ゼロデータ保持​（ZDR）とは​何か​ ──OpenAIが​「中身を​見ずに​不正を​見張る」方​式を​発表、​Claudeの​30日保持との​違いを​解説

2026年8月19日、OpenAIが「顧客のプロンプトも応答も保持しないまま、複数のやり取りをまたいで不正を見張る」仕組みを予告した。名前は Private Safety Processing。一部の顧客でテスト中で、9月に展開を始め、技術ホワイトペーパーも同時に公開するという。

これがニュースになったのは、同じ問題にAnthropicが2か月前、逆の答えを出していたからだ。Anthropicは2026年6月9日から、最上位クラスのモデルについて、ゼロデータ保持の契約を結んでいる組織であってもプロンプトと出力を30日間保持するという方針を発効させている。

つまり、いま起きているのはこういうことだ。「AIが長く複雑な仕事をするようになると、1回のやり取りだけ見ても危険が分からない」——ここまでは両社の主張が完全に一致している。分かれたのは、その"まとめて見る"をどうやるかだけだ。

そして、社内でAIを使う側にとって効くのはこの先である。これは大企業の契約論ではなく、いま自社がどちらの条件で使っているかという設定の話であり、しかも既定値は「保持する」側だ。この記事では、①ゼロデータ保持とは何か ②8月19日の発表内容 ③Anthropicの方針との違い ④ゼロデータ保持を取っても残るもの ⑤今日自社で確認できること、の順に解く。

なお、コードそのものの置き場所が動いている話は昨日の記事で扱った。今日の話は推論時に送ったプロンプトと応答が残るかどうかで、論点が別にある。

関連記事 ｜ 昨日の解説：コードの預け先が変わる話Cursorが自社でコードを預かり始めた ──AIエージェント向けコードホスティング「Origin」を解説 →

01 ゼロデータ保持​（ZDR）とは​何か​──既定は​むしろ​「保持する」

Zero Data Retention（ゼロデータ保持、ZDR）は、送ったプロンプトとAIの応答を、処理が終わったあと事業者側に残さないという取り決めのことだ。OpenAIは今回の発表で、こう書いている。

Zero Data Retention gives eligible API customers a clear promise: OpenAI does not retain their prompts or model responses after a request is processed.

（ゼロデータ保持は、対象となるAPI顧客に明快な約束をする。OpenAIはリクエスト処理後にプロンプトも応答も保持しない）

出典：OpenAI「Offering Zero Data Retention for frontier models」2026年8月19日

ここで最初に外しておきたい誤解が3つある。

ひとつめ、「AIに入れたデータは学習に使われる」。少なくともAPI経由では、OpenAIは2023年3月1日以降、明示的に許可しない限り学習に使わないと公式ドキュメントに書いている。学習利用と、ログとして一定期間残す保持は別の話だ。今回の論点は後者にある。

ふたつめ、「ZDRが標準の状態だ」。逆である。OpenAIの既定は不正利用の監視ログを最大30日保持するで、ZDRは申請してOpenAIの事前承認を得た組織だけが選べる制御だ。追加要件の受諾も伴う。

みっつめ、「ChatGPTを使っているからZDRの話だ」。ここも違う。ZDRはAPI（開発者向け）の話で、消費者向けプランとは別のルールで動く。Anthropic側も同様に、30日保持の方針について消費者プランは元々保持しているので影響なしと明記している。

02 OpenAIが​8月19日に​発表した​こと​──届くのは​「中身」ではなく​「合図」

Private Safety Processing の骨子は、中身を渡さずに、危険の兆候だけを事業者へ伝えることにある。公式ページの記述をまとめると次のとおりだ。

論点	発表された内容
データの置き場所	ZDR構成では、顧客が管理するインフラ上に留まる
もう一つの選択肢	OpenAI側に保管する案も開発中。ただし顧客が管理する鍵で暗号化し、OpenAI社員は鍵の複製を持たない
何を見るのか	自動システムが複数の関連するやり取りをまたいで不正のパターンを検出する
事業者に届くもの	中身ではなく、活動の種類を示す限定的なシグナルだけ
フラグが立ったとき	OpenAIの社員は、フラグ後も顧客コンテンツにアクセスしない
顧客側の動き	アラートや措置は自社のシステムで調査できる。反論・説明したい場合は顧客の判断で情報を共有する
時期	初期顧客でテスト中。9月に展開開始と技術ホワイトペーパー公開

この発表で見落とされがちなのが、OpenAIが同じページで業界の分岐そのものに触れている点だ。

Some recent frontier-model deployments have required customers to allow their AI provider to retain sensitive content for safety monitoring.

（最近の一部のフロンティアモデルの提供では、安全監視のために機微な内容を提供事業者が保持することを顧客に求めている）

出典：同上

社名は書かれていない。ただ、この記述に当てはまる方針を6月から実際に運用している会社がある。

03 Anthropicは​2か​月前、​逆の​答えを​出していた​──30日預かって、​まとめて​見る

Anthropicのプライバシーセンターにある「Covered Models のデータ保持について」（最終更新 2026年7月9日）には、方針が具体的に書かれている。対象は Mythos-class のモデルと、今後同等の能力を持つとAnthropicが指定するモデルだ。Claude Mythos 5 が能力を大きく上げたこと、Claude Fable 5 が同じ基盤モデルに追加の安全策（特にサイバー・生物領域）を載せたものであることが理由として説明されている。

数字と条件はこうだ。プロンプトと出力を30日間保持し、提供されるすべてのプラットフォームで適用される。発効は2026年6月9日。対象はゼロデータ保持を設定している組織だけで、Claude Console のZDRワークスペース、Claude Enterprise でZDR構成のClaude Code、AWS Bedrock・Google Cloud Agent Platform・Microsoft Foundry 経由でZDRを使っている組織が該当する。それ以外の組織には変更がない。

保護策も併記されている。既定ではAnthropicの社員は保持された会話を読めない。人による確認は自動の安全システムがフラグを立てたときなど限定された経路でのみ起き、承認された少数のレビュアーだけが実施し、すべてのアクセスが改ざん不能なログに記録される。30日後は自動削除（フラグ済み・法的要請を除く）。対象組織は顧客管理の暗号鍵とアクセス透明性の監査ログを追加できる。

理由として挙げられている攻撃も具体的だ。Best-of-N ジェイルブレイク（少しずつ違うプロンプトを何百通も送り、1つでも通るのを狙う手口）、国家が背景にあるスパイ活動、データを使った脅迫キャンペーン。いずれも「多数のリクエストにまたがって初めて見える」種類のものだ、と書かれている。

04 同じ​理由に​到達し、​違う​手段を​選んだ​──​「見ない」を​選んだ​会社は​無い

ここが今回いちばん伝えたい構図だ。両社の言い分は、危険の性質については一致している。AIエージェントが長時間・多段階で働くようになると、1回ごとの検査では危険が見えない。OpenAIも、深刻なリスクは単一のやり取りでは見えないことがあり、エージェントが「止めろ」と言われた後も動き続けるといった形でリスクが育つことがあると書いている。Anthropicの説明も同じ方向を向いている。

分かれたのは、"まとめて見る"の実装方法だけである。Anthropicは中身を30日預かる。既定で人は読まず、フラグ時のみ限られた人が記録の残る経路で読む。OpenAIは中身を預からない（またはOpenAI側に置くとしても顧客の鍵で暗号化する）。人は読まず、フラグが立っても読まない。届くのはシグナルだけだ。

言い換えれば、「見ない」を選んだ会社はどちらでもない。ここを取り違えると判断を誤る。論点は「見るか見ないか」ではなく、「誰が、どの条件で、何を見られる状態にあるか」である。

もう一つ、OpenAI側の条文も読んでおく価値がある。公式のデータ管理ドキュメントには、ZDRを承認済みの顧客であっても特定の顧客について特定モデルをZDRの対象外にする権利を留保する条項が2つ書かれている。Eyes Off では、対象外にした場合コンテンツは監視ログに保持されるが、法が要求する場合を除き人のレビューからは除外される。Safety Retention では、重大リスクの調査・防止に合理的に必要な場合、分類器が違反の可能性を検知したコンテンツを保持し、人がレビューすることがある。いずれも事前に書面で通知するとされている。

つまり「ZDRを取れば何があっても中身は見られない」ではない。今回のPrivate Safety Processingは、こうした例外を発動せずに済ませるための技術的な回答だ、と位置づけると腹に落ちる。

05 ゼロデータ保持を​取っても​残る​もの​──契約で​守る​範囲と、​設計で​守る​範囲

ここは報道ではまず触れられないが、実際にAPIで作る側には最も効く部分だ。OpenAIのデータ管理ドキュメントには、ZDRを有効にしても保持が起きる範囲が明示されている。

項目	ゼロデータ保持での扱い
chat/completions・responses	ZDR対象。store は常に false 扱いになる
conversations・assistants・threads・vector_stores	ZDR対象外（アプリケーション状態が残る）
files・batches・evals・fine_tuning	ZDR対象外
videos	ZDR構成ではブロック。使うには保持設定を無効にしたプロジェクトが必要
画像・ファイル入力	児童性的虐待コンテンツの検査は常に実施。検知された画像はZDRでも手動確認のため保持（法的要請）
プロンプトキャッシュ	暗号化された状態でGPUローカルに保存。24時間で失効し以降は保持しない
リモートMCPサーバー	第三者サービス扱い。送ったデータは相手先の保持ポリシーに従う
データ所在地（リージョン指定）	別途の申請制。2026年3月5日以降のモデルは10%の上乗せ課金

要するに、ZDRを有効にしたからといって、AIエージェントが触るすべてが残らないわけではない。会話履歴やファイル、ベクトルストアを使う設計にした瞬間、そこは対象外の領域に入る。契約で守れる範囲と、設計で守る範囲は別物だという、ごく実務的な話である。

私たちがクライアント向けにAIエージェントを組むときも、機微な情報が乗る導線については「どのエンドポイントを通るか」から先に決めている。契約書のZDRの一行より、どの機能を使うかのほうが実際の保持を決めていることが多いからだ。

06 ​今日、​自社で​確認できる​こと──4つだけ

専門部署がなくても確認できる順に並べる。

• 消費者向けか、APIかを切り分ける。社員が個人的にChatGPTやClaudeのアプリを使っているだけなら、そもそもZDRの話ではない（そちらは元から保持される前提）
• APIを使っているなら、自社が承認済みかを見る。OpenAIは承認後に Settings → Organization → Data controls に「Data Retention」タブが現れる。Anthropic（Claude Platform）は Settings → Privacy Controls → Data retention period で確認できる。タブや設定が無ければ、承認されていない＝既定の保持側
• 使っているモデルが対象モデルかを見る。AnthropicのCovered Models（Mythos-class）を使うなら、ZDRワークスペースでも保持を有効にする操作が要る。気づかないうちに止まるのではなく、設定しないと使えない形になっている
• そもそも何を送っているかを見直す。保持のルールをどれだけ詰めても、送らなくてよい個人情報・機微情報を送っていれば効果は薄い。ここは契約でなく業務設計の話

最後に、この話の実質をもう一度。「AIに社内データを渡していいか」は、渡す・渡さないの二択ではない。どこに置かれ、誰が鍵を持ち、どんな条件で人が読むのかという4つの問いに分解できる。9月にOpenAIが技術ホワイトペーパーを出せば、この4つを両社で並べて比較できるようになる。それまでは、少なくとも自社がどちら側の設定で動いているかだけは、今日のうちに把握しておきたい。

論点	OpenAI（2026-08-19 予告）	Anthropic（2026-06-09 発効）
対象	ZDR等を承認済みのAPI顧客	ZDR設定済み組織 × Covered Models
中身の保持	保持しない（OpenAI保管案は顧客の鍵で暗号化）	30日保持
置き場所	顧客が管理するインフラ	Anthropic側（顧客管理鍵を追加可）
人が読む条件	フラグ後も社員はアクセスしない	既定は読めない。フラグ時に限られたレビュアーが読む
事業者に届くもの	活動種別を示す限定シグナル	分類器の結果、必要時に中身
例外	Eyes Off ／ Safety Retention を留保	フラグ済み・法的要請は30日後も保持
状況	初期顧客でテスト中、9月展開＋白書	運用中