ベトナム語
日本語
英語音声AIのデータ保護：録音保存なし、位置情報保存なし、4つの目の承認
合同会社Fujigoソフトウェアソリューション
M&C Holdings（日本）のメンバー
音声アシスタントはあなたのすべての質問を聞いています。プライバシーは「機能」ではなく「設計原則」であるべきです。
はじめに
音声アシスタントには、特有のセキュリティ課題があります。デバイスは常に耳を傾け、あなたの質問を記録します — 「近くにクリニックはありますか」「この薬はいつ飲むの」「銀行口座の情報」など、センシティブな情報を含むこともあります。
AlexaやGoogle Homeといった一般的なアシスタントは、録音データをクラウドに保存し、サービス改善のために分析し、法的な要求があれば第三者に提供することもあります。旅行者は自分のデータがどこに行くのか知りません。高齢者はテクノロジーを理解して自分で身を守るのが難しい場合があります。
Vivi Voice AI は「プライバシーバイデザイン」の原則で設計されています：録音データを保存しない、位置履歴を保存しない、すべてのコンテンツに4つの目の承認を適用、改ざん防止の監査ログ。この記事では、Viviがどのようにユーザーデータを保護しているかを詳しく解説します。
1. 録音保存なし、位置履歴保存なし
原則
アプリ、キオスク、ESP32のいずれでViviに話しかけた場合でも、音声は安全なWebSocket接続でサーバーに送信され、テキストに変換され、AIが処理し、回答がデバイスに返されます。会話セッションが終了すると：
- 元の音声録音は削除 — サーバーにもデバイスにも保存されない
- 位置履歴は記録されない — 「近くの金閣寺」という質問は理解するが、GPS座標は保存しない
- 会話内容は身元と紐づかない — 旅行者向けアプリは匿名利用、登録不要
Alexa・Google Homeとの比較
| 項目 | Alexa / Google Home | Vivi Voice AI |
|---|---|---|
| 録音データの保存 | ✅ クラウドに保存 | ❌ 保存しない |
| 録音のAI改善利用 | ✅ あり（オプトアウト可） | ❌ なし |
| 位置履歴の保存 | ✅ あり | ❌ なし |
| アカウント登録の必須 | ✅ 必須 | ❌ 不要（旅行者アプリ） |
| 会話と身元の紐づけ | ✅ あり | ❌ なし（匿名） |
2. 4つの目の承認 — 作成者は自分で承認できない
原則
ユーザーに表示されるすべてのコンテンツ — スポット情報、入場料、営業時間、翻訳、AIのプロンプト — は承認プロセスを経由します。そして、作成者は自分のコンテンツを自分で承認することはできません。
これは「UIの承認ボタンを隠している」という話ではありません。このルールはデータベースレベルで強制されています。管理者権限を持っていても、バイパスは不可能です。
なぜ重要か
- 一人のミスによる間違いを防ぐ：編集者が入場料を間違えて入力しても、別の人間が確認すればエラーが発見される
- バイアスを防ぐ：翻訳者が文脈を誤解している場合、その言語を知る承認者がチェックする
- 説明責任：すべての変更には作成者と承認者が記録され、一人で勝手に変更することはできない
CMSでの承認フロー
- 編集者がコンテンツを作成・修正（スポット、入場料、翻訳）
- コンテンツが承認キューに移動
- 承認者（作成者とは別人）が内容を確認、ソースと照合、承認または差し戻し
- 承認済みのコンテンツだけがアプリ、キオスク、ESP32に反映
機械翻訳は自動ではアプリに反映されません。その言語を理解する人間が必ず確認します。これが、Viviが5言語に対応しながらも翻訳品質を保証できる理由です。
3. ハッシュチェーンによる改ざん防止の監査ログ
原則
CMSでのすべての操作 — 作成、修正、承認、削除 — は監査ログに記録されます。このログは：
- 追記のみ（append-only）：過去の行を修正・削除することはできない
- ハッシュチェーン付き：各行が前の行のハッシュを含んでいる。誰かが過去の行を改ざんすると、ハッシュが一致しなくなり、チェーン全体が偽造だと検出される
- 5年間保存：データ保管に関する法的要件を満たす
通常のシステムとの比較
| 項目 | 通常のシステム | Vivi Voice AI |
|---|---|---|
| 監査ログ | ✅ あり | ✅ あり |
| 追記のみ | ❌ 管理者が修正可能 | ✅ DBレベルで強制 |
| ハッシュチェーン | ❌ なし | ✅ あり |
| 保存期間 | 1〜2年 | 5年 |
4. ロールベースの権限管理
CMSの役割
- 管理者：ユーザー管理、システム設定
- 運用担当：デバイス管理、通知キャンペーン
- 編集者：コンテンツの作成・修正
- 承認者：編集者が作成したコンテンツの承認
各役割は、許可された操作のみが可能です。編集者は承認できない。承認者は作成できない。管理者でも4つの目の承認ルールはバイパスできません。
導入企業ごとのデータ分離
ホテルAがViviを導入した場合、見えるのはホテルAのデータだけです。ホテルBのデータにはアクセスできません。これはデータ分離の原則で、各導入企業のデータがクロスアクセスされないことを保証します。
5. IoTデバイスのセキュリティ
HMAC認証
各ESP32デバイスは、CMSへの登録時に秘密鍵を発行されます。接続時に、デバイスはHMAC（Hash-based Message Authentication Code）でリクエストに署名します。サーバーは署名を検証してから接続を許可します。
デバイスが紛失または改ざんされた場合、CMSから即座に鍵を無効化できます。
安全なWebSocket接続
認証後、デバイスは安全なWebSocket接続で音声を送信します。音声はOpusコーデックで圧縮され、高品質かつ低帯域で転送されます。パケットを傍受されても、内容は読み取れません。
USB経由のファームウェア更新（CMSから）
ファームウェアの更新時、技術者がUSBをESP32デバイスに接続し、ブラウザでCMSを開き、新しいファームウェアを書き込みます。WiFi設定とデバイスロックは維持されるため、再設定は不要です。
遠隔からのファームウェア更新（OTA）も開発中です。
6. Companionにおける高齢者の保護
原則
高齢者向けCompanionモジュールも同じ原則に従います：
- 本名を保存しない — あだ名のみ使用
- 画像を保存しない — 高齢者の写真が漏洩するリスクを回避
- データは指定された家族のみが閲覧 — 第三者とは共有しない
他のケアアプリとの比較
多くの高齢者ケアアプリは、本名、写真、生年月日、住所、病歴を要求します。これらのデータが漏洩した場合、高齢者は詐欺のターゲットになりやすく、非常に危険です。
Viviは逆のアプローチをとります：機能の実行に必要な最小限のデータ（服薬リマインド、会話、通知）だけを収集し、識別情報はあだ名で暗号化します。
7. 公共空間でのキオスクの安全性
Webブラウザを起動しない
Viviのキオスクはフル機能のWebブラウザを実行しません。公式リンクや経路案内を表示する必要がある場合、QRコードを表示し、利用者が自分のスマホで開きます。
理由：公共のキオスク上のブラウザは、悪意あるコードのインジェクション、キーロガー、内部ネットワークへの不正アクセスのリスクがあります。
決済機能なし
キオスクは決済を処理しません。チケット購入が必要な場合、公式ウェブサイトにQRコードで案内します。
理由：決済の処理にはPCI-DSSへの準拠が必要であり、攻撃を受けた場合、利用者のクレジットカード情報が盗まれる可能性があります。
緊急時の案内は固定文
火災や地震などの緊急時、キオスクは事前に定められた固定文を流します — AIが生成したものではありません。
理由：AIは緊急時に誤った情報（ハルシネーション）を生成する可能性があります。固定文は事前に確認済みで、正確性が保証されています。
8. まとめ：プライバシーバイデザイン
| 原則 | Viviの実装 |
|---|---|
| 録音保存なし | セッション終了後に削除 |
| 位置情報保存なし | GPS座標を記録しない |
| 匿名性 | 旅行者アプリは登録不要 |
| 4つの目の承認 | 作成者は自己承認不可、DBレベルで強制 |
| 改ざん防止の監査ログ | ハッシュチェーン、追記のみ、5年保存 |
| 権限管理 | ロールベース、導入企業ごとのデータ分離 |
| デバイスセキュリティ | HMAC、WebSocket、遠隔鍵無効化 |
| 高齢者の保護 | あだ名、画像なし、家族のみ閲覧 |
| キオスクの安全性 | ブラウザなし、決済なし、緊急時は固定文 |
Vivi Voice AIは完璧ではありません — 完璧なシステムなど存在しません。しかし、私たちは「すべてのセンシティブなデータは攻撃される可能性がある」という前提で設計し、不要なデータは保存しないことが最善の防御だと考えています。