企業AIでは、情報を残さないほどプライバシーは守りやすくなります。一方、危険な使い方は複数回のやり取りを通して初めて見えることがあります。
OpenAIが2026年8月19日に発表した「Private Safety Processing」は、この衝突をデータを保管するか、監視を諦めるかの二択にしない試みです。重要なのは新しい監視機能そのものより、機密データと安全判断を分離する設計にあります。
1回の判定では見えないリスク
現在のZero Data Retention（ZDR）対応の安全システムは、やり取りを個別に評価します。しかしOpenAIは、次のようなリスクは複数のやり取りを関連づけないと見つけにくいと説明しています。
- 安全策を繰り返し探る行動
- 複数アカウントにまたがる協調
- 通常の調査に見せかけた脅威
- 停止指示後も動き続けるAIエージェント
長時間動くエージェントでは、1回ごとの入出力が正常でも、行動の連鎖として権限を外れることがあります。点検だけではなく、流れを見る必要があるわけです。
ZDRは「何も保存されない」の一言では説明できない
OpenAIの公式データ管理文書によると、通常のAPI利用では不正利用監視ログが最長30日保持される場合があります。承認された顧客がZDRを有効にすると、顧客コンテンツはその監視ログから除外され、Responses APIなどのstore指定も常にfalseとして扱われます。
ただし、すべての機能がZDR対応ではありません。会話、ベクトルストア、ファイルなどはアプリケーション状態を保持する場合があり、外部MCPサーバーへ送った情報にはその事業者の保持方針が適用されます。つまり「ZDR契約済み」だけでなく、エンドポイントとデータ経路ごとの確認が必要です。
Private Safety Processingの分離設計
OpenAIの発表では、顧客コンテンツの置き場所として2つの構成が示されています。
- 顧客が管理するインフラに置く
- OpenAIのインフラに置き、顧客管理の鍵で暗号化する
自動システムは関連するやり取りから危険パターンを検出しますが、OpenAI側へ返すのは活動の種類を示す限定的な安全シグナルです。基になるプロンプトや応答を、OpenAIの担当者が閲覧する設計ではありません。
ここには、企業AIへ応用できる3つの分離があります。
- 保管と処理を分ける：データの管理権を顧客側に残しながら、自動判定を行う
- 内容とシグナルを分ける：原文ではなく、対応に必要な最小限の分類結果だけを渡す
- 検知と調査を分ける：提供者は限定シグナルで措置を判断し、顧客は自社システムの情報で調査する
導入側が先に決めるべき4項目
この考え方を実務へ落とすなら、製品名より先に責任分界を設計します。
- データ台帳：入力、出力、ツール実行履歴、キャッシュの保存場所と保持期間を列挙する
- 最小シグナル：提供者や監視部門へ渡す項目を、リスク種別・重大度・時刻などに限定する
- 調査経路：誤検知の確認、異議申し立て、必要情報を任意共有する手順を決める
- 例外管理：ZDR非対応機能、法令上の保持、外部サービスへの送信を別表で管理する
これは自動車の故障診断にも似ています。生の車内データをすべて外へ送るのではなく、まず車両側で判定し、整備に必要な故障コードだけを通知する。必要になったときだけ、権限を確認して詳細ログを共有する設計です。
まだ「完成品」ではない
Private Safety Processingは現在、初期顧客とのテスト段階です。OpenAIは2026年9月に展開を始め、技術ホワイトペーパーを公開する予定としています。したがって、暗号鍵の運用、誤検知率、シグナルの粒度、障害時の挙動は、今後の文書で確認すべき点です。
また、公式文書では児童性的虐待コンテンツの疑いがある画像は、ZDR環境でも法令に基づく確認・報告のため保持される例外が明記されています。「ゼロ」という名称だけで判断せず、例外条件まで読む必要があります。
まとめ
プライバシーとAI安全は、片方を強めれば片方が必ず弱くなるとは限りません。鍵は、機密データを丸ごと共有するのではなく、保管・自動判定・限定シグナル・人による調査を分けることです。
Private Safety Processingが示したのは、監視を増やす設計ではなく、見せる情報を減らしながら必要な判断を残す設計です。企業AIの導入審査でも、「保存するか」だけでなく「誰が、どの粒度で、何を見られるか」まで問うべきです。