モダナイズ中、私のデータはどこへ行く？PDPL と 90 日計画

AI でモダナイズすると、ツールはコードを読み、場合によってはデータベースのコピーも読みます。その処理は通常、王国外のデータセンターで行われます。リージョンページによると AWS Transform には現在、中東にワークスペースのリージョンがなく、サウジ通信社（SPA）によると AWS のサウジリージョンは 2026 年 12 月に開設予定です。だからこそ、何かを送る前に、コードと個人データを切り分け、送るものを最小限にし、外に出るものすべてに個人データの王国外移転に関する規則を適用してください。

第 6 回では、業務を止めずに新システムへ移行する計画を立てました。この最終回ではデータの疑問に答え、シリーズの演習を 90 日計画にまとめます。法律そのものの基本はPDPL の実践ガイドをご覧ください。

モダナイズ中に実際に会社の外へ出るもの

ここでいうデータという言葉には、リスクの異なる 4 つのものが含まれています。

• コードそのもの：開発者が書いたソフトウェアです。通常は顧客データを含みませんが、埋め込まれたパスワード、サーバーのアドレス、開発者のコメント内の顧客名が含まれていることがあります。
• データベースのコピー：分析とテストに必要で、送るものの中で最も危険です。顧客の氏名、身分証番号、携帯電話番号、従業員の給与が含まれているからです。
• ツールへの質問とやり取り：チームがチャット画面に入力するすべてです。問題を説明するために、誰かが実際のレコードを貼り付けることもあります。
• 成果物：新しいコード、ドキュメント、そして第 4 回で抽出した業務ルールです。これらは会社の内部の仕組みを表しています。

実務上のルールは、コードは外に出す前にクリーンアップし、実データはほかに手段がない場合にだけ出す、というものです。多くの変換プロジェクトでは、テストにはマスキングしたコピー、つまり実名や番号を同じ形式の架空の値に置き換えたデータで十分です。

AWS Transform のようなツールはどこでデータを処理するのか

Amazon が詳細を公開しているため AWS Transform を例にしますが、同じ問いはほかのどのツールにも当てはまります。Amazon の公式ページが現在述べていることは次のとおりです。

• 保存場所：データ保護のページによると、データはワークスペースを作成したリージョンに保存されます。リージョンページには 11 のリージョンが掲載されており、フランクフルト、ロンドン、ムンバイ、東京、バージニアなどが含まれ、一部は特定の機能のみに対応し、中東のリージョンは一つもありません。
• 処理場所：クロスリージョン処理のページは、このツールが Amazon Bedrock のモデルで動作し、リクエストとその結果が同じ地域内の別のリージョンで処理される場合があると説明しています。たとえばフランクフルトからのリクエストは 6 つの欧州リージョンで処理されることがあります。同じページでは、2026 年 10 月 7 日以降、ムンバイとソウルから発生したチャットのリクエストが AWS のすべての商用リージョンに振り分けられ、保存は発生元のリージョンに残ると告知しています。
• サービス改善：Amazon はサービス改善のページで、質問やツールが生成したコードをモデルのトレーニングを含むサービス改善に使う場合があり、オプトアウトはアカウント管理者が AWS Organizations で AI サービスのオプトアウトポリシーを設定して行うと述べています。

また、2026 年 12 月に予定されている AWS のサウジリージョンができても、このツールが自動的にそこで動くわけではありません。プロジェクト開始時にご自身でリージョンページを開いてください。一覧は変わります。

データが外に出る前に PDPL が求めること

個人データが王国の外に出るなら、それは SDAIA の国家データガバナンスプラットフォームで公開されている個人データ保護法（PDPL）と移転規則が規律する意味での移転にあたります。モダナイズのプロジェクトで重要な点を、法律用語ではなく実務の言葉でまとめます。

• 移転先の国の保護水準：所管当局は十分な保護水準を備えた国のリストを公表し、4 年ごと、または必要に応じて見直します。データがどこで処理されるかを把握し、そのうえでリストを確認してください。
• 代替となる保護措置：規則が定める適用除外のケースでは、移転は適切な保護措置の下で行う必要があり、その種類は 3 つです。標準契約条項、企業グループ内の拘束力のある共通ルール、または受領者の認定証明書です。
• リスク評価：規則は管理者、つまり御社に対し、規則が指定するケースでは移転前にリスク評価を行うよう義務づけています。
• 機微データ：一部の適用除外ケースでは、健康データや個人の金融データなどの機微データが明示的に除外されているため、特に慎重に扱ってください。

国家データガバナンスプラットフォームは、このステップのための実務的なサービスを提供しています。個人データ処理の影響評価、データ保護責任者の任命が必要かどうかを判定するツール、コンプライアンスの自己評価などです。私たちはテクノロジー企業であり、法律顧問ではありません。移転の判断はデータ保護責任者または法務顧問に委ねてください。また、国内リージョンを待つことを検討しているなら、それで実際に何が変わるかを王国内のクラウドリージョンで解説しています。

何かを送る前に、ツールやベンダーに聞くべき 6 つの質問

1. データはどのリージョンに保存され、どのリージョンで処理される可能性がありますか？公式ページへのリンク付きで、書面での回答を求めてください。
2. 私たちの質問やコードはモデルのトレーニングに使われますか？止めるにはどうすればよいですか？
3. データベースのコピーを使わず、コードだけで分析できますか？
4. 当社チームとベンダー側の誰がワークスペースにアクセスでき、すべてのアクセスは記録されますか？
5. プロジェクト終了後、データはいつ削除され、削除をどう確認できますか？
6. 必要に応じて、機微な工程を王国内または自社サーバーで実行できますか？

ベンダーがこのうち一つでも書面で答えないなら、それ自体が答えです。ホスティングの選択肢そのものについては、クラウド移行ガイドをご覧ください。

シリーズの演習から組み立てた 90 日計画

この計画で 90 日のうちにシステムのモダナイズが終わるわけではありません。書面での決定と、並行稼働の準備が整ったパイロットモジュール 1 つにたどり着くための計画で、これまでの 6 回分の演習をもとにしています。

90 日目を過ぎると、以前は分からなかったことが分かります。何を持っているのか、何をモダナイズする価値があるのか、そして AI ツールがベンダーのサンプルではなく自社のコードでどう振る舞うのか。そこで初めて、費用や期間の話が自社の実情に基づいたものになります。

Origami の視点

私たちはモダナイズのプロジェクトを、コードの地図より先にデータの地図から始めます。何が、どこへ、なぜ出ていくのか。分析はクリーンアップしたコードとマスキングしたデータで行い、実データはできる限りお客様の環境内にとどめることを好みます。技術的なスピードが後でコンプライアンスの問題にならないようにするためです。

AI ツールは本当に作業を短縮できるところで使いますが、何をツールに送るかの判断は常にお客様のもので、書面にして署名します。私たちの進め方はサービス紹介をご覧ください。

シリーズの締めくくり

7 回前、私たちは一つの問いから始めました。AI でレガシーシステムをモダナイズするには？たどり着いた答えは、AI は読解、変換、テストを速めるが、重要な判断は会社を動かす人々に残る、というものです。どのシステムに価値があるのか、どのルールが正しいのか、誰が署名するのか、データはどこへ行くのか。レガシーシステムは長年会社を支えてきました。落ち着いて計画的にモダナイズすることが、それらにしてあげられる最善のことです。シリーズのすべての回はナレッジハブでお読みいただけます。

出典

• Amazon：AWS Transform の対応リージョン — リージョン一覧。中東のリージョンはなし。
• Amazon：AWS Transform のクロスリージョン処理 — 処理リージョンと 2026 年 10 月 7 日の変更。
• Amazon：AWS Transform のデータ保護 — データの保存場所。
• Amazon：AWS Transform のサービス改善 — サービス改善へのコンテンツ利用とオプトアウトの方法。
• サウジ通信社：2026 年 12 月にサウジアラビアで AWS リージョン開設 — 2026 年 9 月 1 日。
• SDAIA 国家データガバナンスプラットフォーム：個人データ保護法。
• SDAIA 国家データガバナンスプラットフォーム：個人データの王国外移転に関する規則 — 国のリスト、適切な保護措置、リスク評価。
• 国家データガバナンスプラットフォーム：サービスとツール。