連邦プライバシー優先法が現実に：SECURE法の意味とは

主なポイント

1. 連携した連邦による優先適用の推進。 SECURE Data Act、GUARD Financial Data Act、ホワイトハウスAIフレームワークが連携し、州ごとのバラバラな規制を単一の全国基準に置き換えます。
2. 21州のプライバシー法が危機に。 CCPA、CDPA、CPAを含む包括的な州法が「フロアではなくシーリング」方式で優先適用され、執行権限はFTCと州司法長官に移ります。
3. コンプライアンスの基準が再設定。 データ最小化、オプトイン同意、消費者の権利などの要件は存続しますが、今後は州法ではなく連邦フレームワークに準拠する必要があります。
4. 複数フレームワークに対応する単一プラットフォーム。 ABAC、暗号化、監査証跡などのアーキテクチャ制御により、組織は連邦・州・業界固有のルールに再構築なしで適応できます。

過去7年間、米国のデータプライバシーは2つの並行する流れで進んできました。州議会は包括的なプライバシー法を制定し（2018年のカリフォルニアを皮切りに、その後20州が続く）、一方で連邦議会は連邦法案の成立に繰り返し失敗してきました。これまでの試みはすべて、州法の優先適用、私的訴権、執行範囲をめぐる党派対立という同じ論点で頓挫してきました。

この膠着状態が崩れたのは2026年4月22日。下院共和党は連携して機能する2つの法案、SECURE Data Act（HR 8413）とGUARD Financial Data Act（HR 8398）を提出しました。これらは州ごとのバラバラな規制を広範な連邦優先適用によって単一の全国基準に置き換えるものです。さらに、ホワイトハウスのAIに関する国家政策フレームワーク（2026年3月20日）は、コロラド州AI法を明示的なターゲットとして州AI法の優先適用も提案しています。連邦による優先適用の動きは、今や組織が計画を立てるべき3本柱の連携した取り組みとなっています。

5つの主なポイント

1. 連邦優先適用の動きは、今や3本柱の連携した取り組み。

SECURE Data Act、GUARD Financial Data Act、ホワイトハウスAIフレームワークが連携し、過去7年間米国のデータプライバシーとAI規制を特徴づけてきた州ごとのバラバラな規制を単一の全国基準で上書きします。これはCCPA以来、米国データプライバシーにおける最も大きな転換です。今後12か月でのコンプライアンスアーキテクチャの意思決定が、制御の再マッピングか再構築かを左右します。

2. 21州のプライバシー法が危機に瀕しています。

カリフォルニアのCCPA、バージニアのCDPA、コロラドのCPA、その他18の包括的な州プライバシー法、さらに州のデータブローカーレジストリやカリフォルニアDelete Actも、「フロアではなくシーリング」方式で優先適用されます。州による執行は、連邦法の下でFTCと州司法長官に移行します。7年間コンプライアンス投資を牽引してきた州法のパッチワークは、今や構造的なリスクに直面しています。

3. コンプライアンスは簡単にならず、基準が再設定されます。

SECURE Data Actは依然としてデータ最小化、消費者権利ワークフロー、機微データのオプトイン同意、コントローラー・プロセッサのガバナンス、データブローカーへの直接義務を課します。GUARD Actは金融機関向けにAI開示要件を追加します。組織は同じアーキテクチャ制御が必要ですが、今後は異なるフレームワークにマッピングする必要があります。Kiteworks 2026年予測では、33%がABAC機能を全く持っていませんでした。

4. AI優先適用トラックがアーキテクチャ要件を引き上げます。

ホワイトハウスのフレームワークは、コロラド州AI法を含むAIモデル開発を規制する州法を明示的に優先適用します。規制対象データでAIエージェントを展開する組織にとって、コンプライアンス対象は集約されますが、執行負担は減りません。連邦によるAIデータガバナンスへの監視は強化されており、FTC、HHS、SEC、DoDが独自にAI関連の期待値を維持・拡大しています。

5. アーキテクチャ上の解決策は「1つのプラットフォームで複数フレームワーク対応」。

どの法案が成立しても、根本的な制御要件（認証済みID、属性ベースアクセス制御、検証済み暗号化、改ざん検知可能な監査証跡）は、すべてのフレームワークで共通です。アーキテクチャ制御を基盤にした組織は再マッピング、特定州法の文言に依存した組織は再構築が必要となります。

SECURE Data Actの実際の内容

SECURE Data Actは、CCPA以降で最も本格的な立法推進を受けている連邦消費者プライバシー法案です。その主要条項はバージニアモデルに倣い、販売・ターゲティング広告・プロファイリングに対するオプトアウト権、アクセス・訂正・削除・ポータビリティ権、機微データのオプトイン同意、コントローラー・プロセッサ義務、データブローカーへの直接義務を規定しています。

この法案を特徴づける構造的要素は優先適用です。第15条は、州が本法の規定に関連する法律を制定・執行することを禁止しています。カリフォルニアプライバシー保護機関（CPPA）は、これを「完全優先適用」と位置付けており、連邦の最低基準ではなく、州制度を完全に置き換える「シーリング」としています。CPPAが議会に送った書簡では、法案が現状のまま成立した場合、4,000万人のカリフォルニア州民がDelete RequestやOpt-out Platformへのアクセスを失うと指摘しています。

執行権限はFTCと州司法長官に移ります。私的訴権はありません。施行日は、消費者権利・データセキュリティ・データブローカー条項が1年後、それ以外の多くの条項が2年後に分かれています。対象は、20万人超の米国居住者の個人データを処理する、または個人データ販売収益が50%以上の事業体であり、中堅・大企業をすべて網羅します。

明確に欠如しているのは、AIに関する明示的な条項です。AI関連はホワイトハウスのフレームワークで並行して進められています。SECURE Data Act単体で読んでいると、全体の優先適用アーキテクチャを見落とすことになります。

GUARD Financial Data Actが追加するもの

GUARD Financial Data Actは、グラム・リーチ・ブライリー法（GLBA、1999年制定、20年以上金融分野のプライバシーを規定）の現代化を目的としています。2つの法案は重複を避ける構成で、SECURE Data ActはGLBA対象事業体を除外し、GUARD Actがそれらをカバーします。

GUARD Actは、「適切、関連性があり、合理的に必要な」範囲に収集・開示を制限するデータ最小化、継続的な消費者オプトアウト権、アカウントアクセス認証情報の利用制限、拡張されたプライバシー通知、現・元顧客の権利、FCRAや法的保存要件の例外付き削除権、45日以内の対応義務、機微な非公開個人情報へのオプトイン同意などを追加します。

特に注目すべき2つの条項があります。第一に、金融機関が非公開個人情報を収集・処理・利用する際のAI活用についての開示義務（消費者データが「該当国」で処理・開示されるかも含む）。第二に、GUARD ActはGLBA対象金融機関への州レベルの消費者データプライバシー・セキュリティ要件を明示的に優先適用し、金融サービス分野のプライバシーで最も争点となっていた問題に対応しています。

両法案を合わせてもコンプライアンスが軽減されるわけではなく、基準が再設定されるだけです。州法に基づいて構築した消費者権利ワークフロー、データ最小化制御、オプトイン同意ゲート、データブローカー義務は、すべて連邦要件に再マッピングする必要があります。

AI優先適用トラックがアーキテクチャ要件を引き上げる

ホワイトハウスAIフレームワークは、AIモデル開発を規制する州法の優先適用を議会に勧告し、FTCとFCCに既存法下での連邦優先適用の明確化ルールメイキングを指示しています。コロラド州AI法が明示的なターゲットです。

規制対象データでAIエージェントを展開する組織にとって、コンプライアンス対象は集約されますが、執行負担は減りません。連邦によるAI監視は強化されており、FTCのSection 5による欺瞞的行為規制がAIモデルの挙動にも明確に適用されます。業界別規制当局（HIPAAのHHS、金融報告のSEC、防衛のDoD）は、州法の優先適用とは独立してAI関連の期待値を維持しています。

Kiteworks 2026年予測では、既に51%の組織がAIエージェントを本番運用していますが、41%〜44%は人による監督・モニタリング・データ最小化などの基本的なガバナンス制御を欠いています。封じ込めはさらに深刻で、55%〜63%が目的制限、キルスイッチ、ネットワーク分離を持っていません。連邦AI優先適用トラックは、分断された州規制当局からFTCや業界規制当局への執行移行を意味し、いずれも運用上の制御証拠を求めるようになります。

なぜコンプライアンスの負担は減らないのか

優先適用により、21の州プライバシー法は1つの連邦法に置き換わりますが、業界別規制（HIPAA、GLBA、FERPA、COPPA）や国際的な義務（GDPR、UK GDPR、LGPD、PIPEDA）は継続します。多国籍組織は、GDPRの合法的根拠要件、SECURE Data Actの目的制限、HIPAAの最小限アクセス、CMMCのアクセス制御ファミリー、GUARD ActのAI開示要件を同時に満たす必要があります。

Kiteworks 2026年予測によると、33%が証拠品質の監査証跡を欠き、87%がパートナーとの共同インシデント対応計画を持たず、89%がサードパーティベンダーとのIR訓練を一度も実施しておらず、33%がABAC機能を全く持っていません。

これらはすべてのフレームワーク（州・連邦・業界・国際）で本質的に求められる制御であり、呼び名は違っても根本的な義務は収束しています。認証済みID、属性ベースアクセス制御、検証済み暗号化、改ざん検知可能な監査証跡、データ最小化、目的制限などが、CCPA、GDPR、CMMC、HIPAA、PCI DSS、SOX、SECURE Data Act、GUARD Actのいずれにも共通して登場します。

Kiteworksが「1つのプラットフォームで複数フレームワーク対応」を実現する方法

Kiteworksのプライベートデータネットワークは、メール、ファイル共有、SFTP、MFT、Webフォーム、API、AI連携など、すべてのプライバシー・コンプライアンス規制の中心となるデータ交換チャネルを統合し、単一のアーキテクチャ制御を全チャネルに適用します。

認証済みIDはOAuth 2.0やSAML/SSOによる暗号学的検証で全アクセスリクエストに強制されます。Kiteworks Data Policy Engineは、ユーザーID（またはAIエージェント）、データ分類、リクエストコンテキストをリアルタイムで組み合わせて属性ベースアクセス制御を評価します。FIPS 140-3認証済み暗号化は、保存中・転送中のデータをカバーします。監査証跡は改ざん検知可能で、全交換チャネルで正規化され、リアルタイムでSIEMにストリーミングされます。

事前構築されたコンプライアンスダッシュボードは、これらの制御を特定フレームワーク要件にマッピングします：GDPR第5条・25条・32条、HIPAA §164.312、CMMC 2.0アクセス制御ファミリー、PCI DSS要件7・10、SOX IT一般統制、SECURE Data Actのデータ最小化条項、GUARD ActのAI開示義務など。規制環境が変化しても、根本の制御は変わらず、マッピングだけが変わります。一度制御を構築し、各規制に合わせてマッピングするだけです。

法案成立前に組織がすべきこと

第一に、データ交換チャネルとそこを流れる規制対象データを棚卸しすること。Kiteworks 2026年予測では、機密データの保存場所を完全に把握している組織はわずか33%であり、このギャップはどのフレームワークでも指摘事項となります。

第二に、複数フレームワークを同時に満たすアーキテクチャ制御に統合すること。ABAC強制、FIPS 140-3暗号化、改ざん検知可能な監査ログ、認証済みIDは、CCPA、GDPR、HIPAA、CMMC、PCI、SOX、そして現在審議中の連邦法案すべてに対応します。33%の組織がABAC機能を全く持っていないため、このギャップの解消が最も効果的なアクションです。

第三に、AI優先適用トラック成立後ではなく、今すぐAIガバナンス層を構築すること。51%の組織がAIエージェントを本番運用していますが、55%〜63%が封じ込め制御を欠いています。AI Data GatewayやSecure MCP Serverは、認証済みエージェントID、ABAC強制、監査ログなど、すべてのAIフレームワークが求めるデータ層ガバナンスを提供します。

第四に、サードパーティ対応力のギャップを埋めること。両法案ともサードパーティへのデータフローに義務を課しています。87%の組織がパートナーとの共同IRプレイブックを持たず、89%がサードパーティベンダーとのIR訓練を一度も実施していません。連邦フレームワークへの再マッピングだけでは、根本的な連携ギャップは解消されません。

第五に、監査証跡の品質を最重要アーキテクチャ要件として扱うこと。すべてのフレームワークが実効的な執行証拠を要求します。GDPR監査で不合格となるギャップは、CCPA、HIPAA、CMMC、SECURE Data Actの監査でも不合格となります。どのフレームワークから要求される前に、証拠品質の監査証跡を構築しましょう。

立法の行方は不透明ですが、アーキテクチャ要件は明確です。

AIデータガバナンスや規制コンプライアンスについて詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データをめぐる綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護する方法
• ブリーフ 主なFERPA違反3つとその回避法
• ブログ記事 大統領令14117：米国人の大量機微個人データ保護
• ブログ記事 NIS2コンプライアンスが必要ですか？まずはISO 27001から