AI翻訳の便利さの裏で、機密文書を外部APIに送信することのリスクを法務・情報セキュリティ部門が懸念するケースが増えています。 本記事ではAI翻訳における代表的なセキュリティリスク、サービス選定でのチェック項目、契約条項で見るべき箇所を整理します。 対象は法務・情報セキュリティ・購買担当、および社内利用を承認する立場の方。
AI翻訳における5つのセキュリティリスク
1. 入力データのモデル学習への利用
無料の汎用翻訳ツール（Google翻訳の無料版、ChatGPTの無料プランなど）の多くは、入力データをサービス改善やモデル学習に使用する規約になっています。 翻訳した契約書の内容が、後で他のユーザーへの応答に出る可能性が原理的にあります。
法人向けAPIや有料プランでは「学習に使わない」と明記されているのが普通ですが、規約を確認してから採用すること。明記がない場合は使わない。
2. 通信経路の暗号化
基本中の基本ですが、HTTPS（TLS 1.2以上）で通信されているか必ず確認します。 無料Wi-Fi経由で翻訳ツールを使う場合、中間者攻撃でデータが見られるリスクがあります。 企業利用ではVPN経由＋HTTPS必須が一般的です。
3. データの保管場所と保管期間
翻訳した文書がサーバーに保存される場合、以下を確認：
- 地理的所在地：日本国内、米国、EU、その他
- 保管期間：即時削除、24時間、30日、90日、無期限
- 削除方式：論理削除（フラグだけ）か、物理削除（ストレージから消える）か
- バックアップ：バックアップから何日後に消えるか
GDPR対応が必要な場合（EU市民の個人情報を含む文書）はEU域内保管が必須になることがあります。
4. アクセス制御と監査ログ
企業内で複数の従業員が利用する場合：
- SSO（シングルサインオン）対応か（SAML、OAuth、OIDC）
- ロールベースのアクセス制御（管理者・一般・ゲストなど）
- 翻訳履歴の監査ログ（誰が何を翻訳したか）
- 退職者のアカウント停止プロセス
5. サードパーティへのデータ転送
翻訳サービスがバックエンドで使っているLLM（Anthropic、OpenAI、Google等）にデータが送られます。 この経路で：
- どのLLMプロバイダーに送られるか明示されているか
- 各プロバイダーのデータ取り扱い条項を確認できるか
- プロバイダー間でデータ共有はないか
サービス選定の5つのチェックポイント
1. 第三者認証の有無
以下の認証はセキュリティ管理体制が一定レベル以上あることの証明になります：
- SOC 2 Type II：米国系SaaSで広く採用、運用管理の継続性を証明
- ISO/IEC 27001：国際的な情報セキュリティマネジメント規格
- ISMS認証：日本での同等
- GDPR適合性：EUの個人情報保護規則への対応
2. データ取り扱い契約（DPA）の提供
企業契約ではData Processing Agreement（DPA）を要求するのが標準です。 DPAには以下が含まれるべき：
- 処理するデータの種類と目的
- データ保管場所と期間
- 第三者（サブプロセッサー）のリスト
- セキュリティ事故時の通知義務（24時間〜72時間が一般的）
- 契約終了時のデータ削除義務
3. NDA（秘密保持契約）の締結可否
特に機密性の高い文書を扱う場合、サービス提供者とNDAを結べるかは重要な判断材料です。 SaaSの利用規約に既に守秘義務が含まれている場合もありますが、別途NDAを求めるのが堅実です。
4. オンプレミス／VPC配備の選択肢
最高水準のセキュリティが必要な場合（政府系、防衛、医療研究など）：
- VPC配備：顧客のクラウド環境内にデプロイ
- オンプレミス：顧客のデータセンター内に設置
- 専用テナント：他社とインフラを共有しない
多くの中小企業ではここまで不要ですが、選択肢があるサービスは大企業との取引を取れる証拠でもあります。
5. インシデント対応プロセス
セキュリティ事故が起きた時の対応プロセスが明文化されているか：
- 検知から通知までの時間目標
- 影響範囲の特定方法
- 再発防止計画の提供
業界別の追加考慮事項
- 金融：FISC安全対策基準、IRRBB、自己資本規制への対応。 顧客情報を含む文書の翻訳は特に厳格な管理が必要。
- 医療：個人情報保護法、医療情報安全管理ガイドライン。 患者情報を含む文書の翻訳には匿名化前処理を推奨。
- 政府・自治体：政府情報システムのためのセキュリティ評価制度（ISMAP）。 ISMAP登録サービスのみ利用可能なケースが増えています。
- 輸出管理：技術文書の翻訳が外為法上の輸出管理に該当する可能性があります。
BizHonyakuのセキュリティ対応
BizHonyakuは法人利用を念頭に設計しています：
- 入力データはモデル学習に使用しません
- HTTPS（TLS 1.3）での通信
- 翻訳履歴は90日後に自動削除（プランによりカスタマイズ可）
- ログは監査用に分離保管
- バックエンドLLM：Anthropic Claude（法人API版）。Anthropicは入力をモデル学習に使用しないことを契約で明記
- SSO対応（Enterpriseプラン）
- DPA・NDA締結対応
導入時の運用ルール
ツール選定だけでなく、社内の運用ルールも重要です：
- 翻訳に出してよい文書／出してはいけない文書の分類基準を作る
- 個人情報・カード情報を含む文書は事前に匿名化するルール
- 定期的な利用状況のレビュー（誰がどの文書を翻訳しているか）
- 退職者のアカウント停止と翻訳履歴へのアクセス遮断
まとめ
機密文書のAI翻訳は「便利さ vs リスク」のトレードオフですが、 正しいサービス選定と運用ルールでリスクをほぼゼロに抑えながら工数削減を実現できます。 重要なのは：(1) データが学習に使われない、(2) 第三者認証がある、(3) DPA／NDAが結べる、 (4) 監査ログがある、(5) 社内の運用ルールが整備されている、の5点です。
BizHonyakuはこれら5点に対応した法人向けプランを提供しています。 セキュリティ要件のヒアリングから契約まで、まずはお問い合わせください。