金融機関の生成AIとデータの置き場所｜FISCと金融庁の文書は何を求めているか

こんにちは、株式会社TIMEWELLの濱本です。

金融機関のIT企画の方から、同じ質問を何度も受けてきました。「FISCがあるので、生成AIに入れるデータは国内に置かないといけないんですよね」。

この質問に正確に答えようとすると、最初に壁にぶつかります。FISCの「金融機関等コンピュータシステムの安全対策基準・解説書」は有償の刊行物で、最新の第14版は一般価格3,000円（税込）です¹。買えば読めます。ただ、買って読んだ本文を、こうして公開の記事に引き写すことはできません。つまり「基準にこう書いてあります」と原文を引いて説明している文章は、外部の読者には検証しようがないということです。

「FISC準拠」という言葉は、提案書でもRFPの回答でも日常的に使われています。私も、その言葉が当たり前のように飛び交う場に何度も居合わせてきました。ただ、その場にいる全員が原文を開いているかというと、そうでもありません。

そこで、誰でも無償で読める公的文書だけを並べてみます。金融機関がクラウドで生成AIを動かすとき、データの所在について公的文書は実際のところ何を求めているのか。先に断っておくと、以下の文章は第14版の本文を一行も引用していません。有償で確認するしかない部分は、そのように書きます。自社のAI活用の準備状況を先に把握しておきたい方は、AI活用レディネスの無料診断から確認できます。

「FISC準拠」の中身は、外側からは確かめられません

安全対策基準の初版が出たのは1985年12月です。学識経験者、金融機関、コンピュータメーカーに加えて、クラウド事業者やFinTech企業の専門的知識を持つ委員が審議に加わる形で改訂が重ねられてきました²。最新の第14版は2026年3月25日に公表されており、改訂内容としてAIの安全対策、サイバーセキュリティ、耐量子計算機暗号（PQC）、システム障害事例や各種ガイドラインの反映という4点が挙げられています²。耐量子計算機暗号については、金融庁が2024年11月に公表した預金取扱金融機関向けの検討会報告書を反映した、と具体的に書かれています。

ここまではFISCのウェブサイトで誰でも読めます。読めないのは中身です。第14版のPDFは会員には無償で提供されますが、一般には3,000円（税込）の刊行物として販売されています¹。この事実は、コンプライアンスの議論では意外と重い意味を持ちます。監査法人や当局に説明するときには手元にあれば足りますが、取引先や外部のベンダーと「この要件は基準のどこから来ているのか」を突き合わせようとすると、双方が購入していない限り話が噛み合いません。

もうひとつ、正確に押さえておきたい性質があります。FISC自身が2014年12月8日の金融審議会「決済業務等の高度化に関するスタディ・グループ」に提出した資料で、こう書いています。「※“自主基準”であるため強制力はありません。また、第三者あるいはFISCによる「適合性評価認定制度」のようなものもありません。」³。同じ資料には「適用範囲、対象システム、具体的な方策については、各金融機関等が自社の業務に即して自主的に判断し、本基準を参考にしながら適切な安全対策を実施することが期待される。」ともあります。

当局側の扱いも同じ方向を向いています。金融庁の「主要行等向けの総合的な監督指針」（令和8年8月）は、システムリスクについての参考資料の例として安全対策基準・解説書を挙げるにとどめています⁴。コンティンジェンシープランの箇所では、FISCの手引書を「客観的な水準が判断できるもの」の例として引いています。指針の中でFISCの各文書が参照されているのは計8箇所ありますが、いずれも義務づけではなく参考としての例示です。

だから私は、「FISC準拠」という一言を信用の根拠にはしません。認定制度が存在しない以上、準拠していると言えるかどうかを最終的に決めているのは、そう名乗った側の自己判断だからです。当社もISO/IEC 27001の認証は取得していますが、FISCへの準拠をうたったことはありません。名乗れるものと名乗れないものを分けておくことは、金融機関を相手にする事業者の最低限の作法だと思っています。

公開文書が求めているのは、所在の限定ではなく所在の把握

では、データの所在について公開されている記述はないのかというと、あります。FISCが2014年11月に公表した「金融機関におけるクラウド利用に関する有識者検討会報告書」は無償で公開されており、この論点を正面から扱っています⁵。

まず前提として、この報告書はパブリッククラウドの利用を「外部委託」の一形態として扱うのが適当だと整理しました。諸外国の金融監督当局等での取扱いと同様に、という理由づけです。そのうえで「金融機関は顧客や決済システムに対する最終的な責任を負っているため、…その責任は免れないと考えられる」としています。検討会が対象としたのは資源共有型のパブリッククラウドだと明記されているので、プライベートクラウドやコミュニティクラウド一般にそのまま広げて読むことはできません。

報告書の14頁から15頁には「②データの所在」という独立した節があります。「クラウド事業者によっては世界中に存在する複数のデータセンターに跨って業務・データの管理を行うケースがある。…紛争が生じた際にどの国の法律が適用されるのか、また、現地の公権力による捜査目的で、データ等が差し押さえられるといった場合に業務の継続性に影響がないかといった点には十分に配慮する必要がある。」と書かれ、続けて「特に、重要業務を委ねる場合には、データの所在を把握することがより重要になる。」とあります。

求められているのは「把握」であって「限定」ではない

肝心の要求水準はこう書かれています。「当該クラウドサービスに適用される法令が特定できる範囲で所在地域（国、州等）を把握する必要がある。」。データが分散して格納されている場合も、どの国や地域に格納される可能性があるのかを把握する必要がある、と続きます。ここで求められているのは所在を知っていることであって、所在を日本に限ることではありません。この違いを曖昧にしたまま「国内でなければ駄目」と社内規程に書いてしまうと、実際には制度が求めていない制約を自分で背負うことになります。

より厳しい水準が要求される領域もあります。勘定系システムのように極めて高い可用性と信頼性が求められるミッションクリティカルなシステムについては、データセンターの立地状況等を見極める観点から詳細な所在地まで把握することが必要だ、という記述です。ただしこれは本文ではなく15頁の脚注に置かれています。引用するときは脚注であることを添えたほうが誠実です。

逆方向の記述もあります。「リスクプロファイルの観点から、重要と位置づけられない業務を委ねる場合には、データ所在に関する情報はさほど重要ではないと考えられる。」。一律の所在地要件を課すのではなく、業務の重要度に応じて把握の必要性と詳細度に差をつけてよい、という整理です。生成AIの用途を社内で棚卸しするときに、この一文はかなり効きます。

海外でのデータ保管も禁止されていません。報告書は留意点として、データセンターへの立入監査に時間がかかり人的コストが高くなるため現地の監査法人へ委託する対応が多くなり得ること、そして障害対応時のコミュニケーションについて「金融機関における障害対応要員の現地の語学力が十分でない場合、日本語でのサポート、クラウド事業者の日本法人等の障害対応窓口設置を契約上で明確にする必要がある。」ことを挙げています。禁止ではなく、契約と運用で埋める話として扱われているわけです。

なお、第8版追補のクラウド基準【運108】には、事業者との係争が生じた場合の準拠法や裁判所に関する取決めが他国である場合のリスク評価として、現地の法制や裁判制度の把握と分析、現地での活動資格を有する弁護士の確保、遠隔地での打合せや出廷に伴う負担、それらすべてについての外国語での対応、が並んでいました⁵。ただしこの【運108】という番号は第9版で他の項へ統合され、現在は存在しません。過去の版にあった記述として読むべきものです。

版の更新履歴からは、何が読み取れるか

基準の本文は有償ですが、改訂の概要は無償で読めます。ここから分かることが、思ったより多くあります。

大きな転換点は第9版でした。2017年12月20日に金融庁の決済高度化官民推進会議へ提出された改訂概要資料には、「基準の構成を「統制基準」「実務基準」「設備基準」「監査基準」に変更。」と書かれ、あわせて「ITガバナンスの下、金融情報システムに対してリスク評価を実施し、リスク特性に応じた安全対策基準を適用。」というリスクベースアプローチの導入が示されています⁶。同じ資料に、外部委託基準（運87〜90）とクラウド基準（運108〜111）と監査に関する基準を統合・整理し、クラウド固有基準【統24】を新設したこと、その内容として「クラウド拠点の把握」「監査権の明記」等が挙げられていることも書かれています。4区分の構成は、第9版の刊行物ページに掲載された目次でも確認できます⁷。

ただし、これは2017年時点の話です。第14版の目次は公開されていないので、【統24】という番号や内容がいまも維持されているかどうかは、外からは分かりません。時点と版を添えずに「FISCの基準ではクラウド拠点の把握が求められている」と書いてしまうと、根拠のない現在形になります。

クラウドについては別の文書もありました。2021年5月28日に公表された「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」です。位置づけは明確で、「本解説書は、安全対策基準を変更することなく、基準項目の解説をクラウド固有の特徴を踏まえて補足するもので、試行版との位置付けであり…」と書かれています⁸。一般価格900円で提供され、その内容は2023年5月17日公表の第11版に取り込まれました⁹。

この解説書の紹介資料には、実務で使える整理があります。責任共有モデルを踏まえ、金融機関等が自ら用意する機能や情報によって実施する安全対策と、クラウド事業者から提供される機能や情報を利用する安全対策の2種類を区別して対応する必要がある、という考え方です¹⁰。区別の線は責任分界点によって変わるので、事業者から提供される機能や情報を確認する観点が重要になる、とも書かれています。生成AIでも構図は同じで、モデルの提供者、基盤の提供者、自社が実装する制御の三層で、どこまでが自分の責任なのかを線引きしないと、対策の抜けと重複が同時に起きます。

そしてAIです。AIを対象とする基準小項目が新設されたのは第13版で、2025年3月21日の公表でした¹¹。同じ版で経済安全保障推進法の特定社会基盤役務制度、金融庁のサイバーセキュリティガイドライン、オペレーショナル・レジリエンスも反映されています。翌年の第14版でAIの安全対策がさらに改訂対象になったことは、冒頭に書いたとおりです。基準の中にAIが入ったという事実だけは無償で確認できて、何が書かれたかは有償、という状態がいまも続いています。

生成AIについて、無償で読める文書が2つあります

ひとつは、FISCが2024年9月24日に公開した「金融機関によるAIの業務への利活用に関する安全対策の観点からの考察」です¹²。こちらは会員登録なしでPDFをダウンロードできます。

データの所在に関わる記述はここにあります。生成AIの利活用における課題を整理した図表の中で、「事業者が提供する生成 AI サービスの場合、30 日監視保有の仕組みや、クラウド環境が設けられるリージョン（海外／国内）などの各種仕様について十分な理解が求められる。」と書かれています。読んでのとおり、国内リージョンを使えという要求ではありません。リージョンが海外なのか国内なのかを含め、使っているサービスの仕様を理解しているか、という問いの立て方です。

同じ考察には、情報の取扱いについての踏み込んだ記述もあります。個別に設定できないなどの理由でセキュリティ要件を満たすことが困難な場合には、意図せざる情報漏洩を防止する観点から、生成AIにおいて機密性が高い情報を取り扱うことは適当ではない、というものです。条件節が前に置かれている点が大事で、機密情報の利用を無条件に禁じたものではありません。あわせて、組織の許可を得ずに職員が生成AIサービスを業務利用するいわゆる「シャドーIT」についても、誰がどのように使っているかの管理や統制がとれなくなる可能性があるため適当ではない、と明記されています。文書の末尾では安全対策基準へAI関連の基準項目を追加する改訂を今年度中に実施すると予告されており、これが第13版で実現しました。

もうひとつは、金融庁の「AIディスカッションペーパー（第1.1版）」です。2026年3月3日に公表されたもので、第1.0版は2025年3月でした¹³。副題は「金融分野におけるAIの健全な利活用の促進に向けた初期的な論点整理」です。このペーパーは、FISCが2024年9月に考察を公表し、それを踏まえて2025年3月にAIを対象とする基準項目を追加する改訂を行った、という経緯を公的に追認しています。有償の基準を買わずにAI項目追加の事実を裏づけられる、貴重な出典でもあります。

データの所在について、現時点でもっとも明快なのが同ペーパーの次の整理です。「いわゆる越境移転規制（個人情報保護法第 28 条第 1 項）は、受領者が「外国にある第三者」である場合に適用されるものであり、サーバー所在地ではなく AI 事業者の所在地を軸に検討することとなる。もっとも、いわゆる基準適合体制（個人情報保護法施行規則第 16 条等）や安全管理措置としての外的環境の把握においては、サーバーの所在地を考慮する必要がある。」¹³。

つまり「サーバーが国内だから越境移転にはならない」も「サーバーが海外だから越境移転になる」も、どちらも粗い理解です。個人情報保護委員会のQ&Aと突き合わせると、輪郭がはっきりします。外国にある第三者が提供するクラウドに個人データを保存する場合には、事業者が所在する外国の名称と、個人データが保存されるサーバが所在する外国の名称を明らかにし、当該外国の制度等を把握したうえで講じた措置の内容を本人の知り得る状態に置く必要があります¹⁴。国が特定できない場合には、特定できない旨とその理由、本人に参考となるべき情報を置くことが求められます。一方で、事業者が自ら外国に設置し自ら管理・運営するサーバに個人データを保存することは第28条第1項に該当せず、外国の事業者が保存された個人データを取り扱わないこととなっている場合も該当しません。ただし後者は、契約条項によって取り扱わない旨が定められ、適切にアクセス制御を行っている場合等に限られます¹⁵。

なお、リージョンを国内に指定すれば処理まで国内で完結する、とは限りません。この点は各社の公式ドキュメントを読み比べた国内リージョンでLLMを動かすで詳しく書きました。所在を把握するという要求に答えるには、契約書の一文だけでなく、実際の処理経路を確認する必要があります。

キーワードが0件でも、書かれていないことにはなりません

ここからは、調べ方の話です。金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」を全文検索すると、「所在地」「越境」「国外」「準拠法」がいずれも0件になります¹⁶。この結果を見て、私は一度「このガイドラインはデータの所在に触れていない」と結論しかけました。

これは誤りでした。同ガイドラインの2.6サードパーティリスク管理を通して読むと、データの所在に関する規定が2箇所あります。サードパーティ管理台帳の管理項目として「サードパーティが保持又は処理する自組織のデータの種類や機密性及び場所」が挙げられ、契約やSLAへの明記項目として「データの所在・保管・保持・移転・廃棄に関する取決め」が入っています。原文が使っている語彙は「場所」と「データの所在」であって、こちらが検索した「所在地」ではなかった、というだけの話でした。

規制文書は、読み手が思いつく言葉で書かれているとは限りません。キーワード検索が0件だったことは、記述がないことの証明にはなりません。当たり前のようでいて、AIに要約させて済ませる場面が増えたいまこそ効いてくる原則だと感じています。ちなみに同ガイドラインではサードパーティに関する記述が60箇所を超えており、外部委託先の管理は明確に重点領域です。結論としては、国内保管を義務づける規定は置いていないけれども、データの所在を把握して契約に明記することは求めている、という読み方になります。

もうひとつ、引用の際に注意すべき箇所があります。監督指針には「重要なデータを処理・保存する拠点の把握」「監査権限・モニタリング権限等の契約書への反映」「保証報告書、第三者認証等の確認・評価」「クラウド特有のリスクの把握」「認証機能を含むセキュリティリスク評価 等」という評価項目が並んでいます⁴。よく引かれる箇所ですが、これは「Ⅸ 電子決済等取扱業」のシステムリスクに関する主な着眼点、クラウドサービスなど外部サービスの利用への対応の中にあります。指針全体で1回しか出てこず、銀行本体向けのシステムリスクの章には同じ記述がありません。したがって「銀行一般に拠点の把握が義務づけられている」と読むことはできません。ただ、着眼点として書かれた項目そのものは、業態を問わず外部サービスを評価するときの実用的な観点です。当局が何をどこまで求めているかを正確に押さえたうえで、良い項目は自主的に採用すればよいと思います。

生成AIの利用設計で、先に決めておくこと

ここまでを踏まえて、私が金融機関のプロジェクトで最初に確認するようにしていることを書きます。

出発点は用途の棚卸しです。所在の把握がどこまで必要かは業務の重要度で変わる、というのが公開文書の建て付けでした。社内文書の検索と要約に使うのか、顧客対応の下書きに使うのか、それとも勘定系に近い領域の判断に関わるのか。この仕分けを飛ばして全社一律の規程を作ると、たいてい厳しすぎて誰も使わないか、緩すぎて説明できないかのどちらかになります。

次に、所在を説明できる形で調達しているかを見ます。事業者がどの国や地域で処理するのかを提示できるか、分散格納があるならどの国に置かれる可能性があるのかを答えられるか。答えられないサービスを使ってはいけない、という話ではありません。答えられないなら、答えられない旨とその理由を自社として説明できる状態にしておく必要がある、という話です。個人データを扱うなら、本人の知り得る状態に何を置くのかまで含めて設計します。

契約に落とす項目は、公開文書の中に事実上そろっています。データの所在、保管、保持、移転、廃棄に関する取決め。監査権限とモニタリング権限。日本語でのサポートと、日本法人などの障害対応窓口の設置。これらを契約書に書いておけば、海外にデータが置かれる構成でも、当局や監査法人に対して筋道を説明できます。逆にここが空欄のまま「国内リージョンだから安全です」とだけ言う構成は、私にはむしろ危うく見えます。

そのうえで、責任共有モデルに沿って対策を仕分けます。自社が用意する機能で実施する対策と、事業者から提供される機能を利用する対策の区別です。生成AIでは、入力データの保持期間、ログの取得範囲、モデルへの学習利用の有無といった項目で、どちら側の責任なのかを取り違えがちです。ここを表にして関係者で合意しておくだけで、監査対応の手戻りがかなり減ります。最後にシャドーITです。FISCの考察がわざわざ書いているとおり、誰がどう使っているかの把握が崩れると、他の対策の前提そのものが崩れます。

社内の文書やナレッジを生成AIに扱わせる基盤づくりについては、ZEROCKでも国内での運用を前提に設計しています。所在の把握、アクセス制御、記録の残し方をどこまで自社側で握るかは、製品選定より前に決めておいたほうがよい論点です。

最後に、冒頭の壁に戻ります。有償の基準は買うべきかというと、金融機関のシステムに責任を持つ立場であれば買うべきだと思います。3,000円で自主基準の全体像が手に入るなら、費用対効果としては議論の余地がありません。

ただ、買ったあとにもうひとつ仕事が残ります。取引先やベンダーに要件を説明するとき、社内で規程の根拠を共有するとき、当局に自社の判断を説明するとき、その言葉は公開文書のほうで組み立てておいたほうが強くなります。相手が確かめられる根拠でなければ、議論は「そう聞いています」の応酬になってしまうからです。

この記事で並べた文書は、どれも無償で読めます。2014年の検討会報告書、2017年の改訂概要、2024年のAI考察、2026年のディスカッションペーパー、そして個人情報保護委員会のQ&A。この5つを読んだうえで自社の用途を棚卸しすれば、「FISCで国内に置かないといけない」という一文よりも、はるかに正確で、はるかに使える判断ができるはずです。

自社の用途にどの文書が効いてくるのか、いまの構成をどう説明すればよいのか。整理の途中で行き詰まったら、個別相談からお声がけください。

Footnotes

1. 公益財団法人 金融情報システムセンター（FISC）「金融機関等コンピュータシステムの安全対策基準・解説書（第14版）」刊行物ページ。発行年月2026/03、価格（税込）一般価格3,000円、会員には無料で提供、教育機関は別料金である旨は同ページによる。 https://www.fisc.or.jp/publication/book/007219.php ↩ ↩²

2. FISC トピックス「「金融機関等コンピュータシステムの安全対策基準・解説書」（第14版）の公表について」2026年3月25日。初版発刊が1985年12月であること、学識経験者・金融機関等・コンピュータメーカー・クラウド事業者・FinTech企業等の専門委員により審議されていること、第14版の改訂4点（AIの安全対策、サイバーセキュリティ、耐量子計算機暗号、システム障害事例・各種ガイドライン）はいずれも同ページによる。 https://www.fisc.or.jp/topics/007222.php ↩ ↩²

3. FISC「金融機関等コンピュータシステムの安全対策基準・解説書について」金融審議会「決済業務等の高度化に関するスタディ・グループ」（第7回）資料3、2014年12月8日。“自主基準”であり強制力がないこと、第三者やFISCによる適合性評価認定制度が存在しないこと、適用範囲・対象システム・具体的方策を各金融機関等が自主的に判断する建て付けであることは同資料による。 https://www.fsa.go.jp/singi/singi_kinyu/kessai_sg/siryou/20141208/03.pdf ↩

4. 金融庁「主要行等向けの総合的な監督指針（本編）」令和8年8月。システムリスクについての参考資料としてFISC安全対策基準・解説書を例示していること、コンティンジェンシープランについてFISCの手引書を「客観的な水準が判断できるもの」の例として挙げていること、および「重要なデータを処理・保存する拠点の把握」等の評価項目が「Ⅸ 電子決済等取扱業」のⅨ－３－１（２）②（本編469〜470頁）に置かれていることは同指針による。 https://www.fsa.go.jp/common/law/city.pdf ↩ ↩²

5. FISC「金融機関におけるクラウド利用に関する有識者検討会報告書」平成26年11月。パブリッククラウドを「外部委託」の一形態として扱う整理、「②データの所在」（本文14〜15頁）の記述、所在地域（国、州等）の把握、勘定系等ミッションクリティカルなシステムに関する15頁の脚注14、リスクプロファイルに応じた簡易なリスク管理、海外でのデータ保管時の留意点（図表９）、および資料編に再録された第8版追補【運108】の全文は、いずれも同報告書による。 https://www.fisc.or.jp/document/fintech/file/190_0.pdf ↩ ↩²

6. FISC「安全対策基準（第９版）の改訂概要」平成29年12月20日、金融庁 決済高度化官民推進会議 資料４。基準構成の4区分への変更、リスクベースアプローチの導入、外部委託基準・クラウド基準・監査基準の統合整理、クラウド固有基準【統24】の新設は同資料による。 https://www.fsa.go.jp/singi/kessai_kanmin/siryou/20171220/04.pdf ↩

7. FISC「金融機関等コンピュータシステムの安全対策基準・解説書 第9版 令和3年12月版」刊行物ページ（現在は販売終了）。目次のⅤ．統制基準、Ⅵ．実務基準、Ⅶ．設備基準、Ⅷ．監査基準の構成は同ページによる。第14版の目次は公開されていない。 https://www.fisc.or.jp/publication/book/005075.php ↩

8. FISC トピックス「「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」の公表について」2021年5月28日。安全対策基準を変更することなく基準項目の解説を補足する試行版という位置づけは同ページによる。 https://www.fisc.or.jp/topics/004844.php ↩

9. FISC「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」刊行物ページ。発行年月2021/05、価格（税込）一般価格900円、および本解説書の内容が2023年5月17日公表の安全対策基準・解説書（第11版）に取り込まれた旨は同ページによる。 https://www.fisc.or.jp/publication/book/004842.php ↩

10. FISC「「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」のご紹介」（Ⓒ2021 FISC）。責任共有モデルを踏まえ、金融機関等が自ら用意する機能・情報等により実施する安全対策と、クラウド事業者から提供される機能・情報等を利用する安全対策を区別して対応する必要がある旨は同資料による。 https://www.fisc.or.jp/topics/file/cloudsyoukai.pdf ↩

11. FISC トピックス「「金融機関等コンピュータシステムの安全対策基準・解説書」（第13版）の公表について」2025年3月21日。AIを対象とする基準小項目の新設、経済安全保障推進法の特定社会基盤役務制度、オペレーショナル・レジリエンス、金融庁サイバーセキュリティガイドラインの反映は同ページによる。 https://www.fisc.or.jp/topics/006665.php ↩

12. FISC「金融機関によるAIの業務への利活用に関する安全対策の観点からの考察」2024年9月24日。生成AIサービスの仕様理解（30日監視保有の仕組み、クラウド環境が設けられるリージョン）、セキュリティ要件を満たすことが困難な場合の機密性が高い情報の取扱い、シャドーITに関する記述、および安全対策基準へのAI関連基準項目の追加予告は同文書による。 https://www.fisc.or.jp/document/public/file/ai_opinion_20240924.pdf ↩

13. 金融庁「AIディスカッションペーパー（第1.1版）- 金融分野におけるAIの健全な利活用の促進に向けた初期的な論点整理 -」2026年3月。越境移転規制がAI事業者の所在地を軸に検討されること、基準適合体制や外的環境の把握ではサーバー所在地を考慮する必要があること、およびFISCの2024年9月考察と2025年3月の基準改訂に関する記述は同ペーパーによる。公表日（令和8年3月3日）と第1.0版が2025年3月であることは告知ページによる。 https://www.fsa.go.jp/news/r7/sonota/20260303/aidp_version1.1.pdf ／ https://www.fsa.go.jp/news/r7/sonota/20260303/aidp.html ↩ ↩²

14. 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」Q10－25。外国にある第三者が提供するクラウドに個人データを保存する場合に、事業者が所在する外国の名称とサーバが所在する外国の名称を明らかにし、当該外国の制度等を把握したうえで講じた措置を本人の知り得る状態に置く必要があること、国を特定できない場合の対応は同Q&Aによる。 https://www.ppc.go.jp/all_faq_index/faq1-q10-25/ ↩

15. 個人情報保護委員会 同Q&A Q12－３。自ら外国に設置し自ら管理・運営するサーバへの保存が法第28条第1項に該当しないこと、および外国の事業者が保存された個人データを取り扱わないこととなっている場合（契約条項で取り扱わない旨が定められ、適切にアクセス制御を行っている場合等）に該当しないことは同Q&Aによる。 https://www.ppc.go.jp/all_faq_index/faq1-q12-3/ ↩

16. 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日、令和7年7月4日一部改正）。2.6サードパーティリスク管理における管理台帳の項目「サードパーティが保持又は処理する自組織のデータの種類や機密性及び場所」、契約・SLAへの明記項目「データの所在・保管・保持・移転・廃棄に関する取決め」は同ガイドラインによる。 https://www.fsa.go.jp/common/law/cybersecurity_guideline.pdf ↩