台湾のデータレジデンシーとAI計算資源：企業が知るべき規制と選択肢【2026年版】

結論から書きます。台湾のデータレジデンシー（データの国内保存義務）について、データの国外移転を全面的に禁止する法律は存在しません。一般的な業務データを海外のAIサービスに送ることは、多くの企業にとって合法です。ただし金融・医療・政府関連の分野では話が別で、顧客データや電子カルテの保存場所は「台湾国内が原則」と規則に明記されており、国外への移転には条件の充足や当局の事前承認が必要になります。さらに2025年末に2つの法律（個人情報保護法の大型改正と台湾初のAI基本法）が相次いで成立したことで、「AIの計算資源をどこで動かし、データがどこへ流れるのか」は、台湾で事業を行う企業——台湾に子会社や取引先を持つ日本企業も含めて——がAI導入前に最初に答えるべき問いになりました。

この記事では、各法令に散らばる規定を1つの表にまとめ、「データは台湾から出ていない」という主張を検証可能な3条件に分解し、国内で完結する選択肢の時間あたりコストまで数字で示します。

この記事で扱う内容：

• 2025年末以降、「データの置き場所」がAI導入の最初の論点になった理由
• 個資法・金管会・衛福部の国内保存ルールを1つの表で整理（公式ソース付き）
• 「データは台湾に留まっている」と言える3つの検証条件
• 4つのAIデプロイ方式のコンプライアンス×コスト比較
• 台湾国内GPUの実際の料金（2026年7月確認）
• 導入前の6項目チェックリストとFAQ

Note: 本記事は一般的な情報整理であり、法的助言ではありません。個別案件は台湾の個人情報保護・委託規制に詳しい弁護士にご相談ください。

なぜ2026年、「データの置き場所」がAI導入の最初の問いになったのか

14か月の間に3つの出来事が重なりました。

第一に、台湾の個人情報保護法（個資法）の一部改正が2025年11月11日に公布されました（施行日は行政院が別途指定）。この改正は、新設される個人情報保護委員会（PDPC）に監督・処分権限を持たせるとともに、データ漏えい時の通知義務を強化するものです。「事実関係が未確認だから」という理由で本人への通知を遅らせることはできなくなります。つまり、AIのサプライチェーンで事故が起きたとき、「データがどこへ流れたか分からない」は通用しない答えになります。

第二に、立法院が2025年12月23日、台湾初のAI枠組み法である「AI基本法」を可決しました。政府がAIを推進する際の7原則を定め、その1つが「プライバシー保護とデータガバナンス」です。リスク段階別の枠組みに基づき、今後は所管官庁（国家科学及技術委員会）と各省庁が業種別の具体的な規則を整備していきます。

第三に、企業側のリスク認識も変わりました。Deloitteの調査『State of AI in the Enterprise』（2025年8〜9月実施、premaiによる整理）では、企業の73%がデータプライバシーとセキュリティをAI導入の最大リスクに挙げています——コストや人材よりも上位です。

はっきりさせておきたいのは、これらの法律は海外クラウドや海外AIサービスの利用を禁止していない、という点です。上がったのは立証のハードルです。データの流れ、保存場所、保護措置を文書で説明できなければならない。そして最も説明しやすいアーキテクチャは、データが最初から台湾を出ていない構成です。

台湾の規制は何を求めているか：3業種を1つの表で

台湾のデータレジデンシーは単一の法律ではなく、一般法と業種別規則の組み合わせです。以下の表が本記事の核心で、各行に公式ソースを付けています。

この表から、台湾のデータレジデンシーは3層構造だと読み取れます。

• 一般企業： 国外移転は原則合法。ただし当局には制限の法的根拠があり、「移転先の保護が不十分」の条項は広い裁量を与えています。
• 金融・医療： 「国内が原則、国外は例外」が規則に明文化。例外には条件や承認が伴います。
• 政府・重要インフラ： 実務上もっとも厳格で、多くの場面で国外は選択肢に入りません。

そして、規制対象でない企業にもこの要求は届きます。銀行にソフトウェアを納め、病院のシステムを構築し、政府調達に入札するなら、顧客は契約を通じてこれらの要求をあなたに転嫁します。台湾の中小企業や、台湾の規制業種と取引する日本企業が初めてデータレジデンシー問題に直面するのは、たいていこの場面です。

データを海外AIサービスに送ると、実際には何が起きるのか

公平のために書いておくと、主要な海外AIプロバイダーはデータのブラックホールではありません。OpenAI、Anthropic、Googleなどのエンタープライズプランには、ゼロリテンション（保存なし）オプション、学習不使用の確約、データ処理契約（DPA）が用意されているのが普通です。規制対象外の企業が海外APIを呼ぶこと自体は、合法かつ一般的な実務です。

本当の問題は2つで、どちらも陰謀論とは無関係です。

1. 立証責任はあなたの側にあります。 金管会、衛福部、あるいは将来のPDPCから「このデータはどの国外システムを経由し、どれだけ保存され、誰がアクセスできたのか」と問われたとき、契約条項・監査報告・技術的証拠を提示する必要があります。サプライチェーンに国外レイヤーが1つ増えるごとに、この書類は厚くなります。
2. 管轄権は他者の手にあります。 データが国外の施設に置かれた瞬間、適用されるのは現地の法律と法的手続きです。個資法第21条の「保護不十分」条項は、まさにこの構造的事実に対応するものです。

したがって実務的な結論は「海外サービスを使うな」ではありません。規制対象データと機微データは国外に出ないアーキテクチャで処理し、それ以外は従来どおり海外サービスの費用対効果で判断する——これです。では、「出ない」選択肢はいくらかかるのか。

AIをデプロイする4つの方式：コンプライアンス×コスト比較

モデルを動かす方法は大きく4つあります。「データが台湾に留まるか」を第一の軸に並べると：

注目すべきは3行目です。台湾で「データレジデンシー」というと、かつてはオンプレ構築に直行する話でした。柔軟に借りられる国内GPUが存在しなかったからです。国内GPUクラウドの登場で、参入コストは設備投資から時間あたり数十円〜数百円に下がり、「データを台湾に留める」ことはもはや「先にサーバールームを予算化する」ことを意味しません。

では「データは台湾に留まっている」を検証可能にするには？次の3条件をテストとして推奨します。

1. インスタンスが台湾にある——GPUノードが物理的に台湾の施設にあり、プロバイダーがリージョンを明示している。
2. ストレージが台湾にある——モデルの重み、入力、出力、バックアップがすべて国内に保存されている。
3. 推論が国外APIを呼ばない——モデル（DeepSeek、Llama、GPT-OSSなどのオープンウェイト）が自分のインスタンス上でローカルに計算し、データを国外エンドポイントへ転送しない。

3条件がすべて成立して初めて、「データは台湾を出ていない」を監査に耐える記述として書けます。

台湾国内GPUで実際にかかるコスト

具体例としてGlows.aiを見てみます。GPUノードは台湾に置かれており（公式サイト表記：Asia-Pacific (Taiwan)、複数のアベイラビリティゾーン）、秒単位課金です。2026年7月に確認した公開料金（円換算は1ドル＝155円の概算）：

プロジェクトの言葉に直すと：RTX 4090一枚で1日8時間×2週間の社内RAGシステムPoCは、80時間×0.49ドル≈39ドル（約6,000円）。部門横断会議1回分の人件費より安い計算です。本番環境へのスケールはA100やH100への切り替え、あるいはSGLangによるマルチノード構成で対応できます。

ビルド済みイメージは30〜60秒で起動します：DeepSeek-R1クイックスタート、GPT-OSS-20B/120Bのデプロイ手順、ほかにOllamaやComfyUIも用意されています。重みとデータはあなたのインスタンスとクラウドドライブに留まり、推論は国内で完結します——前節の3条件テストにそのまま対応する構成です。

Reminder: 国内プラットフォームを選ぶだけで自動的にコンプライアンス達成、とはなりません。規制業種は自社での委託リスク評価、データ処理契約の締結、暗号化とアクセス制御の設定が引き続き必要です。プラットフォームが解決するのは「データの所在」という後から直しにくい最難関の条件であり、手続的な義務は自社に残ります。

導入前の6項目チェックリスト

国内・国外を問わず、データをAIシステムに入れる前にこの6項目を確認してください。

• データ分類： どの項目が個人情報か、金管会・衛福部の定義する機微データに該当するかをマークする。分類が済めば、後続の問題の大半は小さくなります。
• 業種規制の棚卸し： 上の表と照合し、自社（または顧客）がどの行に該当するか確認する。
• 契約とDPA： 計算資源・AIベンダーとデータ処理契約を結び、保存場所・保存期間・削除義務を明記する。
• 暗号化と鍵管理： 転送中・保存時の両方を暗号化し、鍵は自社で保持する。
• ログと監査可能性： 「誰が・いつ・何にアクセスしたか」を記録する。改正個資法の通知義務の土台です。
• 国内バックアップ： 国外処理が承認された場合（承認済みの金融委託など）でも、重要データの台湾国内バックアップは規則上の明文要求です。

よくある質問（FAQ）

台湾の法律はデータの国外持ち出しを禁止していますか？

いいえ。台湾は「原則自由・例外制限」方式です。個資法第21条は国際移転を認めつつ、4つの場合に当局が制限できると定めています。ハードな国内保存要求があるのは業種別規則で、金融の顧客データと医療機関の電子カルテは国内保存が原則です。

ChatGPTや海外LLM APIを使うと違法になりますか？

ほとんどの企業・ほとんどのデータでは違法になりません。ただし入力に個人情報が含まれれば個資法上の保護・通知義務を負い、金融・医療機関（およびその受託事業者）であれば業種別の委託・移転規則が先に立ちます。実務的なパターンは使い分けです：一般データは海外サービス、規制対象データは国内計算資源へ。

改正個資法はいつ施行されますか？

改正条文は2025年11月11日に公布されましたが、施行日は個人情報保護委員会の組織法の進捗に合わせて行政院が別途指定するとされており、公布時点では未定です。PDPC準備処の公告を確認してください。ただし待つ理由はありません——漏えい対応プロセスとデータフローの棚卸しは今から始められます。

クラウドGPUでモデルを動かせば、データは「国内保存」になりますか？

自動的にはなりません。3条件がすべて成立する必要があります：インスタンスが台湾の施設にあること、データとモデルの重みが国内に保存されていること、推論が国外APIへ何も送らないこと。国内GPUを借りても、パイプラインの途中で国外サービスを呼べば、データは国外に出ています。

データレジデンシーを守るとAIコストは跳ね上がりますか？

レンタル計算資源なら跳ね上がりません。台湾国内のGPUは1時間約0.49ドル（約76円、RTX 4090、2026年7月確認）からで、80時間のPoCは約39ドル（約6,000円）です。高くつくのはオンプレ構築の道ですが、それはもう国内保存の唯一の選択肢ではありません。

次の一歩：まず「地図上で場所を指させるGPU」を1台

コンプライアンスの議論がどれだけ続いても、最後に必要なのはモデルが動く1台のマシンと、「それはどこにあるのか」への明快な答えです。Glows.aiでアカウントを作成し、インスタンス作成ガイドに沿って30〜60秒で台湾リージョンのGPUを起動し、DeepSeekやGPT-OSSのビルド済みイメージを読み込んで、数百円で最初の「データが国外に出ないAIワークフロー」を検証してみてください。

（法規制・料金情報は2026年7月時点の確認です。最新の法動向は各主管機関の公告をご確認ください。）