AI議事録ツール法人導入リスク比較｜セキュリティ・データプライバシー監査

1. AIトレーニングへのデータ使用ポリシー：会議データがAI学習に使われるか、利用規約・DPA・セキュリティページで確認してください。セキュリティページとDPAの記述が異なる場合、DPAが契約上の根拠となります。
2. データ削除・保持設定：解約時・退職者データの削除タイミング・方法を契約前に確認してください。
3. アクセス管理（SSO / SAML / SCIM / 監査ログ）：IT部門が必要とするアカウント管理機能がどのプランで利用できるかを確認してください。
4. 法的文書（DPA・サブプロセッサーリスト）：GDPR・個人情報保護法対応では契約書類の確認が必要です。公開URLがないツールは担当者への問合せが必要です。
5. 料金・試用条件の透明性：無料プラン・Enterpriseプラン・請求書払いの有無を確認してください。

• 確認済み：公式URLが存在し、内容がその項目を明確に支持している
• 一部確認済み：公式URLは存在するが、内容が間接的・不完全
• 要確認：公式の公開URLが確認できなかった（情報が存在しない可能性、またはログイン・問合せが必要な可能性）
• 該当情報なし：公式情報がその項目の非対応・非該当を明示している

スコアの構成（合計 100点満点）

• AIトレーニング制御：最大25点（AIトレーニング非学習ポリシー・データリージョン明示）
• データ保持・削除の明確さ：最大20点（保持期間・削除ポリシー）
• アクセス管理・監査可能性：最大25点（SSO・SAML・SCIM・監査ログ・管理者ロール等）
• 法的・コンプライアンス透明性：最大20点（DPA・サブプロセッサー・トラストセンター等）
• 料金・トライアル透明性：最大10点（無料プラン・SLA・Enterpriseプラン等）

評価ラベルの目安

• 85点以上：法人導入前提で確認しやすい
• 70〜84点：一部要確認
• 50〜69点：情シス・法務確認が必要
• 50点未満：公開情報だけでは判断しにくい

• セキュリティページの記述とDPA（データ処理契約）の記述が異なる場合があります。DPAが優先されます。
• 「匿名化して使用する」という記述が含まれる場合、匿名化の範囲・方法を確認してください。
• AIトレーニング非学習をEnterprise限定とするツールは、非Enterpriseプランでの明示的な説明を確認してください。
• オプトアウト手順がある場合は、その手順と有効範囲を契約前に確認してください。

• 無料プランはデータ保持期間が短い場合があります（例：tl;dv 無料ユーザーは3ヶ月と記載）
• Enterpriseプランではカスタムの保持期間・自動削除設定が可能なツールがあります
• 解約後のデータ削除タイミング・方法を契約書・プライバシーポリシーで確認してください
• 削除リクエストの受付方法・完了までの期間を導入前に問い合わせることを推奨します

• SSO（シングルサインオン）：既存のIDプロバイダー（Google Workspace・Microsoft Entra ID等）でログインを統合できます。不正アクセスリスクの低減に役立ちます。
• SAML SSO：企業向けの標準プロトコル。多くのツールでEnterprise限定です。
• SCIM（自動ユーザープロビジョニング）：入退社時のアカウント自動作成・削除ができます。アカウント管理の工数削減とセキュリティ強化に有効です。
• 監査ログ：誰がいつどのデータにアクセスしたかを記録します。インシデント調査・コンプライアンス対応に必要です。
• 管理者ロール：部署別・役職別のアクセス制御を設計する場合は詳細を確認してください。

• DPA（データ処理契約）：GDPRや個人情報保護法への対応において法人契約の基本文書です。公開URLがないツールは担当者への問合せが必要です。
• サブプロセッサーリスト：データ処理を委託している第三者（クラウドサービス・AI処理プロバイダー等）の一覧です。GDPR対応では委託先の把握が求められます。
• SLA（サービスレベル契約）：アップタイム保証・障害対応時間を定めます。今回比較した4ツールすべてでSLAの公開URLは確認できていません。業務クリティカルな用途では担当者への問合せを推奨します。

日本語文字起こし・AIサマリー・議事録・研修記録・インタビュー記録向け

公式サイト：https://www.notta.ai/en/ ｜ セキュリティページ

Webミーティング（Zoom/Meet/Teams）・営業・顧客打合せ・録画クリップ共有向け

公式サイト：https://tldv.io/ ｜ トラストセンター

ミーティング自動化・アクションアイテム管理・CRM・ワークフロー連携向け

公式サイト：https://fireflies.ai/ ｜ DPA ｜ トラストセンター

ビジネスチーム・ミーティングインサイト・ミーティング履歴検索・タスク管理向け

公式サイト：https://www.sembly.ai/ ｜ トラストセンター

• データリージョン（保存先国・地域）の確認
• AIトレーニング非学習ポリシーの文書確認（セキュリティページ・DPA両方）
• SSO・SAML対応プランの確認
• SCIM（自動ユーザープロビジョニング）の対応プランと設定方法の確認
• 監査ログの取得方法・保持期間・API有無の確認
• 管理者ロール・アクセス権限の設計と対応確認
• データ保持・削除設定の確認（Enterpriseカスタム設定の有無）
• サブプロセッサーリストの確認と社内ルールとの照合
• セキュリティ認証（SOC 2・ISO 27001等）の有効期限と報告書の入手可否
• 退職者アカウント削除後のデータ処理方法の確認

• DPA（データ処理契約）の入手と内容確認（特にAIトレーニング条項・データ主体の権利）
• サブプロセッサーリストの確認と変更通知の仕組みの確認
• プライバシーポリシーのAIトレーニング・データ利用に関する条項の精読
• 利用規約のデータ権利・ライセンス・知的財産条項の確認
• GDPR・個人情報保護法・APPIへの準拠状況の確認
• データ主体の権利（削除・ポータビリティ）の対応手順の確認
• SLA・アップタイム保証の有無と内容の確認
• 契約形態（クレジットカード払い・請求書払い）の確認
• 会議録音に関する参加者への同意取得要件の確認（国内法・相手国法）
• HIPAA BAA（医療情報を扱う場合）の締結手順の確認

• 無料プラン・無料トライアルの有無と機能制限の確認
• Enterpriseプランの費用・サポート体制・担当者窓口の確認
• 日本語UIおよびサポートの対応状況の確認
• 録音録画に関する社内規定・参加者への通知方法の整備
• 必要機能（SSO・監査ログ等）がどのプランで利用できるかの確認
• 情シス・法務部門との導入前確認の実施
• 導入後の利用ルール・データ管理ポリシーの整備

今回比較した4ツールは、用途・強みが異なります。公開情報の確認しやすさに差はありますが、 スコアの差は「現時点での公開情報の充実度」の差であり、運用の安全性の優劣を示すものではありません。

• Notta：日本語文字起こし・研修記録に強み。DPA・AIトレーニングポリシーは問合せで確認が必要。
• tl;dv：AIトレーニング非学習・データ保持期間を公開情報で確認しやすい。SAML・SCIMは要確認。
• Fireflies.ai：DPA・サブプロセッサー・SAML・SCIMが公式URLで確認可能。DPA §2.6の精読を推奨。
• Sembly AI：データリージョン選択・多数のコンプライアンス認証を確認済み。DPAは問合せが必要。

どのツールを選ぶ場合も、情シス・法務部門との事前確認、DPAの入手、AIトレーニングポリシーの精読を推奨します。