国外サーバのデータに外国政府は手を伸ばせるのか｜CLOUD Act・国家情報法・GDPR48条を条文で読む

こんにちは、株式会社TIMEWELLの濱本です。

「暗号化しているから大丈夫です」。クラウドの利用審査で、この一文を何度も見てきました。

暗号化は当然すべきです。ただ、この一文が答えになっていない問いがあります。データを預かっている事業者自身が、その国の政府から開示を命じられたとき、何が起きるのか。 暗号鍵をその事業者が持っているなら、事業者は平文を出せてしまいます。

この論点は、感覚で語られがちです。「米国は怖い」「中国は論外」「日本なら安心」。私自身、そういう話し方を何度も聞きました。でも、条文を読むと風景が変わります。各国の制度は同じではないし、日本政府はそれを国別に調査して公表しています。

この記事では、米国のCLOUD Act、中国の国家情報法ほか2法、EUのGDPR第48条、そして日本政府の国会答弁を、条文と公式文書で読みます。国内リージョンの選び方そのものについては国内リージョンでLLMは動かせるのかにまとめました。自社の体制を先に把握したい方はAI活用レディネスの無料診断をどうぞ。

はじめに一点だけ訂正しておきます。EU AI法は、政府にデータを開示させる法律ではありません。 AIシステムの規制法です。この文脈でEUに当たるのはGDPR第48条で、しかも方向が逆です。後述します。

米国：「所在地を問わず」と条文に書いてある

CLOUD Act（Clarifying Lawful Overseas Use of Data Act）は2018年3月23日に成立しました。その中身は、合衆国法典第18編に第2713条を追加するというものです。条文はこうです¹。

A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.

要点は最後の一節です。「regardless of whether such communication, record, or other information is located within or outside of the United States」。それが米国の内にあるか外にあるかを問わない。

つまり、米国の電子通信サービス提供者等の「possession, custody, or control」、すなわち保有・保管・支配の下にあるデータであれば、物理的に東京のデータセンターにあっても対象になりえます。「東京リージョンに置いたから米国法は届かない」という理解は、この条文とは噛み合いません。

CLOUD Actだけを見れば、これは刑事手続の話です。開示を求めるには米国の刑事手続に基づく令状等が必要で、目的も手続も制約を受けます。ここまでなら「法治国家の捜査権限」の範囲に収まります。

問題は、米国の対外的なデータ収集がこの系統だけではないことです。

もうひとつの系統は、外国人を狙い撃つ設計になっている

外国情報監視法（FISA）第702条は、CLOUD Actとは別の系統です。議会調査局（CRS）の解説から引きます²。

Section 702 of the Foreign Intelligence Surveillance Act of 1978 (FISA) ... authorizes intelligence agencies to programmatically target non-U.S. persons reasonably believed to be outside the United States to acquire foreign intelligence information.

米国外にいると合理的に信じられる非米国人を、プログラム単位で標的にする。日本にいる日本人と日本企業は、この定義にそのまま当てはまります。 保護の対象ではなく、収集の対象として設計された条文です。

同じCRSの解説は、第702条の特徴をこう書いています。

Section 702, which uniquely authorizes programmatic surveillance that does not require individual court orders for each target and acquisition.

標的ごと、取得ごとの個別の裁判所命令を必要としない。年に一度、司法長官と国家情報長官が手続を証明し、外国情報監視裁判所（FISC）がその手続を承認する。承認されるのは個々の対象ではなく、やり方のほうです。 CLOUD Actの令状主義とは、性質がまるで違います。

さらに、大統領令12333号に基づく国外での信号情報収集は、そもそもこの枠組みの外にあります。

私が「日本政府の調査だけを見て安心すべきではない」と考えるのは、この非対称のためです。個人情報保護委員会の米国報告書には、CLOUD ActもFISAも出てきません。しかし、出てこないことは、存在しないことではありません。

法律が失効しても、監視は続いている

もうひとつ、2026年に起きたことを書いておきます。

第702条は、2026年6月12日に自動的に廃止されました。FISA第7編の第702条から第705条までが、まとめて失効しています²。再授権の合意ができなかったためです。

では収集は止まったのか。CRSの解説はこう続きます。

Pursuant to transition procedures contained in the FAA, "any order, authorization, or directive issued" under Section 702 "shall continue in effect until the date of the expiration of such order, authorization, or directive."

既に出ている命令・承認・指示は、それぞれの有効期限まで効力を持ち続ける。FISCは2026年3月に1年間の承認を出しており、行政府はその命令の下で最長1年間、活動を継続できる。つまり根拠法が廃止されたあとも、2027年3月ごろまでは同じ収集が続くということです。

私はこの事実を、記事に書くかどうか少し迷いました。煽っているように読まれかねないからです。それでも書くことにしたのは、ここに実務上の教訓があるからです。外国の監視法の状態を前提に、自社のデータガバナンスを組んではいけない。 失効しても止まらず、再授権されれば戻る。企業が数年単位で使う基盤の設計を、他国の議会日程に預ける理由はありません。

中国：日本政府が3つの法律を名指ししている

中国については、日本の個人情報保護委員会が公式に調査結果を公表しています³。個人情報保護法第28条は、外国にある第三者へ個人データを提供する際、その外国の制度に関する情報を本人に提供することを求めています。その参考情報として、委員会が国別の報告書を出しているのです。

中国の報告書（令和7年2月3日更新）は、「事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの」として、3つの法律を挙げています。

法令	個人情報保護委員会の記載
サイバーセキュリティ法	ネットワーク運営者に対し、公安機関や国家安全機関による国の安全の維持・保護及び犯罪捜査に係る活動に対する技術的支援及び協力を義務付け
データセキュリティ法	関係する組織又は個人に対し、公安機関や国家安全機関が行うデータの取り調べに対する協力を義務付け
国家情報法	関係する機関・組織・国民に対し、国家安全機関、公安機関の情報部門及び軍の情報部門が行う国家情報活動に対して必要な支持・援助・協力を行うことを義務付け

国家情報法の第7条は、原文ではこうです⁴。

第七条 任何组织和公民都应当依法支持、协助和配合国家情报工作，保守所知悉的国家情报工作秘密。

いかなる組織および公民も、法に基づき国家情報活動に対する支持、援助、協力を行い、知り得た秘密を守らなければならない。2017年6月28日施行、2018年に修正されています。

ここまでは、条文を引けば誰でも書けます。個人情報保護委員会の報告書が優れているのは、「何が書かれていないか」を列挙している点です。 3法それぞれについて、次の規定が存在しないと記載しています。

アクセスの実施に関する制限及び手続。法令において特定された目的の達成に必要な範囲でのアクセス実施。アクセスの実施に関する独立した機関からの承認。取得された情報の取扱いの制限・安全管理。アクセスの実施に関する透明性の確保。

そして委員会自身の結論が続きます。

これらの法令によって、中華人民共和国の国家安全機関、公安機関等は、国家安全保障や犯罪捜査の目的に限らず、広範な情報収集活動の目的のもと、企業や個人に対して、その保有する、個人情報を含む様々な情報を提供させ、収集・監視することが可能とされている。

日本の規制当局が、ここまで踏み込んで書いています。あわせて、中国には個人情報の域内保存義務があり、域外へ移転する際には当局の安全評価に合格することが要件とされる場合があるとも記載されています。

米国と中国を、日本政府は同じには扱っていない

ここが、この記事でいちばん伝えたい部分です。

同じ個人情報保護委員会が、米国についても報告書を出しています⁵。そこでの記載は、次のとおりです。

• 個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの　－
• 事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの　－

いずれも該当なし、という記載です。私はPDFの全文を検索しましたが、CLOUD Act、FISA、愛国者法のいずれの語も、この報告書には一度も出てきません。

誤解しないでいただきたいのですが、これは「米国に政府アクセスの制度がない」という意味ではありません。前の章で見たとおり、第2713条は現に存在します。報告書自身が限界を明記しています。調査は委託先が代表的なものとして挙げた法令に限定しており、網羅的ではないこと。情報は2021年10月時点のものであること。制度の確認は事業者の責任で行うべきで、委員会の情報は補助的なものであること。

そのうえで、事実として残るのは次の対比です。日本の規制当局は、中国については3つの法律を名指しし、手続も独立した承認も透明性も規定がないと書いた。米国については、その基準で挙げるべき制度を挙げなかった。

この差が何を意味するのか。私は「政府がアクセスできるかどうか」ではなく、「制限と手続と独立した承認と透明性があるかどうか」の差だと考えています。どの国にも捜査機関はあり、必要があればデータを求めます。違いは、そこに歯止めがあるか、外から見えるかです。

ただし、この報告書を唯一の正典にするのは危険だと考えています。

同じ米国法を審査して、正反対の結論を出した機関があるからです。EU司法裁判所（CJEU）は2020年7月、いわゆるシュレムスII判決で、EUと米国の間のプライバシーシールドを無効としました。理由は、FISA第702条と大統領令12333号が、EU法の求める必要性と比例性の基準を満たすには許容範囲が広すぎること、そしてEU域内のデータ主体に、米国政府に対する実効的な救済手段がないことでした⁶。

日本の個人情報保護委員会は「該当なし」と書き、EUの最高裁は「不十分」と判断した。同じ法律について、評価が割れています。

どちらが正しいかを私が決めることはできません。ただ、実務家として言えることはあります。片方だけを見て「日本の当局が問題なしとしているから大丈夫」と社内を説得するのは、根拠として弱すぎます。 委員会自身が「網羅的ではない」「事業者の責任で確認すべき」と書いているのですから、なおさらです。

EU：開示させる法ではなく、外国の命令を遮断する法

EUについて「AI法があるから」と説明されることがあります。ここは正確にしておきたいところです。EU AI法はAIシステムの規制法であり、政府によるデータ開示を強制する法律ではありません。

この文脈でEUに当たるのはGDPR第48条です。しかも、向きが逆です⁷。

Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter.

第三国の裁判所や行政機関が個人データの移転・開示を命じても、それが承認され執行されうるのは、相互援助条約のような国際協定に基づく場合に限られる。外国の命令に従わせる規定ではなく、外国の命令を素通しさせない規定です。

並べると、構造がはっきりします。米国法は「所在地を問わず開示せよ」と言い、EU法は「国際協定がなければ執行できない」と言っている。この2つは正面から衝突します。 EU域内にデータを置く米国事業者は、その板挟みの中で事業をしています。

日本はどうなっているのか。政府答弁がある

では日本はどうか。ここには、はっきりした政府の見解があります。

2019年6月、衆議院に「米クラウド法と個人情報保護法上の対応に関する質問主意書」が提出されました⁸。質問の骨子はこうです。個人情報保護法には「法令に基づく場合」であれば第三者提供の同意が不要になる例外がある。この「法令」は日本の法令に限られるのか。もし限られるなら、CLOUD Actに基づく米当局の開示要求を受けた日本企業は、開示すれば日本の個人情報保護法違反、拒めばクラウド法違反という板挟みになるのではないか。

同月25日の答弁書は、こう答えています。

ここでいう「法令」は、我が国の法令に限定される。

続けて、外国の法令については見解を差し控えるとしたうえで、事業者は「個別の事例に応じて、法に基づき適切に対応することが求められる」としています。板挟みへの手当てを求めた三つ目の質問には、「政府として、個別の状況に応じて、適切に対応してまいりたい」という回答でした。

読み方は難しくありません。外国政府の命令は、日本の個人情報保護法の適用除外にはならない。板挟みは解消されておらず、判断は企業側に残されている。 当時の第23条第1項第1号は、その後の改正で現在の第27条第1項第1号に対応します。

ここまで来ると、「日本の法が守ってくれる」という言い方も、少し慎重にしたほうがいいと分かります。日本法が適用されるのは確かです。ただしそれは、外国の命令を受けたときに企業が守られるという意味ではなく、日本法にも従わなければならないという意味でもあります。守ってくれるというより、逃げ道がないという表現のほうが実務の感覚には近い。それでも、令状主義の下にある国内の手続と、手続規定そのものが確認できない制度とでは、企業が説明できる範囲がまるで違います。

鍵を自分で持てば解決するのか

ここで、暗号鍵の話に戻ります。事業者が鍵を持っているなら平文を出せてしまう。では鍵を自分で持てばいいのではないか。この発想は正しく、実際に製品があります。

AWS KMSのExternal Key Store（XKS）は、暗号鍵をAWSの外部に置く仕組みです。AWSの公式ドキュメントには、こう書かれています⁹。

AWS KMS never interacts directly with your external key manager, and cannot create, view, manage, or delete your keys.

AWS KMS cannot decrypt any ciphertext encrypted by a KMS key in an external key store without access to your external keys via your external key store proxy.

鍵材にAWSは触れられず、外部の鍵管理システムを通さなければ復号できない。外部鍵へのアクセスを恒久的に遮断すれば、AWSに残った暗号文は事実上復号不能になる（crypto-shredded）とも書かれています。データは二重に暗号化され、AWS側の鍵材と外部鍵の両方が揃わなければ開きません。

つまり、保管しているデータについては「事業者が平文を出せない」状態を技術的に作れます。 これは前章までの議論に対する、正面からの答えです。

ただし、AWS自身が強い留保を付けています。

The greater risk to availability and latency will, for most customers, exceed the perceived security benefits of external key stores.

可用性とレイテンシのリスクは、ほとんどの顧客にとって、得られるセキュリティ上の利益を上回るだろう。売り手がここまで書くのは珍しいことで、私はこの一文を信頼しています。責任分界も大きく動きます。鍵の可用性、耐久性、性能は自社の責任になります。ちなみにXKSは中国（北京・寧夏）のリージョンでは提供されていません。

そして、暗号化は推論には効かない

最後に、この記事でいちばん書きたかったことを書きます。

保管の暗号化は、LLMの推論には効きません。

理由は単純です。プロンプトを処理するには、平文にする必要があるからです。鍵を自分で持っていても、推論のリクエストを投げた瞬間、そのテキストは処理系のメモリ上で平文になります。保管データを守る仕組みは、そこには届きません。

だから、リージョンの議論は保管と処理を分けて考える必要があります。保管については、鍵を自分で持てば「事業者が出せない」状態を作れる。処理については、どこで行われるかがそのまま管轄の問題になる。 前の記事で見たように、フロンティアモデルの多くは東京リージョンでIn-Region提供されておらず、Googleは「エンドポイントはデータレジデンシーやリージョン内でのML処理を保証しない」と明記しています。

整理すると、確認すべきことは3つに絞られます。第一に、そのデータを保管しているのは誰で、鍵を持っているのは誰か。第二に、推論の処理はどの国で行われ、その国の制度に手続と透明性があるか。第三に、開示を求められたとき、自社は何を説明できるか。

研究所に眠っている技術こそ、この話の本丸です

ここまで企業のデータを前提に書いてきましたが、私がいちばん心配しているのは別のところです。日本の大学と研究機関に蓄積された、まだ論文になっていない知見です。

日本には、地味だが世界の最先端という研究が、驚くほど多く眠っています。材料、計測、精密加工、生物。企業の研究所も同じです。そして、その価値の大半は公開された論文ではなく、公開されていない部分にあります。うまくいかなかった条件、歩留まりを上げた勘所、装置の癖に合わせた微調整。論文には書かれない部分にこそ、再現できない優位性が宿ります。

内閣府は令和7年12月に「研究セキュリティの確保に関する取組のための手順書」をまとめました。重要技術の流出防止を図りながら、同志国と対等な立場で国際共同研究を進めるためのものです¹⁰。特定研究開発プログラムに応募する研究機関と研究者には、チェックリストによる確認が求められます。

ここでAIの話と交差します。研究者にとって、生成AIは最も恩恵の大きい道具のひとつです。 文献の横断、実験計画の検討、コードの生成、英語論文の推敲。使わない理由がありません。私もそう思います。

問題は、その過程で何が外に出るかです。未公開の実験条件をプロンプトに貼れば、それは処理系に渡ります。しかも日本の場合、これは情報漏えいの話にとどまりません。 外為法第25条第1項は、規制対象の技術を外国で提供することを目的とする取引に許可を求めています。非居住者への提供も同じです。研究データの性質によっては、AIに投げる行為そのものが役務取引の論点になりえます。この点は中国出張と技術の持ち出しでも整理しました。

ここで「だから研究現場ではAIを使うな」と言うのは、いちばん筋の悪い答えだと考えています。使わせないことは、日本の研究力を落とすだけです。 世界中の研究者が使っている道具を、日本の研究者だけが使えない状態を作って、誰が得をするのか。

必要なのは禁止ではなく、安心して使える置き場所です。処理が国内で完結し、どの制度の下にあるかを説明でき、そのうえで最新のモデルが選べる。この3つが揃えば、研究者は本来の仕事に戻れます。いま揃っていないから、現場は「使うか、守るか」の二択を迫られている。

ここからは、私たちの立場をはっきり書きます。

私たちは日本の事業者で、日本のお客様に納めています。だから、国内で処理を完結させられる選択肢が要る、という立場を取ります。 中立を装うつもりはありません。ただ、根拠は感情ではなく、ここまで引いてきた条文と公文書に置きます。

まず、日本が安全地帯だという主張はしません。国会答弁のとおり、日本企業は板挟みのままで、政府はそこに手当てをしていません。日本にも捜査機関があり、令状に基づいてデータを求めます。「日本なら見られない」は嘘になります。

そのうえで、差は確かにあります。三つです。

第一に、手続が確認できるかどうか。個人情報保護委員会が中国の3法について列挙した「存在しない規定」のリストは、そのままどの国の制度にも当てられる評価軸です。アクセスの制限と手続、目的の限定、独立した機関の承認、取得情報の取扱い制限、透明性。自社が使っている基盤について、この5項目を埋められるか試してみてください。埋まらない欄が、そのまま説明できないリスクになります。

第二に、自分が保護される側にいるか、収集される側にいるか。FISA第702条の対象は「米国外にいると合理的に信じられる非米国人」でした。日本の利用者は、その定義の内側にいます。米国の制度が米国民に対して持っている歯止めは、日本の利用者には同じようには効きません。これは米国を非難しているのではなく、どの国も自国民を優先して制度を作るという当たり前の話です。だからこそ、自国の制度の下に置けるものは置いておいたほうがいい。

第三に、交渉と説明の相手が国内にいるかどうか。国外の当局から事業者に命令が飛んだとき、日本の顧客は当事者ですらありません。開示されたことを知る手立ても、争う手立ても、実務上はほとんどない。国内で完結していれば、少なくとも誰に何を聞けばいいかが分かります。

そして、ここまでの議論の落とし穴をもう一度書きます。保管の暗号化は、推論には効きません。 鍵を自分で持てば保管データは守れます。しかし推論はプロンプトを平文にしなければ動かない。だから、処理をどこで行うかという問題だけが最後に残ります。

いま起きているのは、その最後に残った問題を解く選択肢が減っていることです。フロンティアモデルの多くは東京リージョンでIn-Region提供されず、オープンウェイトにはリージョン内の選択肢がそもそも用意されていない。リージョン指定には価格がつきました。国内で処理したい人ほど、古いモデルか高い料金を選ばされる構造になっています。

私たちはこれを、放っておいて解決する問題だとは考えていません。国内のGPUと、そこで動かせるモデルの選択肢を増やすこと。日本の事業者がやるべき仕事があるとしたら、そこだと思っています。

守ることと使うことは、対立させる必要がありません。研究所に眠っている技術を守りながら、その研究者がAIの恩恵をいちばん受けられる状態をつくる。 そこを目指せる立場にいるのは、日本で事業をしている私たちのほうだと考えています。

まずは自社の現状把握からです。使っている基盤について、上の5項目を埋め、保管と処理を分けて整理してみてください。エンタープライズのAI基盤設計はZEROCKで取り組んでいますので、構成の相談は個別相談からお声がけください。各社のリージョン別可用性は国内リージョンでLLMは動かせるのかに、輸出管理との関係はデータ主権と輸出管理にまとめています。

Footnotes

1. 18 U.S. Code § 2713 - Required preservation and disclosure of communications and records. 2018年3月23日、Public Law 115–141（CLOUD Act）により追加。条文は Cornell Law School Legal Information Institute による。 https://www.law.cornell.edu/uscode/text/18/2713 ↩

2. Congressional Research Service, Legal Sidebar "The Impact of FISA Section 702's Repeal", June 22, 2026 (LSB11444). 第702条が非米国人を対象とするプログラム型監視を授権していたこと、個々の標的・取得ごとの裁判所命令を要しないこと、2026年6月12日にPublic Law 119–87によりFISA第7編（第702条から第705条）が自動的に廃止されたこと、および経過措置により既発の命令・承認・指示がその有効期限まで効力を持つことは、同解説による。 https://www.congress.gov/crs-product/LSB11444 ／ PDF https://www.congress.gov/crs_external_products/LSB/PDF/LSB11444/LSB11444.1.pdf ／ 第702条の構造（プログラム単位の承認、証明の年次提出とFISCの承認）については同 R48592 https://www.congress.gov/crs-product/R48592 ↩ ↩²

3. 個人情報保護委員会「外国制度（中華人民共和国）」（令和7年2月3日更新）。サイバーセキュリティ法・データセキュリティ法・国家情報法に関する記載、および各法について規定が存在しない事項の列挙、引用した結論部分は同報告による。 https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_china/ ／ PDF版 https://www.ppc.go.jp/files/pdf/china_report.pdf ↩

4. 中華人民共和国国家情報法 第7条。2017年6月27日 第十二期全国人民代表大会常務委員会通過、2017年6月28日施行、2018年修正。中国人大网による条文。 http://www.npc.gov.cn/npc/c2/c30834/201905/t20190521_281475.html ↩

5. 個人情報保護委員会「外国制度（アメリカ合衆国）」（令和4年1月25日更新）。調査は2021年10月時点の情報に基づき、委託先が代表的なものとして挙げた法令に対象を限定しており網羅的ではない旨、および制度の確認は事業者の責任において行うべきで委員会の情報は補助的なものである旨が、同報告に明記されている。 https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ ／ PDF版 https://www.ppc.go.jp/files/pdf/USA_report.pdf ↩

6. 欧州司法裁判所 2020年7月16日判決 Case C-311/18（Data Protection Commissioner v Facebook Ireland and Maximillian Schrems、いわゆるシュレムスII判決）。欧州データ保護会議（EDPB）による声明 https://www.edpb.europa.eu/news/news/2020/statement-court-justice-european-union-judgment-case-c-31118-data-protection_en ／ 判決情報 https://curia.europa.eu/juris/liste.jsf?num=C-311%2F18 ↩

7. Regulation (EU) 2016/679（GDPR）Article 48 — Transfers or disclosures not authorised by Union law. https://gdpr-info.eu/art-48-gdpr/ ↩

8. 衆議院 第198回国会 質問第227号「米クラウド法と個人情報保護法上の対応に関する質問主意書」（令和元年6月13日提出・松平浩一議員） https://www.shugiin.go.jp/internet/itdb_shitsumon.nsf/html/shitsumon/a198227.htm ／ 同 答弁第227号（令和元年6月25日受領・内閣総理大臣 安倍晋三） https://www.shugiin.go.jp/internet/itdb_shitsumon.nsf/html/shitsumon/b198227.htm 。質問中の個人情報保護法第23条第1項第1号は、令和2年改正後の第27条第1項第1号に対応する。 ↩

9. Amazon Web Services「External key stores」AWS Key Management Service Developer Guide。引用した各文（AWS KMSが外部鍵管理システムの鍵を作成・閲覧・管理・削除できないこと、外部鍵へのアクセスなしには復号できないこと、可用性とレイテンシのリスクが多くの顧客にとってセキュリティ上の利益を上回るとの記述、中国リージョンでの非提供）は同ドキュメントによる。 https://docs.aws.amazon.com/kms/latest/developerguide/keystore-external.html ↩

10. 内閣府「研究セキュリティの確保に関する取組のための手順書」（令和7年12月、研究セキュリティと研究インテグリティの確保に関する有識者会議）。重要技術の流出防止を図りつつ同志国等と対等な立場で国際共同研究を推進するためのものであり、特定研究開発プログラムに応募する研究機関・研究者には「研究セキュリティのチェックリスト」による確認が求められる。 https://www8.cao.go.jp/cstp/kokusaiteki/integrity/yushikisha/guidelines_v1.pdf ／ 内閣府 研究インテグリティ https://www8.cao.go.jp/cstp/kokusaiteki/integrity.html ／ 外国為替及び外国貿易法第25条第1項については本文中の整理を参照。 ↩