日本リージョンがない音声AIをどう扱うか｜データの所在・個人情報・社内規程の確認(2026年9月)

前提の整理: どこで処理され、何が残るか

Gemini 3.8 Live のモデルページ(2026-09-30確認)では、対応リージョンは米国のマルチリージョン(us)、EUのマルチリージョン(eu)、米国の us-central1 だけです。Googleのデータ所在のドキュメントは、リージョンを指定したエンドポイントでは、AIの処理(推論)がその地域の中で行われると説明しています。反対に、地域を指定しない global エンドポイントは世界のどこで処理されるか保証しないとしています。国外で処理されるとしても、米国かEUのどちらかに固定できる、というのが出発点です。

保存と学習については、Googleのドキュメントに次のように書かれています。どれも「既定でどうなっているか」と「設定で変わるか」を分けて読むのが要点です。

この表は Google Cloud 側の扱いです。音声AIを組み込んだアプリは、別に独自のログ、録音、文字起こし、業務システムへの記録を持つことが多く、それらがどこに保存されるかは開発の設計で決まります。電話やWebの音声を中継するサーバーを海外のクラウドに置けば、そこも国外の保存先になります。

仕様の出典: Google Cloud ドキュメント「Gemini 3.8 Live」(対応リージョン・セキュリティ管理) / Google Cloud ドキュメント「Data residency」 / Google Cloud ドキュメント「Zero data retention」 / Google Cloud ドキュメント「Abuse monitoring」

確認1: どのデータがどこへ行くかを表にする

最初に作るのは、データの種類ごとの行き先の表です。個人情報に当たるかどうかの判断も、この表がないと始められません。音声AIで流れるデータは、少なくとも次の5つに分けられます。

個人情報保護委員会のQ&A(Q1-10)は、通話内容から特定の個人を識別できれば個人情報に当たるとしています。声から話者を認証できるデータに変換したものは個人識別符号に当たる、ともしています(Q1-11)。音声AIに業務システムの顧客情報を渡すと、会話に個人データが入る前提になります。渡す項目を「予約の日時と人数だけ」のように絞ると、確認すべき範囲も小さくなります。

確認2: 個人情報保護法の「外国にある第三者への提供」の考え方

個人情報保護法第28条は、外国にある第三者に個人データを提供するとき、原則として本人の同意を求め、同意を得る際には、その外国の名称や制度などの情報を本人に提供するよう定めています。例外は、日本と同等の水準にあると認められた国(Q&A Q12-2では、令和3年9月時点でEUと英国)にある場合、基準に適合する体制を整えた相手の場合などです。

クラウドの利用がそもそも「提供」に当たるかについて、Q&A(Q7-53)は、保存するデータに個人データが含まれるかではなく、クラウド事業者が個人データを取り扱うこととなっているかが基準だとしています。取り扱わないこととなっている場合の例として、契約で取り扱わない旨が定められ、適切にアクセス制御を行っている場合を挙げています。外国の事業者のサーバーでも同じ考え方で、取り扱わないこととなっていれば外国にある第三者への提供に当たらないとされています(Q12-3、Q12-4)。サーバーが国内にあっても、外国の事業者が取り扱っていれば当たる、とも書かれています(Q12-4)。

提供に当たらない場合でも、何もしなくてよいわけではありません。Q&A(Q10-25)は、外国の事業者のクラウドを使う場合、その外国の制度を把握したうえで安全管理措置を講じ、事業者の所在国とサーバーの所在国の名称、講じた措置の内容を本人が知り得る状態に置く必要があるとしています。個人情報保護委員会は、米国などの制度を調べた「外国における個人情報の保護に関する制度等の調査」も公表しています。

生成AIについては、個人情報保護委員会の注意喚起(2023-06-02)が、本人の同意なく個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合は法違反となる可能性があるとし、事業者が機械学習に使わないことなどを十分に確認するよう求めています。

音声AIの利用がこのどれに当たるかは、契約の内容、事業者側の記録(不正利用の監視など)の扱い、自社の設定によって変わります。この記事では判断しません。上の表と契約書類をそろえて、法務に判断してもらうのが順番です。

仕様の出典: 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」 / 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」 / 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」(2023-06-02)

確認3: 社内規程・顧客との契約・業界のガイドライン

法律より先に引っかかりやすいのが、社内規程と顧客との契約です。情報セキュリティ規程に「個人情報は国内のデータセンターで保管する」とある、顧客との契約や委託契約で国内処理を約束している、といった場合は、法律上の整理がついても使えません。規程と主要な契約を洗い出し、国外処理を禁じる条項がないか確認します。

業界のガイドラインも確認します。医療では、厚生労働省の「医療情報システムの安全管理に関するガイドライン」について、同省の検討会資料(2026-05-29)が、同ガイドラインに「情報機器等が、国内法の適用及び執行の及ぶ範囲にあること」とする記載があると紹介し、実態に合わない可能性があるとして対応を引き続き検討するとしています。医療機関の問い合わせ窓口に国外処理の音声AIを入れる場合は、この記載との関係を先に確認する必要があります。

金融機関や自治体にも、所管官庁のガイドラインや、自治体の情報セキュリティポリシーがあります。行政機関等については、前述の生成AIの注意喚起が別に注意点を示しています。この記事では各業界の規程の中身を確認していないので、自社に適用されるものを担当部署で確認してください。

仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン改定について」(第32回 医療等情報利活用ワーキンググループ 資料5、2026-05-29)

日本の会社で使えるか: 国内で処理できる代替

Gemini 3.8 Live with Live Avatar は、日本の Google Cloud アカウントから使え、日本語にも対応しています。ただし日本リージョンはなく、2026-09-30時点で日本リージョンの提供予定も発表されていません。国内処理が条件の業務には、現時点では合いません。

同じ Google Cloud の中で、データ所在のドキュメント(2026-09-30確認)は、日本(asia-northeast1)でのML処理に対応するモデルとして、Gemini 3.5 Flash、Gemini 2.5 Flash(128k)、Gemini 2.5 Pro(64k)、Chirp 3 の文字起こし、Chirp 3 の HD音声(音声合成)などを挙げています。一方、Gemini 3.8 Live はこの一覧に入っていません。文字起こし→テキストのモデル→音声合成を組み合わせる構成なら、国内処理の条件を満たせる可能性があります。ただし、音声を直接扱う1つのモデルより構成が複雑になり、顔の映像も付きません。応答の速さや割り込みへの反応は、自社で試して確かめる必要があります。

OpenAI の GPT-Live など他社の音声AIのデータ所在は、この記事では確認していません。比べる場合は、各社の公式ドキュメントと契約で、処理地域・保存・学習利用の3点を同じ表で並べてください。

仕様の出典: Google Cloud ドキュメント「Data residency」(モデル別のML処理地域)

いまやること・待ってよいこと

• データの行き先の表を作る: 音声・映像・文字起こし・業務データ・ログの5つについて、行き先の国と保存期間を開発会社と一緒に埋める
• 設定を決める: 会話の再開機能やリクエストの記録を使わない、メモリ上のキャッシュを無効にする、不正利用の監視の除外を申請するか、を情シスが判断する
• 法務に渡す: 表と契約書類(Google Cloud の規約、データ処理の付属書、開発会社との委託契約)をそろえて、第三者提供・委託・安全管理措置のどれとして扱うか判断してもらう
• 公表内容を確認する: プライバシーポリシーの「安全管理のために講じた措置」に、事業者とサーバーの所在国を書く必要があるかを確認する
• カメラ映像は送らない設計から始める: 顔が映る映像を国外に送らない構成なら、確認の範囲が小さくなる

待ってよいのは、日本リージョンの提供と、国内処理に対応した音声会話モデルの登場です。いずれも2026-09-30時点で発表はありません。国内処理が必須の業務は、それまで文字起こしと音声合成を組み合わせる構成か、音声AIを使わない運用で進め、必須でない業務から先に試すのが現実的です。

出典

• Google Cloud ドキュメント「Gemini 3.8 Live」モデルページ(対応リージョン、セキュリティ管理。2026-09-30確認): https://docs.cloud.google.com/gemini-enterprise-agent-platform/models/gemini/3-8-live
• Google Cloud ドキュメント「Data residency」(2026-09-30確認): https://docs.cloud.google.com/gemini-enterprise-agent-platform/resources/data-residency
• Google Cloud ドキュメント「Gemini Enterprise Agent Platform and zero data retention」(2026-09-30確認): https://docs.cloud.google.com/gemini-enterprise-agent-platform/resources/zero-data-retention
• Google Cloud ドキュメント「Abuse monitoring」(2026-09-30確認): https://docs.cloud.google.com/gemini-enterprise-agent-platform/models/abuse-monitoring
• Google Cloud ドキュメント「Security controls for Generative AI」(2026-09-30確認): https://docs.cloud.google.com/gemini-enterprise-agent-platform/models/security-controls
• Google Cloud「Gemini 3.8 Live with Live Avatar is now generally available」(2026-09-24): https://cloud.google.com/blog/products/ai-machine-learning/gemini-3-8-live-with-live-avatar-is-now-generally-available
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」(Q1-10、Q1-11、Q7-53、Q10-25、Q12-2〜Q12-4): https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(外国にある第三者への提供編)」: https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore/
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」(2023-06-02): https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
• 個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」: https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/
• 厚生労働省「医療情報システムの安全管理に関するガイドライン改定について」(2026-05-29): https://www.mhlw.go.jp/content/10808000/001102596.pdf

よくあるご質問

海外で処理される音声AIに顧客の声を送るのは、個人情報保護法上の越境移転になりますか?

一律には決まりません。個人情報保護委員会のQ&Aは、クラウド事業者が個人データを取り扱わないこととなっている場合(契約で定め、アクセス制御をしている場合など)は外国にある第三者への提供に当たらないとしています。当たらない場合も、外国の制度を把握した安全管理措置と、所在国などを本人が知り得る状態に置くことが求められます。自社の契約と設定を材料に法務が判断します。

Gemini 3.8 Live に送った音声はAIの学習に使われますか?

Googleは、事前の許可や指示なしに顧客データをAI/MLモデルの学習に使わないと規約で定めています(2026-09-30確認)。別に、不正利用の監視のためにプロンプトを最大90日記録する場合があり、除外の申請ができます。会話の再開機能を有効にすると最大24時間保存されるなど、設定で残るデータが変わります。

EUのリージョンを選べば、日本の個人情報保護法上は問題ありませんか?

そうとは限りません。EUと英国は同等の水準にあると認められた国とされています(Q&A Q12-2、令和3年9月時点)が、同法の考え方は処理する場所だけでなく、データを扱う第三者がどこにあり、個人データを取り扱うかで整理されています。リージョンの選択は材料の一つで、判断は法務に確認してください。

国内で処理できる音声AIの代替はありますか?

Google Cloud のデータ所在のドキュメント(2026-09-30確認)では、Chirp 3 の文字起こしとHD音声、Gemini 3.5 Flash などが日本でのML処理に対応しています。これらを組み合わせる構成が代替候補ですが、1つのモデルで音声を直接扱う構成より複雑になり、アバターの映像も付きません。応答の速さは試作で確かめる必要があります。