Cursorは中国本土で使えるか：コードの国内保存、リポジトリインデックス、越境データ

中国本土のオーディエンスにとって、Cursorについてまず決めるべきは、問いが「読み込まれるか」ではないということです。Cursor——Anysphereが作ったAIコードエディター——は本土から到達でき、使えます。ブロックされる消費者向けサービスではなく、開発者ツールです。実際に事柄を決めるのはデータの国内保存です。リポジトリをインデックス化し、コードを補完し、エージェントを動かすために、Cursorはソースコード、構築するリポジトリインデックスと埋め込み、プロンプト、そして周辺のエディターのコンテキストを、自前のサーバーへ、さらにオフショアのフロンティアモデルへ送ります。Cursorは——自社の表明によれば——中国にインフラを持たず、米国でホストするため、それらのリクエストの一つひとつが国外へ出ます。ソースコードは単なるロジックであることは稀です：営業秘密を帯び、コメント・フィクスチャ・テストデータに資格情報・APIキー・個人情報を日常的に埋め込みます。それをオフショアへ動かすことがコンプライアンスの事象であって、ラウンドトリップの時間ではありません。

中国でのCursor：ひと目で

本土のリージョンがなく、コードとそのインデックスは国外へ出る

Cursorがどこで動くかから始めましょう。問い全体がそこに乗っているからです。Cursorのセキュリティページは異例なほど直接的です：“Cursor does not use or maintain any infrastructure in China. We do not use any companies headquartered in China as subprocessors, and to our knowledge none of our subprocessors do either.”（中国にいかなるインフラも使用・保有せず、中国に本社を置く企業をサブプロセッサーとして使わず、当社の知る限りそのサブプロセッサーも使わない）。プライバシーポリシーは個人データを”located in various jurisdictions, including in the United States”のサーバーに置きます。中国国内のCursorのリージョンはないため、上海や深圳にいる開発者は、エディターが何か賢いことをするたびに、国境を越えて米国ホストのサービスに到達します。

Cursorを、ふつうのIDE内補完プラグインより鋭いデータの国内保存の問いにするのは、それがどれだけ多くを送るかです。Cursorはエージェント型のエディターです：リポジトリ全体をインデックス化し、モデルがファイルをまたいで検索できるようにインデックスと埋め込みを構築し、プロンプト・編集・周辺コンテキストを、オフショアで運用するフロンティアモデルと、OpenAIやAnthropicのような上流プロバイダーへ渡します。したがって国境を越えるデータは、カーソル周辺の数行ではなく——コードベースそのものの表現、加えてエンジニアが作業しながら生むプロンプトとコンテキストのストリームです。そのどれも、提案がどれだけ速く返ってくるかにはかかっていません。ソースコードの表現が、そもそも本土を離れる適法な根拠を持っていたかにかかっています。

送るものは個人情報——そしてたいてい営業秘密

コードベースは中立なテキストではありません。コメント・設定・フィクスチャ・ログ・テストデータを帯び、それらは氏名・連絡先・資格情報・APIキー・実際の顧客記録を日常的に埋め込みます。中国の開発者がそれを本土の外にホストされたモデルへ送った瞬間、それは中国の個人情報保護法の下での個人情報の越境移転です。PIPLは義務を取扱者である貴社に課します：第38〜40条は、通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求め、第28条はデータがセンシティブ——政府ID・財務・健康・生体、あるいはシードデータやチケットにしばしば潜む未成年の情報——である場合に加重された義務を課します。

それはコンプライアンスの問いである前に守秘の問いです：貴社の独自のソースコードの表現——そしてその中の営業秘密——が国外へ出ることです。どのリポジトリ・ファイル・シークレットがオフショアのアシスタントに近づいてよいかは、貴社のデータガバナンス方針が決め、Cursor自身の既定値もここで効いてきます。プライバシーモード（Privacy Mode）をオフにすると、Cursorのデータ利用の概要は、同社が”may use and store codebase data, prompts, editor actions, code snippets, and other code data and actions to improve our AI features”（AI機能を改善するためにコードベースのデータ・プロンプト・エディター操作・コードスニペット等を使用・保存しうる）とします。プライバシーモードをオンにすると、貴社のデータで学習しないことを約束します。いずれの設定でも、結果を生むためにコードはオフショアへ送られます。そしてそのコードやデータのいずれかが「重要データ」である、あるいは貴社の組織が重要情報インフラを運用する場合、サイバーセキュリティ法（英語）はデータ国内保存の義務を加えます——第39条（2026年1月1日に施行された2025年改正で再付番されたもの。かつての第37条で、実質は不変）は、そのような運営者が国内で収集・生成した個人情報と重要データを国内に保存し、いかなる輸出の前にも安全評価を経ることを求めます。

プライバシーモードは保持されるものを減らすが、コードが国境を越える事実は変えない

プライバシーモードと「ゼロデータ保持」をコンプライアンスの答えと見なしたくなります。それらは本物で、備える価値もあります——しかしデータの国内保存とは別の問題を解きます。Cursor自身の言葉で、プライバシーモードをオンにすると”maintains zero data retention (ZDR) agreements with all providers, and AI model providers will not store or train on your data”（すべてのプロバイダーとゼロデータ保持〔ZDR〕契約を維持し、AIモデルのプロバイダーは貴社のデータを保存も学習もしない）。よく読めば、それはデータが到着した後に何が保持され、モデルを学習させるかを規律するのであって、そもそもデータがオフショアに到着するかではありません。補完を生むために、コードは依然として国境を越えます。Cursor自身がその縁を指摘します：不正利用検知器がフラグの立ったプロンプトを調査のためになお保存しうること、非ZDRのモデルは明示的にオプトインが要ること、そして自前のAPIキーを持ち込むとリクエストがそれらの保護の外、プロバイダー自身の方針の下へ移ること。保持を切り詰めることは影響範囲を狭めます。データの国内保存の事実を変えず、いかなる届出の義務にも触れません。

その届出のゲートについて、ここでの正直な答えは消費者向けAIサービスより軽く——そしてそれを明言する価値があります。中国の生成AIサービス管理暫定弁法（英語）（生成式人工智能服务管理暂行办法、CAC令第15号）は、生成AIを用いて”to provide services for generating text, images, audio, video, and other content to the public within the territory of the People’s Republic of China”（中華人民共和国の領域内で公衆にテキスト・画像・音声・動画等のコンテンツを生成するサービスを提供すること）に適用されます（第2条）。自社のエンジニアがエディター内で使うCursorは公開のコンテンツサービスではないため、本土の消費者向けチャットボットをゲートする届出は、概ねこのツールには当てはまりません。注意すべきは、それで何を作るかです：モデルを使った機能を中国の公衆に提供すれば、その下流のサービスは別物で、それ自身の届出・コンテンツ安全対策・AI生成コンテンツの表示が必要になり——ランク付けやレコメンドをする場合はアルゴリズム推薦規定（英語）も必要です。貴社が提供する中国向けのあらゆる画面もICP備案（备案）の義務を負います。このページはリスクを見取り図にするもので、貴社の事実を判定するものではありません——実際の製品と取り扱うデータに照らして弁護士と整理してください。

適法な進め方——マッピング・ローカライズ・配信

開発者ツールについては、21YunBoxの役割は消費者向けのAI機能に対するよりも軽く、それを明言します：「国内版のCursor」は存在せず、当社はCursor自体をローカライズする手段ではありません——そのエディターはAnysphereのもので、オフショアで運用されます。当社の価値は三つの動きにあります。

まず、リスクをマッピングします：開発者が実際にオフショアへ何を送るか——ソースコード、リポジトリインデックス、プロンプト、コンテキスト——そのいずれかが個人・センシティブ・「重要データ」か、そしてそれがPIPLの越境ルール・第28条・サイバーセキュリティ法・貴社自身のコードガバナンス方針に照らしてどう位置づくか。貴社と弁護士がガードレール（どのリポジトリが対象か、何が決して出てはならないか、どんな同意と記録が必要か）を設定できるように。次に、オフショアで提供できない部分をローカライズするお手伝いをします：存在する場合は、中国で適法なコーディング経路——セルフホストまたはオンプレのモデル、あるいはオフショアの呼び出しの代わりに統合されたCAC届出済みの国内大規模モデル——を立ち上げ、本土の地に留めねばならないものについては同意を取った中国国内の処理と保存を保ちます。これは中国で適法な代替であって、オフショアのモデルへの経路では決してありません。そして、チームが提供する中国向けのあらゆる画面——本土のユーザーが触れるアプリ・社内ポータル・APIエッジ——を、ICP備案済みの中国国内インフラ（21YunBox Optimizer）で、貴社がすでに動かしているスタックの前段で、作り直しも二つ目のコードベースもなしに配信します。

21YunBoxは法令適合のオーバーレイであって移行ではなく、貴社が使うツールへのパートナーであってその競合ではありません。21YunBoxはいかなる種類の不正な手段も用いず、推奨もしません。 結果として、中国のユーザーのために適法かつ法令適合で動く構成ができあがります。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• 中国の生成AIサービス管理暫定弁法（英語）
• PIPLの下での越境データ移転
• 中国のICP備案の取得方法
• 中国サイバーセキュリティ法（データ国内保存、第39条）（英語）