文字起こしAIの声紋収集は生体データか｜法規制の行方

【更新 2026-07-13】本記事を見直し、修正しました。主な修正点：令和8年改正個人情報保護法が2026年7月10日に参議院本会議で可決・成立したこと（施行は公布から2年以内＝2028年7月頃までの全面施行見込み）を反映。あわせて「特定生体個人情報」の具体的な対象類型（声紋を含むか）は今後の政令で定まる点を明確化し、一部に要確認の注記を残しました。

AIによる文字起こし・議事録サービスが会議参加者の「声紋」を収集していることが、いま米国で大きな法的争点になっています。Otter.aiやFireflies.AIに対しては、話者を識別するための声紋を同意なく作成・保存したのは生体情報保護法違反だとする集団訴訟が相次いで提起されました。声紋は「生体認証データ」なのか、アラバマ州が新たに成立させた包括的プライバシー法は何を変えるのか、そして日本のサービス利用に何が及ぶのか——情シスが今のうちに押さえておくべき論点を整理します。

この記事でわかること

  • AI文字起こしサービスの「声紋収集」が訴訟になっている理由
  • 声紋は生体認証データなのか、という法的な線引き
  • アラバマ州の新法（2027年施行）が示す米国の潮流と、日本の個人情報保護法での扱い・改正の見通し

何が問題になっているのか

ZoomやTeamsの会議に「AIノートテイカー」として同席し、発言を自動で文字起こし・要約するサービスが急速に普及しました。その多くは、誰が話したかを区別する話者分離（スピーカー識別）のために、各参加者の声の特徴を数値化した声紋（ボイスプリント）を生成します。ここが訴訟の火種になっています。

米国では、Otter.aiに対し2025年8月26日に提起された集団訴訟（Walker v. Otter.ai、カリフォルニア北部地区）などで、「会議中に参加者の声紋という生体識別子を取得・保存し、後の会議で話者特定に使っているのに、書面での通知・同意も保存期間の公開もない」と主張されています。同種の訴えはFireflies.AIなどにも広がり、いずれもイリノイ州の生体情報プライバシー法（BIPA）を根拠にしています。争点は「文字起こしのために声紋を作る行為が、BIPAの規制対象になるか」という点です。本稿執筆時点で各訴訟は係属中であり、結論は確定していません。

声紋は「生体認証データ」なのか

声紋とは、音声から抽出した個人固有の特徴を数値化したデータで、多くの法域で「生体データ（バイオメトリクス）」として扱われます。ここで押さえたいのは、本人認証（ログイン等）に使っているかどうかは、生体データ該当性の決め手ではないという点です。文字起こしサービスの声紋は「本人を認証する」用途ではなく「話者を区別する」用途ですが、それでも特定の個人を識別できる以上、生体識別子にあたるというのが原告側の主張の核心です。

  • イリノイ州BIPA：法律の定義上、指紋・虹彩・顔形状などと並んで「voiceprint（声紋）」を生体識別子として明示列挙。しかも本人に私的な訴権（法定損害賠償を伴う集団訴訟）を認めているため、事業者のリスクが特に大きい法域です。
  • 日本の個人情報保護法：声紋は「本人を認証することができるようにしたもの」として個人識別符号に列挙されており、これ単体で個人情報に該当します（後述）。

つまり「認証に使っていないから生体データではない」という整理は、少なくとも米イリノイ州や日本では通りにくい、と理解しておくのが安全です。

アラバマ州法を踏まえた米国の行方

これまでアラバマ州には、BIPAのような単独の生体情報保護法はありませんでした（2018年のデータ侵害通知法が、生体データ漏えい時の45日以内通知を課す程度）。状況が変わったのが2026年です。

アラバマ個人データ保護法（Alabama Personal Data Protection Act＝HB351）が2026年4月に州議会を全会一致で可決、4月17日に知事が署名し、アラバマは包括的な消費者プライバシー法を持つ21番目の州となりました。施行は2027年5月1日です。

観点 イリノイ州 BIPA（既存） アラバマ州 APDPA（2027施行）
法律の型 生体情報に特化した単独法 個人データ全般を対象とする包括型
声紋の扱い 生体識別子として明示列挙 一意に個人を識別する目的で処理する生体データは「機微データ」
取得の要件 書面での通知・同意、保存/廃棄方針の公開 機微データの処理前に本人同意が必要
執行・救済 本人による私訴権（法定損害賠償）あり 一般に州司法長官による執行が中心（BIPA型の私訴権とは異なる）

ここから読み取れる潮流は二つです。第一に、生体データを「機微（センシティブ）データ」と位置づけ、処理前の同意を求める州が着実に増えていること。第二に、多くの州法はBIPAのような私訴権を設けないため、訴訟リスクの震源は引き続きイリノイ州に集中するとみられること。声紋を扱う事業者にとっては、「一番厳しい州（イリノイ）に合わせて同意と保存方針を整える」のが現実的な防御線になりそうです。

日本のサービスはどうなる

日本では、声紋はすでに個人情報保護法上の「個人識別符号」に該当し、その取得・利用は個人情報の取扱いそのものです。したがって、国産の議事録AIや文字起こしSaaSが話者識別のために声紋（特徴量）を生成・保存する場合、利用目的の特定・通知公表、第三者提供時の同意取得、安全管理措置といった一般的な義務がすでにかかっています。ただし日本には、BIPAのような「本人が直接高額の法定損害賠償を求める」仕組みはなく、執行は個人情報保護委員会（PPC）が担う点が米イリノイ州とは大きく異なります。

注目すべきは、令和8年（2026年）の改正個人情報保護法です。同改正法は2026年4月7日に閣議決定され、2026年7月10日に参議院本会議で可決・成立しました。施行は公布日から起算して2年を超えない範囲内で政令で定める日とされ、2028年7月頃までの全面施行が見込まれています。この改正で「特定生体個人情報」という新カテゴリーが設けられ、顔が映った写真・動画そのものではなく、そこから生成された顔特徴データ等が典型的な対象として想定されています。取扱いの事実や元となった身体的特徴の内容の事前周知（容易知得化）、オプトアウトによる第三者提供の禁止、本人による利用停止等請求の特則といった規律の上乗せが定められました。ただし、声紋や歩容も「遠隔かつ本人が気づかない形で取得され得る類型」として取り込まれる可能性が高い 【要確認 2026-07-13：現行法の個人識別符号には顔・虹彩・声紋・歩容等が含まれ得るが、このうちどの類型が改正法の新たな特則（特定生体個人情報）の対象となるかは、最終的に政令による具体化を待つ段階。声紋が対象に含まれるかは確定していない。個人情報保護委員会の公式情報で確認すること】。会議参加者の声を日常的に集める文字起こしサービスは、声紋が対象化されればより慎重な同意・通知の運用が求められることになります。

情シスはどうすべきか

正直なところ、AI議事録ツールは「気づいたら現場が勝手に使っていた」の典型です。無料プランを個人が入れ、会議に同席させ、参加者全員の声が外部SaaSに送られている——という状況は珍しくありません。声紋という生体データが絡む以上、野放しにはできない領域です。平時に次を点検しておきたいところです。

  • 利用ツールの棚卸し：どのAI文字起こし・議事録サービスが、どの会議で使われているかを把握する。シャドーIT化していないか。
  • 録音・声紋収集の通知と同意：会議冒頭での録音告知に加え、外部参加者（特に海外・イリノイ州が絡む取引先）がいる会議での運用を要注意扱いにする。
  • データの保存・削除ポリシー：声紋・音声・文字起こしの保存期間、学習利用の有無、削除手段をベンダーの契約・ポリシーで確認する。
  • 越境の観点：海外事業者のサービスは、参加者の所在国の法（BIPA等）が問題になりうる。国内法だけで判断しない。

個別の対策チェックリストを自前で抱え込むより、まずは公的な指針に沿って社内ルールを組むのが近道です。個人情報の取扱いは個人情報保護委員会（PPC）のガイドライン、クラウドサービス利用時の勘所はIPA 中小企業の情報セキュリティ対策ガイドラインを出発点にすると整理しやすいでしょう。声紋は生体認証にも使われる情報である点で、多要素認証（MFA）で扱う生体データと地続きだと捉えると、社内の説明もしやすくなります。SaaSにデータを預ける構図そのものは、委託先監督やサードパーティの推移的信頼の問題としても点検してください。

まとめ

  • AI文字起こし・議事録サービスが話者識別のために作る「声紋」は、多くの法域で生体データにあたり、認証に使っていなくても規制対象になりうる。米国ではBIPAを根拠にOtter.ai・Fireflies.AIへの集団訴訟が続いている。
  • アラバマ州は2026年に包括的プライバシー法（APDPA）を成立させ、2027年5月施行。生体データを機微データとして同意を求める州が増える一方、訴訟の震源はイリノイ州に集中する構図が続く見込み。
  • 日本では声紋はすでに「個人識別符号」＝個人情報。2026年7月10日に成立した令和8年改正個人情報保護法で「特定生体個人情報」の規律が新設された（声紋がその対象となるかは今後の政令次第）。情シスはAI議事録ツールの棚卸しと、通知・同意・保存ポリシーの整備を平時から進めておきたい。

出典

タイトルとURLをコピーしました