10月26日、Benedict Collinsが「ChatGPT and Claude blocked by Swedish government over "problematic" security concerns」と題した記事を公開した。スウェーデン政府がChatGPTとClaudeを政府業務で禁止した——しかし問題の本質はAIの危険性ではなく、エンタープライズ契約を結ばないまま業務利用していたというガバナンスの欠如にある。同じOpenAIの技術を使うMicrosoft CoPilotは引き続き利用可とされており、「何を使ったか」ではなく「どういう契約のもとで使ったか」が今回の措置を分けた核心だ。
スウェーデン政府、ChatGPTとClaudeを業務禁止に
スウェーデン政府の職員は、OpenAIのChatGPTおよびAnthropicのClaudeを公務に使用することを禁じられた。禁止の理由は、規制のないAIプラットフォームに機密情報が入力された場合、その情報が開発元に送られ、モデルの学習データとして使われる可能性があるためだ。
スウェーデン交通局（Swedish Transport Administration）が今年実施したAIツールの利用実態調査で、政府業務における「問題のある」AI利用が確認されたことが今回の措置の直接的な契機となった。同局のCIO・デジタル化局長であるMikael Wettercrantz氏は、従業員が無規制のプラットフォームを業務利用する「シャドーIT」がスウェーデンの情報セキュリティに影響を与えかねないと説明している。
シャドーITとは、組織のIT部門が関与・承認しないままに職員が個人的にクラウドサービスやアプリを業務利用する行為を指す。AIツールの普及により、この問題は世界各国の政府・企業で深刻化している。
問題の核心：エンタープライズ契約なしのAI利用
技術的な観点で整理すると、問題は2点に集約される。
1. データの越境処理
適切なエンタープライズ契約なしにAIサービスを業務利用した場合、入力した情報がEUの規制（GDPR）の適用外となる米国のデータセンターで処理・保存される可能性がある。GDPRでは保護対象データをEU域外に移転することを原則として制限しており（第44条以降）、適切な保護措置なき越境移転はこれに抵触しうる。
スウェーデンには国内のデータ保護監督機関としてIntegritetsskyddsmyndigheten（IMY、旧称Datainspektionen）が設置されており、GDPRの国内執行を担っている。IMYは過去にも複数の企業・公共機関に対してGDPR違反の調査や制裁を行っており、政府機関が同様の問題を抱えることへの感度は高い。今回の措置には、こうした監督機関からの指摘リスクを回避する意図も読み取れる。
2. 監査不能
エンタープライズ契約が存在しない場合、組織内でAIツールがどのように利用されたかの監査証跡が残らず、データ保護上の問題が生じた際に追跡・検証ができない。エンタープライズ向け契約では通常、データの処理場所・保存期間・アクセスログの取得といった条件が明示されるため、このような問題は回避しやすくなる。
例外措置と残された選択肢
禁止は一律ではない。Microsoft CoPilotは引き続き使用可能だが、内部レビューを経てセキュリティ管理が強化された状態での運用となる。CoPilotはMicrosoftのエンタープライズ契約のもとで提供されており、データの処理・保存に関する条件がMicrosoft365のテナント設定と連動して管理される点が、コンシューマー向けChatGPTとの大きな違いだ。
また、一部の限られた職員については、政府が独自に整備した「AIアシスタント専用プラットフォーム」を通じてChatGPTおよびClaudeへのアクセスが継続して認められる。元記事ではこのプラットフォームの詳細は明示されていないが、政府が管理するAPI経由のアクセス環境など、データの流通経路を制御した形での利用であると推測される（※編集部の考察）。いずれにせよ、ツールそのものではなく、どのような契約・管理体制のもとで使うかが利用可否の判断基準となっている点は明確だ。
DeepSeek禁止に続く動き
スウェーデンにとって、AI規制は今回が初めてではない。同国はすでにGDPR違反への懸念からDeepSeekを政府業務で禁止しており、多くの国と歩調を合わせている。米国でもDeepSeekについては、国土安全保障省（DHS）が「マルウェアやその他のセキュリティ脆弱性が含まれている可能性がある」と警告した上で、政府機関での利用を全面禁止している。
今回のChatGPT・Claude禁止は、DeepSeekのような中国リスクとは異なり、エンタープライズ契約の有無というガバナンス上の問題が主因である点で性格が異なる。裏を返せば、適切な契約と規制の枠組みさえ整備されていれば、同じツールでも使用継続が認められる——Microsoft CoPilotがその実例だ。
EU加盟国における政府のAI利用規制は、EU AI法（AI Act）の施行を背景に今後さらに厳格化される方向にあり、スウェーデンの動きはその先行事例として位置づけられる。EU AI法では公共機関によるAI利用に対して特に厳格な透明性・リスク管理要件が課される見通しであり、エンタープライズ契約の整備はもはや任意ではなくなりつつある。
詳細はChatGPT and Claude blocked by Swedish government over "problematic" security concernsを参照していただきたい。
