データ保持の分岐点：AI大手2社が、同じ問いに正反対の答えを出した

AIのデータ保持ポリシーが、2026年8月、二つに分かれました。8月19日、OpenAIは Private Safety Processing と呼ぶ仕組みを先行公開しました。関連する複数のやり取りをまたいで初めて見えてくる悪用を、そのやり取りの中身を保持せずに捉えるためのシステムです。

翌日、Reutersは、Anthropicが企業向けの保持ポリシーを変更すると報じました。30日間の保持は引き続き求めるものの、顧客がそのデータを自社のクラウド基盤に置けるようにするというものです。

48時間をおいた二つの発表は、偶然ではありません。同じ問いへの二つの答えであり、その問いは本当に難しいものです。モデルがサイバー攻撃に役立つほど強力になったとき、ベンダーは、顧客の機密資料を手元に置かずに、それをどう監視すればよいのか。

二社は、正反対の方向に答えました。誰のAIであれ案件資料を通しているなら、この分岐は、もうあなたの問題でもあります。

発端はどこにあったのか

2026年6月9日、Anthropicは Claude Fable 5 と Mythos 5 を公開しました。モデルと同時に方針も示されました。それらのモデルへのすべてのプロンプトと出力を30日間保持する、というものです。Anthropicの自動化された安全システムが検知した内容は、さらに長く、最長2年間保持されることがあります。これはゼロ保持の契約のもとでも適用される、以前からの規定です。

話題になったのは、出口がなかったことです。オプトアウトも、プラットフォームの適用除外も、企業向けの例外もなく、従来のゼロ保持の契約は Fable 5 の利用には引き継がれませんでした。独自のプライバシー条件を交渉していた企業は、ベンダーの最も高性能なモデルについて、その条件が上書きされたことを知りました。残された回避策は、抜け出すことではなく、切り分けることでした。一つのワークスペースで保持を有効にし、ほかのワークスペースはそのままにする方法です。

反応は速いものでした。翌日には、Microsoftが、法務チームが条件を精査する間、自社の従業員による Fable 5 の利用を制限していると報じられました。同時に、そのモデルを GitHub Copilot と Foundry の顧客に提供しており、GitHub Copilot のビジネス・エンタープライズ向けアカウントでは、Fable 5 は GitHub のデータ保持契約の対象外であるため、既定のモデルポリシーから外れ、既定で無効になっています。企業が二つの立場を同時にとることはありえますが、合図を見落とすのは難しいでしょう。Microsoftの法務チームが詳しく確かめたいと考えたのなら、もっと小さな企業のコンプライアンス担当者が同じ直感を持つのは当然です。

二つのマーケティングではなく、二つのアーキテクチャ

両社が直面している技術的な制約は同じです。最も深刻な悪用のパターンは、一つひとつのやり取りの中には現れず、連なりの中でしか見えません。したがって検知には、何らかの記憶が要ります。意見が分かれているのは、その記憶をどういう形で持つかです。

Anthropicの道は、保持し、検査し、削除する、です。内容は決められた期間、保管され、その間、自動化されたシステムと、必要な場合には人が、それを調べられます。8月の変更は、内容を置く場所を顧客が管理するクラウド基盤へ移すものであり、30日の要件そのものは維持されます。Reutersによれば、この設計は数か月前から、Salesforceを含む100社を超える顧客とともに開発されてきたもので、新しい安全システムが年内に導入される見込みです。

OpenAIの道は、検知し、破棄し、シグナルを返す、です。内容は顧客のインフラに置かれるか、OpenAIのインフラ上でも、OpenAIが持たない顧客管理の暗号鍵のもとに置かれます。自動化されたシステムが、関連するやり取りをまたいでパターンを探し、OpenAIが「範囲を限定した安全上のシグナル」と呼ぶものを出します。見つかった活動の形であって、それが見つかった資料そのものではありません。詳しい確認が必要な場合、OpenAIは顧客に通知を送り、顧客は社内で調査したうえで、どの文脈や内容を共有するかを、共有するかどうかも含めて決めます。8月の発表の時点で、展開と技術ホワイトペーパーは9月とされていました。ホワイトペーパーは、2026年10月26日に公開されました。

一方は、行動についての約束です。もう一方は、能力についての主張です。両者は、異なる形で失敗します。

この違いは、じっくり考える価値があります。実際に何に依拠しているのかが、それで決まるからです。保持ポリシーは、行動についての約束です。これを保持し、こういう条件で中身を見て、このスケジュールで削除する。あなたが信頼しているのはプロセスであり、プロセスは監査できます。暗号による保証は、何が可能かについての主張です。鍵を持っていないので、読むことができない。あなたが信頼しているのはアーキテクチャであり、アーキテクチャは検証できます。ただし、能力のある誰かがホワイトペーパーを読み、そこに書かれた主張を確かめてからの話です。その文書は公開されました。検証は、まだこれからです。

どちらが正しいとは言い切れません。保持していれば、調査する側は本物の攻撃を再構成する材料を得られます。攻撃が現実のものだと考えるなら、それは重要です。保持しなければ、ある種のリスクがまるごと消えます。最もありそうな侵害は、ベンダーが見張っていた攻撃者によるものではなく、あなたのデータを持っているベンダーへの侵害だと考えるなら、それが重要になります。妥当なセキュリティチームでも、結論は分かれます。もはや成り立たないのは、ベンダーの答えが、何もしなくても自社の方針と一致しているという前提です。

askOdinにとって、これは何を意味するのか

私たちが扱うのは、顧客が持つ中で最も機密性の高い資料です。取引書類、財務モデル、キャップテーブル、投資判断の背後にある推論。AIベンダーを問いただせと勧める記事を出しておきながら、同じ問いに自分では答えないのなら、その記事に価値はありません。そこで、私たちの答えを示します。私たちにとって分の悪い答えも含めてです。

呼び出すモデルは一つ、役割も一つです。非構造化の書類から構造化されたデータ項目を抽出するために、Google Gemini Developer API を使っています。モデルの役割はそれだけです。分析も、要約も、見解の形成も求めません。変数が抽出されると、決定論的なエンジンが引き継ぎ、主張を事業の物理法則に照らしてコンパイルし、判定を出すという実際の仕事を行います。アーキテクチャはアダプター層の背後でモデルに依存しない作りになっており、ロジックを変えずにベンダーを替えられます。ただ、現時点では Gemini であり、「大手のモデル提供者」と言うより、名前を挙げるほうを選びます。

Googleは、それを学習に使いません。私たちは有料プランで利用しており、そのもとでは プロンプトと応答は製品の改善にもモデルの学習にも使われません。一方で、Googleは、ポリシー違反を検知するために、有料プランのプロンプトを一定期間記録しており、データを保持しないことの保証が必要なワークロードには、別のサービスを案内しています。私たちは、まだゼロ保持の契約（Zero Data Retention）には移行していません。移行すべきであり、いまは対応予定の項目に入っています。

原本書類の保持は最長30日です。監査が終わった時点で消えるわけではありません。30日は上限であり、その意味が失われないうちに、監査を再構成できるようにするためのものです。

そして、多くのベンダーが書かずに済ませる部分です。この30日の上限は、文書化されたポリシーです。まだ自動の管理策ではありません。上限を自動で執行する仕組みは、SOC 2 Type I の取り組みに合わせて提供する予定の作業です。いまのところ、削除は、監査人に示せる定期ジョブではなく、私たちが意図して実行するものです。この差が最も重い意味を持つのは、すでにシステムの中にいる人たちです。Crucible は無料で公開されており、起業家が提出した資料がいまもその中にあります。そこから導かれた構造上の記録には、その人たちの名前が含まれます。起業家はデータ主体であり、削除を求める権利を持ち、後に私たちを通じてデューデリジェンスの資料を処理する機関投資家が求めるのとまったく同じ管理を受けるべき立場にあります。その仕組みはいま構築中で、完成するまで、私たちはこの上限を、実態以外の名前で呼ぶことはしません。提供を開始したら、セキュリティとデータの取り扱いのページでお知らせします。どの管理策が実装済みで、どれが実装中なのかも、そのページで確認できます。

「書類は30日後に自動的に削除され、二度と復元されません」と書くこともできました。そのほうが読みやすいでしょう。それはまた、SOC 2 の監査人が裏づけを求める文そのものであり、私たちには示せませんでした。ポリシーと管理策の違いを教えないベンダーは、ほかのことについても、実は重みを支えていないことを言うベンダーです。

私たちは、お客様の書類を読みません。これは手順上の管理策であり、アーキテクチャ上の管理策ではありません。この違いは重要です。アクセスを技術的に不可能にするシステムを構築したわけではなく、スタッフはお客様の資料にアクセスしないというポリシーがあるということです。アクセスの記録は構築済みですが、まだ稼働させていません。これに触れるのは、私が当初、稼働していると書いてしまったからです。エンジニアはあなたのデータに到達できないと言うベンダーがいたら、何がそれを強制しているのかを尋ねてください。正直な答えが、暗号の境界ではなく規則であることもあります。規則で構いません。誰もそれを数学のように装わない限りは。

そして、「誰がアクセスできるか」はスタッフだけの問題ではありません。ほとんどのベンダーは、その半分に答えて止まります。私たちの共有の処理環境では、テナント間の処理キャッシュの分離を強化している途中で、その作業は完了していません。シングルテナント構成はロードマップにあり、提供していません。厳格なテナント分離が貴社の導入条件であれば、何かをアップロードする前に、現状を私たちに尋ねてください。ほかのすべてのベンダーにも、同じ二つの問いを尋ねてください。従業員についてのきれいな答えは、隣の行にいる顧客については何も教えてくれないからです。

残るのは派生データであり、書類ではありません。保持期間を過ぎて残るのは、判定結果、判断の分析、そして構造データです。構造データは、公開された案件データをもとに構築したベンチマーク・コーパスである Judgment Graph（英語）に記録されます。お客様の書類は、その中にはありません。監査の記録は書類より長く残ります。それが要点です。3年後に、ある判断がどう下されたのかを尋ねるLPに必要なのは、推論であって、元のPDFではありません。

この構造上の記録には、起業家の名前のような識別につながる情報が含まれるため、私たちはそれを個人データとして扱い、削除を求める権利はこの記録にも及びます。こうした情報を体系的に取り除く仕組みはロードマップにあり、まだ構築していません。この記事の以前の版は、コーパスには識別につながる情報が含まれないと書いていました。公開の数日後に行ったエンジンの監査で、そうではないことがわかり、いまお読みの文がその訂正です。これが、先に示した立場の代償です。どの管理策が本物かを公表するなら、誤りがあったときも、それを公表しなければなりません。

ほとんどの人が見落としている区別とは

この1週間の報道のほとんどが取り違えていることがあります。

OpenAIとAnthropicが議論しているのは、インフラ層のセキュリティです。データがどこにあるか。誰が読めるか。どれだけ残るか。この議論は重要であり、追いかける価値があります。

しかし、保持ポリシーは、結論が信頼できるかどうかについて何も教えてくれません。

何も保持しないモデルが、再現も、出典の提示も、投資委員会での説明もできない、たどれない答えを返すことがあります。30日間データを保持するモデルが、すべての主張をページと行に結びつけた判定を返すこともあります。インフラ層のプライバシーと、判断層の出典の追跡可能性は、別の性質です。一方を買っても、もう一方は手に入りません。そして、ベンダーは、そう思い込んでもらうことを喜んで受け入れます。

プライバシーは、データがどこへ行ったかの問いです。出典の追跡可能性は、答えがどこから来たかの問いです。

だからこそ、私たちはこの二つの層を意図して分けています（英語）。モデルは抽出を担い、見解を形成することはありません。見解を形成するのは決定論的なエンジンであり、決定論的だからこそ、同じ入力からは同じ判定が出ます。それが、そもそも監査できる理由です。LLMは、説得力を最適化する。askOdinは、事業の物理法則でコンパイルする。この性質は、誰が何をどこに保存するかに左右されません。

AIベンダーに、何を確認すべきか？

投資判断に使うAIツールを評価しているなら、確認すべきなのは次の項目です。

そのうえで、もう一つ。7つすべてにまたがる問いであり、私たちが最も尋ねてほしい問いです。

いま挙げた管理策のそれぞれは、実装されているのか、文書に書かれているだけなのか。表明されたポリシーは実装された管理策ではなく、実装された管理策は証拠のある管理策ではありません。文書は、どのベンダーでも用意できます。管理策が実行されたことを示す記録を求めてください。その答えからわかるのは、セキュリティそのものより、何かが未完成のときに、そのベンダーが率直に話してくれるかどうかです。長い取引関係を通じて、そのほうがはるかに価値があります。

ほとんどのAIベンダーは、最後の3つの問いに明確に答えられません。私たちは上で8つすべてに答えようとしました。答えが「まだです」であるところも含めて。

ベンチャーキャピタルは、監査を受けていない最後の資産クラスです。askOdinは、その空白を埋めるための基盤を提供します。公の場で自らを監査しない監査インフラに、大した価値はありません。