ヨーロッパのチームにとって、GDPRに準拠した文字起こしは、結局のところ1つの設計上の問いに集約されます。マイクを離れたあと、会議の音声はどこへ行くのか？ 会議音声や文字起こしをサーバー側に保存するツールは、データ処理契約（DPA）を必要とし、EUの個人データがEU/EEAの外へ出る場合には、GDPR第V章に基づく有効な移転メカニズムが必要です。そのメカニズムには、十分性認定、認証済みの米国ベンダーによるEU-US Data Privacy Frameworkへの参加、標準契約条項、拘束的企業準則、またはその他の承認済み保護措置が含まれます。音声を保持せずにリアルタイムで処理するツールは、永続的なデータの足跡がより小さくなります。この違いは些細な技術論ではありません。GDPR第83条に基づくAI会議プライバシーの不備は、最大で2,000万ユーロ、または世界年間売上高の4%の制裁金につながる可能性があります。

よくあるDPOのシナリオを考えてみましょう。ある部門長が何気なく、営業チームが何か月もAI会議アシスタントを使っていると口にします。EU拠点の購入者との通話を含む顧客との通話が録音され、ベンダーのプラットフォームにアップロードされていました。データ処理契約は存在せず、適法な根拠の評価や参加者への通知も文書化されていませんでした。是正作業は、会議がすでに終わった後に始まるのです。

AI文字起こしツールのGDPR対応は、正しいバッジが付いたツールを見つけることではありません。そのツールが音声データをどう扱うのか、文字起こしをどこに保存するのか、そしてボットが実質的に第2の当事者として会議に参加するのかを理解することです。このガイドでは、あらゆるツールを評価するための枠組みを示し、2026年にヨーロッパのチームが実際に使っている7つのツールに適用します。

Key Takeaways

GDPRが会議の文字起こしに実際に求めるもの

会議の文字起こしはGDPR上の個人データか？

はい。GDPR第4条1項は、個人データを「識別された、または識別可能な自然人に関するあらゆる情報」と定義しています。会議の文字起こしには参加者の名前、意見が含まれ、健康、財務、政治的情報が記録されることもあります。音声は追加のリスクを生む可能性があります。音声データは、人を識別する目的で処理される場合、第9条において生体データとなり、会議内容には健康、政治、労働組合に関する見解などの特別カテゴリ情報が含まれることがあるからです。

会議の文字起こしにはGDPRのどの条文が適用されるか？

文字起こしツールにおける4つのGDPRリスクレベル

すべてのAI文字起こしツールは、4つの設計パターンのいずれかに当てはまります。そのパターンが、ベンダーがコンプライアンスを主張しているかどうかとは独立して、あなたのGDPR上の基本リスクを決めます。

レベル1 — サーバー側の音声保存 + 会議ボット 最高リスク

音声がベンダーのサーバーにアップロードされ、保持されます。ボットが第2の参加者として会議に参加し、ベンダーの代理で録音します。例：Fireflies.ai、OtterPilot。リスク要因：音声の完全保持、生体データまたは特別カテゴリデータの可能性、GDPR第V章に基づく国際移転レビュー、そして第28条のDPAと明確な参加者通知でカバーしなければならない、処理者/会議参加者間の別個のデータフロー。

レベル2 — サーバー側の文字起こし保存、ボットなし 中リスク

音声はベンダーによって処理されますが、文字起こしはベンダーのサーバーに保存されます。ボットは通話に参加しません。リスクはサーバーの所在地と契約条件に大きく左右されます。EU内保存なら国境をまたぐ移転の懸念は減りますが、EU外保存ならGDPR第V章の有効なメカニズムが必要です。例：Amberscript、Notta、Trint、Otter.ai（ボットなし）、通常のOtter利用。

レベル3 — ローカル文字起こし、外部でのリアルタイム処理 低リスク

音声は外部の文字起こしまたは翻訳レイヤーへリアルタイムでストリーミングされ、処理後は保持されません。文字起こしはユーザー自身のブラウザまたはデバイスに保存され、ベンダーのサーバーには保存されません。ベンダーが会議内容のライブラリを蓄積することはありません。例：MirrorCaption。残余リスク：処理中に音声が外部APIを通過するため、ベンダーのサブプロセッサ一覧とDPAを確認してください。

レベル4 — 完全ローカル処理 最小リスク

音声は完全に端末内で処理され、外部は一切関与しません。GDPR上の足跡は最小ですが、この方式を大規模に商用提供しているツールはごくわずかです。セルフホスト型のオープンソース音声認識モデルはこのパターンに近いものの、技術的なセットアップと継続的な保守が必要です。

Illustrative example

マールテンはオランダのSaaS企業でエンジニアリング部門を率いています。カスタマーサクセスチームが文字起こしツールを求めたとき、彼は3つの選択肢を評価しました。あるベンダーは、契約上文書化されたEUデータ居住とDPAを提供していましたが、会議後処理にしか対応していませんでした。ドイツ語を話す顧客との通話では、各会議の後に文字起こしを待つ必要がありました。それでも彼のチームがライブのバイリンガル通話にMirrorCaptionを使い続けているのは、文字起こしがブラウザ内にとどまり、MirrorCaptionがサーバー側の音声や文字起こしアーカイブを保持しないからです。

EUで会議を文字起こしするのに同意は必要か？

GDPR第6条では、個人データを処理するための適法な根拠が必要です。会議の文字起こしでは、最もよく使われる根拠は、社内会議における正当な利益（第6条1項(f)）と、外部通話における事前の開示です。第6条1項(a)の明示的同意は常に必要ではありませんが、第13条および第14条に基づく透明性は常に必要です。会議が始まる前に、どのデータが収集され、何の目的で、どこに保存されるのかを参加者に知らせなければなりません。

GDPR第6条に基づく適法な根拠

正当な利益は、多くの場合、社内会議に適用されます。プライバシーポリシーや就業規則に、会議が文字起こしされる可能性とその理由が明記されていることが前提です。正当な利益は参加者のプライバシー権との衡量が必要です。定例の社内スタンドアップでは通常問題ありませんが、機微な人事面談ではそうではありません。

同意は、事前通知のない契約関係のもとにいない外部当事者（顧客、見込み客、請負業者）との通話を文字起こしする場合に適しています。同意は、自由意思に基づき、具体的で、与えるのと同じくらい簡単に撤回できなければなりません。

注：EDPBのガイダンスと各加盟国の法律（ドイツのBDSG、フランスのloi Informatique et Libertés、イタリアのCodice Privacy）は、雇用分野ではこれに追加の要件を加えます。チームが複数のEU法域にまたがる場合は、現地の法律顧問に確認してください。

外部通話のための実践的な同意ワークフロー

  1. 会議招待： 標準の招待文に1文追加します。「この通話は[目的]のために文字起こしされます。文字起こしは[保存場所]に保存され、[期間]保持されます。」
  2. 通話開始時： 口頭で確認します。「記録用にライブ文字起こしを取得しています。望まない場合はお知らせください。」
  3. 異議があった場合： 直ちに文字起こしを停止します。停止したことを記録します。
  4. 保持： 削除スケジュール（例：90日）を設定し、確実に実施します。GDPR第17条は、参加者に削除を求める権利を与えています。

MirrorCaptionのローカル文字起こしモデルが実際にどう機能するか見てみませんか？ 1時間無料、クレジットカード不要でお試しください。

Try MirrorCaption Free

GDPR準拠の文字起こしツールで確認すべきこと

ヨーロッパのチーム向けに文字起こしツールを評価する際は、このチェックリストを使ってください。7項目すべてにチェックが入るツールでも、自動的に「準拠」とは言えません。自社の運用も重要だからです。ただし、ベンダー側の大きなリスクは取り除けます。

GDPR対応の文字起こしツール比較（2026年）

以下の表では、ヨーロッパのチームがよく使う7つのツールを、上記のチェックリストに照らして評価しています。認証よりもアーキテクチャが重要です。DPAを公開していてもサーバー側に音声を保存するツールは、サーバー側の音声保存がまったくないツールより構造的リスクが高くなります。

注：価格とDPAの有無は変わることがあります。導入判断の前に、各ベンダーのウェブサイトで最新情報を確認してください。表示価格は2026年半ば時点のおおよそのものです。

Tool Audio Stored Server-Side? DPA Available? EU Servers? Meeting Bot? GDPR Risk Level
MirrorCaption No (real-time only, not retained) Available to paid customers No persistent transcript storage on MirrorCaption servers; review live-processing sub-processors No Level 3 -- Lower
Amberscript Yes Verify current DPA Verify current contracted region No Level 2 -- Lower-Medium
Trint Yes Verify current DPA Verify selected region/plan No Level 2 -- Medium
Notta Yes Verify current DPA Verify current region and sub-processors No Level 2 -- Medium
Otter.ai (no bot) Yes Verify current DPA Verify transfer mechanism Optional Level 2 -- Medium-High
Fireflies.ai Yes Verify current DPA Verify transfer mechanism Yes (joins meeting) Level 1 -- Higher
Sembly Yes Verify current DPA Verify current region and transfer mechanism Yes (joins meeting) Level 1 -- Higher

データがEUのインフラから一切出てはならないチームでは、契約上EUデータ居住を約束し、最新のDPAとサブプロセッサ条件を公開しているベンダーを優先してください。多くの場合、トレードオフはワークフローです。EU居住の文字起こし製品の多くは、会議中のライブ翻訳ではなく、会議後に音声を処理します。多言語チーム向けの会議後ツールとリアルタイムツールの詳細な比較については、多言語文字起こしガイドをご覧ください。

会議中に複数言語のライブ翻訳が必要で、サーバー側の音声フットプリントを最小化したいチームにとって、この表の中でその両方を兼ね備えているのはMirrorCaptionだけです。ボットなし、音声保存なし、そして50以上の選択可能な言語への翻訳付きリアルタイム文字起こしを提供します。現在そのツールを評価しているなら、MirrorCaptionとFirefliesの比較をご覧ください。

MirrorCaptionのGDPR対応

ここでは具体的に説明します。コンプライアンスのマーケティング文句を言いたいからではなく、このアーキテクチャがこのカテゴリのほとんどのツールと本当に異なり、ヨーロッパのチームには、自分たちのデータに実際に何が起きるのかを平易な言葉で知る権利があるからです。

サーバー側の音声保存なし

MirrorCaptionは会議音声を保持しません。マイクまたは会議タブの音声は、MirrorCaptionのライブ文字起こしエンジンによってリアルタイムで処理されます。音声パケットはセグメントごとにテキストへ変換され、文字起こし後すぐに破棄されます。請求に必要なもの（利用分数、内容ではありません）以外は、MirrorCaptionのサーバーに蓄積されません。これはGDPR第5条1項(c)のデータ最小化原則に直接対応しています。必要なものだけを収集する、ということです。

文字起こしはブラウザ内にとどまる

MirrorCaptionが文字起こしセグメントを書き込むとき、それはMirrorCaptionのサーバーではなく、ブラウザのローカルストレージ（IndexedDB）に書き込まれます。管理モードでは、ライブ音声はリアルタイム処理中に文字起こしおよび翻訳のサブプロセッサを通過しますが、MirrorCaptionのインフラにはサーバー側の文字起こしライブラリは蓄積されません。文字起こしの利用、保持、参加者への通知については、引き続きあなた自身が責任を負います。

会議ボットなし

MirrorCaptionは参加者として会議に参加しません。ボットも、招かれざる参加者も、ボット参加者によって引き起こされる録音通知もありません。これは、多くのヨーロッパのIT・プライバシーチームが注意深く確認する、ボット特有のデータフロー問題を取り除きます。会議参加者は、誰が部屋にいるのかを知っています。なぜなら、MirrorCaptionは部屋にいないからです。

これは、厳格なITセキュリティポリシーを持つリモートチームにとっても実務上重要です。MirrorCaptionはインストール済みクライアントやボット招待ではなく、ブラウザタブ経由で音声を取得するため、通常はボット遮断ポリシーを発動せず、新しい会議参加者を追加するためのIT承認も必要ありません。

企業管理のためのBYOKモード

MirrorCaptionはBring Your Own Key（BYOK）モードをサポートしています。企業ユーザーは、ライブ文字起こしとAI翻訳レイヤーに自社のAPI認証情報を提供できます。BYOKモードでは、組織はそれらのサービス提供者と直接の契約関係を持ち、MirrorCaptionが管理する処理プロバイダーへの依存を減らせます。これにより、コンプライアンスを重視するチームは、より明確なベンダーチェーンを確認できます。

企業導入前に確認すべきこと

BYOKモードと音声非保持アーキテクチャが完全には解決しない点については、正直にお伝えしたいと思います。管理モード（BYOKなし）では、音声はMirrorCaptionの文字起こしエンジンとAI翻訳レイヤーによってリアルタイムで処理されます。どちらも外部サービスです。音声は保持されませんが、それらを通過します。厳格なデータ居住要件を持つヨーロッパのチームは、MirrorCaptionを大規模に導入する前に次のことを行ってください。

EUのインフラ外への音声通過が一切許されないことが絶対条件のチームには、完全ローカルまたはEU居住のソリューション（EUデータセンターを持つAmberscriptなど）のほうが、その点ではより適しています。たとえリアルタイム翻訳を諦めることになってもです。

1時間無料、クレジットカード不要、会議にボットは参加しません。 次の通話でMirrorCaptionを試し、プライバシー面を実際に評価してください。

Start Free

よくある質問

AI会議の文字起こしはGDPRに準拠していますか？

AI会議の文字起こしは、ツールが処理の適法な根拠（第6条）を持ち、参加者に通知し（第13条-第14条）、関連する処理者とデータ処理契約（第28条）を結び、個人データがEU/EEAの外へ出る場合に有効な移転メカニズムを使っていれば、GDPRに準拠し得ます。そのメカニズムには、十分性認定、認証済みの米国ベンダーによるEU-US Data Privacy Frameworkへの参加、標準契約条項、拘束的企業準則、またはその他のGDPR承認済み保護措置が含まれます。準拠性は、マーケティングバッジではなく、アーキテクチャと運用に左右されます。サブプロセッサ一覧やDPA条件を公開せずに「GDPR準拠」と表示しているツールは、準拠を示しているのではなく、主張しているだけです。

EUで会議を文字起こしするのに同意は必要ですか？

GDPR第6条に基づく適法な根拠が必要です。社内会議では、プライバシーポリシーで開示していれば、正当な利益（第6条1項(f)）がしばしば適用されます。外部当事者との通話では、会議開始前に参加者へ知らせ、異議を述べられるようにしてください。明示的同意は常に必要ではありませんが、透明性は常に必要です。ほぼすべてのシナリオでの最低要件は、文字起こし開始前の口頭または書面による通知です。

Otter.aiのような米国の文字起こしツールをヨーロッパで使えますか？

はい、ただし条件があります。ベンダーがDPAに署名し、サブプロセッサを列挙し、EUの個人データに対する移転メカニズムを明示していることを確認してください。EU-US Data Privacy Frameworkの十分性認定は参加している認証済み米国企業にのみ適用されるため、その他の米国移転には通常、SCC、拘束的企業準則、またはその他の有効なGDPR第V章メカニズムが必要です。

GDPRは社内会議にも適用されますか？

はい。GDPRは、従業員を含むEU拠点のあらゆる個人の個人データに適用されます。社内会議の文字起こしには個人データ（名前、意見、時には健康や財務の詳細）が含まれ、適法な根拠、適切な保持期間、セキュリティ対策のもとで扱わなければなりません。会議が「社内」であることは義務を軽くしません。通常は、同意ではなく正当な利益が適法な根拠として適用される、というだけです。

会議ボットのGDPRリスクとは何ですか？

会議ボットは、追加の参加者と処理フローを生みます。SaaSベンダーがあなたの代理で音声を録音し、多くの場合それを自社サーバーに保存します。これにより、第28条の義務（ベンダーとのDPAが必要）、サーバーがEU/EEAの外にある場合の移転レビュー要件、そしてあなた自身の義務に加えて参加者への透明性要件が追加されます。ボットが会議に参加するとき、それは受動的なローカルツールではありません。会議データに対して独自の法的関係を持つ能動的な処理者です。多くのヨーロッパのIT部門が、まさにこの理由でボットの会議参加をブロックしています。

サーバー側の音声保存がないと、GDPRリスクはどう下がりますか？

GDPR第5条1項(c)では、必要なものだけを収集すべきです（データ最小化）。音声がリアルタイムで処理され、保持されないなら、保護・検索・削除すべき永続的な音声アーカイブは存在しません。残る足跡は文字起こしと一時的な処理メタデータに移り、さらに文字起こしがユーザーのブラウザ内にとどまるなら、永続的なサーバー側の露出はさらに小さくなります。これは完全なコンプライアンス回答ではありません。依然として、適法な根拠、参加者への透明性、サブプロセッサの確認、そして該当する場合は有効な移転メカニズムが必要です。

会議データのフットプリントを最小化しましょう

サーバーに音声は保存されません。通話にボットは参加しません。文字起こしはブラウザ内にとどまります。1時間無料から始めましょう。クレジットカードは不要です。

Try MirrorCaption Free

要点

バルセロナのフィンテック企業でコンプライアンス責任者が、以前の文字起こしツールにおける音声保持リスクを法務チームから指摘された場面を想像してください。ベンダー審査の中で、MirrorCaptionは、リアルタイムの多言語対応とサーバー側の音声保持なし、そしてブラウザ内ローカル文字起こしを組み合わせている点で際立ちます。そのアーキテクチャはプライバシーレビューを容易にし得ますが、調達上の確認を不要にするわけではありません。次のステップは、企業導入に向けてDPA、サブプロセッサ、移転条件を確認することです。

単独で「完全にGDPR準拠」なツールはありません。コンプライアンスは、ツールのアーキテクチャ、自社の同意プロセス、社内のデータガバナンスの組み合わせです。ただし、出発点はツールのアーキテクチャです。音声を一切保存しないツールは、保存するツールよりもリスクが低くなります。どちらのベンダーのマーケティングページが何を言っていても同じです。この記事の4段階リスクフレームワークを使って候補を絞り込み、署名前にDPA、サブプロセッサ、保持条件、移転メカニズムを確認してください。

AI会議ツール全体にわたるプライバシー上の考慮事項をさらに詳しく知りたい場合は、AI会議要約のプライバシーに関する分析をご覧ください。通話終了後に各ツールが会議内容をどう扱うかを解説しています。