■ 本資料について
本システムでは、問い合わせ内容の文字起こし・要約処理にAIサービスを使用します。本資料では、使用するAIサービスのセキュリティ対応について説明します。
■ 使用するAIサービス
| 用途 | サービス | 提供元 |
|---|---|---|
| 音声ファイル保存 | Amazon S3 | Amazon Web Services（AWS） |
| 音声文字起こし | Google Cloud STT V2 | Google LLC（Google Cloud Platform） |
| 要約・構造化 | Claude Sonnet（Anthropic） | Anthropic PBC（Amazon Bedrock経由） |
■ データフロー図
音声データは以下の流れで処理されます。各ステップでのセキュリティ対応を後述します。
①
録音
iPhone標準機能
→
②
アップロード
Amazon S3
→
③
文字起こし
Google Cloud STT
→
④
AI要約
Claude / Bedrock
→
⑤
DB登録
システムDB
② Amazon S3（音声ファイル一時保存）のセキュリティ対応
- 保存時暗号化：アップロードされたすべてのファイルをSSE-S3（AES-256）で自動暗号化
- 自動削除：S3ライフサイクル設定により、アップロードから○日後に自動削除（日数は要件に応じて設定）
- アクセス制限：IAMポリシーによりシステムのみアクセス可能。パブリックアクセスは完全にブロック
- 通信暗号化：アップロード・ダウンロード時はTLS 1.2以上で暗号化
■ ポイント① AIの学習にデータは使用されません
| サービス | データ学習利用の扱い | |
|---|---|---|
| STT | Google Cloud STT V2 | 商用APIとして提供されるGoogle Cloud STTでは、送信された音声データはGoogleのAIモデルのトレーニングに使用されません。 （Google Cloud データ処理規約に基づく） |
| 要約 | Claude Sonnet （Amazon Bedrock経由） | Anthropic商用API（Amazon Bedrock経由）では、送信されたデータはモデルの学習に使用されないことが契約上保証されています。 （Anthropic利用規約 および AWS データ処理規約に基づく） |
■ ポイント② データ処理を日本国内に限定できます
本システムでは、音声データおよびテキストデータの処理を日本国内のサーバーに限定する設定が可能です。
| サービス | 日本リージョン対応 | 対応方法 | |
|---|---|---|---|
| S3 | Amazon S3 | ○ 対応 | バケット作成時に東京リージョン（ap-northeast-1）を指定 |
| STT | Google Cloud STT V2 | ○ 対応 | APIリクエスト時にリージョンを日本（asia-northeast1）に指定 |
| 要約 | Claude Sonnet | ○ 対応 | Amazon Bedrock JP Geoプロファイルを使用（東京・大阪リージョンに限定） |
【個人情報保護法との関係】
個人情報保護法第28条では、外国にある第三者への個人データ提供に際して本人同意等が必要とされています。日本国内リージョンに処理を限定することで、データが海外に移転しないため、この要件への対応が不要となります。
■ ポイント③ 推論データはデフォルトで保存されません
| サービス | データ保存の扱い | |
|---|---|---|
| STT | Google Cloud STT V2 | 送信した音声データはリクエスト処理完了後に削除されます。Google側のサーバーに音声データが蓄積・保存されることはありません。 |
| 要約 | Claude Sonnet （Amazon Bedrock経由） | Amazon Bedrock経由での利用では、推論データはデフォルトでAWSのサーバーに保存されません。リクエスト処理が完了すれば、送信したデータは残りません。 ※ AnthropicはアクティビティログのメタデータのみAmazon Bedrockの推奨に従い最大30日間保持しますが、送信データの内容は含まれません。 |
■ ポイント④ 国際セキュリティ認証を取得しています
| 認証・基準 | 取得サービス | 概要 |
|---|---|---|
| SOC 2 Type II | Anthropic（Claude） | セキュリティ・可用性・機密性に関する第三者監査機関による認証 |
| ISO 27001 | Anthropic（Claude） | 情報セキュリティマネジメントシステムに関する国際規格 |
| ISO 27001 / 27017 / 27018 | Google Cloud / AWS | 情報セキュリティ・クラウドセキュリティ・個人情報保護に関する国際規格 |
| TLS 1.2以上（暗号化通信） | 全サービス共通 | システムと各AIサービス間の通信はすべてTLS暗号化により保護 |
■ オプション：より高いセキュリティが必要な場合
完全クローズド構成（AWS VPC内完結）
AWS VPC（Virtual Private Cloud）環境内にシステム全体を構築することで、外部インターネットへのデータ送信を完全に遮断した構成も実現可能です。
- Amazon S3：VPC内のプライベートサブネットに配置、VPCエンドポイント経由でアクセス
- Amazon Bedrock（Claude Sonnet）：VPCエンドポイント経由で外部通信なしに利用可能
- Google Cloud STT：VPC Service Controlsにより外部アクセスを制限可能
- IAM認証によるアクセス制御、CloudTrailによる操作ログの記録も可能
※ 本構成は追加のインフラ費用が発生します。要件に応じて別途ご提案いたします。
ご不明な点がございましたら、お気軽にお問い合わせください。より詳細なセキュリティ要件がある場合は、御社IT部門・法務部門のご要件をお聞かせいただければ、個別に対応方針をご提案いたします。