「データを預けない」は安全か｜ゼロデータ保持とAI安全監視のトレードオフ

「データを預けない」は安全か｜ゼロデータ保持とAI安全監視のトレードオフ

生成AIやAIエージェントを全社に広げようとするとき、情報システム部門や法務から必ず出てくる問いがあります。プロンプトや応答のデータは、ベンダー側にどれだけ残るのか。 この問いへの答えとして「ZDR(ゼロデータ保持)に対応しています」という説明を受け取ったとき、それをどこまで安心材料として扱ってよいのでしょうか。

2026年8月19日、OpenAIは「Offering Zero Data Retention for frontier models」と題する発表を行い、ZDRを維持したまま安全監視を行う「Private Safety Processing」のプレビューを公表しました。この記事では、この発表が実際に何を解決しようとしているのかを、発表文の記載に基づいて整理します。

30秒で要点

• OpenAIは2026年8月19日、ZDR(ゼロデータ保持)を維持しながら安全監視を行う「Private Safety Processing」のプレビューを発表した
• ZDRは「リクエスト処理後にプロンプトも応答も保持せず、OpenAI従業員によるレビュー対象にもしない」仕組みだが、OpenAI自身が既存のZDR互換の安全システムには限界があると認めている
• 既存の仕組みは各インタラクションを個別に評価するにとどまり、複数のやり取りにまたがって現れるリスク(ガードレールの反復的な探り・複数アカウントをまたぐ連携等)を捉えられない
• ロールアウトと技術ホワイトペーパー公開は「2026年9月に見込む」という表現で、発表時点では確定していない。児童性的虐待の疑いがある画像はZDRでも例外的に保持される

ZDRが解決していたことと、していなかったこと

OpenAIの発表文は、ZDRを「OpenAI does not retain their prompts or model responses after a request is processed. Customer content is not available to OpenAI personnel for review(リクエスト処理後にプロンプトも応答も保持せず、顧客のコンテンツはOpenAI従業員のレビュー対象にもならない)」と定義しています。医療・金融・法務など、機密性の高いデータを扱う企業がAIを導入する際、この設定は重要な前提条件になってきました。

しかし発表文は同時に、既存のZDR互換の安全システムが抱える限界も認めています。これらのシステムは「evaluate each interaction individually(各インタラクションを個別に評価する)」にとどまっており、ガードレールの反復的な探り、複数アカウントをまたぐ連携、エージェントが停止指示を受けた後も動作を続けるといった、複数のやり取りにまたがるパターンとして現れるリスクは、単発評価では捉えられないというのです。

つまり、ZDRが解決していたのは「データがどこかに残ってしまう」という懸念であり、「不正なパターンを見つける」という別の課題は、そのままでは解決されていなかったことになります。この2つを一つの言葉(「ZDR対応」)で語ってしまうと、片方が解決すればもう片方も解決したかのような誤解が生まれます。

なぜ「ZDR対応」を万能の安心材料にしてしまうのか

ベンダーから「ZDRに対応しています」という説明を受けたとき、多くの担当者はそれを「セキュリティ・安全性への配慮が行き届いている」という総合的な評価として受け取りがちです。これは、ZDRという一つの技術的な設定が、データ保護という分かりやすい価値と強く結びついているために起きやすい誤解です。

しかし今回のOpenAIの発表そのものが、「ZDRを実現すること」と「安全監視を機能させること」が別々の課題であり、両立させるために新たな仕組み(Private Safety Processing)が必要だったことを示しています。ベンダー自身が両立の難しさを認めて新機能を発表しているという事実は、逆説的に「ZDR対応」という言葉だけでは安全監視の水準を保証できないことの裏付けでもあります。

「安全監視の単位」が変わるという論点

Private Safety Processingが目指しているのは、単発のやり取りではなく、複数のやり取りにまたがるパターンとしてリスクを検知することです。これは、安全監視の単位が「1回のやり取り」から「一連のやり取り」へ移ることを意味します。

ここで見落としてはいけないのは、この仕組みがリスクを検知したとして、検知結果をどう解釈し、どう対応するかという責任がどこにあるかという点です。OpenAIの発表は、Private Safety Processingがリスクを検知する仕組みであることは説明していますが、検知後の判断・対応をOpenAI側がどこまで担うのかについては、本記事が確認できた発表文の範囲では明確ではありません。ZDRを維持するという制約のもとで安全監視を行うということは、監視結果の解釈と運用の負荷が、これまで以上に顧客側に戻ってくる可能性がある設計だと理解しておく必要があります。これは単純な「改善」ではなく、トレードオフとして捉えるべき変化です。

「もう使える」と誤解しないための時期の確認

発表文には、ロールアウト開始と技術ホワイトペーパーの公開時期について「in September(2026年9月中)」という表現があります。現況は「早期顧客とテスト中(currently being tested with early customers)」の段階です。「見込み」は確定ではありません。プレスリリースは製品の仕組みを具体的に描写するため、読み手は「もう使える機能」という印象を持ちやすくなりますが、自社の導入計画に組み込む前に、公開時点の最新情報を確認する必要があります。

ZDRの例外——法律で保持が義務づけられるケース

発表文の脚注には、米国法(18 U.S.C. §2258A)により、児童性的虐待の疑いがある画像(CSAM)についてはZDRデプロイであっても手動レビューと報告のために保持し続けると明記されています。ZDRは「無条件・無例外でデータを消す」という意味ではなく、法律で保持が義務づけられる領域では例外が設けられているという点も、前提として押さえておく必要があります。

確かなことと、まだ確かではないこと

確かなこと: OpenAIが2026年8月19日に、ZDRを維持したまま安全監視を行う「Private Safety Processing」のプレビューを発表したこと。既存のZDR互換の安全システムが各インタラクションを個別に評価するにとどまるとOpenAI自身が説明していること。CSAMについては法律により例外的に保持されること。

まだ確かではないこと: ロールアウトと技術ホワイトペーパーが実際に2026年9月に公開されるかどうか。Private Safety Processingが、複数のやり取りにまたがるリスクをどこまで実際に検知できるかは、OpenAI自身の説明にとどまり、第三者による検証を経た事実ではありません。検知結果の解釈・対応の責任分担の詳細も、本記事が確認できた発表文の範囲では明確ではありません。

自分でも試せる、最小の検証

自社が検討・導入しているAIベンダーに対して、「ZDR対応」という説明を受けたら、それに続けて「では、複数回のやり取りにまたがる不正利用は、どの仕組みで検知していますか」と一段掘り下げて質問してみてください。この問いに具体的な仕組みで答えられるかどうかが、ZDR対応という言葉の中身を見極める最小限のチェックになります。

判断軸の提示

ベンダーから「ZDR対応」と説明されたとき、それを安全性全般の保証として受け取らず、「データを保持しないこと」と「不正なパターンを検知すること」という別々の課題として問い直すこと。この2つが両立しているかどうかは、発表内容を鵜呑みにせず、検知後の責任分担まで確認して初めて判断できます。

この記事で扱ったような判断を、自社の状況に照らして整理したい場合は、無料診断ツールで状況を言語化するところから始めることができます。