Courseboxがお客様のデータを守る仕組み

私はCoursebox AIのCTOです。エンタープライズ向けのデモに立ち会う機会が多いのですが、そのほとんどで、必ずと言っていいほど同じ質問をいただきます。御社にデータを預けて、本当に大丈夫なのか。

もっともな質問です。作成されるコースには、社内固有のノウハウ、受講者の記録、研修コンテンツの知的財産が含まれます。それらがどこに保管され、誰が触れられるのかを正確に把握しておくのは当然のことです。そこで、答えをポリシー文書の奥に埋もれさせるのではなく、実際によくいただく質問をそのまま取り上げ、率直にお答えすることにしました。

CourseboxはデータをAIモデルの学習に使用しますか？

いいえ。CourseboxはMicrosoft Azure OpenAIとGoogle Geminiを、いずれもエンタープライズ契約のもとで利用しています。MicrosoftとGoogleはどちらも、お客様のプロンプト、入力データ、生成された出力を自社の一般公開モデルの再学習に使用しないと明記しています。これは脚注ではなく、契約書に記載された内容です。Coursebox自身のポリシーも同じです。お客様のコンテンツと受講者データを、Courseboxのモデルの学習やファインチューニングに使用することはありません。用途を特定したうえで書面により明示的にご同意いただいた場合を除きます。

HeyGenを利用したAI動画生成については、当社のエンタープライズAPIアカウントがすべてのモデル学習パイプラインから完全に除外されていることを、2026年2月に書面で確認しています。

お客様のコンテンツは、受講者への応答を生成するために使われます。用途はそれだけです。

データはどこでホスティングされていますか？

2026年5月以降、新規に開設されるCourseboxポータルはすべてGoogle Cloud Platform上で稼働しています。従来のOVH Franceの環境からの移行を進めており、お客様に対するコンプライアンスの基盤をより強固にすることが目的です。

GCPのデータセンターは、ISO 27001、ISO 27017、ISO 27018の認証を取得しています。既定のリージョンはフランスであるため、EU圏のお客様は特に申請しなくてもEU域内にデータが保管されます。地理的要件やデータレジデンシーの要件が組織ごとにある場合は、別のGCPリージョンを選択できます。

ここははっきりお伝えしておきます。Azure OpenAIによるAI処理は、既定では米国リージョンで実行され、Standard Contractual Clauses（SCC）と移転影響評価に基づいて行われます。EUリージョンでのAI処理も、必要に応じてご利用いただけます。特定の国でのホスティングや処理が必要な場合は、担当のCourseboxアカウントマネージャー、またはsupport@coursebox.aiまでご連絡ください。

データはどのように暗号化されていますか？

保存データは、Google Cloudが管理するAES-256で暗号化されています。転送中のデータにはTLS 1.2以上を使用します。パスワードはbcryptでハッシュ化しており、平文で保存することはありません。

バックアップも暗号化されています。日次バックアップの保持期間は既定で14日間、目標復旧時点（RPO）は24時間、目標復旧時間（RTO）は12時間です。専用データベースをご利用のエンタープライズアカウントでは、ポイントインタイムリカバリに対応し、保持期間を30日間まで延長できます。目標値もより厳しく、RPOは1時間以内、RTOは4時間以内となります。

自社のデータは他の顧客のデータと分離されていますか？

はい。ただし、分離の方法はご利用のプランによって異なります。

ほとんどのアカウントはマルチテナント型のアーキテクチャで稼働しています。データ、設定、APIキーはいずれもお客様の組織だけに帰属し、他のテナントが閲覧、操作、到達できないようシステム側で制御しています。共有環境内での制御による分離ではなく、インフラ階層での分離を求められるエンタープライズのお客様には、完全に独立したデータベースを持つ専用インスタンスをご用意できます。

身近な例えで言えば、集合住宅を思い浮かべてください。多くの入居者は建物そのもの、つまりインフラを共有しますが、各住戸とその鍵は入居者だけのものです。専用インスタンスは、建物ごと専有するイメージです。

CourseboxはどのAI・データプロバイダーを利用し、データはどう扱われますか？

プラットフォームで利用しているAIプロバイダーと、その役割は次のとおりです。

Microsoft Azure OpenAIは、コース生成、AIライティング、クイズ、AIチューターのチャットボットを担当します。処理はAzureのエンタープライズ基盤内で行われ、Microsoftがお客様のデータをモデルの学習に使用することはありません。

Google Gemini Proは、コース教材に使用するAI画像を生成します。プロンプトはAPI経由で送信され、生成物はお客様のCoursebox環境内にとどまります。Googleがお客様のデータをモデルの学習に使用することはありません。

Microsoft Azure Neural Text-to-Speechは、コースのテキストをナレーション音声に変換します。この音声はAzure内で処理され、一般公開モデルの再学習に使用されることはありません。

Mistralは、アップロードされたPDFなどの資料から、テキストと埋め込み画像を抽出します。抽出された内容は、Google Cloud上の当社インフラ内にとどまります。

HeyGenは、AIアバター動画の生成を担っています。前述のとおり、当社のエンタープライズアカウントはHeyGenのすべての学習パイプラインから除外されており、2026年2月に書面で確認済みです。

Anthropic Claudeを基盤とするPlain AIは、管理者向けのサポートチャットボットを動かしています。Plain AIおよびAnthropicのエンタープライズ利用規約により、お客様のデータが一般公開の基盤モデルの学習に使用されることはありません。

CourseboxはGDPRに準拠していますか？

はい。Coursebox Pty Ltdは、American Quality Standards Registrars（AQSR）による正式な審査を受け、GDPR準拠の認証を取得しています。AQSRは、United States Accreditation Council（USAC）から認定を受けた機関です。

認証の詳細は次のとおりです。

• 認証番号：17412
• 登録日：2025年6月11日
• 再認証日：2028年6月10日

ご自身でもwww.aqsrworld.comにて、認証番号17412でご確認いただけます。

あわせてAustralian Privacy Principlesにも準拠しています。データ保護の水準は、EU圏かどうかにかかわらず、すべてのお客様に同一の基準を適用しています。

セキュリティ侵害が発生した場合はどうなりますか？

文書化されたインシデント対応プロセスを4段階で定めています。封じ込め、影響評価、お客様への通知、そして事後レビューです。

通知期限は重大度に応じて設定しています。不正アクセスやデータ消失といった重大インシデントは、検知から4時間以内に該当するお客様へ通知します。優先度の高い侵害の可能性については12時間以内、優先度の低い脆弱性については24時間以内です。解決後5営業日以内に、書面による詳細な報告書を提出します。エンタープライズのお客様に対しては、エンタープライズ契約の一部として8営業時間以内の通知をお約束することも可能です。

過去12か月間、成立したセキュリティインシデントおよびデータ侵害は一件も発生していません。

Courseboxは、プロンプトインジェクションなどAI特有の脅威にどう対処していますか？

Microsoft Azure AI Content Safetyを導入しており、これにはPrompt Shieldsが含まれます。プロンプトインジェクションの試みを検知し、モデルに到達する前に遮断します。出力側では、Azure OpenAIとGeminiの双方がコンテンツフィルタリングを適用し、悪意のあるコード、ヘイトスピーチ、有害なコンテンツが利用者に届く前に停止します。

ログインと生成の各エンドポイントにはレート制限を設けており、総当たり攻撃が進行しないようにしています。また、ゲートウェイ層でAPIの利用状況を監視し、異常なスパイクを検知しています。

入力テキストは、いずれのモデルに渡される前に、アプリケーションのバックエンドで検証と構造化を行っています。

AIのハルシネーションへの対策は？

ハルシネーションは大規模言語モデルの仕組みに内在するもので、完全になくすことはできません。できるのは、その余地を狭めることです。生成はお客様から提供いただいたコースのパラメータと学習目標に厳密に紐づけ、システムレベルの制約を適用し、一貫性を保つために推論時のtemperatureを低く設定しています。

より大きな安全策は、人によるレビューです。AIが生成したコースコンテンツは、受講者の目に触れる前に必ず人の確認を経ますし、コース作成者はその内容をすべて編集できます。最終判断を人が下す設計にしています。

Courseboxに稼働率の保証はありますか？

はい。受講者が安定してアクセスできることは欠かせませんので、稼働率99%のサービスレベル目標（SLO）を設定しています。

Courseboxは主にGoogle Cloud Platform上で稼働し、EUリージョンの補助的なサービスはAmazon Web Servicesが担っています。この基盤で特に効いているのは、次の2点です。

1つ目は冗長化です。Googleは複数の物理データセンターにワークロードを分散しているため、サーバー1台あるいはデータセンター全体が停止しても、別の環境が処理を引き継ぎ、受講者が気づくことはありません。

2つ目は無停止保守です。Googleは定期的な更新やハードウェアの修理を、当社のサーバーを停止させることなく実施できます。これにより、予期しないダウンタイムの原因の多くが取り除かれます。

その上に災害復旧の仕組みを重ねています。バックアップは継続的に実行され、地理的に離れた複数の拠点に保管されます。リージョン全体が停止する最悪のケースでも、数分以内に別のリージョンでインフラを新たに立ち上げられます。

Courseboxはセキュリティ脆弱性について第三者の検証を受けていますか？

はい。第三者によるペネトレーションテストを年1回実施しています。直近のテストは2026年6月に完了しました。

特定のAI機能を組織側で無効にできますか？

はい。一部のAI機能は任意でご利用いただくもので、コンプライアンス要件に合わせてエンタープライズ単位で設定変更または無効化できます。エンタープライズのお客様は、自社のOpenAI APIキーを持ち込み、独自のモデル構成で運用することも可能です。

法務、セキュリティ、コンプライアンス上の理由がある場合には、AI連携を制限または停止する権限を留保しています。

CourseboxにAIガバナンス方針はありますか？

はい。AI機能はリリース前に想定される不利益を評価し、重要なAI関連の更新には変更管理を適用しています。社内文書は各機能のリスクに見合った範囲で整備し、AIの品質や安全性に関する問題をお客様から報告いただける窓口も設けています。当社の責任あるAIポリシーは、NIST AI Risk Management Framework、OECDの人工知能に関する理事会勧告、UNESCOの人工知能倫理に関する勧告、およびオーストラリアのVoluntary AI Safety Standardに準拠しています。

EU AI Actの透明性義務は2026年8月2日から適用されます。同日以降、受講者がAI機能を利用するあらゆる場面と、AIが生成した動画に、文脈に応じたAI利用の表示を行います。

方針を並べただけでは、必ずしも安心につながらないことも承知しています。ただ、ひとつお伝えしたいことがあります。Azure OpenAIへの移行、ホスティング基盤としてのGoogle Cloudの採用、見つけられる限りのベンダー学習パイプラインからの除外。これらはコンプライアンスのチェックリストに促されて決めたことではありません。お客様から厳しい質問をいただき、それに正直に答えたいと考えた結果として選んだ道です。

ここに載っていない疑問がありましたら、support@coursebox.aiまでメールでお寄せください。疑問を抱えたままにされるより、聞いていただけるほうがずっとありがたいです。