「打ち込んだデータがどこへ行くのか」が分からないまま使っていませんか
「生成AIを使ってみたいが、社員が入力した情報がどこに保存され、誰が見られるのか分からない」「無料版のChatGPTを社員が個人的に使っているが、止めるべきか判断できない」——中小製造業の経営者・事務責任者からよく受ける相談です。特に従業員が30名を超えるあたりから、生成AIに詳しい社員が社内に出てきて「無料版は危ない」という声が上がり始め、経営側が判断を求められる場面が増えます。
この記事では、OpenAI（ChatGPT）・Anthropic（Claude）・Google（Gemini）・Microsoft（Copilot）の各公式ドキュメントに基づき、個人向け・法人向けプランのデータ取り扱いを整理します。あわせて「図面をアップロードしてもいいか」という典型的な相談にどう向き合うべきか、判断の軸を示します。なお、各社のポリシーは随時更新されるため、本記事の内容は2026年8月時点の公式情報に基づくものとご理解ください。最新の条件は必ず各社の公式ページでご確認ください。
「学習されないから安心」は半分正解、半分誤解です
多くの方が「学習OFFにすれば安全」という認識で相談に来られます。この理解は半分正しく、半分間違っています。学習OFFは「入力した情報が将来のモデルの再学習に使われるリスク」を下げる設定であり、それ以上の意味を持ちません。次の5つのリスクは、学習OFFにしても別問題として残ります。
- 保存：削除するまで（あるいは削除後も一定期間）履歴が保存される
- 人による確認：不正利用検知やフィードバック機能により、会話が人の目に触れる可能性がある
- 誤共有：外部コネクタや共有リンクの操作ミスで意図せず外部に渡る
- アカウント侵害：個人アカウントが乗っ取られた場合の被害範囲
- 契約上のリスク：消費者向け利用規約と法人契約（DPA等）では、企業側が持てる管理権限が異なる
結論として、当社は「個人向け有料プラン＋学習OFF」よりも「法人向けBusiness／Enterprise版」の方が、総合的な情報漏洩リスクは低いと考えています。学習の有無だけを見て安全性を判断するのは早計です。
4社のセキュリティポリシーを比較する
「個人向け＋学習OFF」と「法人向けBusiness／Enterprise」を並べると、差は学習設定だけではないことが分かります。
| 観点 | 個人Pro＋学習OFF | Business／Enterprise |
|---|---|---|
| モデル学習 | 新規会話は原則不使用 | 契約・組織単位で原則不使用が既定値 |
| データ保存 | 履歴として保存。安全対策等で保持される場合あり | 管理者が保持期間を設定できる場合がある |
| 人による確認 | 不正利用検知・フィードバック等で確認される可能性 | 通常の学習目的の確認は制限。監査された例外アクセスが中心 |
| アカウント管理 | 個人任せ | SSO、メンバー削除、権限管理 |
| 監査・統制 | 基本的になし | 監査ログ、利用状況の管理が可能 |
| 退職・端末紛失時 | 情報が個人アカウントに残りやすい | 組織側で停止・回収・削除しやすい |
サービスごとの要点
各社の公式ドキュメントを個人向け・法人向けで見ると、次のような整理になります（ヘッジなしで書ける項目は言い切り、条件付きの点は「〜の場合がある」で示します）。
- ChatGPT Pro（個人）：学習設定をOFFにすると新規会話はモデル学習に使われませんが、履歴は削除するまで保存され、削除後も原則30日以内に削除される仕組みです。フィードバックを送ると、学習OFFでも関連する会話全体が学習に使われる場合があります。
- ChatGPT Business／Enterprise：入出力は既定で学習に使われず、保存時AES-256・通信時TLS1.2以上での暗号化、SSOなどの管理機能があります。
- Claude Pro（個人）：モデル改善設定をOFFにすると新規チャットは学習対象外になりますが、安全性システムでフラグされた会話は例外的に安全研究等に使われる可能性があります。削除した会話は原則30日以内にバックエンドから削除されます。
- Claude Team／Enterprise：商用サービスの入出力は既定で学習されず、Anthropicは組織の指示を受ける立場（データ処理者）に位置付けられます。Enterpriseでは監査ログや保持期間の設定などが追加されます。
- Google AI Pro（個人向けGemini）：活動の記録をOFFにしても、応答生成や不正防止の目的で最大72時間は保存されます。フィードバックを送った会話は人が確認し、関連データが最長3年間保持されることがあります。
- Google Workspace with Gemini：許可や指示がない限り顧客データをモデル学習に使用しない方針が明記されており、管理者が保持期間を設定できます。
- 個人向けMicrosoft Copilot：学習をOFFにすると将来の会話は学習対象から除外されますが、製品改善やセキュリティ・コンプライアンス目的での利用の可能性は残ります。
- Microsoft 365 Copilot：会社のアカウントで「Enterprise data protection」が適用された状態で使うことが前提です。プロンプト・回答・社内データは基盤モデルの学習に使われず、既存のアクセス権限や保持ポリシーを継承します。ただし「学習されない」ことと「保存されない」ことは別で、履歴は組織内に残り、管理者が監査できる仕組みです。
比較表だけでは分からない「閲覧される可能性」という論点
サーバーに保管されたデータが実際に「誰の目に触れる状態にあるか」は、比較表の項目名だけでは見えてきません。確認すべきなのは次の4段階です。
- 不正利用監視のための自動スキャン
- フィードバックや異常検知に基づく人間レビュアーの目視確認
- 法令順守・法執行機関からの要求への対応
- 自社の管理者による従業員の会話履歴の閲覧（法人版で可能になる範囲）
「漏れるかどうか」と「そういう状態に置かれているかどうか」は別の問題です。学習に使われていなくても、②の人によるレビューにかかる可能性がある会話は、機密情報を入れてよい場所ではありません。ただし、この粒度の記載は各社で揃っておらず、公式ドキュメントを1社ずつ丁寧に読み込む必要があります。判断に迷う場合は、公式トラストセンターや契約担当窓口への確認をお勧めします。
現場でよくある失敗パターン
- 「学習されないから安心」で止まってしまう：学習OFFは再学習リスクを下げるだけで、保存・人手確認・誤共有・アカウント侵害・契約上のリスクは残ります。ここで思考を止めると、機密情報を入れてはいけない場面で入れてしまいます。
- フィードバック機能を安全だと思って使う：ChatGPT ProやClaude Proでは、学習OFFにしていても高評価・低評価のフィードバックを送ると、関連する会話全体が学習・人手確認に使われる場合があります。機密性の高い会話ではフィードバックを送らないことが実務上の対策になります。
- 個人アカウント運用のまま放置する：退職や端末紛失の際、情報が個人アカウント側に残ったままになりやすく、組織側で回収・削除する手段がありません。
- 「セキュリティが心配」で全面禁止にする：業務が止まり、結局は社員が個人の無料アカウントで隠れて使う「シャドーAI」が横行します。禁止よりも、入れてよい情報の線引きを示す方が現実的です。
では自社はどう運用すればよいか
入力してよい情報かどうかは、情報の機密度で仕分けるのが現実的です。
- 公開情報・一般的な文章作成・匿名化済みデータ → 個人Pro＋学習OFFでも比較的現実的
- 顧客名・契約書・未公開財務・個人情報・社内ソースコード → 法人契約のBusiness以上
- 機微な個人情報・M&A情報・営業秘密 → Enterpriseの保持期間・監査ログ・データ処理契約まで確認が必要
従業員50名規模の製造業であれば、当社はBusiness版までで実務上は足りると考えています。EnterpriseやAPI経由の構成まで求める必要は、通常はありません。一方で、図面や原価情報のように「漏れても問題ないか」という基準で判断が分かれる情報を継続的に扱うのであれば、Business版への切り替えを検討する段階と言えます。より高度な統制（データの保存先を国内リージョンに限定するなど）が必要になった場合は、Amazon BedrockやAzure OpenAIなどAPI経由の構成という選択肢もありますが、これは自社のログ管理や権限設計が新たな論点になるため、チャットUIの延長で扱える話ではありません。
なお、「図面をアップロードしてよいか」という質問には、私たちはまず使用しているプランを確認し、次に入力情報の機密度合いを一緒に整理する、という順番で対応しています。「アップロードして構いません」と即答することはなく、リスクをお伝えした上で最終判断は企業側にしていただく形をとっています。
よくある質問
無料版ChatGPTを社員が個人的に使っています。すぐ止めるべきですか。
入力内容が機密情報を含まない一般的な文章作成程度であれば、直ちに禁止する必要はないと考えます。まず何を入力しているかを把握することが先です。顧客名や図面、未公開の数値が入っているようであれば、法人版への切り替えを検討する段階です。
「法人向けプランにすれば安心」と考えてよいですか。
学習利用のリスクは大きく下がりますが、サーバーへの保存や、不正利用監視・法令対応での確認可能性は別の論点として残ります。プランを上げただけで安心、というわけではなく、各社の公式ポリシーで保存期間や監査機能を確認する必要があります。
ゼロデータリテンション（ZDR）はどの会社でも使えますか。
提供の有無や条件は会社・契約形態によって異なり、費用面でも中小企業には負担になりやすい傾向があります。具体的な金額や適用条件は明言できませんので、必要であれば各社の窓口へ直接お問い合わせください。
図面や原価情報を生成AIに入れてよいか、判断に迷ったら
「アップロードして良いか」の判断は、使用しているプランと情報の機密度によって変わります。当社では、まず現状のプランを確認し、入力情報の線引きを一緒に整理するところから始めています。
現場の原価・図面データの扱いも含めて相談したい場合は、無料相談フォームから「事務効率化・生成AI」を選んでご連絡ください。
