OpenAIのドキュメントで案内されている Zero Data Retention の拡張は、生成AI導入を検討する企業にとって大きな論点です。とくに法務、プライバシー、調達、Vendor Management、情報システムの現場では、「入力データがモデル学習に使われないなら利用可と判断できるのでは」という声が出やすくなります。

ただ、結論から言うと、契約判断で確認すべき点はそこだけではありません。保存期間の有無、監査証跡の取得可否、ベンダー側のレビュー可否、機能制約、責任分界、さらに社内で例外承認をどう運用するかまで見ないと、実務では足りません。

OpenAIの公式情報も、データ利用やAPI運用条件を個別に整理して読む必要があります。

https://openai.com/enterprise-privacy/

『学習不使用』と『一切残らない』は同じ意味ではない

まず押さえたいのは、「学習不使用」と「データが一切残らない」は同じ意味ではないことです。企業の審査では、この2つが混同されがちです。

OpenAIは、ビジネス向けサービスでは顧客データをモデル改善に使わないと案内しており、APIやChatGPT Enterpriseなどがその説明対象です。一方で、個人向けサービスでは設定やオプトイン条件が関わる案内もあり、データ管理の設計はそれだけでは読み切れません。

https://openai.com/business-data/

https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/

たとえば、モデル改善に使われない扱いでも、OpenAIのドキュメント上は abuse monitoring logs などの記録が残り得るため、安全対策や不正利用防止、障害対応の観点を切り分けて確認する必要があります。契約審査で必要なのは、宣伝文句を読むことではなく、どのデータが、どの目的で、どのくらいの時間、どこまで保持されるのかを分解して確認することです。

https://platform.openai.com/docs/guides/your-data

Zero Data Retentionで前進する点と、そのまま当てはめられない点の比較

では、OpenAIのドキュメントで案内される Zero Data Retention で何が変わるのでしょうか。確認したいのは、保持を最小化できる範囲と、その条件です。

企業側から見ると、センシティブな業務データを扱う際の心理的ハードルを下げる効果があります。とくに、PoCでは使えても本番利用に踏み切れなかった組織にとっては、検討を前に進める材料になりやすいでしょう。

ただし、すべての機能、すべての利用形態に一律で適用されるとは限りません。利用するエンドポイントや機能、契約条件によって扱いが異なるため、「Zero Data Retentionがある＝自社利用もそのまま無保存」とは言い切れません。

https://platform.openai.com/docs/models/default-usage-policies-by-endpoint

契約審査では保存・アクセス・監査証跡・責任分界を分けて確認する

ここで重要なのが、契約判断で見るべき実務論点です。論点を分けて見るだけで、営業説明と契約文書のずれはかなり見えやすくなります。

保存：プロンプトや応答本文そのものが保存されないのか、メタデータや abuse monitoring logs は残るのか、保存期間はどう設計されるのかを分けて確認する
アクセス：ベンダーの運用担当者がどの条件でアクセスできるのか、完全遮断なのか、例外的な保守アクセスやレビュー可否があるのかを確認する
監査証跡：利用企業側が必要な監査ログを取得できるのか、逆に無保存化によって監査証跡が不足しないかを確認する
責任分界：漏えい、誤送信、規制対応が起きたときに、どこまでがベンダー責任で、どこからが利用企業の統制責任なのかを契約条項で確認する

クラウド契約審査の一般論としては、NISTのAIリスク管理フレームワークも参考になります。AIの導入可否を一点で決めるのではなく、ガバナンス、測定、運用管理を通じて判断する考え方と相性がよいからです。

https://www.nist.gov/itl/ai-risk-management-framework

保存しない代わりに失う機能やレビュー容易性を見落とさない

見落としやすいのが、Zero Data Retentionを選んだ結果として発生し得る機能上の制約です。AIニュースでは「保存しない」点が強調されやすいですが、実務ではむしろ「その代わり何が使いにくくなるか」が重要です。

たとえば、データ保持を前提にした一部機能や、デバッグ、障害時調査、事後レビューのしやすさに影響が出る可能性があります。これはセキュリティと利便性のトレードオフとして確認しておきたい点です。

法務や調達だけで判断すると、現場が「運用できない契約」を抱えることもあります。社内説明では、プライバシー説明に加えて、製品や運用の解説動画を補助資料として使う場面はありますが、事実確認の根拠としては公式文書を優先したいところです。

https://www.youtube.com/OpenAI

ベンダー説明を鵜呑みにしないための確認項目

そのため、ベンダー説明をそのまま通さないための確認例を持っておくと役立ちます。確認事項は、学習利用の有無だけでなく、保存、例外処理、管理画面表示、契約文言まで落とし込むのがポイントです。

学習不使用の対象は入力・出力・添付ファイルのすべてか
一時的なキャッシュは残るか
管理者向けログに何が表示されるか
障害調査時の例外的アクセスやレビューは誰が承認するか
社内の例外承認条件をどこまで定義するか
DPAや利用規約で保持・削除・再委託はどう規定されているか

これらはチェックシート化すると、営業説明と契約文書のずれを見つけやすくなります。とくに越境移転や再委託まで評価対象に入る企業では、条文と実運用の両面確認が欠かせません。なお、DPAは版や施行日を最新版で確認したいところです。

https://openai.com/policies/feb-2024-data-processing-addendum/

規制の強い業種ほど、Zero Data Retentionだけでは足りない

どんな企業がこの拡張を前向きに評価しやすいかというと、まずPoCから本番利用へ進みたいが、データ保持に強い制約がある企業です。たとえば、社内規程上「外部AIへの入力は保存管理が明確なサービスに限る」としていた企業では、検討が一段前に進む可能性があります。

一方で、医療、金融、公共、重要インフラのように、一般に規制要求や説明責任が重くなりやすい分野では、Zero Data Retentionだけで即決は難しい場合があります。個人情報、営業秘密、越境移転、監査証跡、委託先管理まで含めて評価する必要があります。

欧州では、EDPBのAI関連ページのようにAIと個人データ保護を横断して確認できる情報があり、日本でも個人情報保護委員会が生成AI利用時の注意喚起を公開しています。制度面の確認先を持っておくと、社内説明がしやすくなります。

https://www.edpb.europa.eu/topics/ai-and-technology/artificial-intelligence_en

https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/

比較の結論は『学習に使われないか』より『自社として統制できるか』

結論として、今回のOpenAIの Zero Data Retention 拡張は、生成AIの導入議論を前進させる材料です。ただし、法務・調達部門の契約判断を楽にする「魔法の条件」ではありません。

重要なのは、「学習に使われないか」という一点評価から、「自社として統制できる設計か」という多面的な評価へ軸を移すことです。保存有無、ベンダー閲覧可否、監査証跡取得、機能制約、責任分界、社内例外承認条件を並べて比較確認することが、失敗しない導入の近道です。

行動直前の実務としては、利用中AIサービスごとに、保存有無、ベンダー閲覧可否、監査証跡取得、社内例外承認条件を並べたDPA再点検表を更新すると、利用可否判断がぶれにくくなります。

個人的には、この論点整理ができる企業ほど、生成AIを安全に速く使いこなせるようになるはずです。