Amazon Bedrock（以下、「Bedrock」といいます）とは、AWS が提供する生成AIの基盤です。AWS の内側に大規模言語モデル（LLM）が設置されており、利用者はモデルを呼び出して自社のシステムに組み込むことができます。Anthropic の Claude、OpenAI の GPT、Amazon の Nova など、複数の企業のモデルが100件以上使えます。モデルを動かすサーバーの用意も運用も AWS が行いますので、利用者はモデルを選び、要求を送り、応答を受け取るだけです。
Bedrock を業務で使用するのであれば、当然、業務データを入力します。Bedrock に機密情報を入力してよいのかをはっきりさせたい。これが、この記事を書いた動機です。
この記事は、同じ疑問を持った方に向けて、確認した結果を共有するために作成しました。
約束されているのは、モデルに取り込まないことだけです
入力が学習に使われるのか。使われないなら、機密情報を入れてよいのか。入力した内容が知らないところに保管され、漏洩するリスクはないのか。
学習に使われないのは正しく、そこから先は、「学習には使いません」の約束では答えていません。
学習とは、モデルの中身を書き換えることです。「学習には使いません」は、入れたデータをモデルに取り込まない、という約束です。
実務で活用する機能は「学習」とは無関係です。
会話の続きとして前のやりとりを踏まえた応答が返るのは、やりとりが保存されていて、毎回まとめて送り直されているからです。社内の文書について答えられるのは、その文書が検索できる形に変換され、保管されているからです。以前に伝えた自分の情報を覚えているのは、その情報が書き出されて、保存されているからです。
どれも、入れたデータをモデルに取り込んではいません。そのかわり、データはどこかに残っています。残っていなければ、これらの機能は成り立ちません。例外的に残るのではなく、残ることが機能を利用するための条件です。
つまり、学習に使わないという約束は、入れたデータがどこに保存され、いつまで残り、誰に見えるかについて、何も述べていません。
データが残るのは、これらの機能だけではありません。処理のあいだの一時的な保持、動作や監査の記録、法令に基づく保持と開示。いずれも、学習に使わないという約束を守っていても起こります。
機密に該当する情報を入力してよいかどうかを判断するためには、「学習に使われるか」だけではなく、入力したデータ、生成された出力データが、どこに、いつまで、誰から見える形で残り、管理できるのかの確認が必要です。
入力/出力データが誰から見える形で残り、管理できるのかの観点で Bedrock を確認すると、いくつかの論点が出てきます。
東京へ送っても、東京で処理されるとは限りません
Bedrock を使うときは、どのリージョンを使用するかを指定することができます。
Bedrock を使用するリージョンの指定と、推論が実施される場所は、必ずしも同じではありません。
モデルは、すべてのリージョンに設置されているわけではありません。Bedrock は、指定されたモデルの推論を実施するリージョンへ要求を回します。国内に設置されていないモデルであれば、東京へ送った要求であっても、データは国外へ渡り、そこで処理されます。
処理される場所は、モデルを指定するときの名前で決まります。選び方が3つあります。
モデルの名前をそのまま書けば、要求を送ったリージョンの中だけで処理されます。名前の前に地理を表す文字を付ければ、その地理の中で振り分けられます。日本を指定すれば、東京と大阪の間です。global. を付けると、世界中のリージョンが対象になり、どこで処理されるかは決まりません。
そして、3つのどれを選べるかは、モデルによって違います。
Anthropic の新しい世代のモデルは、日本の中で処理できません。Claude Opus 5、Claude Sonnet 5、Claude Fable 5 は、東京へ要求を送っても、処理は日本国外で行われます（2026年8月5日現在）。
処理の最中、データは平文です
クラウドのLLMサービスは、4つの層に分けて確認することができます。
入力と表示を行うのが、クライアント層です。
要求を組み立ててモデルへ送るのが、オーケストレーション層です。指示文、これまでのやりとり、今回の入力を毎回まとめて一本の列にし、モデルへ渡します。返ってきた出力を受け取るのも、この層です。
モデル推論層は、受け取った列を読み、出力を組み立てます。記憶を持たず、呼ばれるたびに忘れます。
残るデータが保管されるのが、周辺ストレージ層です。
一本の列にまとめられた時点で、データは平文と同じ状態です。
トークンに変換することは、暗号化ではありません。公開されている対応表による1対1の変換であり、鍵もなく、元に戻せます。保護の等級は、平文と同じです。
そして、暗号化したままでは、モデルは読むことも出力を組み立てることもできません。オーケストレーション層が列を組み立ててから、モデル推論層が出力を返すまで、データは平文と同じ状態にあります。保管しているときの暗号化を強めても、通信を専用の経路にしても、ここは変わりません。
どのリージョンにモデルが設置されているかは、公表されています。
指定したリージョンにそのモデルがあれば、処理はその中で完結します。要求を組み立てるところから、出力を返すところまで、そのリージョンの中です。
指定したリージョンに使用するモデルが無ければ、モデルを持つリージョンへ回されます。候補は公表されている設置先に絞れますが、そのうちのどこで処理されるかまでは分かりません。要求を組み立てる処理が、指定したリージョンで行われるのか、回された先で行われるのかも、公表されていません。
ここまでが、Bedrock の側の事情です。この事情を受け入れられるかどうかは、自社が何を禁じているかによって決まります。
自社の規程が、何を禁じているか
情報の取扱いに関する規程には、国外への持ち出しについての定めが設けられていることがあります。
LLMの利用を想定して書かれた条文ではないはずですので、まず、何を禁じているのかを読み直すことになります。
国外へ送ることを禁じているのか。Bedrock では、日本の中で処理できるモデルを選ばない限り、要求そのものが国外へ渡ります。
国外で処理することを禁じているのか。指定したリージョンにモデルがあれば、処理はその中で完結します。無ければ、どこで処理されるかは分かりません。
国外に保管することを禁じているのか。推論そのものは、保管ではありません。機能を使えば保管されますが、どこに保管されるかは、使う機能によって変わります。公表されていない保管先もあります。
どれに当たるかで、確認すべきことが変わります。そして、条文からは判断がつかないこともあります。その場合、どう解するかを決めることが、そのまま検討の中身になります。
データを国外へ出さないという条件で確認します
この条件で、Bedrock にどのような制約があるかを検討します。
指定したリージョンに使用するモデルが無ければ、モデルを持つリージョンで推論処理が実施されます。どのリージョンにモデルが設置されているかは公表されていますので、候補は絞れますが、そのうちのどこで処理されるかまでは分かりません。データを国外へ出さないという条件を満たすためには、東京か大阪にモデルが設置されていることが求められます。
Claude Fable 5 は、この条件を満たしません。Anthropic が公開しているモデルの中で最も高性能なモデルですが、東京へ要求を送っても、処理は日本国外で行われます。
Claude Opus 4.8（以下、「Opus 4.8」といいます）は、満たします。東京と大阪の両方に設置されており、日本を表す接頭辞 jp. を付けて呼び出せます。振り分け先はこの2つだけで、日本国外のリージョンは含まれません。（2026年8月5日現在）
Opus 4.8 は、いま提供されているモデルであり、思考させることもできます。
この条件でも、Bedrock は使えます。そのかわり、いま最も高性能なモデルは選べません。
当局から開示を求められたとき、契約が守る範囲
AWSとの契約には、当局から顧客のデータを求められた際に、AWS側が実施する事項の約定があります。
まず、範囲を絞る約定です。4つ定められています。
差し向ける
データを求める政府機関に対し、利用者へ直接請求するよう向かわせます。
知らせる
法的に許される場合、要求について速やかに利用者へ通知します。通知が禁じられた場合は、その禁止を解いてもらうよう努めます。
異議を申し立てる
過度に広範な要求、不適切な要求には異議を申し立てます。
最小限にとどめる
それでも開示を強制される場合、要求を満たすために必要な最小限だけを開示します。
この4つの約定には、対象の限定があります。
4つの約定が機能するのは、個人情報についてだけです。顧客データのうち、個人情報に該当しない営業秘密、未公開の事業の情報、財務の情報、設計等の情報には機能しません。利用者へ差し向けることも、異議を申し立てることも、最小限にとどめることも、契約上約束されていません。
顧客データ——利用者がAWSのサービスへアップロードしたデータを指す契約上の用語です。
知らせることだけは、別の定めがあります。
カスタマーアグリーメントが、法的な要求または命令があったことを利用者へ通知すると定めています。法令に違反することとなる場合を除きます。この定めは対象を限定していませんので、機密情報についても機能します。
つまり、知らせてはもらえます。しかし、範囲を絞る努力は約束されていません。
法令等に基づく当局の請求に対する開示そのものは、契約では止められません。契約は日本、外国政府を拘束しないためです。この開示では、法令の規定で「知らせる」が制限されることがあります。
ただし、知らないまま読まれることは避けられます。
データを暗号化する鍵を、AWSの手の届かない場所で管理する方法があります。鍵の実体を自社の設備で保管し、暗号化と復号の操作も自社の環境で行わせる構成です。鍵を持たないAWSは、復号できません。開示を強制されても、請求した当局に渡されるのは復号できない状態のデータです。
内容を読むには、利用者の鍵管理基盤で復号する必要があります。そのため、当局は利用者に対して、鍵の提出または復号を求めることになります。
当局が内容を読もうとする限り、利用者を経由することになります。その段階で、利用者は自社のデータが求められていることを知ります。法令の規定で「知らせる」が制限された場合であっても、です。開示を妨げているのではありません。当局は利用者へ請求できます。
代償があります。鍵を保管する設備は自社で用意し、動かし続ける責任も負います。自社の設備が止まれば、AWSにも復号できません。標準の鍵の保管領域に適用される可用性の約束は、この構成には適用されません。
プロンプトキャッシュ——学習には使われません。それでも、どこに保管されるかが分かりません
LLMへ送っているのは、いま打ち込んだ質問だけではありません。
要求の先頭には、毎回同じ内容が積まれています。指示文、判断の基準、これまでのやりとり。質問だけが違って、前半は同じ——この形が繰り返されます。
Bedrockでは、この積み方を利用者が自分で組み立てます。組み立て方は違っても、毎回同じ内容が先頭に積まれることは変わりません。
プロンプトキャッシュは、この繰り返される部分をBedrock側に取っておき、次の要求で使い回す機能です。2回目からは処理を省けるので、速くなり、費用も下がります。
AWSは、取っておかれた内容がどこに保管されるのかを公表していません。
述べられているのは、リージョン間の推論と組み合わせて使えることまでです。保管の場所は示されていません。
さらに、この保管は資源として現れません。利用者が一覧することも、中身を見ることも、消すこともできません。自社の鍵を当てられるかどうかも、公表されていません。
保持の時間は選べます。既定で5分、1時間も選べます。ただしこの時間は、使われるたびに数え直されます。繰り返し送るからこそ使う機能ですので、使っている間、前半の内容は消えません。
つまり、処理と保管を東京と大阪に限る、という条件を満たすかどうかが、確認できません。
危ないと断定できるわけではありません。確認できない、というだけです。使うか使わないかは、プロンプトキャッシュで得られる速さや費用と引き換えに、確認できない保管先を受け入れるかどうかの判断になります。
なお、この機能は、要求の中で明示的に指定したとき（cachePoint）だけ働きます。指定しなければ、キャッシュは作られません。既定で有効にはなっていません。
AWSは、入力を学習に使いません。この約束に問題はありません。
それでも、送った内容がどこに保管され、いつまで残り、消せるのかは、別に確認する必要があります。学習に使わないという約束は、保管について何も言っていないからです。
厳密に機密を守ろうとすると、使える機能が減ります
入れたデータがどこに保存され、いつまで残り、消せるのか。この観点でBedrockの機能を確認していくと、利用者が管理できない機能、答えの出ない機能がいくつか見つかります。
文書や画像を自動で処理する機能（Data Automation）
リージョン間の推論を必須としており、処理が日本国外で行われます。
プロンプトキャッシュ
前に述べたとおり、保管先が公表されていません。
一連の作業を任せる仕組み（Agents）のうち、コードを実行させる機能と、画面を操作させる機能
Agents機能では、目的を伝えると、そこへ至る手順をモデル自身が組み立てて実行します。処理の途中で生じたデータは、Bedrock側に一時的に記憶されます。この記憶の保管先が公表されておらず、消す操作もできません。
自社の文書を検索させる機能（RAG）
文書を検索できる形に変換して保管させなければ成り立たない機能です。取り込みの途中の一時的な写しと、取り出しのときのセッションは、Bedrock の側に保管され、その所在は示されていません。
機能を使用するかしないかは、各組織の判断になります。
利用者が管理できない機能、保管先が確認できない機能のすべてを利用しないのであれば、機密データが漏洩するリスクを低減できます。そのかわり、呼び出して答えを受け取るだけという、利便性が低い使い方に近づきます。
一部を使えば、その分だけ保管先が確認できない、あるいは管理できないデータが残ります。扱う情報の重さと、機能から得られる利益とのバランスで決めることになります。
「学習に使わないから大丈夫」という考え方では、機能ごとにデータがどこに残り、誰に見えるかが抜け落ちます。
厳密に機密を守ろうとするのであれば、機能ごとに、データがどこに残り、誰に見えるかを受け入れられるかどうかの判断が必要になります。
確認すべき事項の一覧
ここまで述べた論点を含め、Bedrock で機密情報を扱う場合に、何が保管され、保管されたデータをどう扱うことになるかの観点で確認を要する事項を、20項目の一覧にしました。
表は Opus 4.8 を指定し、日本の中で処理と保管を完結させることを想定した場合の内容を記述しています。
実際の適用判断は、各社のポリシー、使用する機能の利便性と、扱う情報の重さの関係で実施することになると思います。
| 確認する事項 | 保管される先 | 対処の案 |
|---|---|---|
| 推論が実施される場所 | 処理が行われる場所です。この行以下の保管は、いずれもこの場所を前提とします |
自社の規程が、国外へ送ること、国外で処理すること、国外に保管することのいずれを禁じているかを読み直します。日本の中で処理させる必要がある場合、使えるのは東京か大阪に設置されているモデルだけです。モデルの名前をそのまま書くか、日本を表す接頭辞（jp.）を付けて呼び出し、世界中を表す接頭辞（global.）は使いません。Claude Opus 4.8 は東京と大阪の両方に設置されていますが、Claude Opus 5、Claude Sonnet 5、Claude Fable 5 は日本の中で処理できません |
| 既定のモードでの保持（AWSが安全と不正防止の目的で入出力を保持する仕組み） | 公表されていません | 保持しない設定（none）を選びます。Claude Opus 4.8 は既定では none を受け付けませんので、AWSから事前の承認を得たうえで設定し、サービスコントロールポリシーにより組織全体で強制します
|
| まとめて処理する仕組み（Batch API）の入出力 | 利用者のS3 | 使えません。保持しない設定を選ぶと、この機能は動きません |
| モデルが処理している間の平文のデータ | 保管されません。処理の間だけです | 止められません。窃取することが技術的に不可能または極めて困難であるため、許容します |
| 児童性的虐待素材と判定された場合の保管 | 公表されていません | 止められません。保護すべき内容ではないため、許容します |
| 自社の文書を検索させる機能（RAG）の資源 | 元の文書は利用者が指定するS3など、変換した文書はベクトルストアです。取り込みの途中の一時的な写しと、取り出しのときのセッションは Bedrock の側に保管され、その所在は示されていません | 使いません。文書を変換して保管させなければ成り立たない機能であり、保管を避けることと両立しません。自社の文書を検索させたい場合は、検索の仕組みを自社の側に実装し、取り出した内容を要求に載せて送ります |
| モデルのカスタマイズ（ファインチューニング） | 利用者が指定する保管先 | 使えません。Claude Opus 4.8 が対応していません |
| ファインチューニングしたモデルの評価に伴う一時的な複製 | AWSが所有する保管先 | 使えません。Claude Opus 4.8 が対応していません |
| ファインチューニングしたモデルの評価に伴う他のサービスの記録 | 利用者が指定する保管先 | 使えません。Claude Opus 4.8 が対応していません |
| 文書や画像を自動で処理する機能（Data Automation）の要求と出力 | 日本国外を含みます | 使いません。リージョン間の推論が必須で、送信元にできるリージョンに東京も大阪も含まれず、保管も日本国外になります |
| プロンプトキャッシュ | 公表されていません | 使いません。保管の場所が公表されておらず、一覧も、中身の確認も、消すこともできません |
| 一連の作業を任せる仕組み（Agents）のコード実行と画面操作 | 公表されていません | 使いません。渡したファイルと処理の途中で生じたデータの保管先が公表されておらず、消す操作もできません |
| 内部運用データ（使用量の計測、請求、資源に付けた標識） | AWSの運用基盤。国外を含みます | 止められません。保護の対象となる内容を含まないため、許容します |
| 資源の名前やタグに書いた内容 | 課金の記録と診断のログ。国外を含みます | 名前、タグ、誰が使えるかを定める設定に、保護すべき内容を書きません |
| 指定したリージョンからの移動 | — | 契約の構成で止めます |
| 当局の命令による開示 | 当局 | 止められません。暗号鍵をAWSの手の届かない場所で管理すれば、開示を強制されても渡るのは復号できない状態のデータであり、当局は利用者に鍵の提出か復号を求めることになります。知らないまま読まれることを避けられます。そのかわり、鍵を管理する設備の可用性は自社が負います |
| CloudTrail の管理イベント | 利用者が指定するS3 | 止められません。既定で有効であり、無効にする選択肢がありません。ただし記録されるのは、誰が、いつ、どこから、どのモデルを呼んだかであり、プロンプトも応答も含みません。出力先も保持の期間も利用者が定めます |
| CloudTrail のデータイベント | 利用者が指定するS3 | 既定では無効ですが、有効にします。有効にしなければ、誰がいつ何を検索したかが残りません。記録には検索の語が含まれますので、外部キーストアの鍵を当てます。あわせて、誰が読めるかを絞り、平文の書き込みを拒否し、消すべき時点で消します |
| モデル呼び出しログ | 利用者の CloudWatch Logs または S3。同一アカウント・同一リージョンに限られます | 既定では無効ですが、有効にします。何が入力され何が出力されたかを事後に確認できない状態は選ぶべきではありません。プロンプトと応答の全体が1か所に集まりますので、外部キーストアの鍵を当てます。保持はログの構成を削除するまで続きますので、消すべき時点で消します。CloudWatch Logs を出力先にすれば転送中も保管中も暗号化されます |
| モデル呼び出しログの中の画像と文書 | 利用者のS3 | S3にしか保管できません。S3はHTTPも受け付けますので、平文での書き込みを拒否するバケットポリシーを当てます。あわせて外部キーストアの鍵を当てます |
この一覧は、必要な条件を並べています。すべてを満たせば安全である、という意味ではありません。満たさなければ、管理できないデータの保管や、意図しない場所への送信が発生する、という意味です。