何が判明したか
AI音楽生成サービスのSunoが、YouTube Music・Deezer・Geniusといったオンライン音源プラットフォームから数百万曲と歌詞をスクレイピングして自社モデルを学習させていたことが、ハッキングで流出したデータから明らかになりました。「ellie.191」と名乗るハッカーが404 Mediaに提供した素材には、2023年と2024年のSunoのソースコードと、YouTube Music、Deezer、Genius、Pond5、Jamendo、Freesound、IMSLPから音源を取得するスクレイピング手順が含まれていたとされます。
Sunoはこれまで学習データの中身や取得方法を明かしておらず、今回の流出はその実態をうかがわせる稀な事例です。あるYouTube Musicのファイルには、最終更新時点でSunoが「2,013,545件」のYouTube Musicクリップを取り込んだと記録されていました。データセットにはYouTube Musicが数十万時間、Deezer・Genius・IMSLP・Jamendo・Pond5が各数千時間、Freesoundとオンライン楽譜サービスMuseScoreの歌詞が数百時間分含まれていたといいます。さらにSunoは、PodcastIndexというツールを通じて約100万時間のポッドキャストのダウンロードも試みていました。
なぜ重要か
Sunoは著作物を無断で学習に使ったとして複数の訴訟を抱えています。RIAA（全米レコード協会）が起こした訴訟では、Suno自身が著作物で学習したことを認めたうえで、それは「フェアユース（公正利用）」の下で合法だと主張しています。昨年の追加訴状では、Sunoが意図的にYouTubeから楽曲を「ストリームリッピング」し、著作権保護を不正に回避したとも指摘されました。流出コードは、Sunoが第三者企業Bright Dataを使ってYouTubeから音楽を集め、ボーカルのみの音源を得るために楽曲の「アカペラ版」を検索していた可能性を示すとされます。
顧客情報の流出と対応
流出にはメールアドレス、電話番号、Stripeの決済情報など顧客情報も含まれていました。404 Mediaが接触した一部の顧客は登録の事実を認めつつ、Sunoから侵害の通知は受けていないと述べています。Sunoの広報担当は、2025年11月にインシデントを把握し迅速に封じ込めたと説明。「主に現在は使われていない古いソースコードが関与したもので、機微な個人情報は流出しておらず、Stripeでもクレジットカードのフルナンバーにはアクセスできない」とし、関与した顧客情報の範囲が限定的であることから、適用される個人情報保護法の下で個別通知は不要と判断したとしています。
💼 事業会社視点：これは自社にどう効くか
生成AIを導入する事業会社にとって、これは「学習データの出所リスク」が抽象論ではなく実損に直結することを示す事例です。Sunoはフェアユースを盾に既存楽曲を大量取得しましたが、日本企業がAI生成の楽曲・画像・文章を広告や製品に使う場合、原著作者からの権利主張や差止めが後から発生する可能性を前提に置くべきです。特に受託開発・制作会社は、納品物にAI生成物を含める際、学習データの合法性を発注元に保証できるかが問われます。SaaS事業者やECは、採用する生成AIベンダーに対し「学習データの取得元・取得方法」「侵害訴訟の有無」を契約前デューデリの必須項目にすべきです。さらにSunoの顧客情報流出と「個別通知は不要」という判断は、ベンダー選定時にインシデント通知ポリシーとStripe等決済情報の取り扱いを確認する重要性を示します。経営者は、安さや性能だけでなく「訴訟に巻き込まれても事業が止まらないか」の観点でAIベンダーを評価する必要があります。