EU企業向け GDPR準拠のAI議事録ツール比較(2026年)

「GDPR認証」を受けたAI議事録ツールはありません。そもそもそのような認証が存在しないからです。EU企業にとって最良のGDPR準拠AI議事録ツールとは、第28条に基づくDPAがあり、データの保存場所と移転を説明でき、会議データでAIを学習せず、同意と事業所委員会のルールに合うツールです。EUホスティングならJamieとtl;dv、ボットなしのチームノートならReline(米国ホスティング)です。

私たちはRelineの開発元です。ベンダーによるガイドとしてお読みください。Relineはボットなしでお使いのデバイス上で音声を取り込みますが、文字起こし、AI、保存は米国のクラウドで行われ、EUの標準契約条項(SCC)で保護されています。RelineにはEUデータレジデンシーもSOC 2もありません。他社に関する事実はすべて各ベンダー自身のページから取得し、2026年10月21日に確認したもので、変わる可能性があります。

会社が会議を録音するとき、会社が管理者(controller)、ベンダーが処理者(processor)になります。会議の録音は個人データです。声、名前、意見、ときには健康情報のような特別な種類のデータも含まれます。したがって遵守の責任は会社にあり、ベンダーの役割はそれを可能にすることです。データ保護責任者(DPO)が確認するのは次の6点です。

ボットの有無にかかわらず、会議データを代わりに処理するすべてのベンダーとデータ処理契約(DPA)を結ぶ必要があります。実際に購入するプランが対象か確認してください。Jamieの料金ページではDPAはEnterpriseのみに記載されています。Firefliesのヘルプ記事は、BusinessとEnterpriseについて処理者としての役割を説明しています。Relineのreline.so/dpaのDPAは署名済みで、すべてのワークスペースに適用されます。再委託先(サブプロセッサー)の一覧も読みましょう。誰がどの国でデータを扱うかがわかります。

「EUでホスティング」と「GDPR準拠」は別の主張です。GDPRは米国での処理を禁じてはおらず、移転の仕組みを求めています。代表的なのは、認証を受けた米国企業を対象とするEU-U.S. Data Privacy Framework(2023年7月の十分性認定)と、標準契約条項(通常は移転影響評価とセット)の2つです。EU一般裁判所は2025年9月3日にData Privacy Frameworkを支持しましたが、司法裁判所に上訴が係属中です(事件番号C-703/25 P)。前身のPrivacy Shieldは2020年に無効とされたため、多くのDPOはEU内での処理を選べるならそれを好みます。

保存と処理も分けて考えましょう。Firefliesのセキュリティに関するFAQによると、Private StorageオプションはコンテンツをEU内に保存しますが、処理は引き続き米国で行われます。tl;dvのドイツ語サイトはデータがEUでホスティング・保存されるとしていますが、AI処理の場所は書かれていません。両方を質問してください。

保存期間の制限(GDPR第5条第1項(e))により、録音は必要以上に保管すべきではありません。音声、文字起こし、AIの出力がどれだけ残るか、会議を削除するとすべて消えるか、バックアップにどれだけ残るかを確認しましょう。各社のページによると、JamieとGranolaは会議の音声を保存しません。Firefliesは削除された会議を即時に消去し、アカウントのデータを30日以内に削除します。Relineは削除したノートを30日後にゴミ箱から完全に消去し、文字起こし、録音、AIの出力も含まれます。バックアップは最長30日保持されます。

問いは2つあります。ベンダー自身がデータで自社モデルを学習するか、そしてそのAIプロバイダーは学習を禁じられているか。答えはマーケティングが示すより大きく異なります。Otterのプライバシーポリシーは、匿名化(非識別化)した音声録音と文字起こしで自社AIを学習すると記載しています。Fathomのプライバシーポリシーは、アカウント設定によっては非識別化した会議データを自社モデルの学習に使う場合があるとしています。Granolaのセキュリティページは、オプトアウトしない限り匿名化データで学習し、Enterpriseでは既定でオフとしています。Jamie、tl;dv、Firefliesはデータで学習しないとしています。Relineはお客様のデータでモデルを学習せず、AIプロバイダーもAPI規約により学習を禁じられています。

会議の全員が、録音されていることとその目的を知る必要があります(GDPR第13条・第14条)。また第6条に基づく法的根拠が必要です。各国の法律も加わります。ドイツでは刑法第201条が、非公開の発言を無断で録音することを犯罪としています。実務では、招待状と会議の冒頭で全員に伝え、法律が求める場合は同意を得てください。ボットなしのツールは通話から見えるボットを取り除くだけで、この義務はなくなりません。Relineは会議参加者向けの案内をreline.so/participantsで公開しています。

1. DPAを入手し、Enterpriseだけでなく自社のプランが対象か確認する。
2. 再委託先の一覧を読み、誰がどの国でデータを処理するか把握する。
3. データの保存場所と処理場所、適用される移転の仕組み(Data Privacy Framework、標準契約条項)を質問する。
4. 保存期間を確認する。音声、文字起こし、AIの出力、バックアップ、そして会議やアカウントを削除したときの扱い。
5. AI学習を確認する。ベンダー自身のモデルとAIプロバイダー、オプトアウトの有無。
6. 通話内のボットが顧客や候補者にとって許容できるか判断する。
7. 参加者向けの録音告知と、法律が求める場合の同意手順を用意する。
8. DPOと事業所委員会を早めに巻き込み、必要ならDPIAを実施する。

以下は各ベンダー自身のページ(トップ、料金、セキュリティページ、プライバシーポリシー)を2026年10月21日に確認した内容です。「ベンダーによると」は意図的な表現で、監査ではなくベンダーの説明を伝えています。ページに記載がない場合はそう書いています。

表の読み方:EUホスティングが必須なら、Jamie(Jamieによると保存・処理はEEA、スイス、英国内)かtl;dv(AI処理の場所を確認)から検討しましょう。正式な認証が決め手なら、Fireflies、Granola、Otter、FathomはSOC 2 Type 2を、JamieはISO 27001を掲げています。会議データでの学習が許容できないなら、トップページではなくプライバシーポリシーを読んでください。Otter、Fathom、Granolaはいずれも非識別化または匿名化データによる何らかの学習を説明しています。

Relineはお使いのコンピューターでマイクとシステム音声をローカルに取り込みます。通話に参加者は加わらず、参加通知も表示されません。その後、60以上の言語に対応したライブ文字起こし、AI要約、保存は米国の当社クラウドで行われます。完全な文字起こしと録音が残り、各行に再生ボタンがあり、チームで一緒に編集できるノートにまとまります。ノートは既定で非公開で、ノートとフォルダーごとに5段階の権限があり、画面は英語、ドイツ語、フランス語、スペイン語、日本語、ポルトガル語、アラビア語に対応しています。

トレードオフは明確です。RelineにはEUデータレジデンシーもSOC 2もありません。通話内のボットが最大の問題で、DPOがすべてのプランを対象とするDPAの標準契約条項に基づく米国での処理を受け入れられる場合に適しています。そうでなければ、上記のEUホスティングのツールを選んでください。

Firefliesの乗り換えを検討中ですか? Fireflies代替ガイドで移行の手順を解説しています。データ保護の観点で全ツールを比較したドイツ向けの記事もあります。