アトラシアン、AI訓練のためのデータ収集を発表——有料プランでもオプトアウト不可

概要：何が起きているのか

2026年4月18日から19日にかけて、アトラシアン（Atlassian）は大きなプライバシー方針の転換を公表した。2026年8月17日から、同社の主力クラウド製品であるJira、Confluence、およびその他のクラウド製品から、顧客のメタデータとアプリ内コンテンツを取得し、AIモデルの訓練にデフォルトで利用するするというものである。対象ユーザーは全世界で約30万人に達する。

この方針変更の核心は、二層構造プライバシーシステムにある。Enterprise tier（エンタープライズプラン）のユーザーはデータ収集をオプトアウトできるが、Free（フリー）、Standard（スタンダード）、Premium（プレミアム）プランのユーザーは、メタデータの収集を拒否する手段が一切与えられないという仕組みだ。

対象となる製品と収集データ

アトラシアンがデータ収集の対象として公表した製品は以下の通りである。

• Jira——プロジェクト管理・課題追跡ツール
• Confluence——チーム知識共有・ドキュメンテーションツール
• その他クラウド製品——Rovo、Rovo DevなどAI関連サービスを含む

収集されるデータには、課題やページの本文テキスト、ファイル添付内容、ユーザー行動ログ、メタデータが含まれる。具体的な収集範囲については、アトラシアン公表の文書において完全には明示されておらず、この不透明さも批判の対象となっている。

二層プライバシーシステムの問題点

小規模チーム和个人ユーザーが最も影響を受ける

FreeプランやStandardプランを利用しているのは、個人開発者やスタートアップ、中小チームが多いとされる。彼らはEnterpriseプランの高額なコストを負担する余裕がなく、必然的にデータ収集の対象となる。

この構造は、経済的余裕のないユーザーほどプライバシー権を剥奪されるという、逆説的な状況を生んでいる。大企業だけは対価を払ってデータ主権を維持でき、小規模ユーザーは泣く泣くデータを提供するという構図だ。

インフォームド・コンセントの欠如

多くのプライバシー保護法制において、ユーザーの明示的な同意取得は基本原则である。しかし今回のアトラシアンの方針では、ユーザーはデフォルトでデータ収集の対象となり、自発的なオプトアウト手続きを経ることなく、データがAI訓練に利用される。

EUのGDPRや日本の個人情報保護法との関係でも、このデフォルト収集方式の合法性は疑問視されている。

同意取得のないデータ利用の法的リスク

Adobeが同じ手法でプライバシー問題を抱えた前例がある。Adobeは2024年、ユーザーのデータを同じやり方で利用していたとして、複数の国で法的制裁を受けた。

アトラシアンも同じ轍を踏む可能性がある。EUのAI規則やGDPRの観点から、デフォルトデータ収集は重大な法的リスクを伴う。

エンタープライズユーザーのオプトアウト方法

エンタープライズユーザーは、以下の手順でデータ収集をオプトアウトできるとされる。

1. Admin Consoleにログインする
2. データ管理設定画面を開く
3. AI訓練データ利用のオプションを無効化する
4. 設定変更後、データ収集が停止される

ただし、このプロセスも完全には明かされておらず、アトラシアンのサポートドキュメントを参照する必要がある。また、オプトアウト操作自体が複雑なため、管理者に十分な技術的知識が求められるという声もある。

業界全体への影響

アトラシアンのこの動きは、クラウドSaaS業界全体に影響を及ぼす可能性がある。

他のSaaS企業への波及

アトラシアンに端を発したこの方針変更は、他のSaaS企業にとっての「先例」となる恐れがある。AI訓練のためのデータ収集は、手間とコストのかかるプロセスだが、アトラシアンのようにデフォルト収集という形を取れば、ユーザーは気軽に拒絶できない。

この手法が他の企業に広まれば、クラウドユーザーのプライバシー保護は空洞化する可能性がある。

競合他社との差別化

逆に、プライバシー保護を強調する競合他社にとっては、ビジネスチャンスとなる。アトラシアンの声明直後、同種のツールを提供する企業への移行を検討する声が上がっている。

ユーザーが取れる対策

データ収集の対象外となる方法

現時点で確実にデータ収集を回避する方法は限られている。

• Enterpriseプランへの移行——コスト面で現実的ではない場合が多い
• 競合サービスへの移行—— 同等の機能を持つ代替サービスの検討
• セルフホスト版への移行——JiraやConfluenceのサーバ版（Data Center）は、データ収集の対象外とされる

データの暗号化とアクセス管理

SaaSに上げる前にデータを暗号化しておくことは、プライバシー保護有効な手段である。また、定期的にアプリケーションの権限付与状況を確認し、不必要なアクセス権限を撤回することも、リスク軽減につながる。

まとめ

アトラシアンのAI訓練データ収集方針は、クラウドプライバシー保護のあり方について根本的な問いを投げかけている。大企業だけの特権としてデータ主権を維持できる二層構造は、民主的なプライバシー権の理念に反する可能性がある。

ユーザーは自らのデータがAI訓練に使われていることを十分に理解し、早めに最適な選択を検討することが求められる。2026年8月17日の適用開始までに、残された時間はまだある——だが、その時間は限られている。