「データを国内リージョンに置いているから安心」——クラウド調達の議論でいまだによく聞くフレーズです。しかし米国のCLOUD Actが問題にしているのはデータの所在地ではなく、事業者がどの国の管轄に服しているかです。日本のデータセンターに保管されていても、事業者が米国の管轄下にある限り、米国の令状は及びます。同じ問いは中国資本のクラウドにも向けられます。日本国内にリージョンを持つ中国系事業者に対して、中国の国家情報法はどこまで及ぶのか。
この二つは「外国政府がデータを見にくるリスク」として同じ棚に並べられがちですが、リスクの構造はかなり違います。米国側は司法審査があり、件数が公表され、事業者が争う制度上の手段がある。中国側はそのいずれも公開情報からは確認できない。一方で発動の蓋然性という点では、米国のエンタープライズデータ開示は統計的に見て極めて少ない。構造と蓋然性を混ぜて議論すると、判断を誤ります。
結論を先に書きます。データ所在地（residency）ではなく管轄（jurisdiction）を基準に分類すること、機微度の高いデータには暗号鍵の自己管理を必須にすること、そして米中いずれの外国資本クラウドについても「完全に排除できる」という前提を置かないこと。これがデジタル庁のガイドラインの記述とも整合する、現時点で取りうる最も現実的な線です。以下、法の条文、透明性レポートの実数、日本政府の制度対応の順に根拠を示していきます。
1. CLOUD Actが可能にしていること
CLOUD Act（Clarifying Lawful Overseas Use of Data Act）は2018年3月23日、統合歳出法（Pub. L. 115-141）のDivision Vとして成立しました。1986年の通信記録保存法（Stored Communications Act, 18 U.S.C. §§2701-2712）を改正するもので、中核は新設された18 U.S.C. §2713です。
ここに「データセンターの所在地」という概念は出てきません。米国と十分な接点を持つ事業者が支配下に置いているデータであれば、それが東京にあってもロンドンにあっても、米国の令状・召喚状の対象になります。この構造こそがリスクの本体であり、リージョン選択では動かせない部分です。
もっとも、事業者側に対抗手段がないわけではありません。18 U.S.C. §2703(h)は「国際礼譲（comity）」の分析を規定しており、対象顧客が米国人でなく、開示が米国と行政協定を締結した外国政府の法に抵触する場合、事業者は令状の取消を申し立てることができ、裁判所は米国と外国の利益を衡量します。ただし後述するとおり、この条項が実効的に働く前提には「行政協定を締結した外国」という限定がかかっています。
この立法の直接の引き金は、いわゆるMicrosoftアイルランド事件です。2013年12月、ニューヨーク南部地区の治安判事が麻薬取引捜査でSCAに基づく令状を発付し、Microsoftにダブリンのサーバーに保管された電子メールの開示を命じました。Microsoftは「米国の令状は国境を越えない、刑事共助条約（MLAT）を使うべきだ」として拒否し、第2巡回区控訴裁判所で勝訴。政府が上告し2018年2月27日に連邦最高裁で口頭弁論が行われましたが、その約1か月後にCLOUD Actが成立して争点が立法的に解決されたため、最高裁は2018年4月17日に本件を訴えの利益なし（moot）として下級審判決を破棄・差戻しました。つまりCLOUD Actは、政府が同事件で主張していた立場を議会が追認した立法です。
2. どれだけ発動されているのか——透明性レポートの実数
構造上のリスクと、実際の発動頻度は別の話です。Microsoftは半期ごとに法執行機関からの要求件数を公表しており、これが数少ない定量データになります。最新の2025年下半期（7〜12月）の数字を見てみます。
同期間、Microsoftが世界中の法執行機関から受け取った消費者向けサービスに関する要求は27,412件。これに対してエンタープライズ顧客（商用クラウドを50シート超購入している組織、またはAzureサブスクリプション契約者）に関する要求は190件にとどまります。同社は「年間数万件の法的要求のうち、エンタープライズ顧客データを求めるものは1%を大きく下回る」と説明しています。
| 項目（エンタープライズ顧客関連） | 2024年下半期 | 2025年下半期（最新） |
|---|---|---|
| 法執行要求の総数 | 173件 | 190件 |
| 却下・撤回・データ不存在・顧客への誘導 | 107件（62%） | 96件（51%） |
| 開示を強制されたもの | 66件（38%） | 94件（49%） |
| うちコンテンツデータの開示 | 26件（うち20件が米国法執行関連） | 45件（うち31件が米国法執行関連） |
| うち非コンテンツデータの開示 | 40件 | 49件 |
| 越境開示（米国外保管の非米国エンタープライズ顧客のコンテンツを米国法執行機関へ） | 5社分（いずれもEU/EFTA域外の顧客） | 3社分（うち1社はEU/EFTA域内） |
| Azureのコンテンツデータ開示 | なし | なし（商用・公共・教育のいずれも） |
越境開示が半期あたり数社分という水準は、率直に言って少ない。ただしこれをもって「リスクは無視できる」と結論づけるのは早計です。三つ留保があります。
- 件数は事業者の自己申告である。独立した検証手段はありません。
- 秘匿命令の存在。Microsoftは2025年下半期、米国の法的要求の32%（1,823件、うち1,473件は連邦当局発）に顧客への通知を禁じる秘匿命令が付されていたと公表しています。件数は事後に集計されますが、当該顧客がその時点で知ることはできません。
- 消費者向けサービスでは桁が違う。同期間、米国法執行機関からの消費者データ要求は5,587件あり、そのうち115件は米国外に保管されたコンテンツを求める令状でした。CLOUD Actが日常的に使われていることは、この数字からわかります。
3. FISA第702条という別の経路
CLOUD Actの議論でしばしば混同されるのが、外国情報監視法（FISA）第702条です。両者は別制度で、リスクの性質も異なります。CLOUD Actは刑事捜査における令状・召喚状であり、裁判官による相当理由の審査を伴います。第702条は米国外にいる非米国人を対象とした外国情報の収集であり、個別の令状を要しません。日本の企業や個人にとって直接関係が深いのは、むしろ後者です。
この第702条は、2024年のRISAA（Reforming Intelligence and Securing America Act）で2年間再授権され、2026年4月20日が失効期限とされていました。以後、10日間・45日間といった短期延長が繰り返されましたが、下院が2026年6月11日に短期延長案を198対218で否決し、第702条は2026年6月12日深夜に失効しました。2008年の制定以来初めてのことです。
ただし失効＝収集停止ではありません。第702条の運用は外国情報監視裁判所（FISC）が承認する年次認証に基づいており、この認証は法律が失効しても有効期限まで存続します。FISCは2026年3月17日に認証を出しており、これにより収集は2027年3月頃まで法的に継続可能とされています。とはいえ、根拠法が失効した状態で事業者がどこまで応じるかについては法的な不確実性が指摘されており、本記事執筆時点で再授権は成立していません。
日本企業にとっての含意は単純です。米国資本クラウドの外国法リスクを評価するなら、CLOUD Actだけを見ていては不十分で、第702条の帰趨も監視対象に入れる必要がある、ということです。
4. 「ソブリンクラウド」は管轄を切り離せるか
欧州の主権要求に応えるかたちで、各メガクラウドはソブリン提供を打ち出しています。最も踏み込んだのがAWSで、AWS European Sovereign Cloud（ESC）が2026年1月15日に一般提供を開始しました。ドイツ・ブランデンブルク州の第一リージョンはグローバルAWSとは物理的にも論理的にも分離された独立パーティション（aws-eusc）で、IAM・課金・DNS・認証局も独立、運用はEU居住者に限定され、ドイツ法人を親会社とする専用のガバナンス構造が置かれています。投資額は78億ユーロ超とされ、ベルギー・オランダ・ポルトガルへのLocal Zone拡張も発表されています。トレードオフとして、提供サービス数がグローバルリージョンより少なく、開始時点でアベイラビリティゾーンは2つでした。
では、これでCLOUD Actの適用は排除されるのか。法的にはされません。AWS European Sovereign Cloud GmbHはAmazon.com, Inc.の100%子会社であり、この点は欧州のアナリストからも指摘されています。運用主体をEU居住者に限定し、法人をドイツ法の下に置いても、親会社が米国企業である限り「占有・保管・支配」の議論は残ります。
この論点を最も明確にしたのが、2025年6月10日のフランス上院での証言です。「公共調達とデジタル主権」調査委員会の宣誓聴取で、Microsoft Franceの公共渉外・法務ディレクターAnton Carniaux氏は、フランス市民のデータが仏当局の同意なく米当局に渡らないことを保証できるかと問われ、公式議事録上「保証はできない。ただし繰り返すが、そうした事態はこれまで一度も起きていない」と答えました。正当な根拠を欠く要求は拒否しており、欧州の企業・公共部門への発動事例はないと付言していますが、技術的措置と契約上の約束では米国法の適用そのものは排除できないことを、事業者自身が公の場で認めた形になります。
なお、Microsoftは自社FAQで、EU域内のサービスはアイルランド法人Microsoft Ireland Operations Limited（MIOL）が提供し、欧州のデータセンターはMIOLとその子会社が所有・賃借していると説明しています。法人の所在を欧州に置く構成は共通の設計思想です。
CLOUD Actの直接の適用とは別に、欧州の危機感を高めた出来事として、2025年に国際刑事裁判所（ICC）主任検察官が米国の制裁対象に指定された件があります。同氏のMicrosoftアカウントが遮断されたと報じられ（Microsoftはサービスの停止・中断を否定）、ICCは2025年10月31日、Microsoft Officeからドイツ製オープンソースの「OpenDesk」への移行を確認しました。データを読まれるリスクではなく、サービスを止められるリスク——可用性の側面が主権議論の中心に入ってきたのは、この時期からです。
5. 日米間の非対称性
CLOUD Actのもう一つの柱が18 U.S.C. §2523の行政協定（executive agreement）です。一定の人権・プライバシー基準を満たす外国政府と協定を結ぶことで、相互に事業者へ直接データを請求できるようにする枠組みで、従来のMLAT（司法省と裁判所の個別承認を要する、時間のかかる手続）を迂回します。
2026年8月時点で発効しているのは米英協定（2019年10月署名、2022年10月3日発効）と米豪協定（2021年12月15日署名、2024年1月30日発効）の二つだけです。Microsoftも自社の透明性レポートで、米国政府が協定を締結しているのは英国と豪州であり、カナダおよびEUとは交渉を公表している、と明記しています。いずれの協定も重大犯罪に限定され（豪州協定では3年以上の拘禁刑）、5年の有効期間を持ちます。
日本との協定は存在せず、公開情報上、交渉開始の事実も確認できません。日米間には2003年8月に署名され2006年に発効した刑事共助条約があり、日本の当局が米国事業者からデータを取得しようとすればこのMLAT経路になります。ここに構造的な非対称性があります。
- 米当局は、日本国内に保管されたデータでも、§2713により米国事業者へ直接請求できる。
- 日本の当局は、米国事業者へ直接請求する迅速な経路を持たず、MLATを経由するしかない。
- §2703(h)の礼譲条項が想定する「協定締結国の法との抵触」という抗弁も、協定がない以上、日本を対象としては働きにくい。
6. 日本政府はどう扱っているか
日本政府はこの問題を明示的に制度に書き込んでいます。デジタル社会推進標準ガイドラインDS-310「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」（2025年5月27日 デジタル社会推進会議幹事会改定）の3.2節は、次のように定めています。
さらに踏み込んでいるのが、利用者データを国外クラウドに保管する場合の対策です。CRYPTREC暗号リスト掲載の暗号による暗号化を求めた上で、機密性によっては「利用者自身の暗号鍵によるデータの保護と鍵管理（BYOK等）を行い、クラウド（CSP）や監督権限を持った政府等が利用者データを判読不能とする措置を行うこと」と明記しています。「監督権限を持った政府等」——つまり外国政府による閲覧を、鍵管理によって無効化せよと政府自身が書いている。可用性についても、外国法令によるデータ域内保存義務等でリスクが予見される場合には「当該法令の効力の及ばない場所（国）にバックアップ等を保持する」よう求めています。
調達側の制度としてはISMAP（政府情報システムのためのセキュリティ評価制度）があり、政府調達は原則としてISMAP等クラウドサービスリスト登録サービスから選定されます。DS-310の3.1節は、サプライチェーン・リスクに注意を要する場合は「IT調達に係る国等の物品又は役務の調達方針及び調達手続きに関する申合せ」（平成30年12月10日関係省庁申合せ）に従って事前確認を行うことも求めています。この申合せが、後述する中央省庁での中国製通信機器の事実上の排除の根拠になっています。
ガバメントクラウドについては、長らくAWS・Azure・Google Cloud・Oracleの外資4社のみという状態が続きましたが、2023年11月に条件付きで採択されたさくらインターネットが約300項目の技術要件をすべて満たし、2026年3月27日に正式認定されました。国産事業者としては初、5番目の採択事業者となります。
民間側の主権対応としては、Oracleが提供するOracle Alloy（OCIと同一基盤をパートナーが自社データセンターで設置・運用する形態）を採用する事業者が複数あります。国内では富士通、NTTデータ、野村総合研究所などがこれを採用し、それぞれ自社ブランドのクラウドサービスを構築しています。日本オラクル自身も2025年7月、日本国内在住者のみで構成する「ジャパン・オペレーション・センター」を開設しました。運用要員の国籍・居住地まで管理対象に含めるという発想は、AWS ESCがEU居住者限定運用を掲げているのと同じ設計思想です。ただしこれらも、親会社の管轄という論点を法的に解消するものではない点は同様です。
7. 中国資本クラウドの日本国内展開
では中国資本のクラウドはどうか。まず事実関係として、日本国内に相当規模のインフラが存在します。
アリババクラウドは2016年に東京リージョンを開設しました。当初はソフトバンクとの合弁SBクラウドが運営していましたが、同社は2021年10月1日付でソフトバンクに吸収合併され消滅。現在はアリババクラウド・ジャパンサービス株式会社が国内事業を担っています。注目すべきは近年の拡張速度で、2026年3月に日本国内4か所目のデータセンターを開設し、その数か月後の2026年6月18日には5か所目を東京に開設。日本リージョンは5つのアベイラビリティゾーンで構成されるまでになりました。同時にAI開発プラットフォーム「Model Studio」の日本リージョン提供も始まっています。撤退どころか、AI需要を背景に日本での投資を加速させているのが実態です。
テンセントクラウドは東京に2ゾーンを持ち、2025年4月15日から16日にかけて、国内3拠点目のデータセンターを大阪に開設し大阪をリージョンとして設定すると発表しました（大阪リージョンのローンチ時期は2026年と説明されています）。日本法人はTencent Japan合同会社。同社カントリーマネージャーによれば顧客の約95%は日本国内のクライアントで、ゲーム・配信などエンターテインメント領域が約半分を占め、金融・小売分野も伸びているとのことです。
つまり「中国資本クラウドは日本ではほとんど使われていない」という前提は、事実に反します。少なくともゲーム・エンタメ・越境ECの領域では、実運用の基盤として定着しています。
8. 中国法の域外適用をめぐる二つの読み方
議論の中心にあるのが、2017年6月27日に可決され翌28日に施行された国家情報法（2018年改正）の第7条です。
この条文が中国企業の海外子会社にまで及ぶかについては、評価が割れています。
広く読む立場。スウェーデンの法律事務所Mannheimer Swartlingが2019年1月に公表した報告書は、国家情報法はすべての中国国民に適用され、中国企業グループの海外子会社も対象となりうる（親会社が同法の適用を受ける以上、国際公法の観点からは海外子会社にも管轄が及びうるし、親会社は子会社に対するガバナンス権限を持つ）と結論づけました。ただし同報告書自身が、これは英語版の客観的な読解と国際公法の原則に基づく分析であって、中国国内法体系の下での解釈ではないと明示的に留保しています。
限定的に読む立場。China Law Translate創設者のJeremy Daum氏は2024年、第7条が情報収集・共有への能動的な参加を求める趣旨であったかは全く明らかでないと指摘しています。同条には実効的な執行メカニズムがなく、罰則は情報活動が「妨害された」場合に限られ、その活動も「法に基づき」行われることが前提になっている、という読み方です。
重要なのは、この対立が公開情報だけでは決着しないという点です。中国資本クラウドには透明性レポートが存在しません。したがって「日本国内で開示事例が確認されていない」という事実は、事例が存在しないことの証明にはならず、確認する手段がないことを意味するにすぎません。米国資本クラウドについて件数を数えて議論できるのとは、そもそも土俵が違います。
関連する法制度としては、サイバーセキュリティ法（2017年）、データ安全法（2021年9月1日施行）、個人情報保護法（PIPL、2021年11月1日施行）があります。PIPLは域外適用条項を持ち、データの越境移転には安全評価・専門機関認証・標準契約のいずれかを要します。日本側から見ると、日本国内データの持ち出しを直接命じる規定というより、中国側の規制環境全体が国家の管理を前提に設計されている、という理解が実務的です。
9. 二つのリスクの構造比較
| 観点 | 米国資本クラウド | 中国資本クラウド |
|---|---|---|
| 主な根拠法 | CLOUD Act（18 U.S.C. §2713）、SCA、FISA第702条 | 国家情報法、国家安全法、反スパイ法、サイバーセキュリティ法、データ安全法、PIPL |
| 取得の主体 | 裁判官発付の令状・大陪審の召喚状（刑事）／FISC承認の認証（情報監視） | 国家情報機関・公安機関 |
| 独立した司法審査 | あり（刑事は相当理由の審査を伴う） | 公開情報からは確認できない |
| 透明性 | 半期ごとの件数公表が定着。越境開示件数も区分掲載 | 透明性レポートは存在しない |
| 事業者による異議申立て | §2703(h)の礼譲分析、裁判所での争訟が制度上可能 | 実効的な手段は公開情報上確認できない |
| 越境協定の枠組み | 米英・米豪の行政協定が発効。加・EUと交渉中。日本とは未締結 | 相当する相互協定の枠組みなし |
| 確認できる発動実績 | 2025年下半期の越境エンタープライズ開示は3社分（Microsoft） | 公開情報上、日本での開示事例は確認できない（確認手段自体がない） |
| 日本政府の扱い | ISMAP登録可、ガバメントクラウド採択。DS-310で外国法リスクを明示的に評価対象化 | 中央省庁は2018年の申合せで通信機器を事実上排除。自治体調達も認定制で限定する方針が報じられている |
| 緩和策の効き方 | 鍵の自己管理は有効。ソブリン提供は運用・法人を分離するが、親会社の管轄は残る | 運用主体とデータ所在で蓋然性は変わるが、透明性の欠如は技術では埋められない |
日本政府の対中対応は、時系列で見ると一貫した方向を持っています。2018年12月の関係省庁申合せにより中央省庁・自衛隊のIT調達から中国製通信機器が事実上排除され、2024年5月17日には経済安全保障推進法の基幹インフラ事前審査制度が本格運用に入りました。そして2026年4月には、総務省が自治体のIT機器・サーバー・クラウド調達を政府認定品（経済産業省のJC-STARおよびISMAP）に限定する方針を固めたと報じられ、地方自治法関係の総務省令を改正のうえ2027年夏からの運用開始が見込まれています。JC-STARもISMAPも中国製品を認定していないため、事実上の排除になるという整理です。ハードウェアからクラウドへ、中央省庁から自治体へと、規制の網が段階的に広がってきたと見るのが自然でしょう。
10. 実務上の判断軸
以上を踏まえた実務的な整理です。順序が重要で、技術的対策から入ると必ず失敗します。
第一に、データを機微度で分類し、管轄をマッピングする。①一般業務データ、②個人情報・営業秘密、③基幹インフラ・国家安全保障に関わるもの、程度の粗い三分類で構いません。その上で各クラウド利用について「データ所在地」ではなく「運用主体の法人格と、その法人が服する管轄」を棚卸しします。ここで初めて、リージョン選択では動かせない部分が可視化されます。
第二に、機微度②③には暗号鍵の自己管理を標準化する。BYOK/HYOK、confidential computing、外部鍵管理サービスの利用です。判断軸は単純で、鍵を事業者が保持しているかどうか。事業者が復号できる構成である限り、令状は意味を持ちます。DS-310が「CSPや監督権限を持った政府等が利用者データを判読不能とする措置」と書いているのは、まさにこの点です。ただし同ガイドラインも、クラウド外で鍵を作成・保管・管理する場合は運用負荷と処理の複雑さが大幅に増すため導入前に十分な検討が必要だと注意喚起しています。実際、鍵の紛失は暗号化されたデータの永久喪失を意味します。
第三に、機微度③は管轄そのものを切り離す。国産クラウド、あるいは国内法人が国内要員で運用するソブリン提供を選択肢に入れます。政府・自治体関連業務では、2027年夏の自治体調達制限を先取りして認定制度（ISMAP、JC-STAR）への適合を要件化しておくのが安全です。
中国資本クラウドについては、機微度③には用いないというのが素直な結論になります。日本国内リージョンを使い、運用主体が日本法人であっても、透明性レポートが存在しない以上、リスクを定量的に評価できないからです。逆に言えば、中国向けEC・ゲーム配信のように業務上の必然性がある領域で機微度①のデータを扱う限りにおいて、これを一律に忌避する理由も薄い。用途で切り分ける話です。
判断を見直すべきトリガーとしては、日米CLOUD Act行政協定の交渉開始または締結、FISA第702条の再授権の帰趨（現在失効中で、FISCの認証は2027年3月頃まで）、メガクラウドの日本向けソブリン提供が非米国法人運営を実現するかどうか、あたりが挙げられます。いずれも制度の前提を動かす要素です。
まとめ
米国資本クラウドのCLOUD Actリスクは、構造としては不可避だが、エンタープライズ・非米国データに対する発動の蓋然性は統計的に低い。半期あたり数社分という越境開示の実績は、そのことを示しています。一方でその低さは事業者の自己申告に依存しており、秘匿命令の存在と、FISA第702条という別経路の不透明さがつきまといます。技術的措置と契約でCLOUD Actの適用を排除することはできない——これは事業者自身が公の場で認めた事実です。
中国資本クラウドのリスクは、蓋然性の高低以前に評価する手段が存在しないという設計上の問題を抱えています。国家情報法第7条の域外適用は法的評価が割れており、否定しきることも肯定しきることもできない。にもかかわらず日本国内には相当規模のインフラが存在し、拡張が続いています。「使われていないから問題にならない」という前提は成り立ちません。
結局のところ、外国資本クラウドの利用は「安全か危険か」の二択ではなく、どの管轄のどの制度に、どのデータを、どの緩和策を伴って預けるかという設計の問題です。日本政府自身がDS-310で、外国法リスクの評価、国内データセンターの原則、そして鍵の自己管理という三点を書き込んでいます。民間の実務も、そこから出発するのが筋が通っているように思います。
