OpenAIは8月19日、APIのゼロデータ保持（Zero Data Retention、ZDR）を解除せずに安全監視を行う仕組み「Private Safety Processing」のプレビューを公開した。9月から順次ロールアウトし、あわせて技術ホワイトペーパーを公表する予定としている。
ZDRは、対象となるAPI顧客に対して、リクエストの処理後にプロンプトとモデルの応答を保持しないことを約束する提供形態を指す。OpenAIの社員が顧客のコンテンツを閲覧することはなく、法人顧客のデータは明示的にオプトインしない限りモデルの学習には使われない。ただし例外があり、児童性的虐待コンテンツ（CSAM）の疑いでフラグが立った画像は法令上の報告義務があるため、ZDR環境でも保持され人によるレビューの対象になる。
APIの標準的な提供では、不正利用の監視のためにリクエストと応答が最大30日間サーバー側に保持され、その後削除される運用が案内されてきた。ZDRはこの保持そのものを無くす扱いで、用途の審査を経た顧客に適用される。裏を返せばZDRを選ぶことは、提供側が後から中身を見返して調べる手段を手放すことと引き換えになっており、今回の発表はその引き換えをどう埋めるかという話になる。
今回の発表の主眼は、この「保持しない」という条件と、モデルが長く複雑なタスクを担うようになるほど必要性が増す安全監視を、どう両立させるかにある。OpenAIの説明では、これまでのZDR対応の安全システムは1回のやり取りを個別に評価する設計だった。一方で深刻なリスクは単一のやり取りには表れず、複数回を並べて初めて意図が見える種類のものがある。安全対策を繰り返し突いて反応を探る、複数アカウントに分担する、脅威を通常の研究のように見せかける、といった手口が例として挙げられている。エージェントが長時間のタスクを実行する場面では、停止を指示された後も動作を続けるといった逸脱も同じ枠組みの問題になる。
コンテンツを渡さずシグナルだけを返す
Private Safety Processingは、ZDRなどで既に動いている自動的な保護を、関連する複数のやり取りをまたぐ形へ拡張したものと位置づけられている。顧客のコンテンツが置かれる場所は2通りで、ZDR構成では顧客が管理するインフラ上に残る。もう一方はOpenAIが提供するストレージに置く選択肢で、この場合は顧客が管理する鍵で暗号化され、OpenAI側はその鍵の複製を持たないため中身にアクセスできないとしている。
自動システムがリスクを検知したとき、OpenAIが受け取るのは活動の種類を示す限定的なシグナルだけで、フラグが立った場合でもコンテンツそのものは渡らない。処分が必要かどうかはそのシグナルをもとに判断する。顧客側はアラートや処分の内容を自社のシステムに残る情報で調査でき、異議を申し立てる、正当な利用であることを説明する、確認された不正利用の調査に協力する、といった目的で必要な情報を自分の判断で共有できる。
この設計は、顧客側が自社にどれだけログを残しているかで実際の使い勝手が変わる。OpenAIから届くのは活動の種類を示すシグナルと、それをもとにした処分の通知であり、どのやり取りが引っかかったのかを裏取りする材料は顧客の環境にしか存在しない。ZDR構成でコンテンツを手元に置いている組織ほど調査はしやすく、逆に自社側の記録が薄いと、通知を受けても事実確認から始められないことになる。
保持を認めるかどうかを迫られてきた企業
OpenAIは発表の中で、最近のフロンティアモデルの提供形態には、安全監視のために機微なコンテンツをAI提供者側が保持することを顧客に認めさせるものがあったと指摘している。金融記録、医療データ、非公開の事業計画、独自研究といった情報を扱う組織にとって、この条件は規制上の義務や利用者への説明と正面から衝突する。設計にはGlean、Databricks、Abridge、Microsoftが関与しており、GleanのCISOであるSunil Agrawal氏は、学習に使わないという約束とZDRがOpenAIで開発する判断の裏付けになっていると述べている。
ベンダー側のログ保持がどこまで及ぶかは、社内で生成AIの利用ルールを決めるときに避けて通れない論点になる。業務でAIを使う際のリスクの全体像は、別記事「生成AIのセキュリティリスクと企業の対策」で整理している。
9月のロールアウトまで空いている情報
プレビュー段階の発表では、対象となるモデルや契約プラン、既存のZDR顧客への適用条件、顧客管理の鍵を使うOpenAI側ストレージがいつ選べるようになるかは示されていない。保持しないまま複数のやり取りにまたがるパターンをどう突き合わせるのかという技術的な中身も、9月のホワイトペーパーを待つことになる。現時点で確定しているのは、ZDRを打ち切る方向ではなく維持したまま監視を強める設計であることと、そのプレビューが既に一部の顧客でテストされていることの2点だ。
なお、個人がAIサービスに情報を渡すときにどこを気にすべきかは、別記事「個人情報とAI｜安全に使うための注意点」で解説している。
