Nottaの安全性は大丈夫？情報漏洩リスクと「中国企業では？」の真相を徹底解説【2026年最新】

Notta（ノッタ）の導入を検討する際、「情報漏洩の危険はないのか」「中国のサービスという噂を見たが大丈夫なのか」というセキュリティ面の不安は、必ず確認しておきたいポイントです。

結論から言うと、Nottaは国際的なセキュリティ認証（ISO/IEC 27001・SOC 2 Type II）を第三者機関の監査のもとで取得し、データをAWS東京リージョン（日本国内）に暗号化して保存している、業務利用に耐えるセキュリティ体制のサービスです。

本記事執筆時点で、Nottaによる大規模な情報漏洩インシデントは公表されていません。

一方で、「ツール側が安全でも、使う側の設定ミスで情報が漏れる」リスクはどのサービスにも存在します。

この記事では、Nottaを業務で日常的に利用している管理人が、「中国企業では？」という疑問への回答、そしてユーザー側で必ず行うべき情報漏洩対策の設定までを解説します。

結論：Nottaの安全性は第三者認証と国内保存で裏付けられている

Nottaの安全性を客観的な事実で整理すると、以下の通りです。

確認項目	Nottaの状況
国際セキュリティ認証	ISO/IEC 27001:2022（2026年2月に最新規格へ更新済み）・SOC 2 Type II取得
データの保存場所	AWS（Amazon Web Services）東京リージョン＝日本国内
通信の暗号化	TLSによる暗号化（盗聴・改ざん対策）
保存データの暗号化	AES-256（米国政府標準の暗号化方式）
不正アクセス対策	IDS/IPS・WAF・ファイアウォールを導入
法令への準拠	GDPR・個人情報保護法（APPI）等に準拠
情報漏洩インシデント	本記事執筆時点で大規模な漏洩事故の公表なし
運営会社	Notta株式会社（東京都の日本法人）

重要なのは、これらが「Nottaによる自己申告」だけではなく、第三者機関の監査を通過した認証で裏付けられている点です。

特にSOC 2 Type IIは、ある一時点ではなく一定期間にわたる運用実態を監査法人が評価する認証であり、「認証を取って終わり」ではない継続的なセキュリティ運用の証明になります。

各項目の詳細を、以下から順番に解説していきます。

「Nottaは中国のサービスでは？」という不安への回答

「Notta 中国」という検索が一定数あるように、Nottaの安全性を調べる方の多くがこの点を気にしています。先に事実関係を整理します。

Nottaの創業者であるRyan Zhang（張岩）氏は中国出身の起業家で、中国最大手の自転車シェアリングサービス「モバイク」の共同創業者として知られています。この経歴が「Nottaは中国のサービス」という認識の出どころです。

Zhang氏は日本経済新聞の取材に対し、日本で起業した理由を次のように語っています。

「中国市場は競争相手が多すぎる。民営の中小企業が多い日本の方が顧客を開拓しやすい」。文字起こしサービス「Notta（ノッタ）」を運営するNotta（東京・中央）の張岩社長はこう語る。

引用元：日本経済新聞「文字起こしアプリ、日本市場に懸ける中国の連続起業家」

つまり、Nottaは最初から日本市場を主戦場として設計された事業です。日本向けのNottaサービスを運営しているのは、東京都に本社を置く日本法人「Notta株式会社」です。

会社名	Notta株式会社
設立日	令和4年5月25日
本社住所	東京都千代田区大手町1-9-2 大手町 フィナンシャルシティグランキューブ3階
適格請求書発行事業者 登録番号	T5010001226919
会社概要URL	https://www.notta.ai/company

事業インフラの面でも、クラウド基盤には中国製のサービスではなくAmazon Web Services（AWS）を使用し、日本のユーザーのデータはAWS東京リージョン、つまり日本国内のサーバーに保存されています。

中国国内からはNottaのサービス自体が利用できない状態で運営されており、日本の個人情報保護法（APPI）に準拠しています。

つまり、「Nottaの創業者が中国出身」は事実ですが、「データが中国で管理されている」は事実ではありません。この2つを混同したまま不安になっているケースが大半です。

セキュリティの判断材料として有効なのは、経営者の出身国ではなく、「データがどこに保存され、誰の監査を受けているか」です。

Nottaの場合、データの保存先は日本国内であり、セキュリティ体制はISO 27001とSOC 2 Type IIという国際的な第三者監査を通過しています。認証の取得状況は、国際認定フォーラムの検索サイト（IAF CertSearch）で認証番号「123133」を入力すれば、誰でも確認できます。

Nottaのセキュリティ体制を項目別に解説

ここからは、冒頭の表で挙げた各項目を詳しく見ていきます。社内稟議やセキュリティ部門への説明にそのまま使える粒度でまとめています。

国際認証①：ISO/IEC 27001（2026年2月に最新規格へ更新）

Nottaは、情報セキュリティマネジメントシステム（ISMS）の国際規格「ISO/IEC 27001」の認証を2023年9月14日に取得しています。さらに2026年2月には、最新規格である「ISO/IEC 27001:2022」への更新を完了しています。

項目	内容
登録組織	Notta株式会社
適用規格	ISO/IEC 27001:2022
初回認証日	2023年9月14日
最終更新日	2026年2月3日
認証範囲	Webサービスの開発及び運用
認証番号	123133

認証番号の検索はこちらから：https://www.iafcertsearch.org/

ISO 27001は、情報の「機密性」「完全性」「可用性」を組織的に管理する体制の国際規格です。認証は取得して終わりではなく、定期的な審査で維持されるため、「継続的にセキュリティ体制を運用している」ことの証明になります。

なお、2022年版への更新は比較的新しい対応であり、古い情報のまま「ISO 27001:2013」と記載している解説記事も見られます。認証の最新状況は前述のIAF CertSearchで確認可能です。

国際認証②：SOC 2 Type II（一定期間の運用を第三者が監査）

Nottaは、米国公認会計士協会（AICPA）が定める基準に基づくSOC 2保証報告書を受領しています。ある一時点を評価するType Iに対し、NottaはType II、つまり一定期間にわたる内部統制の運用実態を監査法人が評価する報告書を取得しています。

SOC 2 Type IIの報告書は、秘密保持契約（NDA）の締結を条件に閲覧を申請できます。法人導入でセキュリティ部門から詳細資料を求められた場合は、Nottaの営業チームへの問い合わせで対応可能です。

このほか、NottaはGDPR（EU一般データ保護規則）、CCPA（カリフォルニア州消費者プライバシー法）、HIPAA（米国の医療情報保護法）といった国外の規制にも準拠しており、国際規格・国内法令の両面をカバーしています。

データの保存場所：AWS東京リージョン（日本国内）

Nottaのユーザーデータは、Amazon Web Services（AWS）の東京リージョンに保存されています。つまり、録音データや文字起こしテキストが海外のサーバーに保存されることはなく、日本国内でデータが管理されます。

「データが国外に出ないこと」を導入条件にしている企業は多く、この国内保存はNottaの法人導入において重要なポイントです。

通信・保存の暗号化：TLSとAES-256

データが狙われるのは「通信中」と「保存中」の2つの場面ですが、Nottaは両方で暗号化対策を行っています。

通信中は、TLS（Transport Layer Security）による暗号化で、第三者による盗聴や改ざんを防ぎます。カフェのWi-Fiのような公共ネットワーク経由でも、通信内容を読み取られるリスクを抑えられます。

保存中のデータは、AES-256という暗号化方式で保護されています。これは米国政府でも採用されている標準規格で、万が一サーバーへの不正アクセスが発生しても、データの中身を解読することは極めて困難です。保存された音声・画像・テキストは暗号化されており、Notta運営側もユーザーのデータを閲覧できない仕組みです。

不正アクセス対策と社内のセキュリティ体制

サーバーへの不正アクセス対策として、NottaはIDS/IPS（不正侵入検知・防御）、WAF、ファイアウォールを導入しています。法人向けには、事前登録したIPアドレスからのみワークスペースへのアクセスを許可するIPアドレス制限も用意されています。

組織面では、Nottaは社内にセキュリティグループを設置し、最高個人情報保護責任者・最高情報セキュリティ責任者という上級管理職による運営体制を敷いています。

公式のセキュリティページでは、アクセス権限の管理・操作の監視監査（セキュリティ管理）、システムとユーザーのアクティビティの記録（セキュリティ監査）、リリース前の包括的なテスト（テストと検証）、社内研修（セキュリティ教育）という4つの取り組みが公開されています。

また、第三者のセキュリティ評価プラットフォーム「Assured」にも登録しており、自社のセキュリティ対策の情報を外部に開示しています。技術・組織・透明性の3方向から対策していることが分かります。

AI学習へのデータ利用は「文字起こしデータは学習なし・音声はエンタープライズでオフ」

AI文字起こしサービスで最も多く寄せられる不安が、「自分のデータがAIの学習に使われるのでは？」という点です。Nottaの仕様を正確に整理します。

まず、要約などに使われるAIモデルについて。NottaはAnthropic社のClaudeを採用しています。

Claudeはユーザーから送信されたデータをモデルの学習に使用しない方針のAIであり、文字起こしテキストや要約の内容が生成AIの学習に使われることはありません。

一方、音声認識エンジンについては、公式ヘルプに以下の記載があります。

Nottaに音声認識エンジンを提供する第三者の国内パートナー企業が、音声データと認識結果データからランダムにピックアップしたデータのみを、機密性に配慮した上で音声認識エンジンの学習に利用します。（中略）データは音声認識の精度向上のために利用され、そのデータが持つ情報（単語が組み合わされて生じる有意な情報）は学習されません。（中略）エンタープライズプランでは、この音声認識エンジンの「AI学習」のためのデータを提供いたしません。（AI学習なし）

引用元：Notta公式ヘルプ「AI学習について」

つまり、「会話の中身（有意な情報）」が学習されることはありませんが、音声認識の精度向上のためのデータ提供は標準プランでは行われます。

一切の学習を許容できない業界・案件の場合は、企業向けの「エンタープライズプラン」を契約することでAI学習を完全にオフにできます。

Nottaの料金・各プランの詳細は以下の記事で紹介しているので、そちらを参考にしてください。

それでも残る情報漏洩リスクと、ユーザー側でやるべき対策

ここまで解説した通り、Notta側のセキュリティ体制は客観的に高い水準にあります。

しかし、「ツールが安全＝情報漏洩が起きない」ではありません。実際に想定される漏洩経路は、Notta側よりもユーザー側にあります。

• Nottaを利用しているPC・スマホの盗難や紛失
• 脆弱なパスワードの使い回し、二段階認証の未設定
• 共有リンクの公開範囲の設定ミス
• 録音・共有に関する社内ルールの未整備

実例として、AIツールそのものが破られたのではなく、使う側の運用で情報が流出しかけた事例を2つ紹介します。

1つ目はサムスン電子の事例です。従業員が社内機密のソースコードをChatGPTにアップロードして流出させたことが発覚し、同社は生成AIツールの社内使用を禁止しました。

サムスン電子は、従業員によるChatGPTなどの人工知能（AI）搭載チャットボットの使用を禁止した。米ブルームバーグ通信が報じた。こうしたAIサービスは、機密情報の流出につながることが懸念されており、職場での利用を制限する企業が相次いでいる。

ブルームバーグによると、先月あるエンジニアが社内機密のソースコードをChatGPTにアップロードし、誤って流出させたことが発覚。これを受けサムスンは先週、「生成AI」ツールの使用禁止を社内に通知した。

この情報流出がどれほど重大だったかは不明だが、サムスンは、AIチャットボットに共有されたデータがOpenAIやマイクロソフト、グーグルといったAIサービス運営企業のサーバーに保存され、容易にアクセスや削除ができない状態になることを懸念。さらに、ChatGPTなどと共有された機密データが最終的に他のユーザーに提供されてしまうことも懸念しているという。

Forbes Japan サムスン、ChatGPTの社内使用禁止　機密コードの流出受け より引用

これはツールの脆弱性ではなく、「機密情報を入力してよいか」のルールがなかったことが原因です。

2つ目は財務省の事例です。2025年2月、職員が飲酒後の帰宅途中に、事件関係者187人の個人情報を含む書類と業務用ノートPCを紛失しました。

財務省は2025年2月10日、同省関税局調査課の職員が、不正薬物の密輸事件に関与した疑いのある人物など計187人の氏名や住所が記載された書類を紛失したと明らかにした。発見できておらず「漏洩を否定できない」としている。

職員は6日、横浜税関で打ち合わせをした後に横浜市内の飲食店で飲酒した。帰宅途中の7日午前0時ごろ、書類や業務用のノートパソコンが入ったかばんを紛失したことに気付いた。ノートパソコンには職員の部下の個人情報などが含まれているが、IDやパスワードを入力しないと開かない仕組みだという。

日本経済新聞｜薬物密輸事件の書類紛失　財務省職員、個人情報記載

クラウドのセキュリティがどれだけ強固でも、ログイン済みの端末そのものを失えば意味がありません。

この2つの事例が示す通り、対策すべきはNottaではなく「Nottaを使う側の運用」です。

Nottaのセキュリティ設定早見表

Nottaの管理画面で実際に設定できる項目と手順をまとめました。

設定項目	設定方法
IPアドレス制限	「セキュリティ」→「IPアドレス制限」→「＋IPアドレスを追加」で許可するIPアドレスを入力
外部共有の制限	「設定」→「セキュリティ」→「機能制限」→「外部共有設定」で「外部共有を無効にします」を選択
操作ログの監視	「設定」→「利用状況レポート」→「操作ログ」でユーザーや期間を絞って確認
パスワード変更	「設定」→「アカウント」から変更。二段階認証もあわせて有効化
データの暗号化	Nottaが自動で実施（設定不要）
公式アプリの利用	必ずNotta公式サイトから最新版を入手

対策①：共有リンクの公開範囲を必ず確認する

Nottaには文字起こし結果を共有リンクで送る機能がありますが、公開設定を誤ると意図しない相手が閲覧できる状態になります。

共有時は必要なメンバーだけに範囲を絞り、社外共有が不要なワークスペースでは上記の「外部共有の無効化」を設定してください。情報漏洩の多くは、こうした便利な共有機能の設定ミスから起こります。

対策②：二段階認証とデバイス管理を徹底する

財務省の事例の通り、最大の漏洩経路はNottaを使っている端末そのものです。

アカウントには二段階認証を設定し、パスワードの使い回しを避け、端末側にも画面ロックと位置情報追跡（紛失時のリモートワイプ）を設定してください。

また、NottaはIPアドレスによる接続制限もできるため、社内で限定して使う際には必ず設定しておきましょう（ビジネスまたはエンタープライズプランのみ利用可能）。

社内利用であれば、業務端末の持ち出しルールもあわせて整備すべきです。

対策③：録音・共有の社内ルールを決めておく

サムスンの事例の通り、「何を入力・録音してよいか」のルールがないことがリスクになります。

会議録音時の参加者への事前同意、機密度の高い会議を録音対象にするかの判断基準、文字起こしデータの保存期間と削除ルール。

この3点をあらかじめチームで決めておくと、ツールの安全性に依存しない運用体制が作れます。

この記事で紹介したセキュリティ設定の画面は、無料プランのアカウントでも実際に確認できます。導入判断の前に管理画面を自分の目で見ておきたい方は、まず無料登録から始めるのがおすすめです。

法人導入時のチェックポイント｜セキュリティ稟議の通し方

Nottaの法人導入でセキュリティ部門の承認を得る際に、活用できる材料を整理します。

まず、Nottaは日本企業向けにセキュリティチェックシートを提供しています。経済産業省の規定に準拠した形式で、公式サイトのフォーム送信後に直接ダウンロードできます。

稟議資料に記載すべき客観的な根拠は、ISO/IEC 27001:2022とSOC 2 Type IIの取得（第三者監査・認証番号123133）、AWS東京リージョンでの国内データ保存、TLS/AES-256による暗号化、IPアドレス制限・外部共有制限・操作ログなどの管理機能、の4点です。

この構成であれば、セキュリティ部門が求める「客観的な裏付け」に認証番号レベルで回答できます。

利用シーン	推奨されるセキュリティ設定
機密会議で利用	エンタープライズプラン（AI学習なし）＋IPアドレス制限＋外部共有制限
リモートワーク環境	操作ログ監視＋二段階認証＋VPNの使用
フリーランスがクライアントと利用	データの自動削除設定＋外部共有制限＋録音の事前同意

上記のような、利用シーン別の推奨設定もあわせて提示すると、稟議が通りやすくなります。

Nottaの安全性・情報漏洩に関するFAQ

Nottaで情報漏洩の事故は起きている？

2026年7月現在、Nottaによる情報漏洩の事例は確認されていません。ISO 27001:2022とSOC 2 Type IIという第三者監査を通過したセキュリティ体制で運用されています。ただし比較的新しいサービスであるため「過去に例がない」ことと「今後も起きない」ことは別であり、共有設定の確認や二段階認証などユーザー側の対策もあわせて行うべきです。

Nottaは中国のサービス？データは中国に送られる？

創業者のRyan Zhang（張岩）氏は中国出身ですが、日本向けのNottaは東京都の日本法人「Notta株式会社」が運営しています。データはAWS東京リージョン（日本国内）に保存され、クラウド基盤も中国製ではなくAWSを使用しています。セキュリティ体制はISO 27001とSOC 2 Type IIの第三者監査で客観的に検証されています。

Nottaの音声データはAIの学習に使われる？

文字起こしテキストの内容（有意な情報）が学習されることはありません。音声認識エンジンの精度向上のため、国内パートナー企業がランダム抽出した音声データを機密性に配慮した上で利用しますが、エンタープライズプランではこのAI学習を完全にオフにできます。要約に使われるAnthropic社のClaudeは、ユーザーデータをモデル学習に使用しない方針のAIです。

Nottaのデータはどこに保存される？

Amazon Web Services（AWS）の東京リージョン、つまり日本国内のサーバーに保存されます。通信はTLSで、保存データはAES-256で暗号化されており、通信中・保存中の両方で保護されています。保存されたデータはNotta運営側も閲覧できない仕組みです。

Nottaは法人のセキュリティ審査に対応できる？

対応できます。経済産業省の規定に準拠したセキュリティチェックシートが公式サイトからダウンロードでき、SOC 2 Type IIの報告書はNDA締結のうえで閲覧を申請できます。IPアドレス制限・外部共有制限・操作ログといった管理機能も用意されています。

AIボイスレコーダーのNotta Memoも同じセキュリティ体制？

はい、Notta Memoで録音したデータも、クラウド側は本記事で解説したNottaと同じ基盤（AWS東京リージョン保存・暗号化・国際認証の対象範囲）で管理されます。Notta Memo本体の使い勝手やデータ転送の仕組みは、実機レビュー記事で詳しく解説しています。

AI文字起こしツールガイド

「Notta Memo」を正直レビュー｜文字起こし精度・音質・使い勝手を実機で検証！ | AI文字起こしツールガイ… Nottaが開発した「Notta Memo」を正直レビュー。ボイスレコーダーの性能チェックや携帯性、AIツールとしての使いやすさの批評、他社製品との比較について知りたい方は要チ…

まとめ｜Nottaは「検証可能な根拠」を持つ安全性の高いサービス

Nottaの安全性は、「安全です」という宣伝文句ではなく、認証番号で検証できる第三者監査と、日本国内でのデータ保存という事実で裏付けられています。

その上で、最後に情報を守るのはユーザー側の運用です。この記事で紹介した設定早見表の項目と、共有設定・二段階認証・社内ルールの3点をセットで実施すれば、業務の機密情報を扱う環境でも安心してNottaを活用できます。

まだNottaを使ったことがない方は、無料プランでセキュリティ設定の画面も含めて確認してみてください。

Nottaのプロモーションコードについて知りたい方に向けた記事も用意しているので、本格的に利用する方は合わせてチェックしてみてください。