新たなプライバシー法で評価義務が追加、監査チームはその実施証明が必須に

新たなプライバシー法が施行されるたびに、誰かが即座に提出できる書類が増えます。適用基準が引き下げられ、定義が拡大し、新たな評価が登場し、コンプライアンスチームは証明すべき新たな証拠を引き継ぐことになります。この傾向は直近の3つの動きに共通して見られ、いずれも「今あるリソースで、より多くの証明責任を果たす」ことが求められている状況を示しています。

1つ目はSikichによる調査です。2026年10月20日に発表された「2026年米国内部監査優先事項調査」では、回答者の64%が内部監査予算の増加を、43%が人員増を見込む一方で、77%が監査計画にAI評価を組み込んでいることが明らかになりました。2つ目は州法の動きです。デラウェア州の改正プライバシー法は2027年1月1日に発効し、適用基準が引き下げられ、センシティブデータの定義も拡大。コネチカット州の改正も2026年にすでに施行されています。3つ目はカナダのプライバシー規制当局による、医療分野の責任あるAI活用に関する共同決議です。これはリスク評価に基づくガバナンスとアカウンタビリティの枠組みを求めています。

これらはいずれも単一のインシデントに関するものではありません。証明すべき義務が着実に積み重なっていること、そしてその証拠を誰が検証するのかが問われているのです。本記事では、それぞれの動きが何を要求しているのか、なぜ同じ証拠（アーティファクト）に収束するのか、そしてChief Compliance Officerやデータプライバシー責任者（DPO）、内部監査責任者がどのようにしてすべてに対応できる証跡を構築できるのかを解説します。また、Kiteworksのセキュアデータ交換が、人的な評価作業を置き換えることなく、機密コンテンツの証跡管理をどのように支援できるかも紹介します。

主なポイント

1. プライバシー義務は評価と記録に収束しつつある

デラウェア州とコネチカット州はリスク評価やガバナンス枠組み、監査対応可能な文書化を追加し、カナダ規制当局も同様の要件を求めています。

2. 適用範囲が拡大し続けている

適用基準の引き下げやセンシティブデータ定義の拡大により、これまで対象外だった組織も規制の枠組みに取り込まれています。

3. 監査体制の拡充が追いついていない

Sikichは予算やAI対応の拡大を報告していますが、多くの組織は依然としてガバナンスやセキュリティコントロールの保証にとどまっています。

4. AIが新たな保証テーマに

コネチカット州は大規模言語モデルの学習に関する開示を義務付け、バーモント州も2028年1月から同様の要件を導入予定。カナダ規制当局もAI固有の継続的な評価を求めています。

5. 証拠の一元化が効率化の鍵

誰が何にどのポリシーでアクセスしたかの統一記録は、すべての評価・監査に共通して必要とされるインプットです。

Sikich調査の示唆と限界

Sikichの2026年米国内部監査優先事項調査（2026年10月20日発表）によると、回答者の約2/3（64%）が内部監査予算の増加を、4割超（43%）が人員増を見込んでいます。また、8割超（82%）が外部パートナーを活用し、77%が監査計画にAI評価を含めていると報告。AIガバナンス、データプライバシー、サイバーセキュリティが注目領域として拡大しています。

ただし注意点もあります。調査は監査・アドバイザリーサービスを提供するプロフェッショナルファームによるもので、公開要約にはサンプル数の記載がありません。回答者は多業種の米国内部監査リーダーであり、米国監査コミュニティ全体の傾向を示すものの、すべての組織に当てはまるとは限りません。

コンプライアンスリーダーにとって最も有益なのは、控えめに記載された一文です。多くの組織が、ガバナンスやセキュリティコントロールの保証を超える拡張には至っていないという点です。実際には、監査チームはポリシーやコントロールの存在確認にとどまり、AIシステムが意図通りに機能しているか、意思決定が妥当かの検証は始まったばかり。パフォーマンスや成果の検証には、単なるポリシー文書ではなく、システムが何にアクセスし、何を生成したかというログ等の証拠が必要です。

ここで予算の数字に文脈が必要となります。予算増やAI評価の計画追加だけでは、根本的な記録は生まれません。組織がAIツールがどのデータにアクセスしたか、どのベンダーが扱ったかを示せなければ、監査担当者はテストのしようがないのです。予算が潤沢でも同じことです。

デラウェア州・コネチカット州の規制拡大

州ごとのプライバシー法は、まさに動く標的となっています。Morgan Lewisによるデラウェア州法案380号の要約によれば、改正法は2027年1月1日に施行。適用基準は、支払い処理のみを目的としたデータを除き、1万人以上の消費者の個人データを管理・処理するコントローラーに引き下げ（従来は3万5千人）、個人データ販売による総収益の20%以上を得る事業者の基準も1万人から5千人に引き下げられます。

センシティブデータの範囲も拡大。要約によれば、国籍、特定の健康情報、神経データ、特定の金融口座情報、政府発行のID番号などが新たに対象となります。コントローラーは原則として消費者の同意なくセンシティブデータを処理できず、センシティブデータの販売は、要求された商品・サービスの提供に厳密に必要な場合に限り、同意記録は通常5年間保存が求められます。

証拠に関して重要な変更が2点あります。5万人以上のデラウェア州消費者の個人データを処理し、法的または同等の重要な影響を持つ自動化意思決定のためにプロファイリングを行うコントローラーには、影響評価の実施が義務付けられます。また、金融機関の組織単位での免除が狭まり、特定の金融機関とその関連会社のみが免除対象となるため、他の金融関連事業者は初めて適用対象となる可能性があります。

コネチカット州はさらに早く動きました。Foley and Lardnerの要約によると、2026年7月1日に大幅な改正が施行。消費者基準は10万人から3万5千人に引き下げられ、センシティブデータやデータ販売に関するトリガーは量に関係なく適用されます。未成年の保護対象年齢も13～16歳から13～17歳に拡大され、このグループへのターゲティング広告や個人データ販売は全面禁止となりました。

コネチカット州はAI開示と新たな評価も追加。プライバシー通知には個人データが大規模言語モデルの学習に利用されているかを明記する必要があり、法的に重要な意思決定のためのプロファイリングを行うコントローラーには、2026年8月1日以降に作成・生成された処理活動について専用の影響評価が義務付けられます。消費者には、自身の個人データが販売された第三者リストを取得する権利も付与されました。

このパターンは最新の包括的州法にも繰り返されています。Morgan Lewisによる4州の新法レビューでは、アラバマ州（2027年5月1日施行）、ルイジアナ州・オクラホマ州（いずれも2027年1月1日）、バーモント州（2028年1月1日）が挙げられています。是正期間はアラバマ州45日、ルイジアナ州・オクラホマ州30日、バーモント州60日と異なります。バーモント州もプライバシー通知で個人データが大規模言語モデルの学習に使われているかの開示を義務付けます。

コンプライアンスチームにとっては、基準や施行日、是正期間が入り混じるパッチワーク状況が実務上の課題となりますが、いずれも評価文書、同意記録、第三者管理の文書化がコアとなり、これらは監査人が求める証拠となります。

カナダ規制当局、AIガバナンスの記録化を要請

3つ目の動きは米国外からですが、同じ方向性を示しています。カナダの連邦・州・準州のプライバシー規制当局は、医療・医療研究におけるAIの責任ある利用に関する共同決議を採択しました（2026年9月15日付、プライバシーコミッショナーのページでは2026年10月29日修正）。これは法律ではなく、共同の立場表明と行動要請です。

決議は開発者にプライバシー・バイ・デザインのアプローチを求め、AIシステムはプライバシー保護・妥当性・信頼性・安全性・人権尊重・透明性・説明責任の6原則を満たすべきとしています。政府には、医療AIがこれらの原則を満たすよう法改正や新法制定、ガバナンス・アカウンタビリティ枠組みの義務化を要請しています。

組織にとっての具体的な要件も示唆的です。開発者には、システムライフサイクル全体で継続的なプライバシー・セキュリティ・AI固有の評価、監査機能の有効化、実環境での定期的なテストが求められます。医療提供者には、AIリスク管理フレームワークの最新化、第三者契約の厳格管理（監査・記録保持含む）、スタッフ教育、未承認シャドーAI利用の防止、人による監督・検証の徹底が求められます。

この決議は医療分野を対象としていますが、構造は一般化可能です。評価、ガバナンス枠組み、監査可能な契約条項、人による監督を示す記録など、米国州法や内部監査調査が指し示す証拠と同じアーティファクトが求められています。

収束点：評価・記録・第三者管理

これら3つの動きを並べると、重なりが明確になります。成熟したガバナンス、リスク管理、コンプライアンス（GRC）プログラムが吸収すべき重なりです。いずれも「リスクを評価し、結果を文書化し、そのプロセスが繰り返され監督されていることを示す」ことが求められています。

デラウェア州・コネチカット州はプロファイリングや自動化意思決定に対する影響評価を義務付け、カナダ規制当局はAI固有の継続的評価を求め、Sikichは監査計画にAI評価が増加していると報告。共通点は「評価は根拠となる事実があってこそ有効」であり、その事実はデータを扱ったシステムに保存されています。

2つ目の共通点は第三者管理です。デラウェア州の要約では、契約によりコントローラーが第三者の義務遵守を合理的かつ適切に確保できるようにすることが求められています。カナダの決議も、プロバイダー契約で監査・記録保持を規定すべきとし、コネチカット州は消費者に第三者リストの取得権を付与。いずれも「どのベンダーがどのデータに関与したか」を把握する必要があり、これは法的要件以前に記録管理の問題です。

3つ目はAI開示です。コネチカット州・バーモント州はいずれも、個人データが大規模言語モデルの学習に使われているかをプライバシー通知で明示することを義務付けています。通知は約束であり、規制当局は「その約束が実際のシステム挙動と一致しているか」の証拠を求めることができます。どのデータセットがどのAIツールに渡ったかを示せなければ、通知の正確性を証明できません。

なぜ内部監査は圧迫を感じるのか

内部監査はこれらの要素が交差する場所にあります。評価が実施されたか、ベンダーコントロールが機能しているか、AIシステムが説明通りに動作しているかをテストする責任を負っています。Sikichの数字は機能の拡大を示していますが、予算増だけでは根本的な課題、すなわち証拠が分散している問題は解決しません。

典型的な監査質問を考えてみましょう。前四半期にどのAIツールが顧客データにアクセスし、どのチャネルを通じ、誰の承認下で行われたか？多くの組織では、メール、ファイル共有、マネージドファイル転送、フォーム、アプリケーションログなど、異なるフォーマット・異なる担当チームに分散した記録を集める必要があります。監査担当者は証拠集めに多くの時間を費やし、実際のテストに割ける時間が限られます。

このコストは双方にのしかかります。コンプライアンスチームはリクエスト対応に数週間を要し、監査部門はコントロールの有効性ではなく文書化のギャップを報告することになります。結果として、Sikichが指摘するように、保証活動はガバナンスやセキュリティコントロールの確認にとどまり、より深いテストには入れません。なぜなら必要なデータが入手困難だからです。

Kiteworks データセキュリティ＆コンプライアンスリスク：2026年年次調査レポートも同様の課題を示しています。このベンダーによる自己申告型調査では、459名の回答者のうち63%が、監査指摘、是正計画、取締役会へのエスカレーション、契約上のペナルティ、規制調査など何らかのコンプライアンス上の影響を経験しています。サンプルは自己申告で複数地域・業界にまたがるため、特定の法令の実態ではなく、コンプライアンスリスク全般のシグナルとして捉えてください。

証拠の一元化を構築する

収束する義務への効率的な対応策は、すべての評価・監査・規制当局のリクエストに対応できる単一の証拠証跡を構築することです。これを実現する5つの要素を紹介します。

1つ目はセンシティブデータフローの棚卸しです。規制対象・センシティブデータがどこから入り、どこを通り、どこへ出ていくか（メール、ファイル共有、SFTP、マネージドファイル転送、フォーム、APIなど）を一覧化します。これは州法の適用基準分析やAI評価の基礎であり、ゼロトラスト・データ保護の根幹でもあります。リスト化されていないデータフローは誰も評価できず、監査人はまずその未リスト化フローを発見します。

2つ目はアクセス・共有の一貫した記録です。各フローごとに、誰がいつ、どのコンテンツに、どのチャネル・どのポリシーでアクセスしたかを記録します。チャネル横断の統一監査ログがあれば、数週間かかる再構築作業がレポート1つで済みます。Kiteworksのセキュアデータ交換は、通過するコンテンツの記録を、顧客管理の暗号鍵とチャネル横断のポリシーエンジンで提供します。

3つ目はベンダーとデータを紐付ける第三者台帳です。センシティブデータを受け取るすべてのベンダーについて、監査・記録保持に関する契約条項、共有データカテゴリ、最終レビュー日を記録します。これはデラウェア型の契約要件やカナダの厳格な契約管理期待に対応し、サードパーティリスク管理や広範なサプライチェーンリスク管理にもつながります。契約が許す場合は4次委託先も含めましょう。ベンダーのサブプロセッサーがデータフローの追跡不能化の温床となることが多いためです。

4つ目は評価ライブラリです。プライバシー影響評価、プロファイリング影響評価、AI固有の評価を一元管理し、それぞれを支える証拠と紐付けて保存します。プライバシー影響評価が根拠となるインプットを示せなければ、防御は困難です。

5つ目はAIアクセス方針です。どのAIツールがどのデータクラスにアクセス可能か、アクセスが承認ユーザーの権限にどう制限されているか、活動がどのようにログ化されているかを明記します。これはAI学習に関するプライバシー通知の真実性を担保するコントロールであり、AIデータガバナンス全体の基盤にもなります。KiteworksのコンプライアントAIは、AIクライアントによるアクセス時も同じアクセスルールと監査ログを適用するため、AIによる操作も人間による操作と同じ記録が残ります。

今後90日間でやるべきこと

まずは最も早く施行される法律から着手しましょう。デラウェア州改正法は2027年1月1日、ルイジアナ州・オクラホマ州の新法も同日施行されるため、年初四半期が新基準の適用開始時期となります。今後90日間で、どの法律が自組織に該当するかを確認し、州ごとのデータプライバシー法を「1つのプログラム＋州別付録」として管理しましょう。

次に証拠の検証を行います。規制対象データセットを1つ選び、過去四半期に誰がアクセスしたかの統合ビューを作成するのにどれくらい時間がかかるか確認してください。もし数日～数週間かかるなら、そのギャップは構造的なものであり、監査工数を増やしても解消しません。

その後、監査とコンプライアンスの連携を図ります。どの評価をどの部門が担当し、証拠がどこにあり、リクエストがどう流れるかを合意しましょう。証拠証跡の共同管理により、同じ記録を2度集める無駄を防げます。

人的側面も忘れずに。評価やアクセスリクエストを担当するスタッフには、意思決定時に記録を作成するよう教育しましょう。決定当日に書かれた記録は、1年後に記憶やメールから再構築したものよりはるかに監査価値が高いのです。

最後に、証拠をもとに取締役会へ報告しましょう。規制変更、完了した評価、レビュー済みベンダー、未解決の例外を1ページでまとめる方が、単なるポリシー数よりも多くを伝えます。取締役会の関心は「組織がコントロールを証明できるか」であり、その答えは記録からしか得られません。

プライバシー評価や監査リクエストに対応する証拠証跡の構築について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データを巡る綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護する方法
• ブリーフ 主なFERPA違反トップ3とその回避策
• ブログ記事 大統領令14117号：米国人の大量機密個人データ保護
• ブログ記事 NIS2コンプライアンスが必要？まずはISO 27001から