Typelessを使い始めた、あるいは検討しているときに、炎上していた、危険では、という情報を見て不安を感じていませんか。2026年2月にSNSで拡散したセキュリティ疑惑の投稿は、今もネット上に残っています。
結論から言うと、Typelessのセキュリティは音声入力AIとして標準的な水準で、炎上の発端となった疑惑の大半は技術的に誤りでした。
この記事では、炎上騒動の経緯と技術的な根拠、公式のデータ保護体制、業務で機密情報をどこまで話してよいかの判断基準を整理します。読み終えるころには、使い続けるかの判断に必要な情報がそろいます。
Typelessの炎上騒動（2026年2月）とは何だったか
2026年2月、X（旧Twitter）で「Typelessをリバースエンジニアリングした結果、深刻なプライバシーリスクを発見した」とする投稿が日本で拡散しました。主に3点の疑惑が指摘されています。
- カメラへの不正アクセスがある
- キーロガーが搭載されており、すべてのキー入力を外部送信している
- 音声データがクラウドに送信されている
この件は日本国内では大きく話題になりましたが、米国ではほぼ注目されませんでした。後の技術的検証により、上記の疑惑はいずれも誤りまたは誇張であることが判明しています。Typelessも公式で見解を発表しており、各疑惑に対して技術的な根拠を示しています。
Typeless炎上の疑惑は技術的に正しかったか
3つの疑惑について、公式情報をもとに根拠を確認します。
同種の懸念は他の音声入力AIでも指摘されやすく、Nottaの安全性の検証も参考になります。
カメラアクセス疑惑：macOSのTCCで技術的に不可能
macOSには「TCC（Transparency, Consent, and Control）」という権限管理の仕組みがあります。カメラ・マイク・位置情報などへのアクセスはOSレベルで制御されており、ユーザーが明示的に許可しない限り、どのアプリもアクセスできない仕組みになっています。
Typelessは音声入力アプリであり、マイクへのアクセスは必要ですが、カメラとの接点は仕様上ありません。macOS TCC機構の特性上、アプリがユーザー許可なしにカメラにアクセスすることは技術的に不可能です。
キーロガー疑惑：ホットキー検出はAlfred等と同じ仕組み
キーロガーとは、すべてのキー入力を記録して外部に送信するソフトウェアのことです。Typelessが使用しているのはこれとは別の機能で、特定のキー組み合わせ（ホットキー）を検知して音声入力を起動するものです。
この実装はAlfredやDiscordなど多くのアプリが採用している標準的なものであり、入力されたキーの内容を記録・外部送信するものではありません。公式の確認によれば、Typelessがキー入力を外部に送信していないことが検証されています。
クラウド送信疑惑：TLS暗号化で通信は保護されている
「音声がクラウドに送信される」という点は事実です。Typelessは音声をリアルタイムでクラウド処理しており、入力した音声はサーバーで文字起こしされてから端末に返されます。
ただし、この通信はTLS（Transport Layer Security）1.2以上で暗号化されています。TLSはHTTPS通信で使われる業界標準の暗号化プロトコルで、現在の標準的な安全水準として広く採用されています。クラウドに送信されること自体は事実ですが、経路は暗号化されており、無防備に流れているわけではありません。
Typelessが実際に収集・保存しているデータ
炎上の根拠が誤りだったとしても、「実際にどのようなデータが使われるのか」は別に確認する必要があります。公式のData Controlsページをもとに整理します。
暗号化や情報漏洩リスクの考え方はPlaud NotePin Sの情報漏洩リスク検証でも扱っています。
音声・文字起こしデータはサーバーに残らない（ゼロデータ保持）
Typelessが採用している「ゼロデータ保持（Zero data retention）」とは、処理後にデータをサーバーに一切保存しない設計方針です。音声データはリアルタイムで処理・変換され、テキストを端末に返した後に即廃棄されます（Typeless Data Controls）。
この方針は音声・文字起こし・編集内容のすべてに適用されており、利用履歴もサーバーではなくユーザーのデバイス内にのみ保存されます。OpenAIなどのLLM（大規模言語モデル）プロバイダーとは「strict zero retention agreements（厳格なゼロ保持契約）」を締結しています。これにより、第三者プロバイダー側でもデータが保持されない仕組みです。
アカウント情報・利用データは収集される
一方で、音声データとは別に、アカウント管理や運営のために以下の情報は収集されます。
- メールアドレス・氏名・電話番号（アカウント登録情報）
- IPアドレス・デバイスタイプ・ブラウザ情報（アクセスログ）
- 支払い情報（第三者決済サービスを経由して処理）
- フィードバック提出時の診断情報
プライバシーポリシーには広告パートナーとの共有の可能性も記載されていますが、対象はIPアドレス等の利用データであり、音声データは含まれません。ユーザーデータの売却は行わず、ビジネスモデルはソフトウェア販売に限定されています（Typelessプライバシーポリシー）。
Typelessの運営会社とセキュリティ認証
Simply CA LLCはどんな会社か
Typelessを運営するのは、米国カリフォルニア州パロアルト拠点のSimply CA LLCです。CEOはスタンフォード大学出身のHuang Songが務めており、米国の法人として事業を展開しています（Typeless About）。
炎上当初は「どこの国の会社か分からない」という懸念も見られましたが、所在地・創業者情報は公式サイトで公開されています。ビジネスモデルはソフトウェア販売であり、データ販売で収益を得る構造にはありません。
SOC 2 Type II 認証とは何か・現在の取得状況
SOC 2 Type II は、米国公認会計士協会（AICPA）が定めたセキュリティ認証です。Type II では通常6ヶ月〜1年にわたる実際の運用期間を独立した第三者監査法人が検証するため、形式的な書類対応では取得できない水準の認証になります。
2026年2月時点では「取得プロセス進行中（In Progress）」と公式サイトに記載されていました。現在の取得状況については、炎上後に新設されたTypeless Trust Centerで最新情報を確認することをおすすめします。GDPR・HIPAAへの対応も進行中で、EU/EEA居住者にはデータへのアクセス・削除・修正を求める権利が付与されています。
Typelessと競合ツールのセキュリティ比較
「Typelessだけが危ないのでは」と不安なときは、同じ音声入力AIのWispr FlowやAqua Voiceと並べると位置づけが見えます。主なセキュリティの観点で比べると次のとおりです。
セキュリティ以外の観点も含めた総合比較はTypeless vs Aqua Voiceの速度比較で詳しく解説しています。
| 観点 | Typeless | Wispr Flow | Aqua Voice |
|---|---|---|---|
| 音声・文字起こしの保持 | 標準でゼロデータ保持（処理後に廃棄） | プライバシーモードで保持なし（無料・標準系は既定オフ、Enterprise・HIPAAは既定オン） | 標準は改善目的で残す場合あり（プライバシーモードやTeamで保持なし） |
| 通信の暗号化 | TLS1.2以上 | TLS1.2以上＋保存時にAES-256 | 業界標準の暗号化（SOC 2 Type IIで監査） |
| 第三者認証 | SOC 2 Type IIを取得手続き中（Trust Centerで要確認） | SOC 2 Type I取得済み・Type IIは観察期間中、ISO 27001取得手続き中、HIPAA対応（BAA提供） | SOC 2 Type II |
| 音声のクラウド送信 | あり（端末外で処理） | あり（端末外で処理） | あり（端末外で処理） |
3社に共通するのは、音声をクラウドで処理する仕組みと、TLSによる通信の暗号化、そしてSOC 2系の第三者監査を受けている、または取得を進めている点です。つまりTypelessのつくり自体が、この分野で特別に危ういわけではありません。
料金や機能面での違いはTypelessとWispr Flowの比較でも取り上げています。
違いが出るのはデータ保持の既定です。Typelessは処理後に保存しないゼロデータ保持が標準です。
一方Wispr Flowは無料・標準系だとプライバシーモードが既定オフで、Aqua Voiceも標準では残す場合があるとされています。この点でTypelessはむしろ既定が厳しめで、競合と比べてリスクが高いとはいえません。
特定の規格への対応が必要なら、認証の範囲で選ぶ視点も役立ちます。たとえばWispr FlowはHIPAA対応（BAA提供）を掲げており、医療系の要件があるなら比較候補になります。
Typelessで機密情報をどこまで話してよいか
ゼロデータ保持の設計を前提に、業務での具体的な利用判断を整理します。
業務利用で話してよいシーン・情報の種類
ゼロデータ保持およびLLMプロバイダーとのzero retention合意を根拠とすると、以下のようなシーンでの利用は現実的な選択肢になります。
- 機密性の低い社内打ち合わせの議事録・タスクメモ
- ブログ記事・提案書・メールの下書き作成
- 個人の業務計画や作業メモの音声入力
- 固有名詞を含まない顧客打ち合わせの概要整理
音声はリアルタイムで処理後に廃棄され、LLMプロバイダー側にも保存されません。一般的なクラウドストレージにファイルを保存するよりも、データが残るリスクが低い構造といえます。
控えたほうがよいシーン・情報の種類
一方で、以下のようなケースでは慎重な判断が必要です。
- 大量の個人情報（氏名・住所・マイナンバー等）を含む会話
- 医療・法的情報など高度な守秘義務が求められるもの（HIPAAへの対応は進行中）
- 社内規定でクラウドサービスへの音声送信を禁止している場合
- 個人データが米国のサーバーで処理されることを問題とする規制環境
アカウント情報や利用データは収集されるため、完全なオフライン要件がある用途には向いていません（Typeless DPA）。
議事録やメールの下書きなど、日常業務の範囲から使い始められます。
まとめ：Typelessは業務で安全に使えると判断してよいか
炎上の発端となった3つの疑惑（カメラアクセス・キーロガー・クラウド送信）は、技術的検証により大半が誤りまたは誇張だったことが確認されています。ゼロデータ保持・TLS暗号化・LLMプロバイダーとのzero retention合意は、現在の音声入力AIとして標準的な安全対策です。
一般的な業務利用（議事録・下書き作成・作業メモ）の範囲では、安心して使えるレベルにあります。ただし、医療・法律分野など守秘義務が厳しい業種、または社内規定でクラウド音声送信を禁止している場合は、導入前に情報セキュリティ担当者と確認することをおすすめします。SOC 2 Type II 認証の取得状況は変わる可能性があるため、最新情報はTypeless Trust Centerで確認してください。
Typelessの基本機能や価格については、あわせて以下の記事も参考にしてください。
音声は処理後すぐ廃棄されるゼロデータ保持のまま使い始められます。
