Anthropicのサブプロセッサー一覧を確認する方法

Anthropicのサブプロセッサー一覧はどこで確認できるか

Anthropicの委託先(サブプロセッサー)一覧は、Anthropic Trust Center(trust.anthropic.com)に掲載されています。Data Processing Addendum(DPA)のSchedule 4は「Anthropicの委託先リストはhttps://www.anthropic.com/subprocessorsで参照できる」と明記しており、このURLは現在Trust Centerへリダイレクトされます。

Trust Centerの実体はVanta社が提供するコンプライアンス管理SaaSの「Trust Center」機能です。実際にcurlでこのページを取得すると、返ってくるのはタイトルだけの空のHTMLシェルで、一覧のデータはassets.vanta.comから読み込まれるJavaScriptバンドルが実行されて初めて画面に描画されます。単純なHTTPアクセスやスクレイピングツールでは中身を取得できず、通常のWebブラウザでJavaScriptを有効にして開く必要があります。

社内で委託先一覧の定期確認を仕組み化したい情シス・法務担当者は、この時点で「自動取得できない」という制約を前提に運用を組む必要があります。ページの内容そのものを外部ツールで機械的に監視する設計は成立しにくく、担当者が手動でブラウザから開いて確認する運用が現実的です。

Trust Centerでの一覧の探し方

Trust Centerのトップページには記事検索用の検索窓と、Compliance・Security・Documentsといったカテゴリー分けされたナビゲーションが用意されています。Vanta製のTrust Centerに共通する構成として、SOC 2監査報告書やペネトレーションテストの要約といった機微な文書は「Request Access」による申請(多くの場合NDA相当の同意)を経て閲覧する形式が一般的です。一方でサブプロセッサー一覧のような契約上開示が前提の情報は、追加の申請なしに閲覧できる区分に置かれていることが多くなっています。

ただし、この区分けや掲載場所はサービス提供者側の運用次第で変わり得ます。実際にどのカテゴリーに一覧があるかは、閲覧のたびに自分のブラウザで確認するのが確実です。ページ内検索で「subprocessor」と入力して探すのが最短の経路になります。

DPAが定める追加時の通知と異議申し立て

DPAは、Anthropicが新しいサブプロセッサーを追加する際の手続きを次のように定めています。

• Anthropicは新しいサブプロセッサーにCustomer Personal Dataへのアクセスを与える前に、Customerへ合理的な事前通知を行う
• Customerは、データプライバシーやセキュリティ上の合理的な懸念を理由に、通知から15日以内に書面で異議を申し立てられる
• 15日以内に異議が無ければ、Customerは新しいサブプロセッサーの利用に同意したものとみなされる
• 異議が出た場合、CustomerとAnthropicは誠実に協議して解決を図る

標準契約条項(SCC)の枠組みでは、Clause 9(サブプロセッサーの利用)についてOption 2「一般的な書面による許可」が適用されると明記されています。個別のサブプロセッサーごとにCustomerの事前承認を得る方式(Option 1)ではなく、一覧を公開したうえで異議が出なければ包括的に許可されたとみなす方式です。つまりサブプロセッサー一覧のページは、確認して終わりの静的なリストではなく、変更が通知され、異議を申し立てる権利がある「運用中の手続き」の入り口という位置づけになります。SCCを組み込むだけで日本の個人情報保護法への対応が十分かどうかは別の論点で、ClaudeのDPAとSCC越境移転で扱っています。

委託先の委託先まで確認すべき理由

日本の個人情報保護法は、個人データの取扱いを委託する事業者に対して、委託先に「必要かつ適切な監督」を行う義務を課しています。この監督義務は、委託先がさらに処理の一部を他社に再委託する場合(サブプロセッサーのような多段の委託構造)にも及びます。委託した先が誰にどこまで再委託しているかを把握できていなければ、監督義務を果たしているとは言いにくくなります。

Anthropicのサブプロセッサー一覧を定期的に確認する実務は、この監督義務を具体的な行動に落とし込む手段のひとつです。DPAの契約書だけを読んで安心するのではなく、契約が指し示す一覧のページを実際に開き、記載されている企業と提供役務、扱われるデータの範囲を照合する作業が必要になります。個人情報保護法のもとでの委託先管理は、契約文言の確認と実際の運用確認の両方が揃って初めて完結します。個人情報保護委員会が生成AIサービス全般の利用に注意喚起を出している背景も含め、個人情報保護委員会の生成AI注意喚起への対応で扱っています。

サブプロセッサーがどの国でデータを処理しているかは、個人情報保護法が求める「外的環境の把握」の対象にもなります。処理国の把握方法はClaude Data Residencyと外的環境の把握で整理しています。契約上の手当てと、自社が扱うデータの所在・処理実態の把握は別の論点として扱う必要があります。

DPAが適用されるのは商用契約の顧客だけ

ここまで説明したDPAの通知・異議申立ての仕組みは、Anthropicとの間でCommercial Terms of Service(商用契約)を結んでいる法人顧客に適用される話です。Commercial Terms of Serviceは「本規約に基づくサービスは消費者向けの利用を想定していない」と明記しており、個人がブラウザから使うClaude.aiのような消費者向け利用はConsumer Terms of Serviceの適用対象で、DPAの枠組みとは別に扱われます。

自社の利用形態がAPI経由の商用契約なのか、従業員が個人アカウントでClaude.aiを使っているだけなのかによって、サブプロセッサー一覧を確認する意味合いも変わります。従業員が個人契約で使っているだけの場合、法人としてDPAに基づく通知・異議申立ての権利は発生しません。組織としてClaudeの利用を統制したい場合は、まず自社の契約形態がCommercial Terms of Serviceの適用対象になっているかどうかを確認する必要があります。

サブプロセッサーの把握が開示請求対応にも関わる理由

DPAは、データ主体(本人)からの開示・訂正・削除請求(Data Subject Request)をAnthropicが受け取った場合、速やかにCustomerへ転送する義務を定めています。この転送義務自体はAnthropicとCustomerの間の話ですが、実務上はサブプロセッサーが関わる場面でも影響します。あるサブプロセッサーが処理を担当しているデータについて本人から開示請求が来た場合、Customer側で「どのサブプロセッサーがどのデータを扱っているか」を把握できていなければ、請求への回答期限内に事実関係を整理できません。委託先一覧は契約管理の書類としてだけでなく、開示請求対応の初動を早めるための実務資料としても機能します。

一覧を確認する運用をどう回すか

15日という異議申し立て期間の短さは、一度確認して終わりにできない理由でもあります。Anthropicからの通知がメールで届くのか、Trust Center側の更新履歴で気づく形になるのかは契約形態によって変わるため、通知を受け取る経路を契約時に確認しておくことが実務上のつまずきを避ける近道です。通知の存在に気づかないまま15日が経過すると、異議を申し立てる権利自体は失われていなくても、実質的に対応の機会を逃すことになります。

社内での確認頻度は、四半期ごとの定期チェックに加えて、契約更新のタイミングでの確認を組み合わせる運用が現実的です。Trust Centerのページ自体に更新日時や変更履歴が表示される場合は、そこを起点に前回確認時との差分を洗い出す進め方が手戻りを減らします。

DPAの文面には「合理的な事前通知」とだけ記載があり、通知がメール・ポータル更新・その他どの経路で届くかまでは特定されていません。契約締結時にこの通知経路を明示的に確認しておかないと、実際に新しいサブプロセッサーが追加されたタイミングを把握できないまま15日の異議申し立て期間が過ぎてしまうリスクがあります。

確認する担当者が変わっても手順を引き継げるようにする

サブプロセッサー一覧の確認は、一度担当者が仕組みを理解しても、異動や退職で引き継ぎが発生すると同じ手間がまた発生しがちな作業です。URL・Trust Center内での探し方・15日の異議申立て期間・通知経路の確認先という4点を社内のナレッジベースに残しておくと、担当者が変わっても確認作業の質が落ちません。特に「通知がどの経路で届くか」は契約担当者の個人的な記憶に依存しやすい情報のため、明文化の優先度が高い項目です。

まとめ

Anthropicのサブプロセッサー一覧はtrust.anthropic.comのTrust Centerに掲載され、DPAのSchedule 4がこの参照先を定めています。ページはJavaScriptで描画されるため機械的な自動取得はできず、ブラウザでの手動確認が前提です。新しいサブプロセッサーの追加は通知から15日の異議申し立て期間を伴う運用で進むため、一度確認して終わりにせず、契約更新や定期チェックのタイミングで開き直す運用に落とし込むのが実務的です。日本企業にとっては、この確認作業が個人情報保護法における委託先の監督義務を具体的に果たす手段のひとつになります。