Synthesiaの学習・プライバシー・セキュリティ

SynthesiaはAI avatarを使ったvideo generation serviceですが、仕事で利用するときはscript、uploaded image、audio、voice sample、生成videoなどのCustomer Dataをどう扱うかが重要です。

2026年9月時点の公式AI Governance Practicesでは、SynthesiaはCustomer DataをAI Componentsのpre-trainingに使わないと明記しています。またCustomer Dataをfine-tuningに使う処理は、customerのwritten instructionに基づくと説明しています。

この点は、consumer向け生成AIと比較すると分かりやすいprivacy上の特徴です。

Customer Dataとは

SynthesiaのPrivacy Policyでは、serviceへ送るtextやscript、image、audio file、生成videoなどをCustomer Dataとして扱う説明があります。

company accountでは、CustomerがworkspaceやCustomer Dataを管理し、access、retention、export、integrationなどをcontrolできる場合があります。

学習に使われるか

SynthesiaのAI Governance Practicesでは、Customer Dataのinputs / outputsをAI Componentsのpre-trainingに利用しないと明記されています。

またCustomer Dataを使ったfine-tuningが必要な場合も、customerのwritten instructionに従うとしています。

「service改善のため自動的にすべて学習へ回る」と理解するのは、少なくとも現在の公式説明とは一致しません。

Synthesia自身のmodel training data

Synthesiaは自社AI Componentsのpre-trainingに、paid actorsやmodelsのperformance、publicly available performance、licensed performanceを使用すると説明しています。

つまりCustomer Dataをpre-trainingに使わないことと、Synthesiaが別のdata sourceでAIをtrainingしていることは両立します。

security対策

Security Practicesでは、Customer DataをAES-256でat-rest encryptionし、通信にはTLS 1.2+を使用すると説明しています。

またAWSをpublic cloud infrastructureとして利用し、ISO 42001、ISO 27001、SOC 2 Type IIのperiodic auditを受けるとしています。

access management、MFA、audit logging、secure development lifecycle、incident responseなどもsecurity controlとして説明されています。

それでも注意したいこと

「trainingに使わない」ことと「service提供のため処理・保存されない」ことは別です。

video generationのためにはscript、image、audio等を処理する必要があります。companyのconfidential dataを扱う場合は、自社のinformation security policy、DPA、subprocessor、data retention、workspace権限まで確認する必要があります。

またthird-party integrationを有効にする場合は、Synthesia以外のproviderへdataが渡る可能性も考慮します。

Customer Dataの扱いを契約単位で確認する

Synthesiaの公開説明では、Customer DataをAI Componentsのpre-trainingに使わないとしています。一方、サービス利用のための処理や、Customerの書面指示に基づくfine-tuningは別の話です。Privacy Policyの2026年10月1日版では、Customer Dataにはscript、音声・動画・画像などの入力と生成動画が含まれ、顧客とのAgreementが処理条件を定める場合があると説明されています。

つまり、確認すべき問いは「学習するか」だけではありません。用途ごとに次を契約・管理画面で確かめます。

• 通常の生成処理に使うデータと保存期間

• Avatar作成に使うSampleや本人確認用recordingの扱い

• fine-tuningを行うか、その場合の書面指示と対象範囲

• workspaceの管理者、共有権限、削除・export方法

• 有効化したintegrationとsubprocessor

• 適用されるDPA、契約、地域設定

まずは使ってみる

記事の文脈に合うToolへ進めます。報酬の有無で見た目は変えていません。

• 

  Synthesia

  公式サイトを見るTool詳細を見る

学習の種類を混同しない

「pre-trainingにCustomer Dataを使わない」という説明は、顧客データがサービス上まったく処理されないという意味ではありません。動画を生成するには、入力script、avatar、音声などをサービスが処理します。またSynthesiaのPrivacy Policyは、AvatarのSampleやVerification Recordingに関係する生体情報について、本人のAvatarを作るためのmodel fine-tuning等を目的として扱うケースを記載しています。これはCustomer Data全体を一般モデルの事前学習に使うという話とは区別して読む必要があります。

このため、個人の肖像や声を使う場合は、同意の取得、本人確認、利用目的、退職・契約終了後の扱いまで関係者と決めます。社内動画の台本に顧客情報や未公開情報が含まれる場合も、AI学習ポリシーだけで可否を決めず、契約上の許可と共有範囲を確認します。

導入審査で使う質問票

表は横にスクロールできます

質問	確認先	記録する答え
Customer Dataをpre-trainingに使うか	AI Governance Practices、契約	公開方針と契約条項の一致
顧客指示でfine-tuningする機能があるか	Agreement、管理者窓口	指示者、対象データ、期間、停止方法
Avatar Sample / Verification Recordingの処理は何か	Privacy Policy、Avatar consent flow	取得目的、保存、削除・撤回条件
地域要件を満たすか	DPA、subprocessor一覧、契約	データ処理・保存地域と例外
認証・権限を統制できるか	Security Practices、plan仕様	SSO、管理者、監査ログ等の適用条件
事故時にどう連絡するか	DPA、契約	連絡先、通知期限、窓口

公式ページに認証名があるだけで、自社のプランに機能が付くとは限りません。機能提供条件や契約上の対象範囲は、見積もり・Agreementの段階で確認します。

導入前の試験データ

いきなり本番scriptや実在人物の映像を使わず、社内承認済みのダミーscriptと、使用許諾を得た素材で一連の流れを試します。生成結果の共有、編集、download、削除までを確認し、誰がアクセスできるかも点検します。これにより、モデルの出力品質とデータガバナンスの確認を分離できます。

試験後は、少なくとも次を記録します。

1. 使用したplanとworkspace設定

2. 入力したサンプルの出所・許諾

3. 処理に関与するintegration

4. 生成物の共有・保存場所

5. 削除を実施した担当者と確認日

6. 未確認の契約条件と担当窓口

判断の境界

AI Governance Practicesは事業者が公開する一般方針、Privacy Policyは個人情報の処理説明、AgreementとDPAは顧客契約上の条件を確認する資料です。これらの公開資料だけでは、個別契約のretention、地域指定、全機能の適用条件までは断定できません。機密データを本番投入する判断は、対象workspaceの契約と設定を確認してから行います。

現場で止める条件

次のどれかに当てはまるなら、一般利用者の判断だけで本番データを入れず、管理者・法務・情報セキュリティへ確認を回します。

• Avatarの対象者が、生成・配布・保存の目的を理解して同意していない。

• 顧客との契約で外部サービスへの送信やAI処理が制限されている。

• 必要な削除・保存期間を契約やworkspace設定で確認できない。

• fine-tuningの指示内容、対象範囲、終了後の扱いが明文化されていない。

承認が取れたら、入力素材を最小化し、閲覧できるworkspace memberを限定します。出力動画の公開前には、人物の同意範囲、script内の秘密情報、誤った発言や字幕、社名・ロゴの扱いを人が確認します。これらはSynthesiaが誤生成をしないという保証ではなく、動画を利用する組織側のQA項目です。

AIものさしの判断

Synthesiaは、Customer Dataをpre-trainingに使わない方針を公式に明記し、enterprise利用を意識したsecurity controlも比較的詳しく公開しています。

ただし「学習されない＝何でも入力してよい」ではありません。実務ではdata classification、access control、retention、subprocessor確認まで含めて判断するのが安全です。