠法と管轄裁判所の記載、請求書の発行元の国、サポート窓口の対応時間帯の3つを見ると、事業者の実体がどこにあるかがおおよそ分かります。国内の販売代理店を通して契約していても、データを処理している主体が国外の親会社というケースは珍しくありません。契約書の当事者名と、実際にデータを扱う主体が一致しているかを確認しておくと、後の説明が楽になります。

士業には、これらに加えて守秘義務が重なります。個人情報に当てはまらない情報でも、職務上知り得た秘密であれば外部に出せません。顧問先の事業計画や未公表の組織再編のように、個人データではないが機微な情報は、個人情報保護法の議論だけでは守りきれない領域です。守秘義務の根拠は職種ごとに置かれており、税理士については税理士法第38条、弁護士については弁護士法第23条、社会保険労務士については社会保険労務士法第21条、行政書士については行政書士法第12条が置かれています。入れてよい情報の線引きは生成AIに入れてよい情報の範囲を扱った記事でも整理しています。

契約前に確認する7項目 サブプロセッサまで辿る

確認は、サービス名ではなく契約プランごとに行います。同じサービスでも、個人向けプランと法人向けプランで処理の場所も既定値も違うことがあるためです。

1つ目は、処理サーバの所在国です。推論の処理がどの国で行われるか、ベンダーの公式ドキュメントで国名まで確認します。国内リージョンを選べるサービスでは、選択が申込時のみ有効なのか、後から切り替えられるのかも合わせて聞いておきます。

2つ目は、データの保存場所と保存期間です。処理が国内でも、ログや不正利用検知のための記録が国外に残る設計になっている場合があります。保存期間は、日数で答えが返ってくるかどうかが確認の質を測る目安になります。

3つ目は、サブプロセッサの一覧です。ベンダーが利用する再委託先の名前と所在国が公開されているか、更新時に通知される仕組みがあるかを確認します。一覧が非公開の場合は、その旨を記録に残しておきます。

4つ目は、学習利用の有無と既定値です。法人向けプランでは学習に使わない設定が既定になっているサービスが多い一方、個人向けの無料プランでは既定値が逆になっている場合があります。所内で私物アカウントの利用が残っていると、ここが穴になります。国内処理を選べるサービスの設定手順は初期設定と国内処理を扱った記事でも具体化しています。

5つ目は、第28条の枠組みのうち、どれに乗っているのかです。個人情報保護委員会規則で定める外国に該当する場合、基準に適合する体制を整備した第三者への提供に当たる場合、本人の同意を得る場合とで、事務所側が用意する書面が変わります。ベンダー側が体制整備で対応している場合は、その説明資料の所在を控えておきます。

6つ目は、契約終了時のデータの取り扱いです。解約後に入力データがいつ削除されるか、削除の証跡が出るかを確認します。事務所が乗り換えを検討する場面で、ここを詰めていないと移行判断ができません。

7つ目は、インシデント時の連絡経路と時差です。国外のベンダーの場合、日本時間の深夜帯に通知が来ることがあります。誰が受けるか、一次対応の判断を誰がするかを決めておく箇所です。ベンダーへの質問の作り方はAIツールのベンダーに何を聞くかを整理した記事にまとめています。

7項目を並べると多く見えますが、確認の手間が重いのは1つ目から3つ目までです。4つ目以降は管理画面や契約書で数分で分かることが多く、最初の3つを詰めた時点で、そのサービスを所内でどう扱うかの方向は決まります。判断に迷ったときは、投入してよい情報の区分を一段狭めて運用を始め、確認が取れた時点で広げる順にすると、業務を止めずに進められます。

確認の結果は、サービスごとに1枚の記録として残します。書く内容は、サービス名、契約プラン、処理サーバの所在国、保存期間、再委託先の開示有無、学習利用の既定値、確認日、確認者です。この記録があると、顧問先から質問が来たときに調べ直さずに答えられます。所内でツールが増えるほど、この記録の有無が対応速度の差になって出てきます。

権限の設計も同じタイミングで見直す価値があります。誰がどのサービスに接続でき、どこまでのデータを渡せるかを決めておかないと、確認した内容が運用に反映されません。権限とログの設計はAIエージェントの権限とログを扱った記事で具体化しています。

この7項目は、一度作れば他のサービスにも使い回せます。棚卸しの下書きは生成AIに作らせられます。

あなたは士業事務所の情報管理担当です。
以下に貼り付けるAIサービスの利用規約とプライバシーポリシーの抜粋から、
(1)処理サーバの所在国 (2)データの保存場所と保存期間 (3)再委託先の開示有無
(4)入力データの学習利用の有無と既定値 (5)契約終了時のデータ削除
(6)インシデント時の連絡方法
の6点について、書かれている記述をそのまま引用して整理してください。
記述が見当たらない項目は、推測せず「記載なし」と出力してください。
法的な評価や適否の判断は行わないでください。

【規約の抜粋】
（ここに貼り付け）

顧問先向けの説明文も、素材が揃っていれば下書きできます。

あなたは士業事務所の担当者です。
顧問先へ渡す1枚の説明文を作成してください。内容は次のとおりです。
- 当事務所が業務で利用している生成AIサービスの名称と用途
- 入力する情報の範囲と、入力しない情報の範囲
- 処理が国外で行われる場合はその旨
- 出力を有資格者が確認する工程があること
- 問い合わせ先
条件:
- 800字以内、ですます調、専門用語には短い補足をつける
- 断定的な保証の表現は使わない
- 架空の数値や実績は記載しない

同意を取るのか、取らないで済ませるのか 規程への落とし込み

越境の論点で事務所が迷うのは、顧問先から同意を取るべきかという点です。ここは個別の事案ごとの判断になるため、規程では取る取らないを一律に決めず、判断の材料と手順を書いておく形が現実的です。

まず、そもそも個人データを含む情報を投入しない運用であれば、第28条の場面に入りません。氏名や住所を削った抜粋を使う、数値だけを渡して文章化させる、といった運用が該当します。手間はかかりますが、確認の負担がいちばん軽くなります。事務所によっては、投入前の加工をひとつの工程として業務フローに組み込み、担当者を固定しています。

個人データを含む情報を扱う必要がある場合は、個人情報の保護に関する法律第28条の枠組みのどれに乗るかを確認したうえで、必要な情報提供や同意の取得を設計します。個人情報保護委員会のガイドライン（外国にある第三者への提供編）に、提供に際して本人へ情報提供すべき事項の整理があります。顧問契約の締結時にまとめて説明するのか、案件ごとに確認するのかは、事務所の業務量と顧問先の規模で分かれます。

委託の枠組みで整理する場合も、監督の責任が残ります。同法第25条は委託先の監督を定めており、同法第23条は安全管理措置を定めています。AIサービスを使う事務所が顧問先から見て受託者の立場にある場合、どこまでを自分の管理下で行い、どこからをベンダーに任せているのかを説明できる状態にしておく必要が出てきます。

守秘義務の側では、同意の有無とは別の検討が残ります。個人データに当たらない情報でも、外部サービスへ渡すこと自体が職務上の秘密の取り扱いにあたるため、顧問先への説明を先に行っている事務所があります。契約書の条項として、業務遂行のために外部サービスを利用する旨と、利用する範囲を明記しておく方法も採られています。

規程に落とす際は、次の4点を条文化しておくと運用が揃います。投入してよい情報の区分、加工の手順と担当、利用を認めるサービスとプランの一覧、そして顧問先への説明のタイミングです。サービスの一覧は別表にしておくと、追加や削除のたびに規程本体を改定せずに済みます。

情報の区分は、3段階に割るところから始めると決めやすくなります。加工せずに投入してよい公開情報、氏名や住所を伏せてから投入する準機密情報、外部サービスへ一切入れない要機密情報の3つです。顧問先の決算書のように、数値だけなら投入してよいが会社名と結びつけると出せない資料は、区分そのものより、どう加工すれば下の区分へ落ちるかを書いておくほうが実務では使えます。

説明のタイミングは、顧問先の側にも都合があります。上場企業の顧問先では、情報システム部門の承認が要る場合があり、契約更新の直前に切り出すと間に合いません。年間のスケジュールのなかで、どの面談で説明するかを先に決めておくと、AIツールを追加するたびに慌てずに済みます。中小企業の顧問先では、説明そのものより、何をしないのかを明確に伝えるほうが安心につながる傾向があります。

なお、事務所が顧問先の従業員データを扱う場面では、本人である従業員と、契約相手である顧問先企業が別であることにも注意が要ります。社会保険の手続きや給与計算を受託している事務所では、顧問先の同意と本人への情報提供の関係を整理しておかないと、説明の宛先を取り違えます。ここは案件の構造によって整理が変わるため、規程では判断の手順だけを置き、個別の結論は有資格者が出す形にしておく運用例があります。

越境の見落としで起きる3つの失敗

いちばん多いのが、国内リージョンを選んだつもりで選べていなかった例です。申込画面の既定値が国外リージョンのままだったケースや、追加した新しいワークスペースだけ設定が引き継がれていなかったケースがあります。設定のスクリーンショットを取って記録に残す運用が、確認のコストをいちばん下げます。

2つ目は、ブラウザ拡張や周辺ツールの経路です。本体のサービスは国内処理でも、要約用の拡張機能や文字起こしツールが別のサーバへ送っている場合があります。所内で使っているツールを洗い出すと、想定していなかった経路が見つかることがあります。

3つ目は、顧問先から渡されたファイルをそのまま投入してしまう例です。事務所側の規程は整っていても、受け取った資料を確認せずに使えば同じことが起きます。受領時に投入可否を判定する工程を業務フローへ入れておくと、この漏れが減ります。

もうひとつ、失敗というより体制の問題として、確認した内容がどこにも残っていないケースがあります。担当者が口頭で確認しただけだと、半年後に同じ質問をやり直すことになります。確認日とベンダーの回答をセットで残す習慣が、結果的に時間を節約します。

見落としが起きる時間帯にも傾向があります。繁忙期に新しいツールを試したときと、担当者が交代した直後の2つです。申告期や決算期に業務を速く回そうとして入れたツールは、平時の点検フローに乗らないまま定着してしまいます。試用を始める前に、暫定的に投入してよい情報の区分を決めて期限を切っておくと、試用が既成事実になるのを防げます。

顧問先側の事情で越境が発生することもあります。顧問先が海外のクラウドサービスに会計データを置いており、そこから出力したファイルを事務所が受け取るような構成です。この場合、事務所が越境を起こしているわけではありませんが、データの流れ全体を説明できないと、顧問先から問われたときに答えに詰まります。受領元のシステムまで含めて一度図に起こしておくと、どこで線を引いているのかが所内でも共有できます。

確認と整備にかかる工数、担当をどこに置くか

初回の棚卸しは、利用中のサービスが3つ程度であれば半日から1日が目安です（出典: 士業のチカラ編集部が支援先での作業内訳から整理した概算であり、公的統計ではありません）。規約とサブプロセッサ一覧を読む時間が大半を占めるため、サービス数に比例して増えます。2回目以降は、更新差分の確認だけになるため、年1回の点検で1時間から2時間の範囲に収まります。

担当は、情報管理の担当者が調べて、有資格者が投入可否の線引きを決める分担が回りやすくなります。調査と判断を同じ人が抱えると、忙しい時期に点検が飛びます。規模の小さい事務所では、外部の専門家に年1回だけ見てもらう形を採っている例もあります。

費用の面では、法人向けプランへ切り替えると月額が上がる一方、学習利用の既定値や管理機能が揃うため、越境の確認そのものが短時間で済むようになります。無料プランを使い続けて確認に時間を投じるか、有料プランで確認を減らすかは、事務所の人件費単価で計算すると判断しやすくなります。所属人数が増えるほど、管理画面から一括で設定を確認できることの価値が上がります。

体制の面で決めておきたいのが、新しいツールを誰が承認するかです。承認者を置かないと、便利さを先に知った人から順に使い始め、点検が後追いになります。承認の基準は、7項目のうち処理サーバの所在国、保存期間、学習利用の既定値の3つが確認できていることを最低条件にする、といった形で軽く始めるほうが運用が続きます。全項目の確認を条件にすると、承認の申請そのものが出てこなくなります。

年1回の点検日は、事務所の繁忙期を外して設定します。税理士事務所であれば申告期の後、社労士事務所であれば算定基礎届の後といった具合です。点検の際は、前回の記録との差分だけを見る形にすると、1サービスあたり15分前後で終わります（出典: 士業のチカラ編集部が支援先での作業実績から整理した概算であり、公的統計ではありません）。差分が大きいサービスだけを深掘りする運用にしておくと、点検が形だけにならずに済みます。

もう一段先の話として、顧問先へのアドバイスを有料の業務にできるかという論点があります。越境の確認は、事務所が自分のために作った仕組みを、そのまま顧問先の社内規程づくりに転用できます。中小企業では情報システムの担当者を置いていない会社が多く、AIサービスの規約を読み解く作業そのものに需要があります。自事務所の棚卸しで作った記録の様式は、顧問先向けの成果物の下敷きになります。

国内処理の選択肢は増える 2026年後半に見ておく論点

国内リージョンでの提供や、国内事業者によるモデル提供の選択肢は増えつつあります。事務所側の判断は、国内か国外かの二択から、どの処理をどこで行うかという配分の設計へ移っていきます。文字起こしだけは国内、下書きの生成は国外の高性能モデル、という使い分けを採る事務所も出てきています。

政府調達の側では、デジタル庁のガイドラインが入力をテキストおよび音声、出力をテキスト、画像または音声とする生成AIシステムを対象としており（出典: 前掲 デジタル庁概要資料）、音声が明示的に範囲へ入りました。面談の録音を扱う事務所は、音声データの越境も同じ枠組みで見る必要が出てきます。全体像はデジタル庁のガイドライン2.0を扱った記事で扱っています。

海外の規制動向も、顧問先経由で事務所に返ってきます。海外に取引先を持つ顧問先からは、自社のデータが日本の事務所を経由してどこへ行くのかを問われる場面が増えています。参照元の整理は生成AIガイドラインの参照元をまとめた記事を土台にすると早く進みます。

よくある質問

国内リージョンを選べば越境の論点は消えますか

処理が国内で完結するなら、外国にある第三者への提供という場面には入りにくくなります。ただし、ログの保存先や再委託先が国外にある構成では、経路が残ることがあります。リージョンの設定だけで判断せず、保存場所と再委託先まで確認する運用が採られています。

顧問先に説明する義務はありますか

個人データを扱う場面の情報提供については、個人情報保護委員会のガイドライン（外国にある第三者への提供編）に整理があります。守秘義務の側は個別の判断になるため、実務では説明を先に行い、記録を残している事務所が多く見られます。

無料プランを業務で使ってはいけませんか

禁止する規定が公表されているわけではありません。ただし、デジタル庁の利活用ルールひな形は、約款型クラウドサービスは原則として要機密情報を扱えないことの理解を利用者に求めています（出典: 前掲 デジタル庁概要資料）。事務所の規程で、扱ってよい情報の区分とプランを紐づけておく運用が現実的です。

サブプロセッサの一覧が公開されていない場合はどうしますか

公開されていない旨を記録に残し、代替として、再委託先の所在国の範囲を書面で確認する方法があります。回答が得られない場合は、そのサービスへ投入する情報の区分を狭める判断につながります。

同意はいつ取るのが実務的ですか

顧問契約の締結時や更新時にまとめて説明する形と、案件ごとに確認する形の2通りがあります。件数の多い事務所では前者に寄せ、機微な案件だけ個別に確認する運用が採られています。

海外拠点や海外の外注先と資料を共有する場合も同じですか

事務所側から国外へ渡す点では同じ経路になります。AIサービスを介するかどうかにかかわらず、投入可否の区分と記録の残し方を共通のルールにしておくと、所内の判断が揃います。

確認結果はどこに残せばよいですか

サービス名、プラン、確認日、回答内容、確認者の5点を1行にした一覧を、規程と同じ場所に置く方法があります。年1回の点検でこの一覧を更新すれば、次の担当者が引き継ぐときの説明資料にもなります。

参考文献

• e-Gov法令検索 個人情報の保護に関する法律
• 個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）
• 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について
• デジタル庁 生成AIの調達・利活用に係るガイドライン2.0版について（概要）
• 経済産業省 AI事業者ガイドライン（第1.2版）

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/