Fireflies.aiは安全？セキュリティとプライバシーを公式情報で検証

Fireflies.aiは、多くのビジネス会議にとっておおむね安全です。セキュリティページにはSOC 2 Type II、GDPR、HIPAA、AES-256暗号化が記載され、DPAも公開されており、会議データでAIを学習しないと明言しています。本当のリスクは初期設定にあります。カレンダーの全会議に参加するボット、リンクを知る人なら誰でも見られる会議録、そして米国での処理です。

セキュリティ審査で通常確認する項目ごとに、Firefliesが公表している内容と、自分で確認すべき点をまとめました。

Firefliesのセキュリティページは、コンプライアンスとしてSOC 2 Type II、GDPR、HIPAAを挙げ、保存時のノートと文字起こしにAES-256、通信時のデータにTLSを使うと説明しています。クラウド型のAI議事録ツールに求める基本線であり、書面上はFirefliesはそれを満たしています。

バッジは正確に読みましょう。SOC 2は、一定期間の企業の統制について独立監査人がまとめた報告書で、永続的な認証書ではありません。FirefliesのTrust Centerから最新のType IIレポートを請求し、期間と例外事項を確認するのが実務的です。GDPRは法律であって認証ではありません。重要なのはDPA、米国へのデータ移転の法的根拠、再委託先の一覧です。HIPAAは契約次第です。Enterpriseプランのガイドによると、HIPAA対応は申請制で、署名済みのBusiness Associate Agreement（BAA）が必要です。同じガイドではEnterpriseを1席あたり月39ドル（年払い）としています。

Firefliesの答えは「しない」ですが、表現に一つ違いがあります。プライバシーポリシーは、個人情報をAIモデルの学習に使わないと明記しています。ポリシー更新の案内では、会議内容を社内外のモデルの学習に使わないこと、委託先にも契約で学習を禁じていること、外部の委託先は処理後に会議の音声・動画・文字起こしを保持しないことが補足されています。

「デフォルトで」という言い方はプライバシーポリシーより弱く、またDPAでは、Firefliesが匿名化データを作成し、利用状況やアカウント情報などのサービスデータを製品改善に使うことが認められています。どちらも「学習しない」という説明と矛盾はしません。それでもAI学習が絶対に許されない会社なら、どのプランや設定でも変わらないことを書面で確認しましょう。

既定では米国です。Firefliesの保存に関するガイドは、データが米国内のクラウド基盤（AWSとGCP）で保存・処理されると説明しています。プライバシーポリシーには、個人情報が米国およびその他の国のサーバーで処理・保存される場合があるとも書かれています。

Enterpriseの顧客はPrivate Storageで、録音、文字起こし、ファイルの保存先を選べます。自社のAWS S3やGoogle Cloud Storageのバケットも指定できます。EUでの保存について、ガイドは限界をはっきり書いています。

欧州からの移転について、DPAはFirefliesのEU-US Data Privacy Frameworkへの自己認証を根拠とし、代替としてEU標準契約条項（英国とスイスからの移転向けに調整したもの）を用います。米国企業としては一般的で合法な仕組みですが、EU域内での処理のみと厳格に定めているチームは、Firefliesを米国の処理者として扱うべきです。

保持期間について、Firefliesはアカウント削除から30日以内に関連する個人情報を削除するとしています。Enterpriseプランでは、一定期間後に会議とファイルを自動削除する独自の保持期間を設定できます。他のプランでは、古い会議は自分で削除する前提で考えましょう。

FirefliesはData Processing Addendumをfireflies.ai/data-processing-agreementで公開しています。現行版は2026年3月6日更新で、利用規約に組み込まれ、サービスを利用する組織に適用されます。そのため標準条件については別途署名する書類はありません。Firefliesは通知のうえで改定でき、利用を続けると同意したものとみなされます。

購買部門が承認する前に読むべき点は5つです。

• 再委託先：一覧はtrust.fireflies.ai/subprocessorsにあり、更新案内によるとBusinessとEnterpriseの顧客は新たな再委託先に異議を申し立てられます。
• インシデント通知：Firefliesは「不当な遅滞なく」通知するとしており、具体的な時間数は定めていません。
• 移転：まずEU-US Data Privacy Framework、代替として標準契約条項。
• 契約終了：Firefliesは指示に従い顧客の個人データを削除または返却します。ただし法律で保存が求められる場合を除きます。
• 監査：更新案内によると、BusinessとEnterpriseの顧客は年1回まで自己負担で監査できます。

実際には、Firefliesのプライバシー問題の多くは攻撃ではなく初期設定から生じます。Firefliesのヘルプガイドは自動参加の初期設定をはっきり書いています。

誰かがカレンダーを連携すると、Fireflies Notetaker（fred@fireflies.ai）はWeb会議リンクのある全会議に参加します。Firefliesに登録していない顧客や候補者との会議も含まれます。自動参加の設定で「Only when I invite fred@fireflies.ai」に切り替えられます。

共有も同様です。会議録のプライバシー設定ガイドでは「Teammates & anyone with link」が初期値で、Fireflies上のワークスペースの全員が会議を見つけられ、リンクを持つ人なら誰でも開けます。より厳しい選択肢として「Only participants & teammates」「Only participants」「Only teammates」「Only me」があります。さらにセキュリティページには、ワークスペース全体の会議に完全にアクセスできるSuper Adminの役割が記載されています。

Firefliesには、ボットなしでシステム音声を録るMac・Windows向けのデスクトップモードもあります。ガイドはその制約を明記しています。このモードは音声・動画ファイルを保存せず、話者は名前ではなくSpeaker 1、Speaker 2と表示され、同意の通知をオフにした場合は参加者への告知は利用者の責任になります。

Firefliesは、イリノイ州の生体情報プライバシー法（BIPA）に基づき、集団訴訟としての認定を求める訴えを起こされています。裁判記録と法律関連の報道によると、以下の2件はいずれも、Fireflies未登録者を含む会議参加者の声紋を、BIPAが求める通知と書面での同意なしに収集・保存したと主張しています。Cruz訴訟はさらに、Firefliesが保持・破棄ポリシーを公開していなかったと主張しています。これらは申し立てであり、裁判所の判断は出ていません。

2026年9月28日更新のFirefliesのプライバシーポリシーは、音声データが一部の法域で生体情報とみなされうること、委託先は音声データを個人の識別や認証に使わないこと、そしてイリノイ州法に関する項で、そのデータは目的達成時または本人の最後のやり取りから3年以内のいずれか早い時点で破棄されることを記載しています。

2026年10月の確認時点で、Firefliesで公に報告されたデータ漏えいは見つかりませんでした。これは漏えいがなかった証明ではなく、私たちが確認できた公開情報にはないという意味です。Otter.aiの集団訴訟を含む全体像は、AI議事録ツールの訴訟まとめ記事をご覧ください。

次のような場合、Firefliesは理にかなった選択です。

• 自分が出席しない会議もボットに録音させ、後から音声・動画ファイルを残したい。
• 文字起こしに話者名を表示したい、Fireflies Notetakerを軸にした連携機能を使いたい。
• 米国拠点の企業で、DPAのもとでの米国処理に問題がない。
• Enterpriseプランで、BAA付きのHIPAA、SSO、Private Storage、独自の保持期間が必要。

次の場合は慎重に検討してください。

• イリノイ州や全員の同意が必要な地域の相手と会議をし、全員が録音に同意したか確信できない。
• 顧客や候補者が、通話に第三者のボットが入ることを嫌がる。
• EUでの保存だけでなく、EU域内のみでの処理が必要。
• 署名済みBAAなしで医療データを扱うことになる。

1. 自動参加を「Only when I invite fred@fireflies.ai」にして、ボットが予告なく参加しないようにする。
2. 会議録の共有の初期値を「Teammates & anyone with link」から「Only participants」または「Only me」に変える。
3. Super Adminが誰かを確認する。この役割はワークスペースの全会議にアクセスできる。
4. 同意の通知はオンのままにし、録音していることを口頭でも伝える。
5. DPAと再委託先一覧をダウンロードし、取引先の記録として保管する。
6. 最新のSOC 2 Type IIレポートを請求する。Enterpriseなら保持期間を設定し、医療データを扱うならBAAに署名する。

Fireflies、Otter、Read AI、Relineのどれにも同じ質問が使えます。書面で答えられないベンダーは、それ自体が答えです。

1. ボットは会議に参加するか。初期設定で自動参加するか。
2. 会議は初期設定で誰が見られるか。自分だけ、参加者、ワークスペース全体、リンクを知る全員のどれか。
3. どのプランや設定でも、音声・文字起こし・ノートをAIモデルの学習に使わないか。
4. データはどこに保存され、どこで処理され、どのクラウド事業者を使うか。
5. DPA、公開された再委託先一覧、インシデント通知の約束はあるか。
6. 今すぐ提示できる監査は何か。バッジではなく報告書として示せるか。
7. 録音と文字起こしをどれだけ保持するか。その期間を自分で設定できるか。

Relineは競合ツールなので、この節はその前提でお読みください。Relineはボットを送りません。Mac、Windows、Linux（ベータ）またはブラウザで、マイクとシステム音声をローカルで取り込むため、会議に余分な参加者は現れません。文字起こし、AIノート、保存はクラウドで行われ、端末上では処理しません。

ノートは初期設定で非公開です。ワークスペースの役割だけでは、誰もノートにアクセスできません。Relineは現在、SOC 2レポートもHIPAAのBAAもありません。購買要件にそれらが含まれるなら、FirefliesはSOC 2 Type II監査を掲げ、EnterpriseプランでBAAを提供していますが、Relineにはありません。また、ボットなしの録音は同意の代わりにはなりません。法律が求める場面では、引き続き録音していることを伝えてください。

• Fireflies、セキュリティとコンプライアンスのページ：https://fireflies.ai/security
• Fireflies、Data Processing Addendum（2026年3月6日更新）：https://fireflies.ai/data-processing-agreement
• Fireflies、プライバシーポリシー・規約・DPAの更新案内：https://guide.fireflies.ai/articles/6892479029
• Fireflies、データの保存と移転に関するガイド：https://guide.fireflies.ai/articles/9596505232
• Fireflies、Enterpriseプランのガイド：https://guide.fireflies.ai/articles/4771323041-learn-about-fireflies-enterprise-plan
• Fireflies、会議録のプライバシー設定ガイド：https://guide.fireflies.ai/articles/5319481450-how-to-configure-privacy-settings-for-your-meeting-recaps
• Fireflies、自動参加設定のガイド：https://guide.fireflies.ai/articles/8587670572-how-to-disable-the-fireflies-auto-join-settings
• Fireflies、デスクトップアプリでボットなしに録音する方法：https://guide.fireflies.ai/articles/6666374717-how-to-record-meetings-without-a-bot-on-the-fireflies-desktop-app
• Fireflies、プライバシーポリシー（2026年9月28日更新）：https://fireflies.ai/privacy-policy
• Cruz v. Fireflies.AI Corpの訴訟記録（PacerMonitor）：https://www.pacermonitor.com/public/case/61918314/Cruz_v_FirefliesAI_Corp
• Smith, Gambrell & Russell、AI議事録ツールとBIPA（2026年3月16日）：https://www.sgrlaw.com/newsroom/publications/ai-note-takers-biometric-privacy-and-the-battle-over-bipa-damages-what-businesses-need-to-know-now
• Top Class Actions、Fricker v. Fireflies.AI Corp.（2026年3月19日）：https://topclassactions.com/lawsuit-settlements/lawsuit-news/fireflies-ai-sued-over-alleged-unlawful-data-collection-from-meeting-participants/