#privacy
2026年5月12日、XeroはAnthropic Claudeとの統合を開始し、450万人の購読者がライブの請求書、銀行取引、レポートを会話形式で照会できるようになりました。この双方向接続の仕組み、JAX Assureのガードレールとセッション限定データポリシーが実際に約束するもの、OAuthアクセスを許可する前のデューデリジェンスチェックリスト、そしてプレーンテキストのBeancount元帳があれば、まったく統合なしでどんなAIにも同じアクセスを提供できる理由をご紹介します。
2026年1月1日、インディアナ州、ケンタッキー州、ロードアイランド州が包括的な消費者プライバシー法を持つ18番目、19番目、20番目の州となりました。このガイドでは、適用閾値（ロードアイランド州では最低10,000の消費者）、治癒期間、最大1件あたり10,000ドルの罰金を比較し、中小企業向けの6ステップのコンプライアンスチェックリストを提供します。
2025年7月2日に署名され2026年1月1日に発効するミズーリ州HB 974は、NAIC保険データセキュリティモデル法を州内のほぼすべての保険免許保有者に適用し、書面による情報セキュリティプログラム、年次リスク評価、インシデント対応計画、ベンダー監督、そして規制当局への4営業日以内の侵害通知を義務づける。
2026年6月16日に署名されたバーモント州H.211（第138号法）は、データブローカー登録料を100ドルから900ドルに引き上げ、2万ドルの保証金を追加し、2027年1月1日までに登録しなかった場合に1日あたり最大200ドルの罰金を課します。より狭い「直接的な関係」テストにより、ロイヤルティプログラム、決済代行業者、SaaSプラットフォーム、アフィリエイトマーケティング業者がデータブローカーとして分類される可能性があります。
改正されたコネチカット州CTDPAは2026年7月1日に施行され、適用基準を35,000人の消費者に引き下げ、ニューラルデータをセンシティブデータに分類し、個人データを用いたAIおよびLLMトレーニングの明確な開示を義務付けました。センシティブデータを1件でも処理すれば適用対象となり、60日間の治癒期間は廃止され、故意の違反に対しては1件あたり最大5,000ドルの罰金が科されます。
2026年のTIGTA監査により、IRSのスキャニング請負業者において、制限された納税者書類エリアへの1,375件の不正な立ち入りと、平均223日間にわたって修正されていない重大な脆弱性が確認されました。監視機関が何を発見したか、IRSがどう対応したか、そしてIP PINの登録、早期申告、電子申告といった、あなたのリスクを減らす具体的な対策をご紹介します。
カリフォルニア州のCPRAは現在、従業員、応募者、契約社員のデータを対象としており、2026年1月1日発効の規則により、生体認証タイムクロックやAIによる履歴書選考のような高リスクな人事利用の前にリスクアセスメントの実施が義務付けられ、自動意思決定に関する通知とオプトアウトのルールは2027年までに段階的に導入されます。
メイン州、コネチカット州、デラウェア州、ニューヨーク州、コロラド州の5つの州は、従業員を監視する前に書面による通知を義務付けている。メイン州の2026年法は、年次の再通知、採用時の開示、違反1件あたり$100–$500の罰金を新たに追加し、コネチカット州の拡大規則は2026年10月1日に施行される。すべての州の要件を満たす一つの監視ポリシーの作り方を紹介する。
イリノイ州の生体情報プライバシー法は、指紋・掌静脈・顔認証のタイムレコーダーが従業員をスキャンする前に、書面によるポリシー、通知、署名済みの同意を義務付けており、違反1件につき$1,000〜$5,000の損害賠償が科される。同様の同意ルールは現在、テキサス州、ワシントン州、その他およそ20の州にも広がりつつある。
2026年1月1日時点で、20の州が包括的なデータプライバシー法を制定しているが、従業員の人事記録の適用範囲は州によって大きく異なる——カリフォルニア州は消費者としての権利を従業員にも完全に適用する一方、コロラド州とバージニア州は雇用記録を適用除外としているが、コロラド州では2025年7月1日施行の新たな生体認証データに関する例外規定が設けられている。
インテュイットの2026年AIインパクトレポートによると、中小企業の77%が今やAIを日常的に利用しているが、記帳分野ではマーケティングやカスタマーサービスに導入率で後れを取っている。経営者がプライバシー、精度、信頼を最大の障壁として挙げているためだ。
コネチカット州で2026年7月1日に施行された新法は、広告価格の全込み表示を義務付け、独立系修理業者にメーカーと同水準の部品・資料へのアクセスを与え、CTDPAの適用閾値を35,000人の住民に引き下げるとともに、機微データとデータ販売については閾値なしで適用対象となる規定を追加した。
