業務でAIに機密情報を入れてよいのか。
タイの現場から見えた実情。
日本の本社が決めたルールは、タイの工場でそのまま機能するとは限りません。私たちが商談や導入支援の現場で実際に聞いた話と、タイの法制度から、この問いを考えます。
タイの工場現場（イメージ）
在タイの日系企業から、
よく受ける相談。
タイに拠点を持つ日系企業の方とお話ししていると、ここ1〜2年で必ず出てくる話題があります。「現場でAIを使わせてよいのか」「機密情報を入力してしまわないか」というものです。
この問いに対する情報の多くは、日本の総務省の行政指導や、ChatGPT・Gemini・Claude・Copilotといった各社のポリシー比較など、日本国内向けの一般論です。もちろん重要な情報ですが、タイで事業を行う日系企業にとっては、それだけでは足りません。タイには、日本とは別の法律があり、日本の本社では見えていない現場の事情があるからです。
この記事では、私たちが実際にタイの製造業の方々から聞いた話をもとに、タイに固有の論点だけを扱います。
LINEだけは、
止められなかった。
タイに工場を持つ、ある大手製造業の責任者から聞いた話です。その工場では、顧客から預かった配合レシピを扱っています。絶対に外に出せない情報であり、会社のシステムは日本側のIT監査でがっちり固められています。
ただし、ひとつだけ穴がありました。LINEです。
「LINEだけが、その先に行ってしまうともう分からない。ただ使われているという実情があって」
責任者は、IT監査でこの実情を正直に申告しました。
「もう私、正直に言ったんですよ。工場内、LINEもう使いまくりですよって話したら——日本側も調べたんだけど、もうそれはどうしようもないということで、言わない、聞かなかったことにする、と言われて」
なぜ止められないのか。構造がはっきりしています。会社支給のスマホはマネージャークラスまでで、その下の現場スタッフは私物スマホを使っています。会社側は、現場のスマホにどんなアプリが入っているか、制限することも、見ることもできません。
レシピに顧客名を書かない、といった運用上の工夫はしています。それでも——
「もし写真を撮って上げられちゃうと、分かる人には分かっちゃう」
最後は、人を信頼するしかない、というところに行き着きます。
「あとはもう、この人を信頼関係で保つんだけど、その信頼ってありえないじゃないですか、そもそも」
別のツールへの移行も試みたそうです。しかし——
「意外と違うツールに移行しようと思っても、現場が基本についていけない。結局オフィスだけは多少できるけど、結局移行できないで」
これはAIの利用でも同じ構図で起きていました。社内には統制されたAI環境があるにもかかわらず、現場では私物スマホのフリー版アプリで写真を撮って調べる、という使い方が自然に発生していたそうです。
「有料版でちゃんとセキュリティのロックがされていればいいんだけども、普通のフリーなソフトでバンバンやられちゃうと、それは勝手に流れていっちゃうから、それが怖い」
日本の常識が通じない理由。
タイにはタイのルールがある。
「日本の個人情報保護法で対応していれば大丈夫」と考えている方に、まず伝えたいことがあります。タイで事業を行う以上、適用されるのは日本の法律ではなく、タイPDPA（Personal Data Protection Act B.E. 2562／個人情報保護法）です。
タイPDPAは日本の個人情報保護法をモデルのひとつにしていますが、同じ法律ではありません。特に、個人データを国外に持ち出す場面（国外移転）についての規制は、実務上見落とされがちなポイントです。
「日本の法律で対応済み」
- ・日本の個人情報保護法・社内規程で管理している
- ・クラウドAIの利用規約（学習に使わない等）を確認済み
- ・これでタイの拠点も対応できているはず
タイPDPAが別に適用される
- !タイでの事業には、日本法ではなくタイPDPAが適用される
- !個人データの国外移転には Section 28・29 の規制がある
- !移転先国の十分性の認定、または適切な保護措置（BCR・SCC等）が要る
タイPDPAでは、同意に基づく移転、契約の履行に必要な移転、データ主体の重要な利益を守るための移転など、認められる移転の類型が定められています。「AIサービスに情報を入れる」という行為が、こうした国外移転規制の対象になり得る、という前提から考える必要があります。
クラウドの例外は、
AIにも当てはまるのか。
ここで実務上重要になるのが、2023年12月25日に出された下位規則です。ここには次のような例外規定があります。
「第三者による不正アクセスを防ぐ技術的措置を備えた、データの中継または保管の仲介者としての個人データの送受信（クラウドコンピューティングサービス等）には、国外移転規制は適用されない」
出典：DLA Piper「Data Protection Laws of the World」— Thailand: Transfer
一見すると、クラウドサービスを使う企業にとって朗報に見えます。ただし、ここで立ち止まる必要があります。この例外は「中継・保管（送受信）」を対象としたものです。一方で、生成AIサービスは預かったデータを読み込み、解釈し、応答を生成する——つまり「処理」します。単純な保管・中継と同じ扱いになるとは限りません。
この論点について、私たちは断定的な結論を持っていません。ここでは「迷いどころとして存在する」という事実だけをお伝えします。判断には、タイの個人情報保護の専門家への確認をおすすめします。
個人データか
入力しようとしている情報に、個人を特定できるデータが含まれるか確認する。
国外に移転するか
そのAIサービスのサーバーが、タイ国外にあるか確認する。
例外・保護措置の有無
十分性の認定、またはBCR・SCC等の保護措置が講じられているか確認する。
不明なら専門家へ
「処理」に該当するAIサービスの扱いは未確定な部分がある。自己判断せず確認する。
本記事は法的助言ではありません。タイPDPAの解釈・適用に関する具体的な判断は、タイの個人情報保護の専門家にご相談ください。
タイでより顕著な、
支給端末の壁。
タイPDPAという制度の話に加えて、タイの現場にはもうひとつ、日本の本社からは見えにくい構造があります。会社支給のスマートフォンは、マネージャークラスまでにしか行き渡っていない、という現実です。
先の製造業の例のとおり、現場スタッフの多くは私物スマホで働いています。会社は、どんなアプリが入っているかを制限することも、確認することもできません。無料版のAIアプリで、業務に関わる写真や情報をそのまま入力してしまう——これは特別な悪意ではなく、「早く・簡単に調べたい」という、ごく自然な行動として発生します。
この構造は日本の工場にもゼロではありませんが、タイの現場ではより広く、より恒常的に起きています。ルールを作るだけでは、届かない層があるということです。
だから、
「外に出さない」という選択肢。
ルールで縛るのが難しく、国外移転の扱いにも不透明さが残る。だとすれば、考え方を変える必要があります。「機密データを外に送らない」という前提でAIを組む、という選択肢です。
これを独学で実現していたエンジニアの話を、タイ現地のある製造業パートナー企業との打ち合わせで聞きました。
タイ在住10年ほどの日本人エンジニアが、機械の制御装置（PLC）から信号を吸い上げ、稼働時間・停止時間・メンテナンス記録を自動で拾い、ローカルのサーバー上で動くAIが品質管理まで支援する仕組みを、一人で作り上げていました。
「そこはもうAIっていうよりも、本当に自分が業務の内容・流れをしっかり知って、求められるものを作らないといけないんで」
珍しいのは、これが「実際に現場で使われている」ことでした。この方は普段からタイ語で現場スタッフと話しています。通訳を介さず、伝わっているかどうかを自分の目と耳で確認できる——これが、現場に刺さるシステムを作れた理由のひとつだと感じました。
一方で、リスクも指摘されていました。同席していた別のメンバーは、率直な懸念を口にしていました。
「まあセキュリティとか、多分めちゃめちゃだと思ってるんで、話聞いてる限りでは」
現場に刺さるものを作れる人と、組織として長く安全に運用できる仕組みを作れる人は、必ずしも同じではありません。「外に出さない」という設計思想そのものは正しくても、それを属人化させずに運用する体制が、次の課題になります。
私たちVANNESS ASIAが提供するローカルLLM導入サービスは、こうした考え方——データを工場の外に出さず、社内サーバーの中でAIを動かす——を、PoCから本番運用・保守まで一貫して支える形にしたものです。
実務として、
どう進めるか。
ここまでの内容を、判断の手順として整理します。断定できることと、専門家の確認が必要なことを分けて考えることが重要です。
1. 何を入力しているか棚卸しする。現場でどのAIサービスに、どんな情報が実際に入力されているか——会社支給端末だけでなく、私物スマホの利用実態も含めて把握する。
2. 個人データ・機密データの有無を確認する。顧客名・レシピ・図面など、外部に出せない情報が含まれるかを整理する。
3. タイPDPAの適用範囲を、専門家と確認する。特に国外移転規制と、クラウド例外の解釈は、自己判断せず確認する。
4. 「外に出さない」設計が必要な業務を切り分ける。すべてをローカルAI化する必要はなく、機密性が高い業務だけを対象にスモールスタートする、という考え方もあります。
本記事は法的助言ではありません。個別の状況に応じた判断は、タイの個人情報保護の専門家にご相談ください。