OpenAI、顧客データを保持せず複数の対話にまたがるAI悪用を検知

重要なのは、分析することと、内容を保持することは別だという点です。OpenAIの説明では、システムは安全性の目的で関連する活動を分析しますが、基礎となるプロンプトやモデルの回答が、通常の運用でOpenAIの担当者に公開される設計ではありません。

ZDR環境では、顧客データについて主に次の構成が想定されています。

• データを顧客が管理するインフラに置く
• OpenAIがホスティングする場合は、顧客が管理する暗号鍵でデータを暗号化する

いずれの場合も、自動システムが悪用の可能性を判定し、基礎となるプロンプトや回答をOpenAIに公開することなく、限定的な安全性シグナルを返す設計です。

脅威を検知すると、OpenAIには何が送られるのか

OpenAIの説明によれば、検知時に送られるのは、どの種類の活動が問題になったのかを示す範囲の狭いアラートです。システム図では、出力は会話そのものではなく、アラートのカテゴリーと深刻度として示されています。

流れを整理すると、次のようになります。

1. 自動システムが、関連する複数のやり取りを調べる。
2. 潜在的に有害なパターンが一定のリスク基準を超えると、安全性の分類を生成する。
3. OpenAIには、プロンプト、回答、会話履歴ではなく、その限定的な分類情報が届く。
4. 顧客は、自社環境で元の活動を調査できる。

このシグナルは、安全対策や利用停止などの判断を支えるために使われる可能性があります。ただし、OpenAIにセッション全体の履歴が渡ることを意味するわけではありません。

なお、現時点ではあくまでプレビューです。企業が導入を判断する際には、検知のしきい値、誤検知への対応、アラートの具体的な項目、異議申し立ての手順などが重要になります。OpenAIは、2026年9月により広い提供を開始し、技術ホワイトペーパーを公開する計画を示しています。

なぜOpenAIの担当者は、フラグが立った会話を通常読めないのか

安全性フラグが立ったからといって、OpenAIの担当者が自動的に会話を読めるようになるわけではありません。OpenAIは、説明されているZDR構成では顧客コンテンツを保持せず、OpenAI側のストレージを使う構成でも顧客が管理する復号鍵を担当者が持たないと説明しています。

顧客は、自社環境で元のデータを確認できます。また、利用停止への異議申し立て、正当な用途の説明、確認済みの悪用に関する調査への協力などを目的に、関連資料を自発的に共有することもできます。

つまり、通常時には次のような分離が成立します。

• 顧客側が管理する証拠：プロンプト、回答、会話履歴など
• OpenAI側が受け取るリスク情報：自動生成された活動カテゴリーや深刻度など

この方式は、プロバイダーが機密情報そのものを扱う量を抑えつつ、単独のリクエストだけでは見逃しやすい長期的・協調的な悪用を把握しようとするものです。

どの企業がプレビューを試しているのか

OpenAIは、Glean、Databricks、Abridge、Microsoftを、Private Safety Processingの設計やテストに協力する顧客として挙げています。 別の報道でも、MicrosoftとDatabricksが初期のテスト顧客として紹介されています。

この機能は一般消費者向けの設定ではなく、機密性の高いプロンプトや出力を厳格に管理したい、対象API顧客向けのサービスとして位置付けられています。

Anthropicの方針とはどう違うのか

Anthropicは、対象となる「Covered Models」について異なる選択をしています。同社の文書によれば、対象モデルに送信したプロンプトと、モデルが生成した回答は、安全性の取り組みを目的に30日間保持されます。対象にはMythosクラスのモデルが含まれ、管理された人によるレビューも行われます。

Anthropicは、保持したデータを顧客の明示的な許可なくモデル訓練に使用しないと説明しています。ただし、対象モデルはZDRでは利用できず、プロンプトと回答の30日間保持が必要です。

両社の違いは、次のように整理できます。

• OpenAI Private Safety Processing：関連する複数のやり取りを自動分析し、OpenAIには基礎コンテンツではなく限定的な安全性シグナルを送ると説明。
• AnthropicのCovered Models向け方針：安全性の調査と管理されたレビューを目的に、プロンプトと回答を30日間保持。

どちらが優れているかというより、両社は異なるリスクの扱い方を選んでいます。OpenAIはプロバイダーによるコンテンツアクセスの最小化を重視し、Anthropicは一定期間の保存によって、より直接的な調査可能性を確保する考え方です。

金融・医療・法律分野で注目される理由

金融機関、医療機関、法律事務所では、プロンプトに財務情報、医療情報、法的秘匿特権の対象となる内容、顧客機密、社内の研究データなどが含まれる可能性があります。

そのため、AIプロバイダーが入力や出力を保持し、場合によっては人がレビューできるかどうかは、次のような実務に影響します。

• データ最小化の評価
• 社内承認やベンダー審査
• アクセス権限の設計
• 監査証跡の管理
• データの保管場所や越境移転の確認
• 契約上の守秘義務や業界規制への対応

もっとも、Anthropicの30日間保持が直ちに違法・不適合になるわけでも、OpenAIのZDRだけでコンプライアンスが保証されるわけでもありません。重要なのは、組織の契約・規制上の義務と、各社の実際の保存・アクセス・レビュー条件を照合することです。

企業が確認すべきポイントは、例えば以下です。

• 利用するモデルとデプロイ構成はZDRの対象か
• データはどこで処理され、保存される場合は誰が暗号鍵を管理するか
• 安全性アラートにどの項目が含まれるか
• 会話全文を開示せずに、顧客がフラグを監査・不服申し立てできるか
• 重大な悪用が疑われた場合、どのような手続きが取られるか
• 保存・レビューの条件が、自社の契約や規制上の要件と整合するか

AI安全性が「データ管理機能」になる可能性

Private Safety Processingが示すのは、AIの安全性が単に「危険なリクエストをブロックできるか」という問題にとどまらないということです。モデルが長時間にわたる自律的な作業を担うほど、プロバイダーは複数のやり取りを横断して悪用を検知する必要があります。一方で、企業は機密データをプロバイダー側に残したくありません。

OpenAIはその解決策として、顧客管理のインフラ、または顧客管理の鍵で保護されたデータを基盤に、自動システムが関連する活動のパターンを分析し、プロバイダーには狭い範囲のリスク分類だけを送る構想を示しています。

Anthropicは、対象となる高性能モデルについて、一定期間プロンプトと回答を保持し、安全性チームが調査できるようにする道を選びました。

最終的な判断は、扱うデータの機密性、必要な調査可能性、プロバイダーへのアクセス許容度、契約や規制上の要件によって変わります。OpenAIが予定する技術ホワイトペーパーと提供範囲の拡大によって、実運用でのデータフロー、検知精度、誤検知時の対応がどこまで明確になるかが注目されます。