2026年8月19日、OpenAIが公式ブログで「Offering Zero Data Retention for frontier models」を発表しました。適格な法人API顧客向けに、リクエスト処理後はプロンプトと応答を保持しない「ゼロデータ保持（Zero Data Retention、以下ZDR）」を改めて提供するとともに、複数のやり取りにまたがる不正利用の兆候を社員が中身を見ずに検知する新機能「Private Safety Processing」をプレビュー公開しました。本格展開と技術白書の公開は2026年9月を予定しています（出典：OpenAI公式ブログ）。同時期、Anthropicも高度な一部モデル（Claude Fable 5やMythos系など）を対象に、安全対策目的で30日間データを保持するポリシーを運用しています（出典：Anthropic Privacy Center）。本記事では両社の一次情報から中小企業が押さえるべき点を整理します。
ゼロデータ保持とは何か OpenAIが発表した内容の要点
ゼロデータ保持とは、AI事業者がユーザーの入力（プロンプト）と出力（応答）を処理後に保持しない仕組みです。OpenAIによれば、ZDR対象の法人API顧客のコンテンツは社員が閲覧できず、企業が明示的にオプトインしない限りモデルの学習にも使われません（法令上の通報義務がある場合を除く）。
新たにプレビューが始まった「Private Safety Processing」は、複数のやり取りにまたがるリスクパターン（機密情報の段階的な引き出しや、指示を無視して処理を続けるエージェントの逸脱など）を自動システムが検知する仕組みです。リスクが検知されてもOpenAI側に渡るのは「どの種類の懸念か」という限定的なシグナルのみで、会話内容そのものは渡りません。コンテンツを顧客管理の暗号鍵でOpenAI側インフラに保管できるオプションも開発中です。
AIデータ保持ポリシー比較 OpenAIとAnthropicの設計思想の違い
同時期に注目されたAnthropicの取り組みと比較すると、両社のアプローチの違いが見えてきます。Anthropicは、Claude Mythos 5をはじめとする高度な能力を持つ一部モデル（「Covered Models」）に限定し、安全対策・不正検知を目的にプロンプトと応答を30日間保持するポリシーを運用しています。Best-of-N型のジェイルブレイク攻撃や国家関与が疑われるサイバー攻撃など、1回のやり取りだけでは見抜けないリスクを、複数のリクエストをまとめて分析して検知する設計です。保持期間中も原則として社員は会話内容を閲覧できず、不正の兆候が検出された場合のみ限られた承認済みレビュアーが改ざん不可能なログを残して確認します。30日経過後は原則自動削除され、顧客管理の暗号鍵や監査ログの透明性オプションも用意されています。この30日保持ポリシーはZDR設定済みのワークスペースが対象で、Claude Free・Pro・Maxなど個人向けプランの画面利用には影響しません。
整理すると、OpenAIは「原則ゼロ保持を維持しつつ複数リクエスト横断でリスクを検知する仕組み」を追求し、Anthropicは「高性能モデルに限り、安全対策のための限定的な保持期間を設け、アクセス制御と自動削除で管理する」設計を選んでいます。どちらが優れているという単純な比較はできず、AIの能力が上がるほど「1回のやり取りだけでは見えないリスク」にどう対応するかという共通課題に、異なる設計思想で応えている状況と捉えるのが実務的です。生成物の真正性を担保する取り組みとしては、Claudeの生成コンテンツ透かし機能も弊協会コラムで解説していますので、あわせてご確認ください。
中小企業へのインパクト コスト・業務・人材・競合の視点
前提として、OpenAIの発表もAnthropicの30日保持ポリシーも、主に法人向けAPI（自社開発やSI経由での組み込み利用）でZDR等を設定している顧客が対象です。ChatGPTやClaude.aiの画面をそのまま使う多くの中小企業の日常利用には、現時点で直接の影響はありません（2026年8月時点）。「関係ないから安心」ではなく、「データ取扱いの設計は契約プランや使い方で適用範囲が変わる」事実として押さえておくことが重要です。
実務的なインパクトも小さくありません。コスト面では、ZDRや保持管理オプションは主にエンタープライズ契約に紐づき、契約形態を比較する判断材料になります。業務面では、SIerに委託してAIを組み込んだ業務システムを使う場合、委託先の契約プランで自社の機密情報の扱われ方が変わります。人材面では、従業員が個人判断で顧客情報や見積内容を入力する「シャドーAI」のリスクは契約プランに関わらず存在します。競合の視点では、取引先から「AI利用時のデータ管理体制」を問われる場面が増えることが想定され、説明できる体制自体が信頼獲得につながります。ChatGPT Businessの管理機能についてはこちらのコラムで解説していますので、社内ルール整備の参考にしてください。
中小企業 AI導入 情報セキュリティ チェックポイント 今すぐできる一歩
大がかりな投資をしなくても、今日からできる確認行動があります。
- 契約プランの種別を確認する。無料版・個人向け有料版・法人向け（Business/Enterprise/Team等）のどれを使っているか社内で棚卸しします。
- プライバシーポリシー・データ取扱いページを一度読む。保持期間・学習利用の有無・削除の仕組みを確認するだけでも判断材料になります。
- SIer経由でAIを利用している場合、委託先に利用APIのデータ保持設定を確認する。ZDR設定の有無、暗号鍵管理オプションの利用可否を尋ねるだけで構いません。
- 機密情報の入力可否は社内ルールとして別途定める。保持ポリシーの有無にかかわらず、入力してよい情報の線引きは組織側で持つべき判断です。
当協会の視点 中小企業のAI活用支援について
当協会では、Claude Cowork等のAI導入支援を通じて、AI活用時の運用ルール整備（入力してよい情報の範囲、プラン選定等）についてもご相談を承っています。今回の動向は単発ニュースとして消費せず、自社のAI活用ルールを見直す機会としてご活用ください。
まとめ
OpenAIは2026年8月19日、法人API顧客向けのゼロデータ保持の提供拡大と、内容を閲覧せずに複数のやり取りをまたいだリスクを検知する新機能「Private Safety Processing」のプレビューを発表しました。同時期に注目されたAnthropicの30日間保持ポリシーも安全対策という明確な目的を持った設計であり、どちらが優れているという単純な話ではありません。多くの中小企業の日常利用には直接影響しない発表ですが、自社が使うAIツールの契約プランとデータ取扱いを一度確認することは、コストをかけずにできる有効な備えです。保持ポリシーの設計にかかわらず、機微な情報の入力可否は自社のルールとして持っておくことを基本としてください。
