Amazon Rekognitionは中国本土で使えるか：PIPLの越境、データの国内保存、センシティブデータのルール
Amazon RekognitionはAWSのコンピュータビジョンサービスで、顔検出・顔比較・本人確認・コンテンツモデレーションを行います——そしてAWSは中国本土リージョンでは提供していません。したがって貴社の中国事業が分析のために送る画像と動画は、それ自体が個人情報であり、しばしば生体情報（顔）で、オフショアで処理されます：センシティブ個人データのPIPL越境移転です。国内保存・センシティブデータ・越境のリスクを、コンプライアンス起点で読み解きます。
Amazon Rekognitionは中国本土で使えるか
貴社の中国事業がAmazon Rekognitionに分析させる画像と動画は、それ自体が個人情報であり——顔を含むとき、そのコンテンツは生体データ、最もセンシティブな種類——そしてAWSはRekognitionを中国本土リージョンでは提供していないため、それを分析することはセンシティブ個人データのPIPL越境移転です。
Rekognitionは顔を検出・比較し、顔ライブネスの本人確認を実行し、ユーザー生成の画像と動画をモデレートします。送信する顔や写っている人物は最小化も匿名化もできません、それ *が* 識別子だからです——PIPL第28条（英語）のセンシティブ個人情報です。それを海外にホストされるサービスへ送ることは越境移転（英語）（第38〜40条、センシティブデータには第29条の個別の同意）であり、自動の合否やフラグ／削除は第24条の自動意思決定で、顔認識は中国で2025年の独自の国家ルールを持ちます。法令に沿ったレバーは、画像と顔の処理を国内に留め、国境を越えるものを最小化し、個別の同意を取得し、あらゆる中国向けのサーフェスをICP備案することであって——オフショアのAPIを到達可能にすることではありません。
ある画像や顔がセンシティブか「重要データ」かは、何を処理するかと業種で変わります——専門家と確定させるべきリスクです。当社の中国チームがリスクを整理します →
コンプライアンス・スナップショット
- ✕ RekognitionにはAWS中国リージョンがない。送る画像と顔はオフショアで処理される
- ! 顔は生体データ——匿名化できないPIPL第28条のセンシティブPI
- ! 中国の画像をオフショアへ送ることはPIPLの越境移転（第38〜40条＋第29条）
- ! 自動の顔確認やコンテンツのフラグ／削除は自動意思決定（PIPL第24条）
- ! CIIOや大量取扱者は中国国内保存を負う（CSL第39条、旧第37条）
- ✓ 法令に沿った経路：ビジョンの処理を国内に留め、個別の同意、サーフェスをICP備案
Amazon Rekognitionの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Amazon Rekognitionは中国本土のAWSリージョンでは動かない。AWSのendpoints and quotasのページは、「Amazon RekognitionのAPI操作（ストリーミングAPI操作を除く）が利用可能な」リージョン——米国・欧州・アジアパシフィック・カナダ・イスラエル・南米・AWS GovCloud（US）——を挙げ、北京（cn-north-1）や寧夏（cn-northwest-1）のエンドポイントはなく、AWSはオンプレミスやセルフマネージドの版も挙げていない。したがって中国で収集した画像と動画はオフショアで分析される。 | AWS, 「Amazon Rekognition endpoints and quotas」AWS General Reference（docs.aws.amazon.com、2026-10-11 取得） |
| Rekognitionへ送るコンテンツは顔とユーザー生成メディア——個人情報そのものだ。AWSはRekognitionを「画像と動画に写る顔を検出」し「画像と動画の中の潜在的に安全でない・不適切な・望ましくないコンテンツを検出」できるサービスと説明し、顔比較と顔ライブネスの本人確認を提供する。顔は生体データであり、それは移転前に匿名化できない。サービスに認識させた当のものだからだ。 | AWS, 「Amazon Rekognition」製品ページ（aws.amazon.com、2026-10-11 取得） |
| 顔はPIPL第28条のセンシティブ個人情報だ。中国の個人情報保護法は、生体データを——金融口座や国民ID番号と並んで——センシティブ個人情報に分類し、特定された個別の同意、事前の個人情報保護影響評価、厳格な必要性をもってのみ処理できる。PIPL（第28条）を参照。顔認識は中国で2025年の専用の国家ルールも持ち、PIPLに上乗せされる。 | 21YunBox「中国個人情報保護法（PIPL）」第28条（21cloudbox.com、2026-10-11 取得） |
| 中国で収集した画像をオフショアで分析することは、取扱者である貴社によるPIPLの越境移転だ。個人情報を本土の外へ送ることはPIPL第38〜40条に触れる——通知、移転メカニズム（CACの安全評価、CAC標準契約、または認証）、そしてセンシティブデータについて第29条で補強される個別の同意——そしてCIIOや大量取扱者には、サイバーセキュリティ法の中国国内保存の義務。PIPLの下での越境データ移転を参照。 | 21YunBox「PIPLの下での越境データ移転」（21cloudbox.com、2026-10-11 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月11日に確認しました。
Amazon Rekognitionを運用する中国事業にとって、問いはAPIが上海からの呼び出しに応答するかではありません。分析のためにRekognitionへ送る画像と動画 そのもの が個人情報であり——顔を含むとき、そのコンテンツは生体データ、中国法が認める最もセンシティブな種類です。RekognitionはAWSのマネージドなコンピュータビジョンサービスです：顔を検出・比較し、顔ライブネスの本人確認を実行し、ユーザー生成メディアをモデレートします。それはAWSのグローバルリージョンとGovCloud（US）でのみ動き、AWS中国パーティション——北京（Sinnet）と寧夏（NWCD）——はそれを提供しないので、中国で収集した画像はオフショアで分析されます。顔は匿名化できません——それ が 識別子です。それを海外へ送ることはPIPLの下での越境移転です（第38〜40条、加えて第29条の個別の同意）。自動の承認／拒否、またはフラグ／削除は自動意思決定です（第24条）。そしてあらゆる中国向けのサーフェスはICPの義務を負います。
中国でのAmazon Rekognition：ひと目で
| 決め手 | Amazon Rekognition自身の言葉で——そして中国の法では |
|---|---|
| 何を送るか | Rekognitionは、アップロードまたはストリーミングする画像と動画を分析します——AWSはそれを“Detect faces appearing in images and videos”（画像と動画に写る顔を検出）し“Detect potentially unsafe, inappropriate, or unwanted content across images and videos”（画像と動画の中の潜在的に安全でない・不適切な・望ましくないコンテンツを検出）するサービスと説明します。そのコンテンツ *が* 個人情報です：ユーザー写真、アップロードされた本人確認やセルフィーの画像、ユーザー生成メディア。画像が顔を示すとき、送ったものは生体データ——PIPL第28条のセンシティブ個人情報です。 |
| どこで動くか | Rekognitionは、AWSのグローバル商用リージョンとGovCloud（US）でのみ利用可能なマネージドクラウドAPIです。AWS自身の中国パーティション——Sinnetが運営する北京、NWCDが運営する寧夏——はRekognitionを提供せず、セルフマネージドやオンプレミスの版もありません。したがって中国事業から収集した画像と動画はオフショアで分析されます。中国事業にとって、それはPIPL第38〜40条の下での個人情報の越境移転（数据出境）です。 |
| センシティブデータの扉 | 顔は生体データであり、生体情報は——金融口座や国民ID番号と並んで——PIPL第28条のセンシティブ個人情報です：個別の同意、事前の影響評価、厳格な必要性。顔は最小化も匿名化もできません。それ *が*、画像を送って認識させた当の識別子だからです。顔認識は中国では2025年の専用ルールの下でも特別に規制され、PIPLに上乗せされます。 |
| 自動の決定＋国内保存 | Rekognitionが結果を決めるところ——ユーザーを合否判定する顔ライブネスの本人確認、コンテンツをフラグ／削除するモデレーションの判定——は、PIPL第24条の自動意思決定で、個人は専ら自動化によってなされた決定を拒否できます。重要情報インフラ運営者または大量取扱者の場合、サイバーセキュリティ法 第39条（旧第37条）は、中国で収集した個人情報を中国に保存することを求めます。大量またはセンシティブな量はCACのデータ越境の安全評価を加え得ます。 |
| 到達性は軸ではない | Rekognitionのエンドポイントが本土から速く応答するかは運用の問題であって、コンプライアンスの問いではありません。決めるのは、画像と顔がどこで処理されるか——オフショアか、中国国内の経路か、です。21YunBoxは、リスクを整理し、ビジョンの処理を国内に国内化し、第29条の個別の同意を取得し、あらゆる中国向けのサーフェスをICP備案済みのインフラで法令に沿って配信する支援をします。 |
実際に送るもの——そしてなぜコンテンツがリスクなのか
Amazon RekognitionはコンピュータビジョンのAPIです：画像や動画フレームを渡すと、分析を返します。AWSはその能力を、顔検出と分析（“Detect faces appearing in images and videos”）、顔比較と検索、顔ライブネスの本人確認（“Verify identity online”）、コンテンツモデレーション（“Detect potentially unsafe, inappropriate, or unwanted content across images and videos”）にまとめます。そのどれにおいても、環境の外へ読ませるために送信するものは個人情報そのもの——しかも頻繁に最もセンシティブな種類です。
鋭いケースは機能セットに従います。顔比較や顔検索の呼び出しは人間の顔、すなわち生体データを送ります。顔ライブネスや本人確認のフローは、実在の人物のライブセルフィーを、しばしば本人確認書類とともに送ります。コンテンツモデレーションの呼び出しは、ユーザー生成の画像と動画——他人の顔・身体・表情——をレビューのために送り出します。そのどれも送信前に非識別化できません。顔や写っている人物こそが、サービスに分析を求めた当のものだからです。そしてRekognitionはAWSのグローバル商用リージョンとGovCloud（US）でのみ動きます：それ用の中国AWSリージョンも、オンプレミスやセルフマネージドの版もないので、中国事業にとって処理は、国内の経路に置かない限りオフショアで起きます。
開く扉：センシティブ個人データ、越境移転、自動の決定
中国で収集した画像と顔が分析のために本土を離れると、いくつかの法体系がそれが許されたかを決めます。送るものに写る顔と人物は、中国の個人情報保護法（PIPL）（英語）の下での個人情報です。顔は生体データで、第28条はこれを センシティブ 個人情報として扱い、個別の特定された同意、事前の個人情報保護影響評価、厳格な必要性を要求します。ここには「まず最小化」という逃げ道はありません。生体識別子が入力だからです。顔認識は中国で独自の制度も持ちます——顔認識技術の応用に関する2025年の国家ルール（2025年6月1日施行）が、あらゆる顔認識の用途についてPIPLに上乗せされます。
そのコンテンツを海外にホストされるサービスへ送ることは越境移転（数据出境）（英語）であり、PIPLは義務をAWSではなく取扱者である貴社に課します。第38〜40条は通知、移転メカニズム（CACの安全評価、CAC標準契約、または認証）を、そして——センシティブデータについて第29条で補強される——個別の 同意を求めます。Rekognitionが結果を自動で決めるところ、たとえば合否の本人確認やフラグ／削除のモデレーションの判定では、第24条がその自動意思決定を規律し、個人は専ら自動化によってなされた決定を拒否できます。量においては、画像と動画のデータはデータ安全法の下で「重要データ」の問いを生じさせ得て、いずれかが出ていく前にCACのデータ越境の安全評価（英語）を必須にし得ます。そして重要情報インフラ運営者または大量取扱者の場合、サイバーセキュリティ法（英語）の第39条（旧第37条——データ国内保存の規定は2026年1月1日に施行された2025年改正で改番され、実質は不変）は、中国で収集した個人情報を中国に保存することを求めます。これらのどれが貴社のデプロイに効くかは、何を処理するかと業種で変わります。
APIを呼ぶことが問いではない——法令適合な中国国内での処理が問いだ
修正は、オフショアのエンドポイントを到達可能にすることではなく——画像と顔の処理を、法が必要とする場所に置くことです。RekognitionはAWS中国リージョンもセルフマネージドの版も提供しないので、国内化とは、中国のビジョンのワークロードを国内の経路に留めることを意味します：中国国内での処理の取り決め、または顔とモデレーションの作業の中国リーガルな国内代替で、合法的に出られるものだけが国境を越えます。それが本当の意味での国内化——データを国内の経路に留めること——であり、どのみち画像をオフショアへ送る仕掛けでは決してありません。送るものを最小化し、第28条・第29条の個別の同意と第13条・第23条の通知を取得し、第24条の自動意思決定の義務があればそれを扱います。サービスを呼ぶあらゆる中国向けのサーフェス——アップロードページ、KYCや本人確認のフロー、モデレートされたコミュニティ——は本土で提供されるインターネット情報サービスなので、本土のホスティングリソースに紐づくICP備案の義務に加えて、法令に沿った中国国内からの配信を負います。以上のどれも、Rekognitionが中国で「ブロックされている」「違法だ」という判定ではありません——ある画像や顔がセンシティブか「重要データ」かは、何を処理するかと業種で変わるので、判定ではなく国内保存とリスクの見取り図です。中国での運用がそれに依存する前に、具体を専門家と確定させてください。
法令に沿った経路——把握し、国内に留め、配信する
中国事業向けにコンピュータビジョンとコンテンツモデレーションを運用する法令適合な方法があり、それには形があります。まず 把握（マップ）：当社の中国チームが、Rekognitionへ送るもの——画像と動画、そのどれがセンシティブか（顔ほかの生体情報、本人確認書類）、今どこで処理されるか、各移転が必要とする越境と第28条・第29条の同意の根拠、そのいずれかが「重要データ」か、そしてサービスが第24条の自動の決定を下すか——を棚卸しします。法的な結論は専門家と確定し、それを支える技術的な全体像は当社が描きます。
次に 国内化（ローカライズ）：中国の画像と顔の処理を国内に——中国国内での処理の経路、または中国リーガルな国内代替で——留め、本土の事業が収集する生体やユーザー生成のコンテンツが既定で国を出るのをやめさせ、合法的に国境を越えられるものだけが越えるようにします。送るものを最小化し、第28条・第29条の個別の同意と必要な通知の取得を支援します。国内化とは、データを国内の経路に留めることであり、ひそかにオフショアへ動かすことでは決してありません。
そして 配信（デリバー）：スタックの上のあらゆる中国向けのサーフェス——アップロードページ、本人確認のフロー、モデレートされたコミュニティ——は、法令に沿った中国国内からの配信を必要とし、ICP備案の義務を負います。21YunBoxはそれを中国国内から配信します——21YunBox Optimizer——すでに運用しているものの前段に置き、作り直しも再プラットフォーム化もなく。結果は、中国の利用者に向けて合法かつ法令に沿って動くビジョンとモデレーションのフットプリントです。21YunBoxは、いかなる種類の回避的手段も用いず、勧めもしません——法が国内に留めよと定めるものを国内に留め、残りは本土内から法令に沿って配信し、個人情報をひそかに国境を越えて動かすことは決してありません。
関連する読み物：
よくあるご質問
Amazon Rekognitionは中国本土のAWSリージョンで利用できますか？
いいえ。Amazon Rekognitionは、AWSのグローバル商用リージョンとAWS GovCloud（US）で提供されるマネージドクラウドAPIです。AWS自身の中国パーティション——Sinnetが運営する北京、NWCDが運営する寧夏——はそれを提供せず、オンプレミスやセルフマネージドの版もありません。したがって中国事業から収集した画像と動画はオフショアで分析されます。それが——エンドポイントが本土から速く応答するかではなく——コンプライアンスの問い、すなわち画像と顔がどこで処理されるか、です。現在のリージョン状況はAWSに、義務は専門家に確認してください。
なぜAmazon Rekognitionに送る顔がPIPLの下でセンシティブデータの問題になるのですか？
顔は生体データで、PIPL第28条がそれをセンシティブ個人情報として扱う——特定された個別の同意、事前の個人情報保護影響評価、厳格な必要性を要します。移転前に最小化も匿名化もできません。顔こそが、画像を送って認識させた当のものだからです。顔認識は中国で2025年の専用の国家ルール（顔認識技術の応用に関する安全管理弁法、2025年6月1日施行）もPIPLに上乗せで持ちます。そして顔を海外にホストされるサービスへ送ることはPIPL第38〜40条の越境移転（数据出境）です。正確な義務は専門家と確認してください。
中国事業向けにビジョンやコンテンツモデレーションを運用する法令適合な方法は？
画像と顔の処理を国内に——中国国内での処理の経路、または中国リーガルな国内代替で——留め、国境を越えるものを最小化し、第28条・第29条の個別の同意と第13条・第23条の通知を取得し、顔確認やモデレーションの判定が結果を決めるところでは第24条の自動意思決定の義務を扱います。サービスを呼ぶあらゆる中国向けのサーフェス——アップロードページ、本人確認のフロー、モデレートされたコミュニティ——はICP備案済みの中国国内からの配信を要します。レバーは処理を国内の経路に留めることであって、オフショアのAPIを到達可能にすることではありません。ある画像がセンシティブか「重要データ」かは、何を処理するかと業種で変わるので、具体は専門家と確定させてください。
