Alibaba Cloud、ブラジルに初のクラウドリージョンを開設―中国法を踏まえた調達審査も焦点に

Alibaba Cloudは2026年8月27日、ブラジルに同社初のクラウドリージョンを開設した。南米では初のリージョンとなり、ブラジル国内のインフラからクラウドやAI関連サービスを利用できるようになる。

国内で処理を完結できる構成は、低遅延やデータ所在地の管理に利点がある。一方、個人データを扱う企業は、サーバーの物理的な所在地だけでなく、国外からの運用アクセス、データの転送先、委託先、契約主体、政府機関から開示を求められた場合の対応などを確認する必要がある。中国企業グループのクラウドを採用する場合、中国の国家情報法を含む法制度と実際のサービス構成を切り分けて評価することが重要になる。

■ブラジルに2つのデータセンターを開設

新しいブラジルリージョンは2つのデータセンターで構成され、コンピューティング、ストレージ、コンテナ、ネットワーク、セキュリティ、データベース、ビッグデータ、クラウドネイティブサービスなどを提供する。

Alibaba Cloudによると、ブラジルの企業、スタートアップ、開発者、公共機関は、低遅延や可用性、運用の安定性、災害復旧、データガバナンスを考慮して設計された現地インフラを利用できる。同社はブラジルで、企業向けAIエージェントの開発、運用、保護を支援するサービス群も順次提供する計画だ。

今回の開設は、2025年2月に開設したメキシコリージョンに続く中南米での事業拡大となる。Alibaba Cloudはブラジル進出によって、世界31リージョン、106のアベイラビリティゾーンを運営する体制となった。

同社は、AIとクラウドインフラに少なくとも3800億元、約530億ドルを3年間で投じる方針を掲げている。1ドル160円で換算すると約8兆4800億円となる。ブラジル向けの個別投資額は公表していない。

■現地企業とAI・クラウドサービスを展開

Alibaba Cloudはブラジルで、企業向け技術ソリューションを手掛けるInsiや、オープンソースソフトウェアとITサービスを提供する4Linuxとの提携も発表した。

InsiはAlibaba CloudのクラウドとAIサービスを法人顧客向けのシステム構築に活用する。4Linuxは、Alibabaのオープンウェイトモデル「Qwen」と、自社の導入支援やトレーニングに関する知見を組み合わせ、ブラジル企業への生成AI導入を支援する。

今後提供する企業向けAIエージェント関連サービスには、エージェントを分離環境で実行する「ACS Agent Sandbox」、データベースや分析業務を支援する「DAS Agent」「Data Agent for Analytics」、データ処理パイプラインの自動化を支援する「DataWorks Data Agent」などが含まれる。セキュリティ分野でも、AIエージェントの運用や脅威対応を支える複数のサービスを展開する計画である。

■データの国内保存とLGPD準拠は別の問題

ブラジルの一般データ保護法であるLGPDは、すべての個人データを国内に保存するよう一律に義務付ける法律ではない。国内リージョンの利用によってデータが国外へ移転しない構成を選べることは、データ所在地の管理や低遅延には役立つが、それだけでLGPDへの準拠が自動的に確定するわけではない。

企業は、個人データを処理する法的根拠、利用目的、必要最小限のデータに限定する仕組み、安全管理措置、委託先の管理、インシデント対応など、LGPDが定める通常の義務を履行する必要がある。

さらに、データやその複製がブラジル国外の事業体に提供される場合は、国際データ移転に関する規則が問題となる。ブラジル国家データ保護庁の決議第19号は、十分性認定、標準契約条項、個別に承認された契約条項、グローバル企業規則など、国外移転に利用できる仕組みを定めている。

そのため、クラウドサービスの調達では、主データの保存地域だけでなく、バックアップ、ログ、障害対応、サポート、管理者アクセス、分析サービスとの連携によって国外移転が発生するかを確認する必要がある。国外からデータへアクセス可能な設計についても、契約内容と実際の技術構成を照合することが欠かせない。

■EUとの相互十分性認定が示すもの

ブラジルと欧州連合は2026年1月、互いの個人データ保護水準が同等と認められるとして、相互に十分性を認定した。これにより、ブラジルとEUの間では、追加の移転手段を原則として用いずに個人データを移転できるようになった。

この認定は、ブラジルから中国を含む第三国への移転を自動的に認めるものではない。また、ブラジル国内で提供される特定のクラウドサービスを、EUやANPDが個別に承認したことを意味するものでもない。

一方、EUの十分性認定では、個人データに対する公的機関のアクセス、監督制度、救済手段なども評価対象となる。ブラジル企業が国外の事業者やその関連会社にデータを移転する場合も、移転先の法制度と、契約上・技術上の保護措置を確認するという考え方が重要になる。

■中国の国家情報法をどう評価するか

中国の国家情報法第7条は、組織と国民に対して国家情報活動への支持、援助、協力を求めている。第14条は、国家情報機関が関係する機関、組織、個人に必要な協力を求められると定める。

これらの規定は、中国企業が提供する通信機器やクラウドサービスを海外の政府や企業が採用する際のリスク評価で繰り返し取り上げられてきた。一方、第7条が民間企業にどの範囲の積極的な情報提供を義務付けるかについては法的な解釈が分かれている。

また、Alibaba Group Holding Limitedはケイマン諸島で設立された持ち株会社であり、グループ内には中国本土、香港、その他の地域で設立された複数の法人が存在する。国家情報法の条文だけから、ブラジルリージョンのあらゆる顧客データに中国当局が直接アクセスできると断定することはできない。

実務上は、ブラジル向けサービスの契約主体と運営主体、暗号鍵の管理者、国外からアクセスできる担当者、データやログの転送先、法執行機関から開示要求を受けた場合の手続きなどを具体的に調べる必要がある。法制度上の懸念と、個別サービスに実装された保護措置を組み合わせて評価することが、調達審査の中心となる。

■EU・米国系クラウドにも政府アクセスの問題

政府によるデータアクセスは中国系クラウドだけに存在する論点ではない。米国の法執行機関や情報機関も、適用される法律と手続きに基づき、米国企業にデータの提出を求めることがある。

事業者の本社所在地だけを基準に安全性を決めるのではなく、要求の法的根拠、司法審査や異議申立ての仕組み、本人や顧客への通知、透明性報告、国外に保存されたデータへの適用範囲などを比較する必要がある。

クラウド調達における現実的な課題は、特定の国の事業者を一律に排除することではなく、自社が扱うデータの性質と、各サービスの契約・運用・技術構成を照らし合わせることである。

■金融、医療、公共部門では慎重な審査が必要

金融、医療、公共部門など、高い機密性を伴うデータを扱う組織では、より厳格な調達審査が必要になる。

金融機関にはLGPDに加えて金融分野の規制が適用される。医療情報、生体情報、宗教、政治的意見などはLGPD上のセンシティブ個人データに当たり、処理の法的根拠や安全管理について通常の個人データより慎重な対応を要する。

公共機関では、LGPDへの準拠に加え、行政データの管理、国家の重要情報、サイバーセキュリティ、デジタル主権に関する方針も考慮する必要がある。ANPDが公表した2026～2027年の優先監督分野にも、公共部門における個人データ処理と、AIなどの新興技術が含まれている。

■導入前に確認すべき項目

Alibaba Cloudのブラジルリージョンを検討する企業は、まず処理するデータを分類し、個人データやセンシティブ個人データが含まれるかを確認する必要がある。公開情報や開発環境と、金融情報、健康情報、行政記録では、求められる保護水準が異なる。

次に、ブラジルリージョンから国外へデータ、ログ、バックアップが送られる条件を確認する。障害対応や技術サポートのために国外の担当者がアクセスする可能性、他のリージョンや外部サービスとの連携が初期設定で有効になっていないかも確認対象となる。

契約面では、契約主体、再委託先、データの保存地域、開示要求への対応方針、顧客への通知、契約終了後の削除方法、監査報告書や認証の対象範囲を精査する必要がある。企業側で暗号鍵を管理できるか、国外の運用担当者が平文データへアクセスできない構成を選べるかも重要である。

Alibaba Cloudのブラジル進出は、現地企業に新たなクラウドとAIの選択肢をもたらす。採用の可否は国内リージョンの有無だけでは決められず、データの流れ、アクセス権限、契約主体、法的保護措置を具体的に確認したうえで判断することになる。

元記事: Alibaba Cloud’s Brazil Debut Puts LGPD and China’s Intelligence Law on Collision Course