データアクセスの非対称性の概念図。左から右へ、米国政府は CLOUD Act / FISA 702 / NSL の 3 経路で米国企業(AI / 検索 / クラウド)の保有データへ短い矢印で『相対的に速く』到達する一方(ただし NSL で取得できるのは契約者情報・通信記録に限られ、通信内容は対象外)、非米国(日本)政府は MLAT(司法共助)経由の長い迂回路で『約 10 ヶ月』かかる非対称を、矢印の長さの対比で示す。

あなたが OpenAI や Google、あるいは米国のクラウドに預けたデータは、米国政府であれば比較的短い手続きで手元に引き寄せられます。ところが、同じデータを日本の当局が正規のルートで取り寄せようとすると、月単位の時間がかかります。同じプロバイダの管理下にある同じデータでも、誰が・どの法的経路で取りに行くかで「速さ」が大きく変わる——この非対称は、AI に限らず米国企業にデータを預けるとき常について回る、構造的な前提です。本記事は、その仕組みを「米国側がなぜ速いか」「非米国側がなぜ遅いか」の両面から整理します。

この記事の要点

  1. 米国政府は CLOUD Act(データの保管地が国外でも米国企業に開示を強制)/ FISA 702 条(米国外の非米国人を対象に取得)/ NSL(裁判所命令なしの行政命令。ただし対象は契約者情報・通信記録に限られ、通信内容は含みません)という 3 経路で、米国企業の保有データへ比較的速く到達できます。一方、非米国側が米国企業のデータを正規に取り寄せる経路は MLAT(司法共助)で平均約 10 ヶ月かかり、しかも 日本は CLOUD Act の迅速化協定の対象外です(2026-06 時点)。
  2. 対象読者: 米国の AI / SaaS / クラウドを業務で使う企業 IT・法務の方(主軸)、および米国クラウドに顧客データを預ける個人開発・副業の方。前提知識は不要です。
  3. 得られる成果: 「誰が・どの経路で・どれくらいの速さでアクセスできるか」の地図 + EU が同じ問題にどう向き合ってきたか(Schrems II)+ 日本の個人情報保護法 28 条との板挟みの間で実務上できること。
  4. 扱わないこと: 個別の捜査・令状の適法性判断 / 特定サービスの安全性のお墨付き / 暗号化製品の選定 / 自社の越境移転スキームの最終判定(→ 弁護士・データ保護専門家へ)。AI 学習クローラから「自サイトのコンテンツ」を守る話は AI 学習データとクローラ対応 で扱います(本記事は「預けたデータ」を守る逆レイヤ)。

Key Points (for international readers)

  1. This is a primer for a non-US audience: the data you hand to US providers (OpenAI, Google, AWS) is reachable by the US government through CLOUD Act, FISA Section 702, and National Security Letters — relatively fast.
  2. The reverse is slow: a non-US government retrieving data from a US provider goes through an MLAT (mutual legal assistance treaty), averaging ~10 months, and Japan is not party to a CLOUD Act executive agreement that would speed this up.
  3. The EU litigated this same access-and-redress asymmetry (Schrems II invalidated Privacy Shield over FISA 702 + EO 12333); the successor Data Privacy Framework is again before the CJEU. The English edition centers this global-vs-US perspective.
  4. Out of scope: the lawfulness of any specific warrant / a safety endorsement of any named service / encryption-product selection / final cross-border-transfer determinations (→ consult counsel).

執筆時点: 2026-06 / 対象法域: 米国 / EU / 日本(非対称の両端を対比) / last_updated: 2026-06-19 更新履歴: 2026-06-19 初版

本記事は教材であり、法的助言ではない

データの越境アクセスを巡る米国法(CLOUD Act / FISA 702 / NSL)・EU 法・日本の個人情報保護法は、いずれも改正・訴訟・運用変更が続く流動的な領域です。本記事は 教育目的の一般的な整理 であり、特定の事案・サービス・契約に対する法的助言ではなく、内容の正確性・完全性・最新性を保証しません。とりわけ FISA 702 条は 2026-06-12 に条文上の失効(後述)を迎えるなど、状況が短期間で変わり得ます。扱わない範囲: 個別の令状・開示請求の適法性 / 特定サービスを使ってよいかの最終判断 / 暗号化製品の選定 / 自社の越境移転スキームの最終判定。実務判断は必ず 弁護士・データ保護専門家 / 社内法務部 にご確認ください。本記事の情報は「現状有姿(AS IS)」で提供され、これを利用または信頼した結果生じたいかなる損害・損失についても、執筆者および YATA-NODE は一切の責任を負いません。ご利用は自己責任でお願いします。

この記事の射程: 「米国企業に 預けた データを、誰がどれくらいの速さで取り出せるか」が主軸です。AI 学習データとクローラ対応 は「自サイトの 公開 コンテンツを AI 学習クローラから守る側」を扱いましたが、本記事はその逆レイヤ——自分が外部に渡した非公開データ(チャット履歴・アップロードファイル・ログ・顧客データ)に対する政府アクセスを扱います。守る対象が「公開コンテンツの著作権」から「預託データのプライバシー・主権」へ移る点に注意してください。

本シリーズの位置づけ: ハブは 公開前の権利チェック、関連は AI サービスを使う前に読む利用規約(使う側の opt-out 軸)/ AI 学習データとクローラ対応(守る側・逆レイヤ)です。各論記事は 独立に読める 構成です(順読不要)。

用語ミニ解説(はじめての方へ): 本記事で繰り返し出る略語・専門用語の最小限の説明です。米国法・国際手続・EU/日本法の 3 領域に分けています。

米国法の用語(§2 関連):

  • (Clarifying Lawful Overseas Use of Data Act = データの合法的な海外利用を明確化する法律、2018 年成立。"Act" は「法律」): 米国の通信・クラウド事業者に対し、データの 保管場所が国外でも 開示義務を課す根拠(18 U.S.C. §2713)と、外国政府が米企業へ直接データを要求できる「行政協定(executive agreement)」の枠組み(18 U.S.C. §2523)を定めます。
  • (Foreign Intelligence Surveillance Act、外国情報監視法): 米国の対外情報収集を規律する法律。その 702 条(50 U.S.C. §1881a)が、米国外にいる非米国人を対象に、米企業へ通信データの提供を命じる権限の根拠です。
  • (National Security Letter、国家安全保障書簡): FBI が 裁判所命令なしで通信事業者に契約者情報等を要求できる行政命令(18 U.S.C. §2709)。受領者には存在を口外できない 非開示命令(gag order) が付くことが多い手段です。
  • EO 12333(Executive Order 12333): 米国の大統領令。NSA 等による対外情報収集の枠組みで、FISA とは別系統。Schrems II 判決(後述)で問題視された一つです。

国際手続の用語(§3 関連):

  • (Mutual Legal Assistance Treaty、刑事共助条約): 国家間で捜査・司法の協力を取り決める条約。外国政府が米企業のデータを 正規に 取り寄せる標準ルートで、米国の中央当局(司法省)・裁判所を経るため時間がかかります。
  • データ主権(data sovereignty): あるデータが、物理的に置かれた国・関係する国のどの法律と管轄に服するか、という考え方。「どこに置いたか」と「誰の法律が及ぶか」が一致しないことが本記事の核心です。
  • 越境(国境を越える)移転: 個人データを国外の事業者へ渡すこと。日本の個人情報保護法 28 条が規律しています(§5)。

EU / 日本法の用語(§4・§5 関連):

  • Schrems II(C-311/18、2020): EU 司法裁判所(CJEU)の判決。米国の監視法(FISA 702 + EO 12333)と救済手段の欠如を理由に、EU 米国間のデータ移転枠組み「Privacy Shield」を無効化しました。
  • DPF(EU-US Data Privacy Framework、2023): Privacy Shield の後継として欧州委員会が 2023 年に十分性認定した移転枠組み。これも訴訟(Latombe 事件)で CJEU の審理対象になっています(§4)。
  • 個人情報保護法 28 条(日本): 本人同意なく 外国にある第三者(国外に所在する事業者など)へ個人データを提供することを原則制限する規定。米企業への預託と米政府の強制取得は、この 28 条との板挟みを生みます(§5)。

§1. 非対称性の全体像 — 「誰が取りに行くか」で速さが変わる

本論に入る前に、「同じデータに、誰が、どの経路で、どれくらいの速さで到達できるか」を 1 枚の表で俯瞰します。ポイントは、データが米国企業の管理下にあるとき、米国政府の到達は速く、非米国政府の到達は遅いという非対称が制度設計から生まれていることです。

取りに行く主体主な経路速さの目安根拠
米国政府CLOUD Act(令状・召喚)比較的速い(国内手続)18 U.S.C. §2713
米国政府(対外情報)FISA 702 条速い(個別令状不要・継続的)50 U.S.C. §1881a
米国政府(FBI)NSL(裁判所命令なし、契約者情報・通信記録に限る=通信内容は対象外)相対的に速い(行政命令)18 U.S.C. §2709
英・豪の捜査当局CLOUD Act 行政協定で米企業へ直接(対象犯罪に関する個別特定の命令に限る)速い(MLAT 迂回)18 U.S.C. §2523(b)(4)(D)
日本政府MLAT(司法共助)経由遅い(平均約 10 ヶ月)日米刑事共助条約(2006 発効)

なお本記事で「米国企業」「米プロバイダ」と書くとき、CLOUD Act §2713 が義務を課すのは厳密には 電子通信サービス/リモートコンピューティングサービス事業者(ECS / RCS) で、大手のクラウド・メール・チャット系の多くが該当しますが、すべての米国企業に一律に及ぶわけではありません(詳細は §2.1)。

表の上 4 行(米国政府 + 行政協定締結国)は 速い 側、最下行(日本を含む大多数の非米国)は 遅い 側です。この差は「米国が特別に意地悪だから」ではなく、(1) 米国法が自国企業に域外データの開示を命じられる構造、(2) 外国が米企業のデータを取るには国家間条約という遅い経路しかない構造、の二つが噛み合った結果です。以下、§2 で「米国側がなぜ速いか」、§3 で「非米国側がなぜ遅いか」を順に見ます。

なぜこれが日本のあなたに関係するのか。業務で使う AI チャットの履歴、クラウドにアップロードした図面や契約書、(ソフトを手元に置かず、ネット越しに使う提供形態)に蓄積した顧客データ——これらの多くは米国企業の管理下にあります。つまり、自分や自社のデータが「物理的にどこのサーバにあるか」とは別に、米国法の到達範囲に入っている可能性がある、ということです。ここで重要なのは、これは「だから米国サービスを使うな」という話ではなく(現実的でない場面が多い)、前提を正しく理解したうえで、機微なデータの扱い・暗号化・契約条項を判断するための地図だ、という点です。

§2. 米国側がなぜ速いか — CLOUD Act・FISA 702・NSL の 3 経路

米国政府が米国企業の保有データへ速く到達できる背景には、目的の異なる 3 つの経路があります。刑事捜査向けの CLOUD Act、対外情報収集向けの FISA 702 条、FBI の行政命令である NSL です。それぞれ対象も手続も違うので、分けて見ます。

2.1 CLOUD Act — 「保管地が国外でも開示せよ」

CLOUD Act(Clarifying Lawful Overseas Use of Data Act、2018 年成立)の核心は、米国の通信・クラウド事業者に対し、対象データが米国外のサーバにあっても、米国の法的手続(令状・召喚状)に応じて開示する義務を明文化した点です(18 U.S.C. §2713)。条文は「provider は……当該情報が米国の内外いずれに所在するかを問わず(regardless of whether ... located within or outside of the United States)開示・保全等の義務に従う」と定めています。

立法のきっかけは、いわゆる Microsoft Ireland 事件(United States v. Microsoft Corp.)でした。FBI が麻薬捜査でアイルランドのサーバにある電子メールの開示を令状で求めたところ、Microsoft が「データは国外にある」として争い、下級審で米政府が敗れた事案です。最高裁での審理中に CLOUD Act が成立し、争点が立法で解消されたため、最高裁は 2018 年に本件を ムート(争訟性消滅) として差し戻しました。つまり「国外サーバに置けば米政府は手を出せない」という防御は、立法で塞がれた、というのがこの事件の含意です。

実務的な含意はシンプルです。日本法人が米国クラウドの東京リージョンにデータを置いても、そのサービスが米国の電子通信サービス/リモートコンピューティングサービス事業者(ECS / RCS、18 U.S.C. §2713 が義務を課す対象)に当たる限り、CLOUD Act の射程に入り得ます。大手のクラウド・メール・通信・チャット系サービスの多くはこれに該当しますが、すべての米国事業者へ自動的に及ぶわけではなく、サービスの性質・機能によります。いずれにせよ「データセンターの場所」だけでは米政府アクセスを遮断する決め手にはならない、ということです。

2.2 FISA 702 条 — 米国人と比べ非米国人の保護・救済が限定的な対外情報収集

FISA 702 条(50 U.S.C. §1881a、2008 年の FISA 改正で新設)は、刑事捜査ではなく 対外情報収集 の権限です。司法長官と国家情報長官が共同で、米国外にいる非米国人を対象に、米国企業へ通信データの提供を命じられます。

この経路が日本のような非米国の利用者にとって重い理由は二つあります。第一に、個別の対象者ごとに裁判所令状を取る必要がないこと(裁判所はプログラム全体を年単位で事前承認する形式)。第二に、米国憲法修正第 4 条(令状主義)の保護は基本的に米国人を念頭に置いており、米国外の非米国人には実効的な救済手段がほとんどないことです。要するに、日本に住む日本人のデータは、702 条の枠組みでは保護が薄い側に置かれています。これは後述の EU の Schrems II 判決(§4)が問題視した、まさにその構造です。

ただし、702 条は今まさに流動的です。再授権法(RISAA、2024 年)が定めた 2026 年 4 月の期限を短期延長した末に、報道ベースでは 2026 年 6 月 12 日に条文上は失効(史上初)しました。とはいえ「失効=収集が即停止」ではありません。外国情報監視裁判所(FISC)が失効前(2026 年 3 月)に承認していた年単位の収集認定は、FISA 改正法の経過規定により当該認定の失効まで(報道・解説ベースで概ね 2027 年 3 月頃まで)有効に継続するとされ、再授権を巡る議会の動きも続いています(本記事執筆の 2026-06 時点。失効の事実・継続効の期限はいずれも報道・解説に依拠し、FISC 認定文書そのものは非公開です)。本記事の主眼は 702 条の生死そのものではなく、「非米国人の保護が薄い」という非対称の構造です。条文が再授権されても失効が続いても、米企業に預けたデータへの対外情報アクセスという論点自体は残ります(最新状況は一次情報で確認してください)。

2.3 NSL — 裁判所命令なしの行政命令と「沈黙の義務」

NSL(National Security Letter、18 U.S.C. §2709)は、FBI が 裁判所の命令なしで通信事業者に契約者情報・通信記録を要求できる行政命令です。多くの場合、受領した事業者は その要求の存在自体を顧客にも公衆にも明かせない 非開示命令(gag order) を負います。つまり、あなたに関する契約者情報・通信記録について NSL が発行されても、サービス事業者からあなたに通知されない設計になっている、ということです(NSL で通信内容そのものを取得するには、別途の令状や FISA 等が必要です)。

この 3 経路を合わせると、米国政府側のアクセスは「速いだけでなく、対象者に見えにくい」性質を持つことがわかります。次の §3 では、これと正反対の——遅く、手続が重い——非米国側の経路を見ます。

§3. 非米国側がなぜ遅いか — MLAT の迂回路と、日本が外れている協定

立場を逆にします。日本の当局が、米国企業に保管されたデータを 正規に 取り寄せたいとき、どうなるでしょうか。標準的な経路は MLAT(刑事共助条約) です。流れはおおむね次のようになります。

  1. 日本の捜査機関 → 日本の中央当局(法務省・外務省)
  2. → 米国の中央当局(司法省 OIA、国際局)
  3. → 必要に応じて米国の裁判所が令状を発付
  4. → 米国企業がデータを開示
  5. → 日本側へ返送

国境・複数の当局・裁判所をまたぐため、当然ながら時間がかかります。よく引用される目安は 平均およそ 10 ヶ月(米国の情報通信技術に関する大統領諮問グループの 2013 年報告。全外国政府からの請求についての一般的な平均で、日本固有の最新値ではありません)で、事案によってはさらに長くなるとの指摘もあります。米国政府が国内手続で速やかに取得できるのと比べると、桁違いの遅さです。日本と米国の間には日米刑事共助条約(2003 年署名・2006 年発効)があり、この MLAT 自体は機能していますが、「条約があること」と「速いこと」は別物です。

さらに非対称を際立たせるのが、CLOUD Act の 行政協定(executive agreement、18 U.S.C. §2523) です。これは、米国が「十分なプライバシー保護がある」と認定した相手国に限り、その国の捜査機関が MLAT を飛ばして米企業へ直接 データを要求できる仕組みです。ただしこの直接ルートは無制限ではなく、§2523 は対象を「重大犯罪(テロを含む)の予防・探知・捜査・訴追」を目的とし、特定の人物・アカウント・端末を名指しした命令に限定しています(一般的な行政目的のデータ収集には使えません)。2026-06 時点で発効しているのは 英国(2022 年)とオーストラリア(2024 年) で(カナダ・EU は交渉中)、これらの国は遅い MLAT 経路を回避できます。一方、日本はこの行政協定の対象に入っていません(米司法省が公表する協定一覧に日本は見当たらず、交渉に入っているとの公表情報も確認できません)。

つまり日本は、「米企業のデータを取るには遅い MLAT しかなく、かつ迅速化の協定からも外れている」という、二重に不利な側に立っています。これが「日本のデータ主権」という観点で最もインパクトのある事実です。誤解を避けるために補足すると、これは「日本の当局が困る」という治安・捜査の話に見えて、実は 民間にも効いてきます——自社や顧客のデータが、自国の法的保護やコントロールから遠い場所に置かれている、という構図そのものだからです。

§4. EU の先例 — 同じ非対称を、EU は訴訟で突いてきた

ここまでの「米企業に預けたデータへの米政府アクセス」という問題を、最も正面から争ってきたのが EU です。日本にとっては、同じ構造に先に直面した地域が何を問題にし、どう決着しつつあるかを知る格好の参照例になります。

転機は Schrems II 判決(EU 司法裁判所 CJEU、Case C-311/18、2020 年 7 月 16 日)でした。CJEU は、EU・米国間の個人データ移転枠組みだった「Privacy Shield」を 無効 と判断します。理由として名指しされたのが、まさに本記事の §2 で見た FISA 702 条(PRISM 等の根拠)と EO 12333 による米政府アクセスで、これらに対して「EU 市民が実効的な司法救済を得られない」ことが決定的でした。米国の監視権限と、非米国人への救済の薄さが、EU の基本権水準に達しないと判断されたわけです。

その後、欧州委員会は後継として EU-US Data Privacy Framework(DPF) を 2023 年 7 月に十分性認定しました(新たに救済機関 DPRC の設置などの改善を伴うもの)。ただしこれも確定したわけではなく、上訴が係属して司法審査の対象であり続けています。フランスの議員 Latombe 氏が DPF の無効を求めて提訴し、EU 一般裁判所は 2025 年 9 月に DPF を有効と判断(訴え棄却。Case T-553/23、2025-09-03)しましたが、原告は 2025 年 10 月に CJEU へ上訴(Case C-703/25 P)し、2026-06 時点で審理が続いています。つまり「Schrems II → DPF → 再び司法審査」という形で、EU では この非対称が継続的に法廷で問われ続けている のです。

日本への含意は、制度の細部をそのまま当てはめることではありません(日本は EU とは別の枠組みで動いています)。ポイントは態度のほうです。EU は「米企業にデータを預けること」のリスクを抽象論で済ませず、移転枠組みの有効性という具体的な争点に落として検証し続けてきました。日本でこの論点が同じ熱量で争われてきたとは言いにくく、だからこそ 個々の事業者・開発者が自衛的に前提を理解しておく価値があります。次の §5 で、日本法の文脈に引き寄せて実務に落とします。

§5. 日本の実務者への示唆 — 28 条の板挟みと、現実的にできること

日本でこの問題が表面化する典型は、個人情報保護法 28 条(外国にある第三者への提供) との関係です。米国のクラウドや AI に個人データを預けることは、28 条が規律する「外国にある第三者への提供」に当たり得ます。ただし個人情報保護委員会の整理では、クラウド事業者が当該個人データを「取り扱わない」(契約上アクセスせず保管のみ)場合は第三者提供にも委託にも当たらず 28 条の対象外とされ、事業者が実際にデータを取り扱う場合に限って委託または外国第三者提供の問題になります(該当性はサービスの設計・契約次第です)。28 条の対象になる場合、事業者は本人へ移転先国の制度等を説明するなどの対応を求められますが、ここに 板挟み が生じます——28 条の手当てを尽くしても、米政府が CLOUD Act / FISA 702 で強制取得する場面を、預けた側が止められるわけではないからです。この構図は国会でも(2019 年の質問主意書で)取り上げられましたが、政府答弁は「複雑な問題として検討中」という趣旨にとどまり、明確な保護策が示されたとは言いにくい状況です。

では、現実的に何ができるのか。「米国サービスを使わない」は多くの現場で非現実的なので、リスクをゼロにするのではなく 段階的に下げる 発想で整理します。立場別に分けます。

企業 IT・法務の方(調達・契約・社内ルールで効かせる):

  • データの仕分け: すべてを同じ機微度で扱わない。氏名・連絡先・健康・与信など特に機微なデータと、そうでないデータを分け、機微なものほど米国 SaaS への投入を絞る。
  • 契約・DPA の確認: データ所在地(リージョン)、再委託先(sub-processor)、政府開示要求への対応方針・透明性レポートの有無を契約・DPA(Data Processing Agreement、データ処理契約)で確認する。ただし §2.1 の通り リージョン指定だけでは CLOUD Act を遮断できない点は理解しておく。
  • 28 条対応の整備: 越境移転にあたる場合、本人への情報提供・同意取得など 28 条の手当てを社内手順に落とす(移転先国の制度に米国の監視法が含まれることを正しく説明できるようにする)。

個人開発・副業の方(預けるデータを減らす・暗号化で守る):

  • データ最小化: そもそも顧客の機微データを米国 AI / クラウドに 投入しない・保存しない 設計にできないかを最初に検討する(一番効く)。
  • 自分で鍵を持つ暗号化: クライアント側暗号や、鍵を自分で管理する方式(BYOK、Bring Your Own Key = 暗号鍵を自分側で保持する方式)を使えば、事業者がデータを開示しても 中身が読めない 状態に近づけられる。

ここで 暗号化の限界 を正直に書いておきます。暗号化は万能ではありません。(1) AI に推論させる・全文検索させるといった処理は、どこかで平文を扱う必要があり、その瞬間は保護が外れます。(2) 本文を暗号化しても、誰がいつ通信したかという メタデータ は残り、これ自体が機微な情報になり得ます。(3) 鍵をサービス事業者が管理する「保管時暗号化」だけでは、事業者が政府要求に応じて復号・開示する余地が残ります。だからこそ、暗号化は「データ最小化 + 契約確認 + 鍵の自己管理」と 組み合わせて 初めて意味を持ちます。最終的な構成・製品選定は、自社の要件とリスク許容度に応じて専門家と詰めてください。

§D. まとめ — データ主権チェックリスト(立場別)

最後に、立場別の確認リストにまとめます。全部やる必要はなく、「自分が預けているデータの、どこに米国法の射程が及び、どこまで自分で守れるか」を見極めるための地図として使ってください。

text
【企業 IT・法務の方】
□ 1. 業務で使う米国 AI / SaaS / クラウドに、どの機微データを投入しているか棚卸しした
□ 2. リージョンを国内指定しても CLOUD Act の射程は残り得ると理解した
□ 3. 契約 / DPA でデータ所在地・再委託先・政府開示要求対応・透明性レポートを確認した
□ 4. 越境移転にあたる場合、個人情報保護法 28 条の手当て(本人への情報提供等)を手順化した
□ 5. 特に機微なデータは、米国 SaaS への投入可否を機微度別に方針化した
□ 6. 日本は CLOUD Act 行政協定の対象外で MLAT 経由が遅い、という非対称を関係者に共有した

【個人開発・副業の方】
□ 1. 顧客の機微データを米国 AI / クラウドに「そもそも預けない」設計を先に検討した
□ 2. 預ける場合、データ最小化(必要最小限のみ)を実践した
□ 3. クライアント側暗号 / 鍵の自己管理(BYOK 等)を検討した
□ 4. 暗号化の限界(AI 推論時の平文・メタデータ・事業者管理鍵)を理解した上で構成した

軸はシンプルです。「どこに置いたか」より「誰の法律が及ぶか」が効く——米国企業に預けたデータは、保管地が国内でも米国政府の到達範囲に入り得て、しかも日本側が取り戻す経路は構造的に遅い。これは使うのをやめる理由ではなく、機微度に応じて投入を絞り、暗号化と契約で守れる範囲を増やすための前提です。EU が Schrems II 以来この非対称を争い続けてきた事実(§4)は、「漠然と不安」で止めず 具体的な判断に落とす ことの価値を示しています。

なお、自サイトの 公開 コンテンツを AI 学習クローラから守る話(robots.txt / noai / CDN)は AI 学習データとクローラ対応 で、AI サービスを使う側の学習 opt-out は AI サービスを使う前に読む利用規約 で扱っています。本記事はあくまで「預けたデータへの政府アクセス」に絞りました。

出典 / References

主要な根拠を一次情報中心にまとめます。データ越境アクセスを巡る法令・訴訟は流動的なため、内容はすべて執筆時点(2026 年 6 月)の確認結果です。二次情報に依拠している箇所は、出典に(二次)と付して明記しています。

米国法・行政文書(一次)

EU(一次)

日本(一次)

経緯・解説(二次)

以下は判例の経緯・統計・協定の締結状況に関する二次解説です(一次到達が難しい部分を補う目的で併記)。

これらの status・日付は月単位で動きます。とりわけ FISA 702 条の再授権/失効と Latombe 事件 CJEU 審理は、本記事の確認時点(2026-06)以降に変動する可能性が高い領域です。

AI 補助の透明性: 本記事は、執筆者が把握していた論点をもとに、調査・整理・要点化の補助として Claude(Anthropic)を用い、その上で執筆者が一次情報(法令・行政文書・条約・裁判所/議会の記録など)を確認して構成しました。データ越境アクセスを巡る法令解釈・訴訟は流動的なため、条文・施行日・判決の射程は執筆時点(2026 年 6 月)での確認結果です。現時点で二次情報に依拠した箇所は、出典に(二次)と付して明記しています。

著者について

大手電機メーカーで制御工学から 20 年以上の電機・ソフトウェア開発、加えて個人開発 約 10 年の実務経験を持ちます。ハードとソフト、企業と個人の両面で「知らないとリスクになる」基礎から発信し、いずれは AI の実践的な活用法なども扱っていく予定です。詳しくは このブログについて。