Google Cloud Vision AIは中国本土で使えるか：PIPLの越境移転・データの国内保存・センシティブデータのルール
Google Cloud Vision AIは、貴社の中国事業が送る画像を読み取ります——そしてその画像こそが個人情報であり、しばしば最もセンシティブな種類です。顔はバイオメトリックデータであり、スキャンした身分証はID番号や金融口座番号を運びます。Google Cloudには中国本土のリージョンがないため、Visionはそれらをオフショアで処理します——センシティブな個人データのPIPL上の越境移転です。データの国内保存・センシティブデータ・越境のリスクを、コンプライアンス起点で読み解きます。
Google Cloud Vision AIは中国本土で使えるか
貴社の中国事業がGoogle Cloud Vision AIに読ませるために送る画像こそが個人情報であり——しばしば最もセンシティブな種類です。顔はバイオメトリックデータであり、スキャンした身分証はID番号や金融口座番号を運びます——そしてGoogle Cloudには中国本土のリージョンがないため、それらを処理することはセンシティブな個人データのPIPL上の越境移転です。
Visionに画像を送ると、顔を検出し、文書テキストを抽出し（OCR）、成人・暴力コンテンツをフラグ付けします。内容自体が、貴社が最小化できないセンシティブな個人情報です。顔やID番号 *こそが* 入力だからです（PIPL第28条）。Cloud Visionは米国とEUのデータ場所のみをグローバル既定とともに文書化しており——中国本土には一つもありません——ので、中国で収集した画像をそこへ送ることは第38〜40条の下での越境移転であり、センシティブデータについての第29条の個別の同意で補強されます。法令に沿った打ち手は、画像処理を中国国内に保ち、国境を越えるものを最小化し、個別の同意を取得し、中国向けのあらゆる面をICP備案することであって、オフショアのAPIを到達可能にすることではありません。
ある画像やその量が「センシティブ」か「重要データ」かは、何を処理するかと業種によって変わります——具体は専門家と確定してください。当社の中国チームが貴社のリスクを整理します →
コンプライアンス・スナップショット
- ✕ Google Cloudに中国本土のリージョンはない。Vision AIは画像をオフショアで処理する
- ! 画像こそが個人データ——顔はバイオメトリック、スキャンした身分証はID番号を運ぶ
- ! それをオフショアへ送ることはセンシティブな個人データのPIPL上の越境移転
- ! SafeSearchのフラグ付けは、中国ユーザーについて第24条の自動的な決定になりうる
- ! CIIO／大量取扱者は中国国内保存を負う。大量の画像は重要データを引き上げうる
- ✓ 21YunBoxは画像処理を中国国内に保ち、個別の同意を取得し、配信をICP備案する
Google Cloud Vision AIの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Google Cloud Vision AIはグローバル・米国・EUの場所のみで動き——中国本土のリージョンはありません。Cloud Visionのドキュメントは、米国または欧州連合のみのデータ保存・OCR処理の制御をグローバル既定とともに提供します。Google Cloudは中国本土にリージョンを運用しないため、中国事業からの画像はオフショアで処理されます。 | Google Cloud — Cloud Vision API documentation（2026-10-11 取得） |
| Vision AIは、送られた画像を読み取ります：顔、スキャンした文書のテキスト、コンテンツのカテゴリー。ランドマークと感情付きで顔を検出し（特定個人の顔認識はサポートされません）、OCRで文書からテキストを抽出し、成人・暴力・きわどいコンテンツをフラグ付けします（SafeSearch）——ので、送信する画像自体が個人情報であり、しばしばセンシティブです。 | Google Cloud — Vision API feature list ＆ Detect faces（2026-10-11 取得） |
| 顔とID／金融口座番号は、PIPL第28条の下でのセンシティブな個人情報です。それらの取り扱いには特定された目的、事前の影響評価、そして——あらゆる越境移転については——第29条が求める個別の同意が必要です。センシティブデータは、Visionに読ませた入力そのものなので最小化できません。 | 21YunBox — China Personal Information Protection Law (PIPL)（2026-10-11 取得） |
| 中国で収集した画像をオフショアへ送ることは、PIPL第38〜40条の下での越境移転です。通知、移転メカニズム、そして大量の場合は必須のCACデータ越境安全評価（英語）が必要です。CIIOまたは大量取扱者は、サイバーセキュリティ法 第39条（旧第37条）の下で中国国内保存も負います。 | 21YunBox — Cross-border data transfers ＆ CAC data-export security assessment（2026-10-11 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月11日に確認しました。
中国本土でGoogle Cloud Vision AIを運用する企業の本能は、それが上海から応答するかと問うことです。応答します——が、それは中国の判断ではありません。Vision AIは、読み取るべき画像を貴社が送ることで動くため、その画像が 個人情報そのもの であり、しばしば最もセンシティブな種類です。顔はバイオメトリックデータであり、スキャンした身分証や銀行カードは識別番号や金融口座番号を運びます。Google Cloudは中国本土にリージョンを一切運用せず——その米国／EUレジデンシー制御はOCRのみを対象とし、顔検出とコンテンツ検出はグローバルの既定で動きます——ので、中国事業が送る画像はオフショアへ出ます。これは、貴社が最小化できないセンシティブな個人情報のPIPL上の越境移転（第38〜40条、加えて第29条の個別の同意）です。顔やID番号 こそが 入力だからです。自動的なフラグ付けは第24条を発動させ、中国向けのあらゆる面はICP備案を負います。
中国でのGoogle Cloud Vision AI：ひと目で
| 決め手 | Google Cloud Vision AI自身の言葉で——そして中国の法では |
|---|---|
| 何を送るか | Vision AIは、手渡された画像を読み取ります。顔を検出し（顔のランドマークと感情の尤度付き。特定個人の顔認識はサポートされません）、写真・濃い文書・手書きからテキストを抽出し（OCR）、物体やロゴをラベル付けし、画像を成人・暴力・きわどいコンテンツとして評価します（SafeSearch）。中国事業にとって、入力自体が個人情報であり——しばしば最もセンシティブな種類です。顔はバイオメトリックデータであり、スキャンした身分証・パスポート・銀行カードは識別番号や金融口座番号を運びます。 |
| どこで動くか | オフショア。Cloud Visionは、データの保存・処理の場所として米国または欧州連合をグローバル既定とともに文書化しており——Google Cloudは中国本土にリージョンを運用しません。その大陸単位の制御はOCRのみを対象とし、顔検出とSafeSearchはグローバル既定の場所で動きます。したがって中国事業が送る画像は本土の外に置かれ処理され、それは（しばしばセンシティブな）個人情報のPIPL（第38〜40条、第29条の個別の同意を伴う）の下での越境移転（数据出境）です。Vision AIはマネージドのクラウドAPIなので、それ自体を変える顧客運用の中国国内デプロイはありません。 |
| センシティブな個人情報の扉（第28条） | これは多くのレビューが見落とす半分です。顔はバイオメトリックデータであり、ID番号や銀行カード番号は金融識別子です——どちらもPIPL第28条の下でのセンシティブな個人情報で、特定された目的、事前の影響評価、個別の同意を要します。顔や番号 *こそが* Visionに読ませたものなので、最小化も匿名化もできません。デプロイが顔認識を適用する場合、中国の「顔認識技術応用安全管理弁法」（2025年6月1日施行）がさらなる義務を加えます。 |
| 自動的な決定とデータの国内保存 | フローがVisionを使って結果を自動的に決める場合——認証を通す、あるいはSafeSearchのスコアでコンテンツをフラグ付け・削除する——それはPIPL第24条の下での自動化された意思決定であり、データ主体は機械のみによる決定を拒否できます。重要情報インフラ運営者（CIIO）または大量取扱者は、サイバーセキュリティ法 第39条（旧第37条——2025年のサイバーセキュリティ法改正は2026年1月1日に施行され、データ国内保存の条文を第37条から第39条へ振り直しましたが、実質は変わりません）の下で中国国内保存も負います。そして大量の画像やバイオメトリックデータ、あるいは「重要データ」に分類されるデータは、必須のCACデータ越境安全評価を発動させることがあります。 |
| 到達性は軸ではない | エンドポイントが上海から速く応答するかは運用上の細部であって、判断ではありません。法令に沿った道は、中国の画像・文書の処理を中国国内に保つこと——中国に所在する経路か国内の代替手段で、センシティブデータを最小化し第29条の個別の同意を整える——であり、第24条や重要データの義務を取り扱い、中国向けのあらゆる面（アップロードページ、KYCフロー）をICP備案の下で中国国内から配信することです。21YunBoxはリスクを整理し、規制対象のデータを中国国内の経路に国内化し、中国国内で配信します。 |
実際に何を送るのか——そしてなぜ内容こそがリスクなのか
Google Cloud Vision AIは、データを指し示すサービスではなく、データを 与える サービスです。どの呼び出しもVisionに画像を手渡し、Visionがそれを読みます。その機能はコンピュータビジョンとコンテンツ分析です。顔検出（バウンディングボックス、目・鼻・口などの顔のランドマーク、感情の尤度——ただし特定個人の顔認識はサポートされません）、写真や濃い文書・手書き（PDF/TIFF）からテキストを抽出する光学文字認識、ラベルと物体の検出、ロゴとランドマークの検出、ウェブ検出、そして画像を成人・暴力・きわどいコンテンツとして評価する露骨コンテンツ検出（SafeSearch）です。
中国事業にとって、二種類の入力が最も鋭いリスクを運びます。一つ目は顔です。人の顔の写真はバイオメトリックデータであり、バイオメトリックデータはPIPL第28条の下でのセンシティブな個人情報です——そしてデプロイがその出力を顔認識の用途に用いる場合、中国の「顔認識技術応用安全管理弁法」（2025年6月1日施行）が独自の義務を課します。二つ目は文書です。請求書や契約書は個人情報であり商業情報であり、スキャンした身分証・パスポート・運転免許・銀行カードは識別番号や金融口座番号を運びます——これも第28条の下でのセンシティブな個人情報です。SafeSearchの審査のために送られるユーザー生成の写真は、他者の個人情報であり表現です。
それらすべてはどこで処理されるのか。Google Cloudの場所で——そしてGoogle Cloudは中国本土にリージョンを運用しません。Cloud Visionのドキュメントは、米国または欧州連合でのデータ保存・処理をグローバル既定とともに許しますが、中国本土の場所は提供しません。そしてその大陸単位の制御はOCRにのみ適用され、顔検出とSafeSearchはグローバル既定の場所で、レジデンシーの保証なしに動きます。Vision AIはマネージドのクラウドAPIなので、それ自体を変える顧客運用の中国国内デプロイはありません。
扉——センシティブな個人データ、越境移転、そして自動的な決定
いったん画像がオフショアに出れば、それがそこへ行くことを許されたかは中国の法が決めます——そしてビジョンとコンテンツのサービスにとっては、複数の扉が同時に開きます。
センシティブな個人情報——特徴的な扉。 これは多くのレビューが見落とす半分です。Visionに読ませたものが 規制対象のデータそのもの であり、顔と身分証書類についてはそれが最も保護されたカテゴリーです。PIPL第28条はバイオメトリックデータ・ID番号・金融口座番号をセンシティブな個人情報として扱い、特定された目的、事前の影響評価、そして——第29条で補強される——個別の 同意があってのみ取り扱えます。移転前に非識別化するという通常の最小化の手では逃れられません。顔やID番号はペイロードの周りのメタデータではなく、Visionに分析させるために送ったペイロード そのもの だからです。
個人情報の越境移転。 中国で収集した画像を本土の外のGoogle Cloudの場所へ送ることは、中国の個人情報保護法（PIPL）の下での越境移転（数据出境）です。PIPLはその義務を取扱者——処理者であるGoogleではなく、貴社の中国法人——に課します。第38〜40条は、通知、センシティブデータの国外移転についての第29条の個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求め、第13条・第23条がそもそも画像を収集する際の同意の根拠を定めます。大量の場合、あるいは画像やバイオメトリックデータがデータ安全法の下で「重要データ」（重要数据）に分類される場合、何かが出ていく前に必須のCACデータ越境安全評価（英語）（数据出境安全评估）が求められます。
自動的な決定、そして中国国内保存。 中国向けのフローがVisionを使って結果を自動的に決める場合——認証を承認する、あるいはSafeSearchのスコアでユーザーのコンテンツをフラグ付け・削除する——それはPIPL第24条の下での自動化された意思決定であり、データ主体は人間による対応を求め、機械のみによる決定を拒否できます。別に、重要情報インフラ運営者または大量取扱者は、PIPL第40条とサイバーセキュリティ法（英語）第39条（旧第37条）の下で、中国で生成した個人情報の中国国内保存を負います——オフショアのGoogle Cloudの場所が満たせない義務です。
APIを呼び出せるかは問いではない——法令に沿った中国国内の処理こそが問いだ
そのリストに 載っていない ものに注目してください。Visionが上海からどれだけ速く応答するか、オフショアのエンドポイントへの接続をどう滑らかにするか。それらは運用上の問いであり、追いかければ判断を外します。判断は、中国事業がVisionに送る顔・身分証書類・ユーザーコンテンツが、Visionが処理する場所で処理されてよいか——そしてセンシティブデータについては、それが国境を越えることを許す個別の同意と移転メカニズムを保持しているか、です。
中国本土の場所を持たないクラウド専用のAPIにとって、法令に沿った動きは、オフショアのエンドポイントを到達可能にすることではなく——中国の画像・文書の処理を中国国内の基盤に保つことです。Vision AIはグローバルのビジョンサービスとして維持しつつ、中国法人については規制対象の画像を中国に所在する経路か中国で合法な国内の代替手段で処理し、合法的に出てよいものだけをオフショアへ送り、センシティブデータを最小化し、第13条・第23条の通知と同意、そして顔やID番号についての第29条の個別の同意を携えます。中国国内に保つとは、データが中国国内の経路に留まることを意味します——いずれにせよ人知れずオフショアへ送られることは決してありません。サービスが支える中国向けのあらゆる面——写真アップロードページ、KYCや本人確認のフロー、モデレーションのあるコミュニティ——は本土の公開サービスであり、ICP備案の義務を負い、法令に沿って中国国内から配信されます。
これはGoogle Cloud Vision AIが「遮断されている」「違法だ」という判定ではありません。リスクの見取り図です。ある画像や文書がセンシティブな個人情報や「重要データ」に当たるか、そして個別の同意・移転メカニズム・影響評価・中国国内保存・データ越境評価・ICP備案、あるいはそれらの組み合わせのどれを負うかは、何を処理するか、取扱データ量、業種、そして中国法上の役割によって変わります——中国事業がそれに依存する前に、専門家と確定すべき具体です。
法令に沿った経路——把握し、国内化し、届ける
中国事業向けにビジョンとコンテンツのサービスを運用する法令適合の道があり、それには形があります。
まず把握（Map）：当社の中国チームが、中国法人がVision AIに送るもの——顔と写真、スキャンした身分証と文書、ユーザー生成コンテンツ——を棚卸しし、そのうちどれが第28条の下でのセンシティブな個人情報（バイオメトリック、ID番号、金融口座）かを特定し、それぞれがどこで処理されるか（Visionは中国本土のリージョンを持たないため、グローバル・米国・EUのGoogle Cloudの場所）、そのいずれかが「重要データ」か、そしてフローが第24条の自動的な決定を行うかを確定します。法的な結論は専門家と確定し、当社はそれに供する技術的な全体像を構築します。
次に国内化（Localize）：中国の画像・文書の処理を中国国内に保つお手伝いをします——本土法人のための、中国に所在する処理経路か中国で合法な国内の代替手段——国境を越えるものを最小化し、センシティブデータについて第13条・第23条と第29条の 個別の 同意を取得し、第24条の自動的な決定と重要データ・データ越境評価の義務を取り扱い、一方でVision AIはそれ以外のすべてでグローバルのサービスのままです。国内化とは、データを中国国内の経路に保つことであって、人知れずオフショアへ移すことでは決してありません。
そして配信（Deliver）：サービスが支える中国向けの面——アップロードページ、KYCや認証のフロー、モデレーションのあるコミュニティ——はICP備案（备案）の義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxは、すでに運用中のものの前段に21YunBox Optimizerを置き、作り直しも再プラットフォーム化もなしに、中国国内でそれらを配信します——そうしてサービスは中国の利用者に向けて合法かつ法令適合で動きます。21YunBoxは、いかなる種類の不正な手段も用いず、推奨もしません。当社は、すでに運用中のスタックの競合ではなく、法令適合のオーバーレイでありパートナーです。
関連する読み物：
よくあるご質問
Google Cloud Vision AIは中国本土にデータセンターやリージョンを持っていますか？
いいえ。Cloud Visionは、米国と欧州連合のみのデータ保存・OCR処理の場所をグローバル既定とともに文書化しており、Google Cloudは中国本土にリージョンを運用しません。中国事業が送る画像はオフショアで処理され、それらの取り扱いはPIPLの下での越境移転になります。任意の米国／EUレジデンシー制御はOCRのみを対象とし、顔検出とSafeSearchはグローバル既定の場所で動きます。
Vision AIへ画像を送ることが、なぜ速度だけでなくセンシティブデータの問題なのですか？
送る画像こそが個人情報だからです。顔はバイオメトリックデータであり、スキャンした身分証や銀行カードはID番号や金融口座番号を運びます——どちらもPIPL第28条の下でのセンシティブな個人情報で、個別の同意と影響評価を要します。顔や番号こそがVisionに読ませたものなので、匿名化も最小化もできません。デプロイが顔認識を適用する場合、中国の顔認識弁法（2025年6月1日施行）がさらなる義務を加えます。
21YunBoxは当社の中国事業向けにGoogle Cloud Vision AIを法令適合にできますか？
当社は、中国事業がVisionに何を送り、どこで処理されるかを整理し、画像処理を法令に沿った中国国内の経路（中国に所在する経路か国内の代替手段）に保つお手伝いをし、国境を越えるものを最小化して第29条の個別の同意を取得し、中国向けのあらゆるアップロード・認証の面をICP備案の下で中国国内から配信します——すでに運用中のスタックの前段で、作り直しなしに。オフショアのAPIを到達可能にすることによってではなく、規制対象の画像データを法令に沿った中国国内の基盤に保つことによって。
