AIノートテイキングアプリケーションは、Granola（デスクトップアプリ）やLimitless（ウェアラブルペンダント）などのツールとして普及しており、多くのビデオ会議プラットフォームが組み込み機能として提供している。
これらのツールは企業にセキュリティ、運用、評判、戦略面でのリスクをもたらす。多くのベンダーはSOC 2認証やGDPRを必ずしも準拠しているとは限らず、強力な暗号化も備えていない。ある企業では90日間で約800のノートテイカーアカウントが招待スプロールにより出現したケースもあるという。
2025年の集団訴訟Brewer対Otter.aiでは、完全な同意なしにボットが会議に参加して録音し、録音がモデルトレーニングに使用されたと主張され、電子通信プライバシー法、コンピューター詐欺・濫用防止法、カリフォルニア州プライバシー侵害法の違反が提起された。
From: 
Take Note: Cyber-Risks With AI Notetakers
【編集部解説】
AIノートテイカーは会議の生産性を劇的に向上させる一方で、企業のセキュリティとガバナンスに新たな脅威をもたらしています。特に注目すべきは、これらのツールが「シャドーIT」として組織内に無秩序に拡散している点です。記事で言及された90日間で800アカウントという数字は、招待機能を通じた爆発的な普及速度を示しており、IT部門の管理が追いつかない実態を浮き彫りにしています。
技術的な側面から見ると、多くのノートテイカーベンダーがSOC 2認証やGDPR準拠を欠いている点は深刻な問題といえます。これは単なる形式的な不備ではなく、データ暗号化、アクセス制御、監査証跡といった基本的なセキュリティ機能が不十分である可能性を意味しています。機密性の高いビジネス会話が、セキュリティ審査を経ていない第三者のクラウド環境に保存されるリスクは看過できません。
法的観点では、Brewer対Otter.aiの訴訟が示す通り、録音同意に関する責任の所在が曖昧になっています。ベンダーが免責条項を通じて法的リスクを顧客に転嫁する構造は、利用企業にとって予期せぬ訴訟コストを生む可能性があります。特に米国では州ごとに録音同意の要件が異なるため、コンプライアンス対応は複雑化しています。
もう一つの重要な懸念は「レコードステアリング」という新たな行動パターンです。議事録に残ることを意識した発言は、本来の議論の質を変容させ、組織のガバナンスを歪める可能性を秘めています。AI要約が公式記録として扱われる環境では、発言者が戦略的に言葉を選ぶようになり、真の合意形成が阻害されるリスクがあります。
この問題は、BYODやシャドーSaaSの歴史的教訓が活かされていない現状を浮き彫りにしています。利便性と引き換えに企業が負うリスクを適切に評価し、明確なポリシーとガバナンス体制を構築することが急務となっています。
【用語解説】
SOC 2認証
Service Organization Control 2の略で、米国公認会計士協会が定めるクラウドサービス事業者向けのセキュリティ監査基準である。セキュリティ、可用性、処理の完全性、機密性、プライバシーの5つの信頼性原則に基づき、第三者機関が評価を行う。この認証の有無は、企業データを扱うサービスの信頼性を示す重要な指標となる。
GDPR
General Data Protection Regulationの略で、EU一般データ保護規則を指す。2018年5月に施行されたEU域内の個人データ保護に関する法規制で、データの収集、保存、処理に厳格な要件を課している。違反した場合、最大で全世界売上高の4%または2000万ユーロのいずれか高い方が制裁金として科される。
シャドーIT/シャドーSaaS
IT部門の承認や管理を経ずに、従業員が独自に導入・使用するクラウドサービスやアプリケーションを指す。利便性を優先して導入されるが、セキュリティリスクやコンプライアンス違反の温床となる可能性がある。
BYOD
Bring Your Own Deviceの略で、従業員が個人所有のデバイスを業務に使用することを指す。生産性向上やコスト削減のメリットがある一方、企業データの漏洩リスクやセキュリティ管理の複雑化といった課題を伴う。
電子通信プライバシー法（ECPA）
1986年に制定された米国の連邦法で、電子通信の傍受や保存されたデジタル通信へのアクセスを規制する。無断での通信傍受や録音を禁止しており、違反者には刑事罰と民事責任が科される。
コンピューター詐欺・濫用防止法（CFAA）
1986年に制定された米国の連邦法で、コンピューターシステムへの不正アクセスを禁止する。許可なくシステムにアクセスした場合や、権限を超えてデータにアクセスした場合に適用される。
カリフォルニア州プライバシー侵害法（CIPA）
カリフォルニア州の法律で、当事者の同意なく会話を録音することを禁止する。カリフォルニア州は「全当事者同意州」であり、録音にはすべての参加者からの明示的な同意が必要となる。
レコードステアリング
議事録に特定の形で記録されるよう、意図的に発言内容や表現を調整する行為。AI議事録が公式記録として扱われるようになったことで生まれた新たな行動パターンで、本来の議論の質を変容させる可能性がある。
【参考リンク】
Otter.ai（外部）
AI搭載の音声文字起こしサービス。リアルタイムで会議内容を記録し、検索可能な議事録を生成。ZoomやGoogle Meetと連携している。
Granola（外部）
デスクトップアプリケーションとして動作するAIノートテイキングツール。会議中の音声をローカルで処理し自動的にメモを生成する。
Limitless（外部）
ウェアラブルペンダント型のAIノートテイキングデバイス。装着者の会話を記録し、AIが自動的に要約や議事録を作成する。
Dark Reading（外部）
サイバーセキュリティ専門のオンラインメディア。情報セキュリティの最新動向、脅威分析、防御戦略などを報じる。
【参考記事】
The Risk of the AI Notetaker – ERMProtect Cybersecurity（外部）
AIノートテイカーが企業に与えるセキュリティリスクを詳述。データ漏洩、コンプライアンス違反、サードパーティリスクの観点から分析している。
AI Meeting Note Takers in Secure Environments – CM Alliance（外部）
セキュアな環境におけるAIミーティングノートテイカーの使用に関する課題を分析。政府機関や規制業界における特殊な要件を解説。
Shadow AI is taking notes: The growing risk of AI meeting assistants – Nudge Security（外部）
シャドーAIとしてのAIミーティングアシスタントの急速な拡散を調査。企業内での無許可導入の実態とセキュリティギャップを報告。
Your AI Notetaker Might Be a Liability: Insights from Stealer Logs – SOCRadar（外部）
スティーラーマルウェアによるAIノートテイカーの認証情報窃取の実態を分析。ダークウェブで取引されるアカウントの事例を紹介。
AI Notetaking Tools Under Fire: Lessons from the Otter.ai Class Action Complaint（外部）
Brewer対Otter.aiの集団訴訟の詳細を分析。訴訟で提起された法的論点と企業が同様の訴訟リスクを回避するための対策を提示。
【編集部後記】
皆さんの日常の会議で、AIノートテイカーがいつの間にか参加していた経験はありませんか。便利なツールである一方で、この記事が示すように、セキュリティやプライバシーの観点から見過ごせないリスクも潜んでいます。特に気になるのは、自分が発言した内容がどこに保存され、誰がアクセスできるのかという点です。
皆さんの組織では、AIノートテイカーの使用に関する明確なポリシーは整備されているでしょうか。もし未整備であれば、今がそれを考える良い機会かもしれません。利便性とセキュリティのバランスをどう取るべきか、一緒に考えていければと思います。
