Wispr Flow レビュー：Mac、Windows、モバイル向け最高のAI音声入力ツールか？

プライバシーとセキュリティ：Wispr Flowは業務用途でも安全か？

これはWispr Flowに関して最もよく寄せられる質問であり、率直な回答が必要です。

Wispr Flowは安全ですか？HIPAA準拠のプライバシーモードについて

簡単に言えば、答えは「はい」です。ただし、理解しておくべき重要な注意点があります。

Wispr Flowは、クラウド上で音声データを処理します。この点は今後も変わりません。同社は、クラウドベースの処理こそが、本製品を優れたものにする、高速かつ正確で文脈に応じた文字起こしを可能にしているとの立場です。Wisprが提供する品質の処理をローカル環境で行うことは、現時点では一般消費者向けには現実的ではありません。

制御できるのは、処理後のそのデータに何が起こるかということです。

「プライバシーモード」は、「設定」の「データとプライバシー」から有効にできる機能で、データの保存が一切行われないことを意味します。このモードがオンになっている場合、音声データ、文字起こし、編集内容は、Wisprのサーバーに保存されることはなく、Wisprや第三者によるモデル学習にも使用されません。利用統計（単語数など）は引き続き収集されますが、発言内容の実際の内容は保存されません。

プライバシーモードがオフの場合、音声入力データがFlowのモデル改善に利用されることがあります。これはオプトイン方式であり、オプトアウト方式ではありません。また、その旨は明確に明記されています。

他にも知っておくべきセキュリティに関する事実がいくつかあります：

• HIPAAへの準拠は、無料プランを含むすべてのプランで利用可能です。医療従事者は、アプリ内で直接「業務提携契約（BAA）」に署名することができ、これによりアカウントの「プライバシーモード」が恒久的に有効になります。
• Wisprはお客様のデータを一切販売しません。同社のビジネスモデルはソフトウェアのサブスクリプションです。
• 2026年3月に認証状況に大幅な変更がありました。以下のセクションをご覧ください。

Wisprの認証ステータスは2026年3月に変更されました

2026年3月、内部告発による調査の結果、Y Combinatorの出資を受けるコンプライアンス自動化スタートアップ「Delve」が、定型文を用いたSOC 2報告書を大量に作成していたとの疑惑が浮上した。流出したスプレッドシートによると、494件の監査報告書のうち493件がほぼ同一であり、段落や文法上の誤りまで同じで、会社名のみが変更されていたという。Y Combinatorは2026年4月上旬、Delveをそのディレクトリから削除した。

Wisprはこの影響圏に巻き込まれた。同社の対応は適切だったと評価できる。 Wispr自身のセキュリティFAQによると、同社は2026年3月、「当初の監査機関におけるプラットフォームの完全性に関する懸念」を理由に、既存のSOC 2 Type II（Accorp Partners）およびISO 27001（Gradient）の認証を自主的に無効化し、その後、監査機関としてA-LIGN、コンプライアンスプラットフォームとしてDrataを採用して、一から再構築を行った。

2026年8月時点での実際の状況は以下の通りです：

• SOC 2 タイプI：2026年4月にA-LIGNにより完了、無保留の意見書
• SOC 2 タイプ II：観察期間中、報告書はまだ発行されていない
• ISO 27001:2022：第1段階は2026年4月に完了、第2段階は2026年6月に予定
• HIPAA：BAAは無料プランを含むすべてのプランで利用可能です。これに署名すると、プライバシーモードが永続的に有効になります。
• 侵入テスト：直近は2025年11月にBSK Security LLCにより実施、OWASPに基づく手法

御社の調達プロセスにおいて最新のSOC 2 Type II認証が必須である場合、Wisprは現時点でこれを取得していません。これは一時的なものであり、その理由も十分に説明されているため、懸念材料というよりは単なる不足点に過ぎませんが、セキュリティ審査で指摘される前に、この点を把握しておく必要があります。監査人を信頼できないという理由だけで、すでに取得済みの認証を放棄することは、コストはかかりますが正しい判断であり、ほとんどの企業はそうした決断を下さないでしょう。

Wispr Flowは画面のスクリーンショットを撮影しますか？

この主張は広く出回っており、通常は「Wisprは数秒おきにアクティブなウィンドウのスクリーンショットを撮る」という形で語られています。Wisprの公式ドキュメントを読んだところ、この広く知られている説は誇張されていることがわかりました。

セキュリティおよびコンプライアンスに関するFAQによると、Context Awarenessには、個別にオン／オフを切り替え可能な2つのコンポーネントがあります：

• アクセシビリティ・テキスト・コンテキスト（デフォルトはオン）：アクティブなアプリケーションのアクセシビリティツリーからテキストを読み取り、書式設定と固有名詞の正確性を向上させます
• 画面OCR（デフォルトはオフ、オプトイン）：画面全体のスクリーンショットを撮影し、固有名詞を抽出します

スクリーンショットは、両方のトグルがオンになっている場合にのみ取得され、スクリーンショットコンポーネントは、ユーザーがオンにしない限りオフのままです。パスワードフィールドの内容は一切読み取られませんが、Wisprによると、カスタムまたはWebベースのパスワードフィールドは通常のテキストとして扱われる可能性があるとのことです。プライバシーモードがオンでクラウド同期がオフの場合、キャプチャされた画面の内容はサーバー側で削除され、保存されることはありません。

つまり、正確な情報は次の通りです。Wisprはデフォルトで画面上のテキストを読み上げますが、スクリーンショットを撮影できるのは、ユーザーがその機能に同意した場合に限られます。それでも、端末から相当量のコンテキスト情報が流出することには変わりありません。NDA（秘密保持契約）の下で業務を行っている場合や、機密情報を扱う場合は、「データとプライバシー」の設定で「コンテキスト認識」機能を完全にオフにするべきです。しかし、「数秒おきにこっそりスクリーンショットを撮る」というのは、ドキュメントに記載されている内容とは異なります。この主張を繰り返しているいくつかのサイトは、競合する音声入力ツールを販売しています。

次のようなサードパーティのレビューサイトが抱く正当な懸念の一つとして Letterly のような第三者レビューサイトが指摘した正当な懸念の一つは、Wispr Flowの初期のプライバシーポリシーが曖昧であり、特に「コンテキスト収集」の意味や、どのサードパーティプロバイダーが音声を扱っているかという点に関して不信感を招いていたことです。Wisprはその後、この点を大幅に明確化しましたが、規制対象の業界に携わっている場合は、依然として プライバシーおよびセキュリティに関するドキュメント を熟読しておく価値は十分にあります。

セキュリティアーキテクチャの信頼性を保証するのは誰か

帳簿のもう一方に記しておく価値があるのは、Bill.com、Twitter、Rubrikに在籍していた元CISOのリンキ・セティ氏が、Wisprのアーキテクチャを公に支持し、Upwind Securityでは組織全体にFlowを導入したと述べている点だ。彼女が挙げた理由は、「データがどこに保存され、どのように移動し、誰がアクセスできるか」という点がすべて明確に把握できることであり、これはAIツールでは一般的ではないという点だ。 ベンダーの提案を却下するのが仕事だった人物からの支持であるだけに、これは非常に意味のある評価だ。

専門家向けの率直なまとめ：医療、法律、金融の分野で働いている場合は、プライバシーモードを有効にし、BAAに署名し、コンテキスト認識機能をオフにしてください。ライター、マーケター、あるいは機密性のないコンテンツを扱うナレッジワーカーであれば、無料プランのプライバシーモードで十分です。