インサイト 2026年10月

中国のソフトウェア・IoTメーカーが知っておくべき米国のデータ規則

2025年4月から、中国を拠点とする企業に米国の大量の個人データへのアクセスを与えることが制限されています。ロボットフリート、スマートデバイス、アプリも対象です。

どんな規則か

米国司法省のデータセキュリティプログラムは2025年4月8日に施行され、2025年10月6日からはデューデリジェンスと年次監査の要件が適用されています。懸念国として、香港とマカオを含む中国が名指しされています。

対象となる企業

中国に本社を置く企業、またはそうした企業が50%以上を保有する企業は「対象者」となり、その米国外の従業員も同様です。米国企業がベンダー契約、雇用契約、投資契約を通じてこれらの対象者に対象データへのアクセスを与える場合は、連邦のセキュリティ要件に従い、デューデリジェンスと年1回の独立監査を行うことが条件となります。

しきい値

この規則は、12か月間に収集された大量データに適用されます。米国内1,000台のデバイスの精密な位置情報、1,000人分の生体識別情報、10,000人分の健康情報または金融情報、あるいはデバイスIDなどの個人識別子を他のデータと組み合わせたもの100,000人分です。ロボットのフリートや人気アプリであれば、すぐにこの水準を超えることがあります。

製品への影響

海外のチームが米国の大量の個人データにアクセスできないように製品を設計します。北米でのホスティング、アクセス制御、ログ、そして北米を経由するサポート体制です。米国の買い手はデューデリジェンスでこの点を確認してくると考えてください。民事制裁金は違反1件あたり約$375,000または取引額の2倍に達し、故意の違反は刑事罰の対象となります。

上記日付時点の一般的な情報です。法的助言ではありません。規制は変わるため、製品ごとに資格を持つ弁護士に確認します。