欧州で選ぶGDPR対応の文字起こしツールおすすめ（2026）：8ツールを検証

各ベンダーの情報は、2026年11月9日時点で各社自身のページと照合して確認しました。料金やポリシーは変わるため、購入前にリンク先を確認してください。

インタビュー、講義、顧客との通話の録音は個人データです。それを文字起こしサービスにアップロードすると、そのサービスはあなたの処理者になり、管理者であるあなたには、処理者を慎重に選ぶ責任が生じます。GDPR対応の文字起こしツールを選ぶとき、ランディングページの「GDPR準拠」バッジからわかることはほとんどありません。手がかりになるのは、その裏にある文書のほうです。

結論：

• 文書が公開され、EU内だけで完結する最も厳格な構成なら：Good Tape（デンマーク）。再委託先はEU内のみ、DPAはアカウント内で取得でき、ISO 27001を取得しています。
• 字幕・翻訳・文字起こしを、EUでホストされた1つのツールで低予算にまとめたいなら：BlaBlaScribe（ポーランド、サーバーはドイツ）。
• ISO認証と人手による文字起こしが必要な研究機関・公共機関のチームなら：Amberscript（オランダ）。
• エンジニアがいて、すべてを自分で管理したいなら：セルフホストのWhisper。

開示：BlaBlaScribeは私たちの製品です。比較の公平性を保つため、自社を含むすべてのツールを同じ9項目で評価し、各記述をベンダー自身の文書にリンクし、自社の弱点も挙げています。

早見表：GDPR対応の文字起こしツール一覧

「非公開」「記載なし」は、ベンダーの公開ページで見つからなかったという意味です。ベンダーがそれを持っていないという意味ではありません。購入前に問い合わせてください。

文字起こしツールにとって「GDPR準拠」とは何を意味するのか

ツール単体で「GDPR準拠」になるものはありません。準拠できるかどうかは、あなたの使い方で決まります。ツールはそれを簡単にもするし、難しくもします。法的に重要なのは次の点です。

あなたが管理者、ツールは処理者（第28条）

GDPR第28条により、利用できるのは「十分な保証」を提供する処理者だけで、さらに契約、すなわちデータ処理契約（DPA）が必要です。この契約では、処理者がデータで何をしてよいか、セキュリティ対策、再委託先、サービス終了時の削除を定めます。詳しくはEDPBの「管理者と処理者の概念に関するガイドライン07/2020」が解説しています。

実務上は、仕事で他人の声を文字起こしするなら（インタビュー相手、応募者、顧客、研究参加者など）、文字起こしサービスとのDPAが必要です。いちばん扱いやすいのは、DPAを公開しているか、アカウント内で同意できるサービスです。

EU内でのホスティングは必須？必須ではないが、作業がひとつ丸ごと減る

GDPRは、データをEU内にとどめることを求めていません。欧州経済領域（EEA）外への移転は、十分性認定がある場合（英国は認定を受けており、2025年12月に2031年まで更新されました）、EU-米国データプライバシーフレームワーク（DPF）の認証を受けている場合、または標準契約条項（SCC）に移転リスク評価を組み合わせた場合に認められます。

DPFは有効ですが、これに対する訴えがEU司法裁判所で上訴審にかかっており（事件番号C-703/25 P）、欧州の複数の監督機関が企業に撤退計画を用意しておくよう助言しています。EUでホストされ、再委託先もEU内に限られるツールなら、この問題をまるごと避けられます。

もうひとつ注意点があります。「EUでホスト」が示すのはデータがどこにあるかであって、誰がデータの提出を強制されうるかではありません。米国に親会社を持つ事業者は、フランクフルトに保存したデータについても米国法（CLOUD Actなど）の対象になる場合があります。それが重要なら、データセンターだけでなく企業構造も確認してください。

音声録音は「生体データ」か？

あらゆる音声録音がGDPR上の生体データだと書く記事もありますが、それは言い過ぎです。第4条(14)は生体データを、人の一意の識別を可能にする、または確認する特定の技術的処理から得られる個人データと定義しており、第9条は誰かを一意に識別する目的で処理する場合にそれを制限しています。

音声をテキストに変換しても、それにはあたりません。録音が個人データであることに変わりはなく、その内容に特別な種類の個人データ（健康、政治的意見、宗教）が含まれることもあります。しかし通常の文字起こしで生体データになるわけではありません。音声クローンは別です。サンプルから作った音声モデルは人を識別できるため、クローン機能を提供するツールは事前に明示的な同意を求めるべきです。

EU AI法との関係

音声のテキスト化は、EU AI法上の高リスクシステムではありません。ただし第5条(1)(f)により、2025年2月2日以降、職場と教育の場で感情を推定することは、医療上または安全上の理由を除いて禁止されています。会議やインタビューのツールが応募者や従業員の「センチメント」「感情」スコアを出す場合は、その機能をオフにしてください。

評価方法：9項目のチェックリスト

使ったのは、各ベンダーが公開している情報だけです。プライバシーポリシー、セキュリティページ、DPA、再委託先リスト、料金ページです。営業担当には問い合わせていません。あなたのDPO（データ保護責任者）も、まず公開文書から確認を始めるはずだからです。

1. 公開DPA（第28条）。ダウンロードやアカウント内での同意ができるか、それとも申請が必要か。
2. ホスティング事業者とリージョンの明記。「EUのサーバー」は主張にすぎませんが、「AWS eu-central-1」なら確認できます。
3. 再委託先リストの公開。あなたの音声やテキストに、ほかに誰が触れるのか。
4. EU域外の処理者についての移転の根拠：十分性認定、DPF、SCCのいずれか。
5. 音声が第三者のAI事業者に送られるか。多くのツールは他社の音声モデルを再販しています。
6. 顧客データを学習に使わないことが、マーケティングページだけでなくプライバシーポリシーやDPAに明記されているか。
7. デフォルトの保存期間と削除（バックアップを含む）。
8. 第三者認証（ISO 27001、SOC 2）とその適用範囲。
9. EU内の法人と主監督機関。苦情の申し立て先がわかります。

料金、無料枠、対応言語数も記載しています。精度については、自分の録音で試してください。文字起こし精度の測り方（WER）のガイドも参考になります。

8つのツールを検証

以下のツールは順位付けしていません。それぞれが最も向いている用途ごとに分けています。

1. BlaBlaScribe：文字起こし・字幕・翻訳をEUホストの1ツールでまとめたい人向け

• 運営会社：Vindrose sp. z o.o.（ポーランド、ヴロツワフ）。EU法人で、主監督機関はポーランドのUODOです。（プライバシーポリシー）
• 音声の行き先：文字起こし、字幕生成、音声と音楽の分離は、ドイツのHetzner Online GmbHがホストするBlaBlaScribe自社のサーバーで実行されます。音声が第三者のAI事業者に送られることはありません。オプション機能のうち2つはテキストを送信します。翻訳とAI要約は文字起こしテキストをGoogle Gemini APIに送り、AI吹き替えはナレーション原稿をElevenLabsに送ります（音声クローンを作成する場合に限り、明示的な同意のうえで音声サンプルも送信）。（セキュリティページ）
• GDPR関連の文書：公開のデータ処理契約が利用規約への同意によって自動的に適用され、署名は不要です。再委託先リストには各事業者が何をどこで受け取るかが示され、変更はそのページで告知されます。EU域外への移転はSCCまたはDPFに基づきます。データ侵害の通知は48時間以内。アカウントを削除するとデータも削除され、バックアップは30日以内に入れ替わります。
• 暗号化：通信中は暗号化（HTTPS）。ファイルはドイツにあるBlaBlaScribe自社のサーバーに保存され、ストレージのディスクは暗号化されていません。
• 学習への利用なし：ファイルはBlaBlaScribeでもその委託先でも「AIの学習には一切使われません」。
• 保存期間：文字起こし、字幕、翻訳は削除するまで残ります。元のメディアは無料プランでは30日間保存されます。有料プランではサブスクリプションが有効な間は保存され、解約後はCreatorで60日、Proで9か月、Businessで12か月保存されます。削除前にはメールで通知が届きます。ファイルはいつでも削除できます。
• 認証：まだありません。
• 料金：30分の無料枠（1回限り、カード不要）。Creatorは月$14（600分）、Proは月$43、Businessは月$99で、年払いなら約20%安くなります。120以上の言語に対応し、50以上の言語への翻訳、27言語への吹き替えが可能です。（料金）
• 注意点：ISO 27001やSOC 2はまだなく、保存データの暗号化もありません。翻訳やAI要約を使うと文字起こしテキストが米国の処理者（Google）に送られるため、EU内だけで完結させたいなら、機密性の高い素材ではこれらの機能をオフにしてください。公開APIはありません。

2. Happy Scribe：人による校正も使いたい字幕チーム向け

• 運営会社：Happy Scribe Limited（アイルランド、ダブリン）。（プライバシー）
• 音声の行き先：AWSとHeroku。データセンターは「欧州連合内」とされていますが、リージョン名はありません。プライバシーポリシーには、AIアシスタントとコネクター機能の提供元としてOpenAIとAnthropicの名前が挙がっています。中核となる文字起こしエンジンは明かされていません。（セキュリティ、プライバシー）
• GDPR関連の文書：プライバシーポリシーはDPAに言及していますが入手方法は書かれておらず、セキュリティページには問い合わせるよう記載されています。再委託先はトラストポータルに掲載され、変更通知もあります。移転はSCC、DPF、またはその他の第45条・第46条の仕組みに基づきます。
• 学習：ここが最大の注意点です。プライバシーポリシーには、登録時のオプトインによる同意が記載されています。同意すると、識別情報を除去したコンテンツがモデル学習のために第三者にライセンス提供または共有される場合があります。業務用アカウントでは、このチェックボックスがオフのままになっていることを確認してください。
• 保存期間：削除したファイルは10日間復元でき、その後完全に削除されます。バックアップの扱いは記載がありません。
• 認証：SOC 2 Type 2（適用範囲の記載なし）。ISO 27001はHappy Scribe自体ではなく、データセンター事業者のものです。
• 料金：1回限り10分の無料枠あり。Basicは月$17から、年払いなら月$8.50。150以上の言語に対応。（料金）
• 注意点：学習へのオプトインと、DPAをセルフサービスで入手できない点。

3. Amberscript：ISO認証が必要な大学・公的機関向け

• 運営会社：Amberscript Global B.V.（アムステルダム）。ベルリンにGmbHがあります。（プライバシー）
• 音声の行き先：フランクフルトのGoogle Cloud Platform。セキュリティページには、データが欧州外に保存されることは決してないとあります。名前の明かされていない「第三者」が音声の文字起こしと処理を行います。（データセキュリティ）
• GDPR関連の文書：DPAはフォームから申請します（記入済みのPDFが届きます）。公開の再委託先リストはありません。プライバシーポリシーには一部のパートナーがEEA外にあると書かれていますが、移転の根拠は示されておらず、セキュリティページの「欧州外には決して保存しない」と矛盾します。説明を求めてください。
• 学習：プライバシーポリシーによると、音声と文字起こしは、使用している言語モデルの学習には一切使われません。
• 保存期間：デフォルトでは、ファイルはアップロードから6か月後に自動削除されます（事前通知あり）。この設定はオフにできます。バックアップについては記載がありません。
• 認証：ISO 27001とISO 9001（適用範囲の記載なし）。
• 料金：無料枠の記載なし。Starterは月€19（5時間）、従量課金は1時間€10、人による文字起こしは1分€1.85から。対応言語は機械で90以上、人手で18以上。（料金）
• 注意点：名前の明かされていないAIパートナーと、EU域外への移転についての説明が不明確な点。

4. Good Tape：EU内で完結する最も厳格な構成を求める人向け

• 運営会社：Good Tape ApS（デンマーク、コペンハーゲン）。（セキュリティ）
• 音声の行き先：EU内のみの再委託先リストが公開されています。文字起こしにGoogle（EU）とAzure（EU、混雑時の予備）、ファイル保存にScaleway、アプリのデータにSupabaseとMongoDBを使用しています。（再委託先）
• GDPR関連の文書：Proでは標準のDPA、Businessでは個別のDPAがあり、アカウント設定から入手できます。サンプルも公開されています。（DPA）すべての委託先がEU内にあるため、移転の根拠は必要ありません。
• 学習：「ユーザーのデータで学習することは一切ありません」と、ポリシーとDPAに明記されています。
• 保存期間：削除はバックアップを含めて12時間以内。デフォルトの扱いはページによって説明が異なる（処理後に削除／好きなだけ保存）ため、設定を確認してください。
• 認証：ISO/IEC 27001:2022。2026年1月30日発行、2029年1月まで有効（適用範囲の記載なし）。
• 料金：1時間分の文字起こしができる無料トライアル（カード不要）。Proは年払いで月€16（月20時間）、Businessは要問い合わせ。100以上の言語に対応。（料金）
• 注意点：セキュリティページでは「自社のインフラ」とされていますが、再委託先リストでは文字起こしはGoogleとAzure（EUリージョン）で行われています。機能は文字起こしのみで、字幕のスタイル設定、翻訳、吹き替えはありません。

5. Trint：報道機関向け（英国拠点、EUテナントあり）

• 運営会社：Trint Limited（ロンドン）。EUから英国への移転は、更新された十分性認定でカバーされます。（プライバシー）
• 音声の行き先：EU（AWSのフランクフルト／アイルランド、MongoDB Atlasのアイルランド）と米国のテナントが分かれています。Anthropicが「社内利用のため」の再委託先として記載されています。文字起こしエンジンは明かされていません。
• GDPR関連の文書：再委託先はプライバシーポリシー内に記載されています。移転はSCCと英国の十分性認定に基づきます。顧客向けDPAについては公に言及されていません。
• 学習：セキュリティページには録音をアルゴリズムの学習に使わないとありますが、プライバシーポリシーには記載がありません。
• 保存期間：コンテンツは削除するかアカウントを閉じるまで保存されます。プライバシーポリシーとセキュリティページで表現が異なります。
• 認証：ISO 27001:2022とCyber Essentials。
• 料金：無料トライアルあり、無料プランなし。Proは1シートあたり月€69から。50以上の言語に対応。（プラン）
• 注意点：料金ページでは「EU専用サーバー」がカスタムのBusinessプランにしか記載されていないため、セルフサービスのアカウントがどちらのテナントに入るか確認してください。

6. Gladia：EUの音声認識APIが必要な開発者向け

• 運営会社：Gladia SAS（フランス、ルーベ）。米国の関連会社（Gladia Inc.）が再委託先になっています。（DPA）
• 音声の行き先：デフォルトはフランスのOVHcloud。一部のAWSサービスはEUと米国にあります。DPAではデータの所在地が「欧州、米国」とされています。単一リージョンでの処理には書面での合意が必要です。アドオンではOpenAI（アイルランド）、Google Cloud、DeepLなどを使用します。
• GDPR関連の文書：DPAは公開ウェブページで、再委託先は付属書に記載されています。移転はSCCまたはDPFに基づきます。
• 学習：Self-serveプラン（€50の無料クレジットが付くプラン）では、音声がデフォルトで学習に使われる場合があります。オプトアウトは無料です。Enterpriseは最初からオプトアウトされています。（料金）
• 保存期間：料金ページにSelf-serveについての記載はなく、Enterpriseにはデータ保持ゼロと記載されています。
• 認証：SOC 2 Type 1とType 2。ISO 27001はセキュリティページで「取得手続き中」とされていますが、ホームページでは取得済みとしています。
• 料金：€50の無料クレジット。音声1時間あたり€0.16で、利用量に応じて€0.12まで下がります。Solaria-1で100以上の言語に対応。
• 注意点：実データを送る前に学習をオプトアウトし、保存期間も自分で設定してください。

7. Sonix：文書は充実、ただし米国企業

• 運営会社：Sonix, Inc.（サンフランシスコ）。（プライバシー）
• 音声の行き先：米国のAWS。Enterpriseの顧客はSonixのチームとデータ所在地を調整できます。第三者のAI事業者は開示されていません。（セキュリティ）
• GDPR関連の文書：DPAは申請によりアカウント内で入手可能。移転はSCCに基づきます。公開の再委託先リストはなく、DPFのリストにも見当たりませんでした。
• 学習：顧客のコンテンツが自社モデルの学習に使われることはありません。
• 保存期間：削除するまで保存されます。バックアップは最大90日間残る場合があります。
• 認証：SOC 2 Type 2。BAAによりHIPAAにも対応。
• 料金：30分の無料トライアル。従量課金で1時間$10、または月$25。54以上の言語に対応。（料金）
• 注意点：Enterprise以外のデータは米国で処理されるため、SCCと移転影響評価が必要です。

8. セルフホストのWhisper：すべてを自分で管理したい人向け（エンジニアがいる場合）

• 概要：OpenAIの音声モデルで、MITライセンスのオープンソースとして公開されています。自社サーバーやEUのクラウドで動かせば、第三者が音声に触れることはありません。
• GDPR関連の文書：あなたが管理者であり、インフラの所有者でもあります。セキュリティ、アクセス制御、削除、文書化はすべて自分の責任です。
• 代わりにOpenAIのホスト型APIを使う場合：APIのデータはデフォルトで学習に使われず、文字起こしのエンドポイントはデータ保持ゼロの対象になり、対象となるプロジェクトではEUデータレジデンシーも利用できます。OpenAIは米国企業で、確認した時点ではDPFのリストに見当たりませんでした。（OpenAI：データの取り扱い）
• 注意点：エディター、話者ラベル、字幕の書き出しは標準では付いておらず、精度は言語とモデルサイズによって変わります。必要な手間はWhisperと有料文字起こしツールの比較で確認できます。

Otter.ai、Fireflies、Revはどうか

いずれも人気の米国サービスです。どれもGDPRのもとで使えますが、書類の手間は増え、管理できる範囲は狭くなります。

• Otter.aiはGDPRに準拠している？Otter.ai, Inc.はEU-米国DPFの認証を受けており、DPA（利用規約内）と再委託先リストを公開しています。プライバシーポリシーには識別情報を除去した音声と文字起こしで自社AIを学習させるとあり、ホスティングはAWSで、EUでのデータ所在地については記載がありません。対応言語は6つです。（プライバシー、再委託先）
• Fireflies.aiはDPF認証を受け、DPAと再委託先リストを公開していますが、処理は米国で行われ、文字起こしは第三者（AssemblyAI）が担っています。（DPA）
• RevはSCCを含む自動発効型のDPAを公開しています。処理は米国で、人による文字起こしの一部はインドで行われます。コンテンツで外部のモデルを学習させることはないとしていますが、ヘルプセンターにはRev自社の音声モデルの学習からオプトアウトする方法が説明されているため、サポートに依頼してオプトアウトしてもらってください。（DPA、ヘルプセンター）

会議を録音する場合は、同意に関するルールも確認してください。EUと米国で会議の録音は合法かで解説しています。

GDPR対応の文字起こしツールはどれを選ぶべきか

• 倫理審査を通った学術インタビュー：倫理委員会がISO 27001を求めるならAmberscriptかGood Tape。予算を重視し、機密データでは翻訳をオフにしておけるならBlaBlaScribe。研究者向けの文字起こしもご覧ください。
• 報道と情報源の保護：Good Tape（EU内のみ、迅速な削除）、または最も機密性の高い情報源にはセルフホストのWhisper。記者向けの文字起こしもご覧ください。
• 人事面接と採用：DPAのあるEUホストのツールならどれでも構いません。センチメントや感情の機能はオフにし（AI法）、応募者には事前に知らせてください。
• 代理店やコンサルティング会社のクライアント通話：EU内で処理するならGood TapeかBlaBlaScribe、チームが英国拠点ならTrint。
• EU向け動画の字幕と翻訳：BlaBlaScribe（文字起こしはドイツで実行、翻訳で送るのはテキストのみ）、またはHappy Scribe（学習へのオプトインはオフのまま）。
• プロダクトを開発する開発者：Gladia（学習をオプトアウトし、保存期間を設定）、またはEUデータレジデンシーを使ったOpenAI API。
• ゼロトラストやエアギャップ環境：セルフホストのWhisper。

最初の録音をアップロードする前のGDPRチェックリスト

1. DPAに署名または同意し、日付入りの再委託先リストのコピーを保存する。
2. 処理活動の記録にこの処理を追加する（第30条）。
3. データ保護影響評価（DPIA）が必要か判断する（第35条）。録音に健康データ、子ども、弱い立場の人が含まれる場合や、大規模なモニタリングにあたる場合は必要になる可能性が高いです。
4. 録音の前に参加者に通知するか同意を得て、どのサービスで文字起こしするかも伝える。インタビューの文字起こし方法も参考にしてください。
5. 不要なら、追加の処理者にデータを送るオプションのAI機能をオフにし、切り替えがあるところではすべて学習をオプトアウトする。
6. 仮名化する：文字起こし内の名前を置き換え、確認が済んだら元の音声を削除する。
7. 保存期間を決め、予定どおりに元ファイルを削除する。
8. 従業員を録音する前に従業員代表機関（ワークスカウンシル）と話し合う（ドイツ、オランダ、フランスなど）。
9. ベンダーを毎年確認し直す：再委託先や移転の根拠は変わります。

よくある質問

AI文字起こしはGDPRに準拠していますか？

準拠させることはできます。録音の法的根拠があり、事業者とデータ処理契約を結び、事業者がデータを保護して適法に移転していれば、AI文字起こしはGDPRのもとで適法です。ツールだけで準拠できるわけではなく、決め手はあなたの運用です。

文字起こしサービスとDPAを結ぶ必要はありますか？

はい。組織のために他人の個人データを文字起こしするなら必要です。GDPR第28条は、管理者と処理者の間に書面による契約を求めています。DPAを公開しているか、アカウント内で同意できる事業者を選びましょう。

GDPRは文字起こしデータをEU内に保存することを求めていますか？

いいえ。EEA外への移転は、十分性認定、EU-米国データプライバシーフレームワークの認証、または標準契約条項があれば認められます。EUでホストし、再委託先もEU内に限れば、追加の移転評価とDPFをめぐる法的な不確実性を避けられる、というだけのことです。

Otter.aiはGDPRに準拠していますか？

Otter.aiはGDPRのもとで利用できます。EU-米国データプライバシーフレームワークの認証を受けており、DPAも提供しています。ただしデータは米国で処理され、プライバシーポリシーには識別情報を除去した録音と文字起こしで自社AIを学習させるとあります。そのため、多くのEUの組織はEUでホストされた代替ツールを選んでいます。

OpenAI WhisperはGDPRに準拠していますか？

セルフホストのWhisperは第三者が音声を受け取らないため、準拠の度合いはあなた自身のインフラ次第です。OpenAIのホスト型APIは、デフォルトでAPIのデータを学習に使わず、文字起こしにはデータ保持ゼロを、対象プロジェクトにはEUデータレジデンシーを提供していますが、OpenAIが米国の処理者であることに変わりはありません。

インタビューの文字起こしに同意は必要ですか？

必ずしも必要ではありません。同意は法的根拠のひとつにすぎず、代わりに正当な利益、契約、公益目的の研究が根拠になる場合もあります。ただし、録音と文字起こしをすることは必ず本人に伝えなければならず、多くの倫理委員会はいずれにせよ書面での同意を求めています。

音声録音はGDPR上の生体データですか？

通常は違います。声が生体データになるのは、人を一意に識別するために特定の技術で処理された場合だけです。通常の文字起こしはそれにあたりません。音声クローンや話者識別はあたる可能性があるため、そうした機能には特別な注意と明示的な同意が必要です。

文字起こしサービスは私のファイルをAIの学習に使えますか？

規約で認められている場合に限ります。顧客データで一切学習しない事業者（Good Tape、Sonix、BlaBlaScribe）もあれば、識別情報を除去したデータで学習する事業者（Otter.ai）、オプトインやオプトアウトの切り替えを用意している事業者（Happy Scribe、Gladia、Rev）もあります。マーケティングページだけでなく、プライバシーポリシーを確認してください。

まとめ

押さえておきたいポイントは3つです。

1. バッジではなく文書を確認する。公開DPA、明記されたホスティング事業者、再委託先リストは、ランディングページの「GDPR準拠」よりも多くを教えてくれます。
2. EUでのホスティングは手間を減らすが、DPAの代わりにはならない。また、サーバーがフランクフルトにあっても、米国の親会社の存在が問題になることがあります。
3. 音声とテキストの行き先を把握する。多くのツールは音声をEU内にとどめながら、要約や翻訳のために文字起こしを米国のAIモデルに送っています。

EUでホストされた文字起こし、字幕、翻訳を1か所でまとめたいなら、BlaBlaScribeを無料で試してみてください。30分無料、カード不要で、ドイツにある自社サーバーで文字起こしします。アップロードする前に、録音をどのように扱っているかを詳しく確認してください。