取引先のセキュリティ確認シートに、こういう欄が増えました。「業務における生成AIの利用有無」「入力データの取り扱い」。 ここに何と書くかを社内で相談したとき、答えが人によって違ったことはないでしょうか。
「無料版は学習に使われるが有料版なら大丈夫」「APIなら残らない」「30日で消えるはず」。どれも部分的に正しく、部分的に古い情報です。2026年8月19日に OpenAI が対象を広げたゼロデータ保持（Zero Data Retention）の発表は、この曖昧さを整理する良い機会になります。大事なのは新機能そのものより、約束が何種類あるかを分けて読むことです。
3つの約束は、それぞれ別のもの
生成AIサービスのデータ取り扱いは、少なくとも次の3つに分かれます。混同されがちですが、守られる範囲がまったく違います。
| 約束 | 意味すること | 満たされていない場合に起きること |
|---|---|---|
| 学習に使わない | 送ったデータがモデルの訓練に回らない | 将来、他社への出力に痕跡が出る可能性を否定できない |
| 人が見ない | 提供元の担当者がレビューできない | 不正利用調査などの名目で内容が読まれ得る |
| 保持しない | 処理後にデータそのものが残らない | 提供元側の障害・侵害の影響範囲に自社データが入る |
今回発表されたゼロデータ保持は、対象となる API 顧客について、リクエストの処理後にプロンプトとモデルの応答を保持しないというものです。あわせて、その内容は OpenAI の担当者がレビューできる状態にはならないこと、エンタープライズ顧客のデータは明示的にオプトインしない限り学習に使われないことが示されています。
3つが揃うと説明が一気に簡単になりますが、揃っているのは特定の条件を満たした利用形態だけです。ここが次の論点になります。
「既定でそうなる」ではない
もっとも間違われやすいのがここです。ゼロデータ保持は、対象となる API 顧客が申請して適用される取り決めであって、アカウントを作れば自動的にそうなるものではありません。一般の ChatGPT 利用者に適用されるものでもありません。
つまり、社内で「うちは大丈夫」と言うためには、次の3つを言えなければなりません。
- どの経路で使っているか。 個人が Web の ChatGPT を開いて使っているのか、自社システムから API を呼んでいるのか、SaaS の中に組み込まれた AI 機能を使っているのか。3つ目がいちばん見落とされます。使っているツールの裏側が何であるかは、たいてい利用規約にしか書かれていません。
- その経路に、どの取り決めが適用されているか。 申請が必要なものは、申請していなければ適用されていません。
- 誰がそれを確認したか。 確認した人と日付が残っていないと、半年後に同じ議論をやり直すことになります。
AI 提供元を1社に固定しない前提で調達を考える話はLLM調達の依存先を数え直すで扱いました。データの取り扱いは、乗り換えの障壁にも直結します。
内容を見ずに監視する、という方向
もう1つ、実務に影響しそうな話が同時に出ています。Private Safety Processing のプレビューです。
保持しない・人が見ないを徹底すると、提供元は不正利用の検知が難しくなります。この矛盾に対して、個々の内容にアクセスせずに、関連する複数のやり取りにまたがるパターンだけを見る仕組みを用意する、という方向が示されました。9月にかけて対象を広げ、アーキテクチャと安全策についての技術文書も出す予定とされています。
ここで押さえておきたいのは、「一切何も見ない」ではないという点です。社内説明や取引先への回答で「完全に何も残らない」と書いてしまうと、後から訂正が必要になります。残らないのは内容であって、利用があった事実や安全性のためのシグナルは扱われる、という粒度で書いておくのが安全です。
発注する側が決めておくこと
自社システムに AI 機能を組み込む場合、この論点は開発会社任せにできません。実装より前に、発注側で決めるべきことが3つあります。
入力してよいデータの範囲。 顧客の個人情報、取引条件、未公開の計画。どこまでを AI に渡してよいかは業務の判断であって、技術の判断ではありません。ここが決まっていないと、開発側は最も安全側に倒すか、最も便利な側に倒すかのどちらかになります。
自社側にログを残すかどうか。 提供元が保持しないということは、何を送ったかの記録が自社にしか残らないということでもあります。あとから「この回答はどの入力に対するものか」を追う必要があるなら、自社側でログを持つ設計が要ります。認証情報や操作記録をどう残すかの考え方はAIエージェントに渡す資格情報とインシデント対応に整理しました。
契約書のどこに書くか。 「ゼロデータ保持を適用すること」を要件として明記していない限り、それは実装者の善意に依存します。検収の項目に入れておけば、確認の手間も一度で済みます。
次にやること
まず、自社で AI が使われている経路を洗い出してください。 個人利用、自社開発、SaaS 組み込みの3つに分けて、それぞれ何を使っているかを書き出すだけで構いません。この一覧がないまま取り扱いを議論しても、話が噛み合いません。
そのうえで、取引先に出す回答文を1つ用意しておいてください。 3つの約束のどれが自社に適用されているかを、経路ごとに1行ずつ書いた文章です。聞かれてから調べるのと、用意してあるのとでは、商談のスピードが変わります。
業務システムへの AI 機能の組み込み、データの取り扱い範囲の設計、ログと監査の実装については、グリームハブの開発・AI・自動化のご相談で承っています。扱うデータの種類と既存システムの構成によって設計が変わるため、個別にご相談ください。お問い合わせからどうぞ。
