SOC 2対応のAI会議アシスタント：2026年の選び方

厳密には「SOC 2認証」を受けたAI会議アシスタントは存在しません。SOC 2は独立した公認会計士事務所（CPA）が発行する監査報告書であり、認証ではないからです。Fireflies、Otter、Granola、Fathom、Noota、Modjo、MeetGeek、tl;dvはSOC 2タイプIIを表明しています。報告書を取り寄せ、種類、対象期間、範囲を確認してください。

私たちはRelineの開発元です。ベンダーによるガイドとしてお読みください。Relineは現時点でSOC 2報告書を持っていません。代わりに何があるかは後半で説明します。他社に関する情報はすべて各社自身のページに基づき、2026年10月22日に確認したもので、変わる可能性があります。

SOC 2は、米国公認会計士協会（AICPA）の枠組みです。独立した監査法人が、トラストサービス規準に照らしてサービス提供者の統制を評価します。規準はセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーの5分類で、セキュリティは必須、残り4つは提供者が選びます。最後に監査人が意見を報告書にまとめ、通常はNDAのもとで顧客に開示されます。

Microsoftのドキュメントは簡潔にこう説明しています。タイプ1の監査は、一定期間をさかのぼって評価するものではありません。MicrosoftはOffice 365を10月1日から9月30日までの12か月の期間で監査し、報告書と報告書の間の空白を「ブリッジレター」で補っています。ブリッジレターは監査人の報告書ではなく、Microsoft自身による表明です。

ISO 27001は認証です。認証機関が情報セキュリティマネジメントシステムを認証し、3年間有効な証明書を発行します。SOC 2は保証報告であり、システムを記述して意見を述べる報告書です。ベンダーは「SOC 2認証」とよく言いますが、正しい質問は「最新のSOC 2タイプII報告書を送っていただけますか」です。日本ではISMS（ISO 27001）認証や、政府調達向けのISMAPを求められることもあります。

1. 種類と期間：タイプIIで、対象期間の終了から12か月未満であること。そうでなければ、空白期間をカバーするブリッジレターを求めます。
2. 範囲（システムの記述）：会議アシスタントとそのAI機能は含まれていますか。報告書が中核プラットフォームだけを対象とし、新しい製品を外していることもあります。たとえばZoomは、報告書の範囲にAI Companionを明記しています。
3. 対象となる規準：セキュリティのみか、機密保持とプライバシーも含むか。会議の録音では、この2つが重要です。
4. 監査人の意見：無限定意見が通常の想定です。限定付き意見であれば、書面での説明を求めましょう。
5. 例外事項と経営者の回答：いくつかの例外は普通です。重要なのは、その内容と是正方法です。
6. 再委託先：ホスティング、文字起こし、AIの提供者。範囲から除外（カーブアウト）されている場合は、それぞれの報告書を求めます。
7. 利用者側の統制（報告書に記載される「補完的なユーザー組織統制」、CUEC）：SSO、アクセスレビュー、退職者の処理。報告書は、利用者がこれらを実施している前提で書かれています。

次の表は、各社が自社ページで述べている内容を2026年10月22日に確認したものです。ベンダーの表明であり、私たちの監査ではありません。証拠になるのは報告書そのものだけです。

表の読み方：SOC 2タイプIIが調達の条件なら、Fireflies、Otter、Granola、Fathom、Noota、Modjo、MeetGeek、tl;dvが表明しています。報告書を請求してください。JamieはタイプIIを取得中です。SOC 2タイプIIと欧州でのホスティングを両方求めるなら、Noota、Modjo、tl;dvが両方を表明しており、NootaはISO 27001も表明しています。社内の会議プラットフォームで足りるなら、ZoomとTeamsのAI機能は、範囲次第でプラットフォームの報告書を引き継ぎます。

• GDPR。SOC 2報告書は、第28条の処理契約、法的根拠、録音される人への通知の代わりにはなりません。
• データの保管場所と移転。SOC 2はデータがどこに置かれるかを述べません。米国のベンダーを使うEU企業には、データプライバシーフレームワークや標準契約条項といった移転の仕組みが必要です。
• モデルの学習。優れたSOC 2報告書を持ちながら、匿名化したデータでモデルを学習させるベンダーもあります。たとえばOtterのプライバシーポリシーにはそう書かれています。DPAとプライバシーポリシーを読みましょう。
• 保存期間。音声、文字起こし、議事録はどのくらい保存され、削除は完全に行われるのか。
• 参加者の同意。ボットが見える場合でもボットなしの録音でも、参加者全員に知らせる義務はあなたに残ります。
• 将来のこと。報告書は過去の期間を記述します。その後の変更（新しいAI機能、新しい再委託先）は含まれません。

GDPRの詳細（DPA、データ移転、保存期間、従業員代表）は、GDPRに準拠したAI議事録ツールのガイドをご覧ください。IT部門が使う完全なチェックリストは、承認チェックリストにまとめています。

1. 最新のSOC 2タイプII報告書と現在のブリッジレターを送っていただけますか。
2. 会議アシスタント、文字起こし、AI機能は範囲に含まれていますか。
3. セキュリティ以外にどの規準が対象ですか。
4. 監査人はどんな例外事項を指摘し、どう是正しましたか。
5. 音声と文字起こしを扱う再委託先はどこで、どの国にあり、それぞれ報告書を持っていますか。
6. データはどこで保存・処理され、どの移転の仕組みに基づいていますか。
7. 私たちの会議でモデルを学習させますか。AIの提供者にはそれが許されていますか。
8. DPAは私たちが購入するプランに適用されますか。それともEnterpriseのみですか。

Relineは現時点でSOC 2報告書を持っていません。SOC 2タイプIIはロードマップ上にあり、ISO 27001やHIPAAのBAAもありません。SOC 2タイプII報告書が調達の必須条件であれば、現時点でRelineは適した選択肢ではありません。

Relineがセキュリティページで公開している内容は次のとおりです。すべてのリクエストでTLS 1.2以上、データベースと録音の保存時暗号化、初期状態で非公開のノートと5段階の権限、すべてのノートに追記専用のアクティビティログ（全プラン）、Enterpriseではワークスペースの監査ログ、EnterpriseではGoogleとMicrosoftのSSOを依頼に応じて提供。DPAはreline.so/dpaで署名済みで、再委託先一覧は公開されており、Relineはお客様のデータでモデルを学習させません。データはEU標準契約条項のもと米国でホストされます。セキュリティ資料はNDAのもとで共有します。

製品面では、Relineはマイクとシステム音声をローカルで取り込み、通話にボットは参加しません。文字起こし、AI、保存はクラウドで行われます。見えるボットが本当の問題なら、ボットなしのAI議事録ツールの比較（フランス語）で選択肢を紹介しています。