重要なポイント
- GDPR（第44条）: EU内に個人データを留める必要がある。データサブジェクトには権利がある（アクセス、削除、ポータビリティ）。米国のCloud APIへのデータ転送には適切な保護措置（標準契約条項または十分性認定決定）が必要。
- HIPAA（164.306）: 患者データは暗号化、アクセスログ、監査ログ、インシデント報告が必要。
- SOC2 Type II: 6ヶ月以上のコントロール証拠が必要（暗号化、アクセスコントロール、インシデント対応）。
- EU AI Act（2024）: AIシステムはドキュメント化、透明性、監査が必要。違反: €20M or 4% revenue.
- Local LLMsはすべてのコンプライアンス要件を満たします。データはあなたのインフラを離れない。
- 罰金: GDPR最大€20M（4% 売上）、HIPAA最大$1.5M per violation.
- 2026年4月時点で、ローカル展開はデータとコントロールを自社内に保つことでコンプライアンス認証を大幅に簡素化する。
GDPR: AIコンプライアンスの意味は？
GDPR（一般データ保護規制）はEU住民の個人データ処理に適用される。企業の所在地に関係なく。
第44条（データ転送）: 個人データはEU外への転送が禁止。特定のセーフガード（標準契約条項、十分性認定決定）がない限り。米国のCloud APIへのデータ転送にはこれらの保護措置が必要となる。
第12-22条（データサブジェクト権）: 個人はアクセス、削除（"削除権"）、またはデータのポータビリティをリクエストできる。30日以内に対応する必要がある。
第5条（原則）: データは最小化、正確、法的に処理されなければならない。目的制限: 新しい目的のためにデータは同意なしに使用できない。
罰金: €20百万または年間グローバル売上の4%、いずれか高い方。
HIPAAは患者プライバシーをどう保護するか？
HIPAA（医療保険の携行可能性と説明責任法）は医療提供者、保険会社、PHI（保護健康情報）を扱うすべての者に適用。
164.306（セキュリティルール）: 行政、物理、技術セーフガードが必要。
物理: 施設はセキュア（ロック、監視）。
技術: 暗号化、アクセスコントロール、auditログ。
行政: ポリシー、トレーニング、インシデント対応。
患者データをCloud APIに送信することは禁止。HIPAAは"ビジネスアソシエイト契約"をベンダーと結ぶ必要があるが、Cloud AIサービスはしばしば署名を拒否。
罰金: 違反カテゴリーあたり年間最大$1.5百万。
SOC2 Type IIは何が必要か？
SOC2（サービス組織コントロール）はエンタープライズデータ処理組織のコンプライアンス認証。 Type IIは6ヶ月以上の監査証拠が必要。
認証監査人が審査:
- アクセスコントロール（誰がシステムにアクセスできるか）
- 暗号化（保存時と転送時のデータ）
- インシデント対応（セキュリティインシデント手順）
- 変更管理（アップデート承認方法）
- バックアップとディザスタリカバリ手順
Local LLMsはSOC2達成を支援。あなたがすべてのシステムをコントロールするから。Cloud APIはベンダーに制御を委譲、認証を複雑化。
EU AI Actは何が必要か？
EU AI Act（2024）はEUに展開されたAIシステムに新要件を課す。ベンダーの場所に関係なく。
禁止されたAI: 顔認識（公共）、予測的ポリシング、感情検出。
高リスクAI: リスク評価、ドキュメント化、人間監視が必要。
要求ドキュメント:
- トレーニングデータのソースとサイズ
- 異なる人口のモデル性能
- 制限とエラー率
- 意図された使用と禁止用途
Local LLMsはすべてをドキュメント化可能（トレーニング制御）。Cloud APIはドキュメント化を難化（ベンダー制御）。
ドキュメントと監査ログは何が必要か？
コンプライアンスは包括的なドキュメントとログを要求:
- データインベントリ: 個人/機密データは何が処理されるか、どこで、誰が。
- データフロー: データはシステムを通じてどう流れるか。
- アクセスログ: 誰が何データにアクセスしたか、いつ、なぜ。
- 変更ログ: モデル、データ、ポリシーが何時に変わったか。
- インシデント報告: セキュリティインシデント、違反、不正アクセス。
- データ保持ポリシー: データは多くの間保持されるか、何時に削除。
- サードパーティリスク: データを処理するベンダーと請負業者。
よくあるエンタープライズコンプライアンス間違い
- Cloud ベンダーがあなたのためにコンプライアンスと仮定。 ベンダーがSOC2を持っていても、あなたはGDPRとHIPAAコンプライアンスで責任がある。Cloudは責任を排除しない。
- AIトレーニングデータをドキュメント化しない。** EU AI Actはドキュメント化を要求。ドキュメント化できなければ、法律違反。
- 悪いアクセスコントロール。 "パスワード持つ誰でも"はセキュアではない。多要素認証、ロールベースアクセスを要求。
- インシデント対応計画がない。 違反が起きるとき（if notすると）、何日で対応する必要がある。事前に計画。
- 監査ログを無視。 ログは保持、保護、確認される必要がある。ログなしでコンプライアンスを証明できない。
エンタープライズコンプライアンスについてよくある質問
Local LLM展開はGDPRコンプライアンスを保証するか？
いいえ -- Local展開は必要ですが十分ではない。適切なアクセスコントロール、暗号化、データ保持ポリシー、インシデント対応手順が必要。Local LLMsはCloud ベンダーリスク要因を削除しますが、コンプライアンス責任は削除しない。
SOC2 Type II認証はどのくらい時間がかかるか？
通常6-12ヶ月。6ヶ月以上の継続的なセキュリティコントロール（暗号化、アクセスログ、インシデント対応）のコンプライアンス証拠を示す必要がある。Local LLM展開はすべての要求コントロールの完全な制御を提供してこれを加速化できる。
Local LLMsを使用中に違反されたら何が起きるか？
72時間以内に影響を受けた個人と規制当局に通知する必要がある（GDPR）。監査ログ、インシデント対応手順、暗号化を持つことは罰金を削減し注意を示す。Local LLMsは支援します。すべてのログはオンプレミスに留まるから。
機密データでLocal LLMをファインチューンできるか？
はい -- オンプレミスファインチューンはデータをあなたの完全なコントロール下に保つ。データはあなたのインフラを離れない。GDPRとHIPAAとSOC2を満たす。あなたは完全な所有権と監査ログを保有。
どの規制が最も難しく満たすか？
HIPAAは最も厳しい: 暗号化、auditログ、アクセスコントロール、即時違反通知を要求。SOC2は最も手続き的（ドキュメント化要求）。GDPRは最も広い（グローバルデータ処理をカバー）。Local LLMsはすべてに支援。
Local AI展開のための別個の保険が必要か？
あなたのサイバー保険プロバイダーに確認。いくつかのポリシーはオンプレミスvsCloud を区別する。Local LLMsは実は保険料を削減できます。サードパーティベンダーリスクを削除するから。
ソース
- GDPR公式テキスト -- gdpr-info.eu
- HIPAA Final Rule -- hhs.gov/hipaa
- SOC2 Trust Services -- aicpa.org/soc2
- EU AI Act -- ec.europa.eu/digital-single-market/en/news/proposal-regulation