「データレジデンシーとは何か」を解説する記事は数多く公開されており、AI・クラウド発注の担当者であれば用語自体はすでに把握されている方も多いはずです。個人情報保護法 27・28 条を踏まえた越境移転の考え方、データローカライゼーションやデータ主権との違い、ベンダーへ確認すべき基本項目——これらの総論は、データレジデンシーとは｜AI・クラウド発注時のデータ主権 5 チェックなどの総合ガイドで整理されています。
しかし、いざ「では ChatGPT Enterprise、Microsoft 365 Copilot、Google Gemini for Workspace のうち、どれを全社導入するか」を決める段階に入ると、話は一気に難しくなります。3 サービスとも 2025 年以降にデータレジデンシー対応をアップデートしており、日本リージョンの扱い・追加料金の有無・保管対象データの範囲・管理画面上での設定手順が、公式ドキュメントを読み比べないと横並びで把握できません。
さらに、経営会議・法務レビューで「なぜこのサービスを選んだのか」を説明するには、民間ブログの解釈ではなく、公的機関の観点を根拠として示すことが求められます。2025 年 2 月に経済産業省が公開した「AI の利用・開発に関する契約チェックリスト」は、まさにこの説明責任を果たすための拠り所となる資料です。
本記事は、総合的なデータレジデンシー解説を読み終えた発注担当者向けの「実務スポーク記事」として、生成AI 3 サービスに絞って以下を提供します——(1) 日本リージョン対応状況と追加料金の横並び比較表、(2) 経産省チェックリストで読み解く契約観点、(3) ベンダーに投げる RFP・契約・運用の 7 項目、(4) 経営・法務レビューを通すための 1 枚提案書テンプレ。「明日、社内に提出する 3 社比較表を作らないといけない」という状況にそのまま使える粒度で解説します。
社内で ChatGPT を使い始めるための実践ガイド――ルール策定・安全なプロンプト設計・部門展開テンプレート付き
この資料でわかること
ChatGPT・生成 AI の社内展開を担当しているが「何から始めれば良いか分からない」情シス・総務・DX 推進担当者に対し、ルール策定・安全な利用環境整備・部門展開のロードマップを一気通貫で提示し、「自社で着手できる」という確信と具体的なアクションプランを持ってもらうこと。
こんな方におすすめです
- 社内ChatGPTの利用ルールを策定したい方
- 情報漏洩リスクを回避しながらAIを展開したい方
- 部門別のプロンプト活用例を知りたい方
入力いただいたメールアドレスにPDFをお送りします。
生成AI導入で「データレジデンシー」が改めて論点になる理由
一般的なクラウドサービス（ストレージ・DB・SaaS）でもデータレジデンシーは論点になりますが、生成AIではそれ以上に確認すべきポイントが増えます。単に「保管サーバーの所在国」だけを見ていると、プロンプト・埋め込みベクトル・ログ・学習利用の各段階で、想定外のリージョンにデータが流れていた——という状況が発生し得ます。
生成AIならではのデータフロー（プロンプト → 推論 → ログ → 学習 → 埋め込み）
生成AIサービスに入力されたデータは、一般的なクラウド SaaS よりも複雑な経路をたどります。発注担当者として押さえておきたい主要フローは以下 5 段階です。
- プロンプト送信: ユーザーが入力した文字列（社内文書・顧客情報を含む場合あり）が API 経由でモデルサーバーに送信される
- 推論処理: モデル（LLM の重み）が配置された物理データセンターで、入力を処理し出力を生成する
- ログ保管: プロンプト・出力・利用メタデータがログとしてサーバー側に一時的に保管される（不正利用検知・監査目的）
- 学習利用（オプトアウト可能な場合あり）: エンタープライズ契約では「学習に使わない」が原則設定だが、契約書で明示的に確認する必要がある
- 埋め込みベクトル保管: RAG（検索拡張生成）や Assistants API を利用する場合、社内文書をベクトル化して保管するストレージが別途発生する
「保管サーバーは日本」であっても、推論処理が海外リージョンで行われる、あるいはログだけが海外に一時保管される、といったケースは十分に起こり得ます。データレジデンシーの確認は、上記 5 段階それぞれについて「どのリージョンで実行・保管されるか」を分解して確認する必要があります。
総合的な「データレジデンシーとは」は既存記事に集約
用語そのもの——データレジデンシー、データローカライゼーション、データ主権の 3 者の違い、個人情報保護法 27・28 条の越境移転規制、一般的なベンダー確認 5 項目——については、本記事では再説明しません。前提知識が不安な方は、下記の総合ガイドを先にご確認ください。
以降のセクションは、上記総合ガイドを読み終えたことを前提に、「生成AI 3 サービスに絞った実務判断」に踏み込みます。
主要生成AI 3 サービスのデータレジデンシー対応状況（2026年時点）
ここからは、エンタープライズ導入で候補となる主要 3 サービスについて、公式ドキュメントに記載された内容ベースで整理します。情報は 2026 年 8 月時点のもので、各社のポリシー・提供リージョンは頻繁に更新されるため、契約前に必ず最新の公式ドキュメントを再確認してください。
ChatGPT Enterprise / Edu / API のデータレジデンシー（日本リージョン対応・対象データ）
OpenAI は 2025 年 5 月に、ChatGPT Enterprise・Edu および API 向けのデータレジデンシー機能を日本を含むアジア地域に拡張したことを発表しました（Publickey 記事、OpenAI 公式ヘルプ）。押さえておきたい主要ポイントは以下です。
- データレジデンシー: 会話履歴・アップロードファイル・GPTs のカスタム指示など、顧客が生成したコンテンツを指定リージョン（日本を含む）で保管できる
- 推論レジデンシー（Inference Residency）: プロンプト処理そのものを特定リージョン内で完結させるオプション。データレジデンシーとは別概念で、対応プランや条件が異なる
- 対象プラン: ChatGPT Enterprise・ChatGPT Edu・API（Zero Data Retention 契約を含む）が中心
- 学習利用: エンタープライズ契約では、入力データがモデル学習に使われないことが標準設定
「日本リージョン対応」と一口に言っても、データ保管地と推論処理地は別々に指定する仕組みになっている点に注意が必要です。管理画面上でどのリージョンが選択可能か、および設定変更の手順は、OpenAI 公式ヘルプの Data residency and inference residency for ChatGPT を参照してください。
Microsoft 365 Copilot / Copilot Chat のデータレジデンシー（ADR 対象国・例外事項）
Microsoft 365 Copilot および Copilot Chat は、Microsoft 365 の Advanced Data Residency（ADR） の対象ワークロードとして追加されており、テナントの所在地域（日本を含む複数国）でのデータ保管が可能です（Microsoft Learn: 地理的な可用性）。押さえておきたい主要ポイントは以下です。
- 対象ワークロード: Copilot / Copilot Chat / Copilot Studio 等が段階的に ADR 対象に追加されている
- 保管対象: プロンプト・応答・ユーザーの会話履歴などのユーザー生成コンテンツ
- 例外事項: グラウンディング（Microsoft Graph から取得する追加コンテキスト）や一部の処理が、テナント所在地域外のリージョンで行われる場合がある。詳細は Microsoft Learn の該当ページを必ず参照
- 前提: Microsoft 365 の ADR 契約が別途必要になる場合がある（Enterprise 系プランでのアドオン扱い）
Microsoft Copilot 群は「テナント所在地」を軸にリージョン管理される点が特徴で、テナント作成時の地域設定がデータレジデンシーの起点になります。管理画面上でどのワークロードが ADR 対象化されているかは、Microsoft 365 管理センターと Microsoft Learn ドキュメントの併読が必要です。
Google Gemini for Workspace のデータレジデンシー（Workspace データレジデンシー対象範囲）
Google Gemini for Workspace は、Google Workspace のデータレジデンシー機能の一部として提供されています。Google Workspace エンタープライズ契約のデータレジデンシーポリシーに準じ、以下の点を公式ドキュメントで確認してください（Google Workspace データレジデンシー ヘルプ）。
- 対応プラン: Google Workspace Enterprise Plus 等の上位プランでデータレジデンシーポリシーが有効化できる
- 対象データ: Gemini for Workspace が生成・保管するプロンプト・応答・ユーザー履歴のうち、Workspace データレジデンシーポリシー対象範囲に含まれるもの
- 保管リージョン: 「米国」「欧州」等の地域単位で指定可能。日本国内単独の保管指定については提供状況が変動するため、Google 公式ドキュメントで最新情報を確認する必要がある
- 学習利用: Google Workspace 契約下では、顧客データはモデル学習に使われないことがポリシーとして明示されている
Google のデータレジデンシーは「地域単位（米国 / 欧州等）」の粒度で設定するのが基本で、国単位の指定粒度は他社と異なります。契約前に、自社の要件（例: 個人情報保護法上の越境移転規制対応の必要有無）が地域単位の指定で満たされるか、法務と確認する必要があります。
3 サービス比較表
以上の情報を、経営・法務レビューにそのまま持ち込める形の比較表として整理します。繰り返しになりますが、各社の提供状況は頻繁に更新されるため、契約前に必ず公式ドキュメントを再確認してください。
項目 | ChatGPT Enterprise / API | Microsoft 365 Copilot | Google Gemini for Workspace |
|---|---|---|---|
日本リージョン対応 | 2025 年 5 月に拡張済（データ保管地・推論処理地を個別指定可能）※詳細は公式ヘルプ参照 | ADR で日本地域指定可能（テナント地域が起点） | 地域単位（米国 / 欧州等）の指定が基本、国単位は要確認 |
追加料金の有無 | プラン内包（Enterprise / Edu 契約に含まれる） | ADR は Microsoft 365 のアドオン契約が必要な場合あり | Enterprise Plus 等上位プランでポリシー有効化 |
保管対象データ | 会話履歴・ファイル・GPTs 設定 | プロンプト・応答・会話履歴（例外あり） | プロンプト・応答（Workspace ポリシー範囲内） |
推論処理地の指定 | 推論レジデンシーオプションで可能 | ADR の範囲内で対応、例外事項あり | 地域単位で対応 |
学習利用 | エンタープライズ契約で標準的にオプトアウト | 標準的にオプトアウト | 標準的にオプトアウト |
主要参照ドキュメント |
比較表を見るとわかる通り、「どこが最も日本リージョン対応が進んでいるか」を単純比較するのは難しく、それぞれのサービスがリージョン管理の粒度・単位・オプション構成を独自の設計思想で組み立てています。したがって、次のセクション以降で、比較表の空欄をベンダーに埋めてもらうための質問リストと、契約書レビューの観点を整理します。
経産省「AI 契約チェックリスト」で読み解く生成AIデータレジデンシーの発注者観点
経済産業省は 2025 年 2 月に「AIの利用・開発に関する契約チェックリスト」を公表しました（経産省 PDF）。このチェックリストは、AI サービス契約時に発注者・受注者双方が確認すべき論点を体系化した公的資料であり、法務レビューで「なぜこの観点を確認したのか」を問われた際の根拠として活用できます。
経産省チェックリストの構造（インプット・アウトプット × 6 観点）
チェックリストは、AI サービスに入出力されるデータを「インプット」と「アウトプット」に分け、それぞれに対して複数の確認観点を提示しています。発注担当者としては、以下の 3 分類で捉えると実務に落とし込みやすくなります。
- データの取扱い: インプットデータがモデル学習に利用されるか、第三者に開示されるか、保管期間はどれくらいか
- 知的財産・権利関係: アウトプットの著作権・利用範囲、生成物が他社の権利を侵害した場合の責任分担
- セキュリティ・データ保管: 保管地域（データレジデンシー）、暗号化、アクセス制御、削除要求への対応
データレジデンシーは主に 3 番目の「セキュリティ・データ保管」に位置付けられますが、実は 1 番目の「データの取扱い」にも密接に関連します。学習利用オプトアウトが契約で担保されていなければ、保管地を日本にしていても学習データとして海外リージョンに流れる可能性が残るためです。
データレジデンシーに関連する契約書上の確認項目（DPA・越境移転条項・準拠法）
生成AIベンダーとの契約書（多くの場合、DPA: Data Processing Addendum が別紙として付属）で確認すべき条項は、以下の観点で整理できます。
- データ保管地の明示: DPA 上に保管リージョン・処理リージョンが明記されているか。「グローバル」「ベストエフォート」といった曖昧表現になっていないか
- 越境移転条項: 個人情報保護法 27 条・28 条の要件（本人同意 / 相当措置の継続確保 / 補完措置）を満たす仕組みが契約書上で担保されているか
- サブプロセッサーの開示: ベンダーが利用する下請け・クラウドインフラ提供者（サブプロセッサー）が明示され、追加・変更時の通知義務が定められているか
- 削除要求への対応期限: 契約終了時・削除要求時のデータ削除期間が明記されているか
- 準拠法・裁判管轄: 紛争発生時に日本法が適用されるか、外国法（米国州法など）が適用されるか
これらは経産省チェックリストの各項目に対応するため、法務レビュー時には「経産省 AI 契約チェックリストの◯◯項目に該当する観点として確認しました」という形で説明することで、根拠を持った提案が可能になります。データガバナンス観点の周辺論点は、AI 導入におけるデータガバナンスも併せてご確認ください。
サブプロセッサー変更・リージョン追加削除への追随
契約締結時点で条件を確認しても、その後にサブプロセッサーやリージョン提供状況が変更されるケースは頻繁に発生します。生成AIサービスは特にこの変更頻度が高いため、以下の運用フェーズの確認が重要です。
- サブプロセッサーの追加・変更時の通知タイミング（何日前通知か、拒否権があるか）
- ベンダー側のリージョン追加削除に伴うサービス停止・移行対応の負担分担
- 通知を受け取った際に社内で誰がレビューし、契約継続の可否を判断するかの体制設計
契約書に「サブプロセッサー変更は◯◯日前に通知」と書かれていても、通知を受け取る先が退職済みの担当者宛だった、というのはよくある話です。契約時点で運用フェーズの体制設計まで含めて決めておくことが、生成AIのようなアップデート頻度の高いサービスでは特に重要になります。契約書上の権利関係についてはデータの所有権とベンダー選定も参考になります。
生成AIベンダーに投げるデータレジデンシー確認 7 項目（RFP・契約・運用）
ここまでの内容を踏まえ、実際にベンダーへ投げる質問を RFP・契約・運用の 3 フェーズで整理します。抽象度が高い質問（「日本国内で処理されますか？」）ではベンダー側も一般論しか回答できないため、回答が具体化されざるを得ない粒度で質問文を設計するのがポイントです。
RFP 段階の質問 3 項目（保管国・推論処理地・バックアップ地）
RFP（提案依頼書）段階では、比較表の空欄を埋めることを目的に、以下 3 項目を投げます。
- 保管国・保管データセンターの物理所在地: 「弊社が入力したプロンプト、生成された応答、アップロードしたファイル、会話履歴のそれぞれについて、保管される物理データセンターの所在国と、可能であれば都市名までご教示ください」
- 推論処理地の物理所在地: 「モデル（LLM の重み）が実行される物理データセンターの所在国、および推論処理が発生するリージョンをご教示ください。データ保管地と推論処理地が異なる場合、どのように使い分けられるかも併せてお願いします」
- バックアップ・災害復旧サイトの所在地: 「バックアップおよび DR（災害復旧）用の副リージョンの所在国、および平時と障害時のデータ配置の違いをご教示ください」
これら 3 項目は、比較表の「保管国」列を単一の値ではなく 保管地・処理地・バックアップ地の 3 セルに分けて記録するために必要です。単セルで管理していると、後から「バックアップは海外」と発覚したときに大きな手戻りが発生します。
契約段階の質問 3 項目（DPA 該当条項・サブプロセッサー・撤退時のデータ削除）
契約段階では、DPA（Data Processing Addendum）の該当条項番号までを確認します。
- DPA 該当条項の指定: 「データレジデンシーおよび推論レジデンシーに関する条項が、DPA のどの条項番号に記載されているかをご指摘ください。SLA として担保される項目と、努力義務として記載される項目を区別してご説明ください」
- サブプロセッサー一覧と変更通知: 「現時点でのサブプロセッサー（下請けクラウドインフラ提供者を含む）一覧、追加・変更時の事前通知期間、および弊社側の異議申立てプロセスをご教示ください」
- 契約終了時のデータ削除: 「契約終了・解約時の顧客データの削除ポリシー、削除完了までの期間、削除証明書の提供有無をご教示ください」
これらは法務レビューで直接引用される項目のため、ベンダー側の営業担当者では回答できず、法務・契約部門が正式回答することになります。時間がかかる前提でスケジュールに組み込むことをおすすめします。
運用段階の質問 1 項目（サブプロセッサー・リージョン変更通知）
運用開始後の変更に追随するため、以下 1 項目を運用契約書に明記します。
- 変更通知の受領体制: 「サブプロセッサー変更・リージョン追加削除の通知を受け取る弊社側の窓口（メールアドレス・担当部署）と、通知後の弊社内レビュー期間・拒否権の有無を運用契約書に明記させてください」
窓口を「情報システム部門宛」といった曖昧な指定ではなく、専用メーリングリスト・受領後の一次レビュー担当・エスカレーション先まで含めて設計しておくと、退職・異動による通知の見落としを防げます。
データレジデンシー観点で経営・法務レビューを通す生成AI選定の 1 枚提案書テンプレ
経営・法務レビューを最短で通すためには、10 ページの資料よりも「1 枚に凝縮された提案書」の方が効果的です。以下のテンプレは、セクション 2〜4 で整理した内容を、経営会議・法務レビューで即座に判断できる形にまとめる観点を示すものです。
1 枚提案書に必ず載せる 4 要素
1 枚提案書には以下の 4 要素を必ず盛り込みます。それぞれ 3〜5 行に凝縮するのがポイントです。
- 3 サービス比較表（サマリ版）: 保管国・推論処理地・追加料金・DPA 該当条項番号を横並びで、判断に必要な列だけに絞る
- 選定理由（3 行）: 「なぜ A サービスを推奨するか」を、業務要件との適合・データレジデンシー要件との適合・コストの 3 観点で 1 行ずつ
- データレジデンシー観点で残るリスク（3 行）: 選定サービスの弱点・例外事項・将来の変更リスクを、隠さず 3 行で明示
- 次のアクション（3 行）: PoC 範囲・契約締結スケジュール・運用体制の 3 点
「残るリスク」を明示することが、経営・法務からの信頼獲得において特に重要です。「完璧なサービスがある」と誇張するよりも、「弱点はここ、でもそれを補うために運用でこう対応する」という提示の方が、レビュー側の判断コストを下げます。
「必ずソブリンクラウド」ではない — 過剰対応を避ける判断基準
生成AIのデータレジデンシー対応を検討する際、「絶対に日本国内保管の日本企業クラウド（ソブリンクラウド）でなければならない」と過剰に構えてしまう組織もあります。ですが、扱うデータの機密度と規制要件によっては、Enterprise 契約の海外ベンダーで十分要件を満たせるケースも多く存在します。
判断の目安としては、以下のような分類が実務的です。
- 一般業務用途（社内マニュアル・議事録・営業メール文案）: エンタープライズ契約 + 日本リージョン指定で十分な場合が多い
- 個人情報を含む業務（顧客対応・人事情報）: 個人情報保護法 27 条要件の充足を DPA で担保できるかを法務と確認
- 要配慮個人情報・機密度極高（医療情報・国家安全保障関連）: ソブリンクラウド・オンプレミス LLM の検討対象
「機密度が高いから常にソブリンクラウド」ではなく、「扱うデータの機密度と規制要件に対して、選定サービスがどこまで対応できるか」を段階的に評価する姿勢が、経営・法務からの合意を得やすい提案につながります。
まとめ: 生成AIデータレジデンシー確認の要点と次のアクション
本記事の要点を 5 行で振り返ります。
- 生成AIのデータレジデンシーは、プロンプト・推論・ログ・学習・埋め込みベクトルの 5 段階それぞれで確認する必要がある
- ChatGPT Enterprise / Microsoft 365 Copilot / Google Gemini for Workspace の 3 サービスは、リージョン管理の粒度・単位・オプション構成がそれぞれ異なるため、公式ドキュメントベースで横並び比較表を作る
- 経産省「AI 契約チェックリスト」（2025 年 2 月）を、契約観点の公的根拠として法務レビューで活用する
- ベンダーへの確認は、RFP 段階（保管地・推論処理地・バックアップ地）、契約段階（DPA 条項・サブプロセッサー・削除ポリシー）、運用段階（変更通知窓口）の 7 項目に分解する
- 経営・法務レビュー通過には、10 ページ資料より「3 サービス比較 + 選定理由 + 残るリスク + 次のアクション」の 1 枚提案書が効果的
次のアクションとしては、まず自社の候補 3 サービスに対して RFP 段階の 3 項目を投げ、返ってきた回答で比較表の空欄を埋めるところから始めるのが実務的です。用語や総論についての再確認は データレジデンシーとは｜AI・クラウド発注時のデータ主権 5 チェック をご覧ください。
関連情報
生成AI・外部サービス活用における契約リスクの点検を体系的に進めたい方は、お役立ち資料 をご覧ください。契約時に確認すべき観点をチェックリスト形式で整理しています。
生成AI導入・外部人材活用に関するご相談は、お問い合わせフォーム からお気軽にご連絡ください。要件整理の段階からご相談いただけます。
関連記事
社内で ChatGPT を使い始めるための実践ガイド――ルール策定・安全なプロンプト設計・部門展開テンプレート付き
この資料でわかること
ChatGPT・生成 AI の社内展開を担当しているが「何から始めれば良いか分からない」情シス・総務・DX 推進担当者に対し、ルール策定・安全な利用環境整備・部門展開のロードマップを一気通貫で提示し、「自社で着手できる」という確信と具体的なアクションプランを持ってもらうこと。
こんな方におすすめです
- 社内ChatGPTの利用ルールを策定したい方
- 情報漏洩リスクを回避しながらAIを展開したい方
- 部門別のプロンプト活用例を知りたい方
入力いただいたメールアドレスにPDFをお送りします。
よくある質問
- ChatGPT・Copilot・Geminiのうち、日本リージョン対応が最も進んでいるのはどれですか？
単純比較は困難です。ChatGPTは保管地・推論地を個別指定可能、Copilotはテナント地域起点のADR、Geminiは地域単位（米国/欧州等）が基本と、リージョン管理の粒度がそれぞれ異なるため、自社要件に照らして個別に確認する必要があります。
- データの保管地が日本になっていれば、データレジデンシー対応としては十分ですか？
十分とは限りません。保管地が日本でも、推論処理やログ保管が別リージョンで行われる場合があるため、プロンプト・推論・ログ・学習・埋め込みベクトルの5段階それぞれでリージョンを確認する必要があります。
- 経産省の「AI契約チェックリスト」は、DPAのどの記載と照らし合わせて確認すればよいですか？
「セキュリティ・データ保管」観点はDPA上の保管地・処理地の明記や越境移転条項、サブプロセッサー開示と対応させ、「データの取扱い」観点は学習利用オプトアウトが契約書で明示されているかと対応させて確認します。
- 生成AI導入では必ずソブリンクラウドを選ぶべきですか？
必須ではありません。一般業務用途はエンタープライズ契約と日本リージョン指定で足りる場合が多く、要配慮個人情報など機密度が極めて高いデータを扱う場合に限り、ソブリンクラウドやオンプレミスLLMを検討します。
- ベンダーに「日本国内で処理されますか」と聞くだけでは不十分なのはなぜですか？
抽象的な質問では一般論の回答しか得られないためです。保管国・推論処理地・バックアップ地のように、回答が具体化せざるを得ない粒度で質問を設計することで、比較表に使える具体的な回答を引き出せます。
