2026年2月、ある多国籍企業は、人事調査によってAIが文字起こしした会議の録音が従業員の明示的な同意なしにサードパーティサーバーに保存されていたことが判明し、240万ユーロのGDPR罰金を科されました。Reutersが最初に報じたこの事件は、世界中の企業法務部門に衝撃を与えています。

AI文字起こしツールは、リモートワークやハイブリッドワークプレイスで標準的になっています。しかし、多くの企業は「録音」ボタンを押すたびに、莫大なコンプライアンスリスクを生み出していることに気づいていません。従業員の同意、データ保持ポリシー、国境を越えたデータ転送、およびサードパーティ処理契約はすべて、潜在的な法的地雷です。

当社はGDPR第6条および第9条の要件を分析し、プライバシー機能に関して12のAI文字起こしツールをレビューし、EUおよび米国の雇用弁護士に相談しました。2026年にAI文字起こしを合法的に使用するために企業が知っておくべきことは次のとおりです。

関連: 最適なAI文字起こしツール, チーム向けAI会議アシスタント, 会議メモAIツール

AI文字起こしにおけるプライバシー危機

Gartnerによると、AI会議アシスタントを使用している企業の67%は、文字起こしに関する正式なデータ保持ポリシーを持っていません。これは、いつ発生してもおかしくないコンプライアンス上の大惨事です。

何が起こっているかというと、従業員がZoom通話に参加します。AIボットが自動的に参加します。会話は文字起こしされ、感情分析され、サードパーティサーバーに無期限に保存されます。誰も同意を求めず、誰もデータがどこに行くかを説明せず、誰も削除のタイムラインを設定しませんでした。

GDPR第6条の下では、これは不法な処理です。カリフォルニア州のCPRAの下では、従業員のプライバシー権の侵害です。ドイツ、オーストリア、フランスの雇用法の下では、労働評議会の介入や、場合によっては刑事告発の根拠となる可能性があります。

具体的なリスク：

• 同意メカニズムの欠如： 多くのAIツールは、個別のオプトインなしに会議に自動参加する
• 無期限の保持： 永遠に保存される文字起こしは、「データ貯蔵」違反を生み出す
• サードパーティ処理： 従業員の音声データを米国ベースのサーバーに送信することは、Schrems IIに違反する
• 機密データの漏洩： 文字起こしに含まれる健康に関する議論、業績評価、人事事項は、第9条の特別カテゴリーデータに該当する
• データ主体アクセス権の欠如： 従業員は自身の文字起こしデータの要求や削除ができない

AIによる文字起こしは違法ではありません。しかし、それを不注意に利用することは間違いなく違法です。

職場における文字起こしに関するGDPR要件

EUの一般データ保護規則（GDPR）は、従業員データの処理に関して厳格な規則を定めています。コンプライアンスに実際に必要なことは次のとおりです。

1. 法的根拠（第6条）

従業員の音声録音と文字起こしを処理するには、6つの法的根拠のいずれかが必要です。実際には、ほとんどの企業にとって機能するのは2つだけです。

正当な利益（第6条(1)(f)）： 会議の文字起こしが業務運営に必要であり、かつ従業員のプライバシー権が企業の利益を上回らない場合、文字起こしが可能です。これには、文書化された正当な利益評価（LIA）が必要です。

同意（第6条(1)(a)）： 自由に与えられ、特定され、情報に基づき、かつ明確なもの。「この通話に参加することで同意する」は、GDPRの下では有効な同意ではありません。従業員は不利益なく拒否できる必要があります。

重要： 日常的な会議の文字起こしには、「契約の履行に必要な場合」（第6条(1)(b)）や「法的義務」（第6条(1)(c)）を使用することはできません。欧州データ保護委員会はこの点について明確にしています。

2. 透明性（第13条～第14条）

録音を行う前に、従業員は以下を知る必要があります：

• 誰がデータを処理しているか（会社名 + 第三者ベンダー）
• なぜ文字起こしをするのか（事業目的）
• 文字起こしデータがどこに保存されるか（データ所在地、サーバー、クラウドプロバイダー）
• 文字起こしデータがどのくらいの期間保持されるか（「必要な限り」ではなく具体的な期間）
• 誰が文字起こしデータにアクセスできるか（役割、部門、第三者）
• 削除を要求する方法（DSARプロセス）

これは、最初の録音の前に、書面で、平易な言葉で提供されなければなりません。

3. データ最小化（第5条(1)(c)）

必要なものだけを文字起こしできます。アクションアイテムの追跡のために文字起こしをする場合、完全な逐語的な文字起こしは必要ありません。会議の要約が必要な場合、生の音声を保存する必要はありません。

多くのAIツールは、デフォルトですべてを文字起こしします。正当な理由がない場合、これはGDPR違反となります。

4. 保存期間の制限（第5条(1)(e)）

文字起こしデータを無期限に保存することはできません。文書化された保持スケジュールが必要です：

• アクションアイテム / 決定事項： 30～90日
• プロジェクト文書： プロジェクト期間 + 6ヶ月
• 人事/法務関連： 雇用法で定められた期間（通常3～7年）
• その他すべて： 最大30日

自動削除ポリシーは不可欠です。手動レビューは規模が拡大しません。

5. 特別な種類のデータ（第9条）

健康情報、労働組合の加入状況、政治的意見、その他機密性の高いデータについては、明示的な同意またはその他の第9条の例外が必要です。文字起こしデータがこれらを捕捉する可能性がある場合（人事会議、業績評価など）、追加の保護措置が必要です。

従業員の同意：実際に有効なもの

GDPRの下では「黙示の同意」は存在しません。有効なものは以下の通りです：

同意は具体的でなければならない

悪い例: 「品質およびトレーニング目的で会議を記録する場合があります。」

良い例: 「本会議は、米国内で音声を処理するOtter.aiを使用して文字起こしされます。文字起こしデータは30日間保存され、[特定の役割]がアクセスできます。会議開始前に[担当者]に通知することで、ペナルティなしでオプトアウトできます。」

同意は自由に与えられるべきである

従業員は、負の結果なしに拒否できる必要があります。拒否することが会議に出席できない、または職務に参加できないことを意味する場合、それは有効な同意ではありません。

解決策: 代替の参加方法を提供する（電話のみのオプション、手動メモ、会議後の要約へのアクセス）。

同意は文書化されなければならない

誰が、いつ、何に同意したかの記録を保管してください。これはDSAR応答および監査にとって極めて重要です。

ベストプラクティス: 同意管理プラットフォームを使用するか、会議ワークフローにオプトイン/オプトアウト追跡を組み込みます。

同意は撤回できる

従業員はいつでも同意を撤回できます。別の法的根拠がない限り、30日以内にそのデータを削除する必要があります。

デバイス上処理 vs クラウド処理

文字起こしがどこで行われるかは、コンプライアンスにとって非常に重要です。

クラウド処理 (ほとんどのAIツール)

• 音声はサードパーティのサーバー（AWS, Google Cloud, Azure）に送信されます
• データは国境を越えます（EUの顧客の場合でも、多くは米国へ）
• ベンダーとのデータ処理契約（DPA）が必要です
• ベンダーのセキュリティインシデントおよび侵害の影響を受けます
• EUから米国への転送には、標準契約条項（SCC）が必要となる場合があります

コンプライアンスへの影響: 高リスク。広範なベンダーデューデリジェンス、DPA、および転送影響評価が必要です。

デバイス上での処理

• 音声はユーザーのコンピューターまたは会社のサーバーに残ります
• サードパーティによるアクセスなし
• 国境を越えるデータ転送なし
• 保持と削除の完全な制御

コンプライアンスへの影響: 低リスク。第6条(1)(f)の正当な利益に基づき弁護しやすい。

デバイス上でのオプションを持つツール: ScreenApp (オプションのローカル専用モード), Whisper (セルフホスト), MacWhisper (macOSローカルトランスクリプション)。

データ保持のベストプラクティス

無期限の保存はGDPR違反です。以下に効果的な方法を示します。

自動削除ポリシー

会議の種類に基づいて保持ルールを設定します:

会議の種類	保持期間	理由
デイリースタンドアップ	7日間	運用のみ
プロジェクト計画	90日間	プロジェクト期間
クライアントとの通話	1年	契約上の義務
パフォーマンスレビュー	3年（一部の法域では7年）	雇用法上の要件
人事調査	7年	法的弁護

自動削除機能を使用してください。手動での削除は一貫して行われません。

匿名化 vs 削除

匿名化（名前、メールアドレス、識別情報の削除）は保持義務を軽減できます。しかし、適切に行うのは困難です。真の匿名化プロセス（単なる編集ではない）がない限り、保持として扱ってください。

バックアップ保持

バックアップはデータ保持としてカウントされます。議事録を削除しても、90日間前の夜のバックアップに残っている場合、実際には削除されていないことになります。

解決策: 議事録フォルダにバックアップ除外ルールを実装するか、きめ細かな保持制御が可能なシステムを使用してください。

プライバシーを第一に考えたAI文字起こしツール

プライバシー機能、同意ワークフロー、GDPRコンプライアンスに基づいて12のAI文字起こしツールを評価しました。その結果は次のとおりです。

詳細なプライバシー比較

Rev.ai - HIPAAコンプライアンスに最適

Rev.aiは、事業提携契約（BAA）によるHIPAA準拠の処理を提供する数少ない文字起こしAPIの1つです。

タイプ: API | 価格: 非同期 $0.02/分 / ストリーミング $0.065/分 | 処理: クラウド (米国)

プライバシー機能: HIPAA BAA利用可能、SOC 2 Type II、API経由でのカスタム保持ポリシー、オンプレミス展開オプション（エンタープライズ）、DPA利用可能

長所: 高精度、36言語、開発者向けAPI、ストリーミングおよび非同期オプション、カスタム語彙サポート

短所: APIのみ（開発者による統合が必要）、米国拠点での処理、同意ワークフローの組み込みなし、標準プランではEUデータレジデンシーなし

コンプライアンス準拠のAI文字起こしを導入する方法

以下に、段階的なコンプライアンスロードマップを示します。

ステップ1：データ保護影響評価（DPIA）の実施

従業員の音声データを大規模に処理する場合、GDPR第35条によりDPIAが義務付けられています。以下を文書化してください。

• どのようなデータを収集しているか（音声録音、文字起こし、発言者名）
• なぜ収集しているか（ビジネス上の正当な理由）
• 従業員のプライバシーに対するリスク
• 軽減策（暗号化、アクセス制御、保持制限）
• 必要性の分析（より少ないデータで目的を達成できるか？）

データ保護責任者（DPO）または法務チームに相談してください。

ステップ2：法的根拠の選択

正当な利益（第6条(1)(f)）または同意（第6条(1)(a)）のどちらを使用するかを決定してください。

正当な利益： 文書化されたLIAが必要です。業務上の会議で参加が職務の一部である場合に適しています。

同意： オプトインのワークフローが必要です。任意の会議、トレーニングセッション、または文字起こしが業務の中核ではない状況に適しています。

ステップ3：プライバシーポリシーの更新

会議の録音および文字起こしに関するセクションを追加してください。以下を含めます。

• 使用するツール（ベンダー名）
• データが処理される場所（国、クラウドプロバイダー）
• 保持期間（具体的な期間）
• アクセス制御（誰が文字起こしを閲覧できるか）
• 従業員の権利（アクセス、削除、異議申し立ての方法）

録音を開始する前に、すべての従業員がアクセスできるようにしてください。

ステップ4：同意ワークフローの実装

同意を法的根拠とする場合：

• 録音される内容を説明する会議前の通知を送信する
• オプトアウトの仕組みを提供する
• 同意を文書化する（タイムスタンプ、従業員ID、会議ID）
• 拒否する従業員に対して代替の参加方法を提供する

ステップ5：自動削除ポリシーの設定

文字起こしツールで保持ルールを設定してください：

• 日次スタンドアップ会議は7日間
• ほとんどの業務会議は30日間
• プロジェクト関連コンテンツは90日間
• 人事/法務関連事項はカスタム保持（正当な理由とともに）

自動削除が実際に機能するかテストしてください。多くのツールは自動削除を謳っていますが、手動でのトリガーが必要です。

ステップ6：データ処理契約（DPA）を締結する

クラウドベースのツールを使用している場合、あなたはデータ管理者であり、ベンダーはデータ処理者です。GDPR第28条は書面によるDPAを要求しています。

DPAを以下に要請してください：

• Otter.ai, Fireflies.ai, Grain, tldv (これらはすべて提供しています)
• あなたのビデオ会議プロバイダー（Zoom, Teams, Meet）
• 議事録が保存されるあらゆるクラウドストレージ（Google Drive, OneDrive, Dropbox）

ステップ7：管理者と従業員を訓練する

ほとんどのコンプライアンス違反は、ユーザーがルールを知らないために発生します。以下の点についてトレーニングを提供してください：

• 録画が許可される場合とされない場合
• 同意を得る方法
• 議事録から共有できるものとできないもの
• データ主体アクセス要求の処理方法
• データ保持ポリシー

定期的なトレーニング（最低でも年1回）として実施してください。

ScreenAppでできること

私たちは、これらのコンプライアンス問題を解決するためにScreenAppを開発しました。プライバシーに配慮した使用方法は以下の通りです：

1. デバイス上での文字起こしを有効にする 機密性の高い会議（人事、法務、業績評価）には
2. 会社がGDPRの対象である場合はEUデータレジデンシーを使用する
3. ほとんどの会議で自動削除を30日に設定する（長期保存が必要ない場合はそれよりも短く）
4. 最大限のプライバシーのためにゼロデータ保持モードを有効にする（文字起こしはブラウザから決して離れません）
5. ロールベースのアクセス制御を使用することで、誰が文字起こしを見られるかを制限する

オプション：APIアクセスを有効にする（月額19ドル）ことで、カスタムの保持ワークフローを構築し、コンプライアンスシステムと統合できます。

実装後

コンプライアンスに準拠した文字起こしシステムが導入されたら：

• AI会議ノートテイカー: 準拠した文字起こしから構造化されたノートを生成
• ビデオ要約ツール: 1時間の会議を2分間の要約に変換
• ビデオからドキュメントへ: 記録保持のためにタイムスタンプ付きで文字起こしをエクスポート

よくある質問

従業員の同意なしに会議を文字起こしできますか？

GDPRの下では、法的根拠（第6条）または同意のいずれかが必要です。正当な利益（第6条(1)(f)）は、文字起こしが文書化されたビジネスニーズを満たす運用会議では十分である場合があります。ただし、従業員に通知し、異議を申し立てる機会を与えなければなりません。ドイツ、フランス、オーストリアでは、労働評議会が法的根拠に関わらず、明示的な同意を要求することがよくあります。

プライバシーに関して、デバイス上とクラウド転写の違いは何ですか？

デバイス上での文字起こしは、音声をコンピューターでローカルに処理します。音声はデバイスから離れることがないため、第三者によるアクセス、国境を越えたデータ転送、ベンダーのセキュリティリスクはありません。クラウド転写は音声を第三者のサーバー（通常AWSまたはGoogle Cloud）に送信するため、データ処理契約が必要となり、GDPRの転送義務が発生し、ベンダーのセキュリティ慣行に依存します。

GDPRに基づき、会議の議事録をどれくらいの期間保管できますか？

GDPR第5条(1)(e)は保管制限を要求しており、データを収集した目的に必要な期間のみ保管できます。アクションアイテムの追跡には30日が妥当です。プロジェクトの文書化には90日です。人事または法的な問題については、雇用法により3〜7年が要求される場合があります。保管の正当性を文書化し、自動削除ポリシーを導入する必要があります。

文字起こしベンダーとの間でデータ処理契約（DPA）が必要ですか？

はい、ベンダーがあなたの代理として従業員データを処理する場合（GDPR第28条）には必要です。Otter.ai、Fireflies.ai、Rev.ai、GrainのようなクラウドベースのツールはすべてDPAを必要とします。ベンダーは標準的なDPAテンプレートを提供するはずです。データの場所、再処理者、セキュリティ対策、侵害通知、データ削除義務をカバーしていることを確認するためにレビューしてください。

従業員が自身の文字起こしデータの削除を要求した場合、どうなりますか？

GDPR第17条に基づき、従業員は消去の権利を有します。データを保持する法的義務がない限り（例：雇用法、進行中の法的手続き）、30日以内にデータを削除しなければなりません。これには、文字起こし、音声ファイル、およびあらゆるバックアップの削除が含まれます。削除要求を文書化し、従業員に書面で完了を確認してください。

同意なしにZoom通話を録音することは違法ですか？

それは管轄区域によります。GDPRに基づくEUでは、法的根拠（同意または正当な利益）が必要であり、参加者に通知しなければなりません。米国では、連邦法により一方の当事者が同意すれば（録音者自身）、録音が可能ですが、11の州では全ての当事者の同意が必要です（カリフォルニア州、コネチカット州、フロリダ州、イリノイ州、メリーランド州、マサチューセッツ州、ミシガン州、モンタナ州、ニューハンプシャー州、ペンシルベニア州、ワシントン州）。録音する前に地域の法律を確認してください。

ChatGPTやClaudeで会議の議事録を分析できますか？

可能ですが、注意が必要です。議事録をOpenAIまたはAnthropicに送信するということは、従業員の音声データが米国の第三者によって処理されることを意味します。GDPRに基づき、これは標準契約条項およびデータ転送影響評価を必要とする国境を越えたデータ転送にあたります。両ベンダーともDPAを提供していますが、コンプライアンスの責任は依然としてお客様にあります。機密データには、デバイス上AIモデルまたはEUホスト型代替ソリューションの使用を検討してください。