>
>
公開日
2026年7月16日の発表以来、Kimi K3は「一部ベンチマークでClaude超え」という話題性と、Kimi.comから無料で試せる手軽さで急速に注目を集めています。しかし、会社で使ってよいかどうかは、ベンチマークではなくMoonshot AIの利用規約とプライバシーポリシーで決まります。
そこで本記事では、Moonshot AIの規約文書3点を実際に精読し、入力データは学習に使われるのか、データはどこの国に保存され誰に開示されうるのか、そして「中国企業のAI」という懸念は規約上どこまで裏付けられるのか、を一次情報ベースで読み解きました。読み終える頃には、自社での利用可否を経路別に判断できる材料が揃っているはずです。
※本記事は2026年7月時点で公開されている規約文書の記述を整理したものであり、法的助言ではありません。実際の利用判断にあたっては、最新の規約原文の確認と、法務部門・専門家への相談を推奨します。
Kimi K3の性能・料金・リスク観点の全体像はKimi K3とは？性能・料金と企業導入リスクを情シス視点で徹底解説で解説しています。本記事はその「観点1：データの取り扱い」を規約条文レベルまで掘り下げる続編です。
先に結論：規約から見えた3つの事実
時間のない方のために、規約から読み取れたことを先にまとめます。ひとことで言えば、「APIなら安全」という他社サービスで通用する感覚が、Kimiには当てはまりません。
コンシューマ向け（Kimi.com／アプリ）に入力したデータは、モデルの学習・最適化に使われるとポリシーに明記されている。学習利用を止めるオプトアウト手段は、現行ポリシー内に記載がない
API経由でも、デフォルトでは入力・出力をサービスの開発・改善に利用できる建付けになっており、学習利用の制限を求める場合は個別のエンタープライズ契約・書面合意が必要。API＝学習不使用がデフォルトの主要フロンティアベンダーとは設計が逆
契約主体は中国本土の法人ではなくシンガポール法人（Moonshot AI PTE. LTD.）で、API側のデータ保存先はシンガポールと明記。ただしコンシューマ向けポリシーには保存国の記載がなく、親会社経由での中国法の影響は規約からは判断できない——「判断材料が不足していること」自体をリスク評価に織り込む必要がある
今回精読した規約文書：経路によって適用文書が異なる
利用経路（コンシューマ／API）によって適用される規約文書が異なるため、まず対応関係を整理します。今回精読したのは以下の3文書です。
文書 | 適用範囲 | 最終更新 |
|---|---|---|
Kimi Privacy Policy（コンシューマ向け） | Kimi.com、Kimiアプリ、ブラウザ拡張 | 2025年7月7日 |
Kimi OpenPlatform Terms of Service | Kimi API（法人・開発者向け） | 2026年5月27日 |
Kimi OpenPlatform Privacy Policy | Kimi APIプラットフォーム | 2025年4月30日 |
Kimi Enterprise 契約条項 | 法人向けプラン | 一般公開文書は確認できず（個別契約） |
注目すべきは更新日です。コンシューマ向けポリシーはKimi K3発表（2026年7月16日）より前の2025年7月版のままで、K3固有のデータ取り扱いに関する追記は確認できません。一方、API側の利用規約は2026年5月に更新されており、後述するコンテンツ利用条項はこの最新版に基づきます。
論点1：入力データは学習に使われるか——経路で答えが変わる
コンシューマ向けは「使われる」、APIは「デフォルトでは使われうる」が規約上の答えです。ChatGPTやClaudeで前提にされている「API経由なら学習に使われない」という感覚は、Kimiでは通用しません。
コンシューマ向け（Kimi.com／アプリ）：学習利用が明記、オプトアウト記載なし
Kimi.comへの入力は学習に使われる前提で可否を判断すべき、というのが規約に忠実な読み方です。コンシューマ向けプライバシーポリシーは、ユーザーが入力するプロンプト・音声・画像・動画・ファイル等の「User Content」について、サービスの提供・改善に加えてモデルの学習・最適化に利用することを明記しています。処理の法的根拠は「正当な利益またはユーザーの同意」とされ、どちらが適用されるかは利用者の居住法域次第という書き方です。
さらに重要なのは、現行ポリシーの中に学習利用だけを止める設定（オプトアウト）への言及が存在しないことです。居住法域によっては処理への異議申立てや同意撤回といった権利行使の枠組みは記載されていますが、ChatGPTやClaudeのコンシューマ向けサービスが提供しているような製品内の学習オプトアウト設定は、ポリシー上文書化されていません。
API（Kimi OpenPlatform）：制限したければ個別契約が必要
APIでも「学習に使わせない」はデフォルトではなく、交渉して獲得する条件です。API利用規約のコンテンツ条項は、次の構造になっています。
顧客が入力するコンテンツ（input）と生成される出力（output）の所有権をMoonshot AIは主張しない
ただしMoonshot AIは、サービスの提供・維持・開発・サポート・改善、法令遵守、規約の執行、安全確保の目的でコンテンツを利用できる
モデルの学習・改善への利用を制限したい顧客は、Moonshot AIに連絡してエンタープライズ契約または個別の書面合意を協議する必要があり、書面での合意がない限り上記目的での利用が可能
主要ベンダーのAPIにおける学習利用のデフォルト設定と比較すると、この設計の特殊性がわかります。
ベンダー（API） | 入力データの学習利用（デフォルト） |
|---|---|
OpenAI API | 学習に利用しない |
Anthropic API | 学習に利用しない |
Google（Vertex AI） | 学習に利用しない |
Kimi API | サービスの開発・改善に利用可。制限には個別の書面合意が必要 |
※各社の公表ポリシーに基づく2026年7月時点の整理。Googleは有償サービス（Vertex AI等）が対象で、無償版Gemini APIはデータがサービス改善に利用されうる点に注意。契約形態により異なる場合があります。
なお、データを保持させない設定を明示的に用意するベンダーも登場しています。例えばGrok 4.5はZDR（Zero Data Retention）設定を提供しており、詳細はGrok 4.5の料金体系とZDRセキュリティ設定で解説しています。また、フロンティアモデル側の企業向け条件はGPT-5.6（Sol/Terra/Luna）の情シス向け導入判断とClaude Fable 5の料金体系とコスト統制を併せてご覧ください。
同じ利用規約には、顧客コンテンツを顧客の秘密情報（Confidential Information）として扱う条項も存在します。秘密情報条項とコンテンツ利用条項がどう整合するのかは規約文面だけでは判然とせず、機密データをAPI経由で処理する場合はこの点も個別契約で明確化すべき論点です。
PoC設計への実務的な示唆
PoCの判断基準は「機密性が低いか」ではなく「個別の書面合意なしにAPIへ投入してよいデータか」に置くべきです。前回記事ではKimi K3のPoC条件として「機密性の低いリポジトリに限定」「API経由で実施」を挙げましたが、学習制限の合意前に投入したデータには規約上デフォルトの利用条件が適用されるためです。APIキーの発行管理・利用モニタリングの体制設計はClaude Code企業利用の統制ガイドの考え方がそのまま適用できます。
論点2：データはどこに保存され、誰に開示されうるか
API側は「シンガポールのサーバーに保存」と明記されている一方、コンシューマ向けポリシーには保存国の記載がありません。この非対称が、利用経路の判断に直結します。
保存場所：API側のみ国名を明記
保存国を特定できるのはAPI経路のみです。Kimi OpenPlatformのプライバシーポリシーは、収集した情報をシンガポールに所在するサーバーに保存すると明記しており、EEA向けの補足条項でも同旨が繰り返されています。
一方、コンシューマ向けポリシーは「利用者の居住国の外に転送・保存される可能性がある」と述べるにとどまり、具体的な保存国を挙げていません。業務データの所在を特定できることをベンダー選定の要件にしている企業にとっては、コンシューマ経路はこの一点だけでも要件を満たせない可能性があります。
収集されるデータの範囲：クリップボードデータに注意
チャットに入力した内容以外のデータも収集対象になりえます。両ポリシーとも、自動収集する情報としてIPアドレス、デバイス識別子、会話ID・セッションIDなどの標準的な項目に加えて、クリップボードデータを挙げています（コンシューマ向けポリシーでは「該当する場合、かつ設定で許可されている場合」という限定付き）。業務端末でパスワードマネージャーや機密文書のコピー＆ペーストを日常的に行う環境では、利用ガイドラインの注意書きに含める価値があります。
第三者への開示：条文は標準的、開示先の法域が見えないことが論点
当局開示条項そのものは標準的で、条文だけを見れば特異ではありません。政府機関・当局への開示は法的義務や正当な法執行要請への対応として、どの国のAIベンダーの規約にも存在します。Kimiの規約も「国際的な基準に整合する形で」当局要請に応じる旨を記載しています。
問題は条文ではなく、「どの国の当局が、どの法律に基づいて要請しうるのか」が利用者から見えないことです。これは次の論点につながります。
論点3：「中国企業のAI」は規約上どこまで正しいか
契約主体は中国本土の法人ではなくシンガポール法人であり、「中国企業のAI」という表現は契約実態としては不正確です。ただし、中国法の影響を否定できる材料も規約にはありません。
コンシューマ向け・API向けとも、サービスの提供者・管理者はシンガポールで設立されたMoonshot AI PTE. LTD.であり、API利用規約の準拠法はシンガポール法、紛争解決はシンガポール国際仲裁センター（SIAC）での仲裁と定められています。一方で、Moonshot AI（月之暗面）の開発拠点・親会社は中国・北京であり、モデルの開発自体は中国企業グループの下で行われています。ここで情シスが整理すべきは、次の2つの問いを区別することです。
問い1：契約・データ管理の主体はどこか → 規約上の答えは明確で、シンガポール法人です。データ保護に関する権利行使や紛争は、シンガポール法の枠組みで処理されます。
問い2：中国のデータ関連法（データセキュリティ法、国家情報法等）が親会社経由でデータに及ぶ可能性はあるか → 規約からは判断できません。公開されている規約文書には、中国本土の関連会社とのデータ共有の有無・範囲を特定できる記載がなく、グループ会社（affiliates）とのデータ共有を許容する一般条項が存在するのみです。中国法の域外適用や親会社経由での影響については、法解釈が分かれる領域でもあります。
情シスとしての現実的な結論は、「中国政府にデータが渡る」と断定することでも、「シンガポール法人だから無関係」と安心することでもなく、この論点について判断材料が公開されていないという事実をリスク評価に記録することです。取り扱いデータの機密度が高い業種では、判断材料の不足自体が利用不可の根拠として十分成立します。逆に機密性の低い用途では、この不確実性を許容範囲としてPoCを設計する判断もありえます。
論点4：企業利用の契約条件として見落とせない条項
責任上限と出訴期限の組み合わせにより、インシデント時の実効的な救済が限定される方向に働く規約設計です。データの取り扱い以外に、法務・情シスが把握しておくべき条項を挙げます。
責任上限：Moonshot AI側の賠償責任の上限は、直近12ヶ月に顧客が支払った利用料金の総額。データインシデント発生時の実損に対して回収可能な金額が限定的になりうる
出訴期限：紛争の原因となる事実の発生から1年以内に法的手続きを開始しなければ、請求権を恒久的に放棄したものとみなされる
医療情報の取り扱い禁止：HIPAA上の保護対象保健情報（PHI）の処理への利用が明示的に禁止されている。医療・ヘルスケア関連データを扱う企業は用途を問わず注意が必要
競合開発の禁止：サービスと競合しうるモデル・製品の開発への利用が禁止されている。AI関連のR&D部門がベンチマーク・蒸留目的で利用するケースは規約抵触のリスクがある
いずれも1条項ずつは他社規約にも見られるものですが、個別契約（Order Form）で修正可能な項目のため、本格導入時は法務レビューの必須項目に含めてください
経路別の判断整理：規約の記載を踏まえた利用可否の考え方
規約の記載を整理すると、経路ごとの推奨スタンスは「コンシューマは原則不許可、APIは書面合意までは機密データ投入不可」に整理できます。前回記事の「利用経路単位で判断する」フレームに、今回読み取れた事実を反映します。
利用経路 | 規約に記載されている事実 | 推奨スタンス |
|---|---|---|
Kimi.com／アプリ | 学習利用が明記・オプトアウト記載なし・保存国の記載なし | 業務利用は原則不許可。個人アカウントでの業務データ入力の監視を優先 |
Kimi API | デフォルトで開発・改善利用可。保存先はシンガポール明記 | 機密性の低いデータに限定したPoCのみ。学習制限の書面合意が取れるまで機密データは投入しない |
Kimi Enterprise | 一般公開された契約条項は確認できず | 検討する場合は契約書ドラフトを入手し、学習利用・データ所在・準拠法・責任上限を個別精査 |
セルフホスト（オープンウェイト） | 外部送信は構造的に回避可能。ライセンス条件はウェイト公開後に確定 | 2026年7月27日予定の公開後、ライセンスと商用利用条件を確認してから評価（続報予定） |
よくある質問（FAQ）
Q. Kimi K3に入力したデータは学習に使われますか？
Kimi.comやKimiアプリからの入力は、モデルの学習・最適化に利用されるとプライバシーポリシーに明記されており、学習利用を止める設定の記載はありません。API経由の場合も、個別の書面合意がない限り、入力・出力はサービスの開発・改善に利用できる規約になっています。学習利用を確実に避けるには、Moonshot AIとの個別契約、または（公開後の）オープンウェイトのセルフホストが選択肢です。
Q. Kimi K3のデータはどこの国に保存されますか？
API（Kimi OpenPlatform）については、シンガポールのサーバーに保存すると明記されています。一方、Kimi.com等のコンシューマ向けサービスのポリシーには保存国の記載がなく、居住国外への転送の可能性が示されているのみです。
Q. 中国政府にデータが渡る可能性はありますか？
規約からは判断できません。契約主体はシンガポール法人（Moonshot AI PTE. LTD.）で準拠法もシンガポール法ですが、開発元の親会社は中国企業であり、グループ会社間のデータ共有を許容する条項が存在します。中国のデータ関連法が親会社経由で及ぶかどうかを特定できる情報は公開されておらず、この不確実性自体を自社のリスク許容度と照らして評価する必要があります。
Q. 社内でKimiの利用を検知するにはどうすればよいですか？
Kimi.com・KimiアプリへのアクセスやOAuth連携をネットワークログ・SaaS管理ツールで可視化するのが第一歩です。話題化したモデルは従業員の個人利用が先行しやすいため、利用可否のアナウンスと検知体制はセットで整備してください。エージェント経由の利用まで含めた統制設計はMCP企業導入の完全ガイドも参考になります。
まとめ：規約の「書かれていないこと」まで含めて評価する
Kimi K3の安全性評価で最も重要なのは、書かれている条項（学習利用・シンガポール保存）と同じくらい、書かれていないこと——コンシューマ向けの保存国、学習オプトアウト手段、中国本土関連会社とのデータ共有範囲——を評価に含めることです。規約は今後更新される可能性があり、特に7月27日予定のオープンウェイト公開時にはライセンス文書という新しい一次情報が加わります。公開後の確定情報は続報で読み解きます。
Kimi K3、GPT Red、Grok 4.5と、2026年のモデルリリースは数週間単位で続いており、新しいAIサービスが話題になるたびに規約を精読し、利用可否を判断し、無断利用を監視するサイクルを個別に回すのは情シスにとって大きな負担です。「マネーフォワード Admina」は、ChatGPT・Claude・Cursorをはじめとする200以上のAIサービスへのアクセスやOAuth連携を検知し、シャドーAIを含むSaaS利用の全体像を可視化するSaaS管理プラットフォームです。承認前のAIサービスの利用実態をいち早く把握し、ガバナンスと活用推進を両立させたい方は、ぜひマネーフォワード Adminaの詳細をご覧ください。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
