メインコンテンツまでスキップ

あなたの AI チャットを誰が読むのか：安全性レビュー、警察への通報、削除できない保持期間

中級
What you'll learn
  • 実際のエスカレーション経路を追う。自動分類器、専門のレビューキュー、訓練を受けた人間のレビュー担当者、アカウント停止、法執行機関への通報。そして、遅延が実際にどこにあるか（秒ではなく日単位）を見る
  • OpenAI が公表していながらほとんど誰も引用しない非対称性を知る。他者への脅迫は警察に通報されうるが、自傷のケースは明示的に通報されない
  • プロバイダー横断で保持期間の計算をする。切り替え可能なあらゆるプライバシー設定をすり抜ける 2 つの数字を含む
  • ゼロデータ保持契約が安全パイプラインの適用除外にならない理由と、Anthropic の最も高性能なモデルが ZDR では一切使えない理由を理解する
  • シークレット、一時、アクティビティオフの各モードが実際に管理するもの（学習と履歴）と、管理しないもの（不正利用の監視）を見分ける
  • テキストの種類ごとに、どのサーフェスに置くべきかを決める。そして正直な答えが「どれでもない」ときに代わりに何をするかを知る

2026 年 8 月から 10 月初めにかけて、商用 AI アシスタントとの 3 つの会話が公に警察案件となりました。 そのうち 1 件は重罪での逮捕に至っています。このパターンは不具合ではなく、新しい方針でもありません。 主要プロバイダーがどこも運用している不正利用対策パイプラインの、文書化された通常の動作です。 その説明はヘルプセンターの記事にありますが、貼り付ける前にそれを読む人はほとんどいません。

役に立つ問いはチャットは読まれているのかではありません。その答えは、狭く特定の意味においてですが、何年も前から「はい」です。 役に立つのは、何が人間に見に来させるのか、人間は次に何をすることを許されているのか、 そして自分のプライバシー設定のうちどれがこの経路に触れるのかという問いです。 3 つ目の答えが人々を驚かせます。ほとんど、どれも触れません。

3 つの事例で実際に何が起きたか​

サンフランシスコ、2026 年 8 月。 ある Claude ユーザーが、AR-15 を購入し、Anthropic の CEO を 「照準に捉えている」と書き込んだとされます。The San Francisco Standard が引用した警察報告書によれば、 メッセージは 8 月 14 日（金）の午後 2 時 30 分に送信されました。Anthropic が SFPD に通報したのは 翌火曜日の午前 9 時です。警官が Anthropic のオフィスを訪れましたが、本人は不在で、 その報道の時点では逮捕も起訴もされていませんでした。本人は Standard に対し、本気ではなかったと語っています。 Anthropic の声明は、アカウントは停止され、案件は通報された、そして「これは私たちのセーフガードのプロセスが意図どおりに機能したものだ」というものでした。

フロリダ、2026 年 9 月下旬。 ボニータスプリングスの Carli Michelle Heller は、 日記のように Claude を使っていました。逮捕報告書によると、彼女は 9 月 26 日にリー郡保安官事務所を銃撃すると書き、 27 日には新しい銃を入手したと書きました。自動システムがそのテキストにフラグを立て、人間のレビューチームが評価し、 Anthropic が通報し、保安官代理が自宅で彼女を見つけて、何事もなく身柄を確保しました。 彼女は書面による暴力の脅迫の罪（第 2 級重罪）で起訴され、11 月に出廷する予定です。

Tom's Hardware は、このフロリダの事例を、8 月以降に警察に届いた Claude の会話として少なくとも 3 件目と数えました。

取り出す価値のある 3 つの詳細​

  1. 遅延は秒ではなく日単位です。 金曜の午後から火曜の朝までは、およそ 4 日です。これは人が配置されたレビューキューであり、 通報先に直結した仕掛けではありません。これには両面があります。リアルタイムの監視ではない一方で、 本当に差し迫った出来事に介入できる仕組みでもありません。
  2. 判断を下したのは人間です。 どちらの事例でも、自動分類器は振り分けただけでした。 警察に連絡するという判断は、テキストを読んだ訓練を受けたレビュー担当者が下しました。 最も不快に感じられがちな点、つまり従業員が自分の私的な日記を読んだということは、故障モードではなく意図された設計です。
  3. アカウント停止が先でした。 停止は通報より先か、同時でした。もし無実の理由で分類器に引っかかったとしても、 最初の症状はアクセスの喪失であって、電話ではありません。

文書化されたパイプライン​

主要プロバイダーはどこも、何らかの形でこれを運用しています。用語は違っても、形は同じです。

Guided walkthrough1 of 5
  1. 安全分類器が入力と出力をスコアリングします。これは消費者向けサーフェスへの実質的にすべてのトラフィックで走り、オプトアウトはできません。利用ポリシーを大規模に執行する仕組みだからです。スコアはそれ自体がデータであり、会話とは別に保持されます。この区別は、このページの後半で非常に重要になります。

ほとんど誰も引用しない非対称性​

OpenAI が上記の一節を公表したとき、その直後に続く一文はずっと注目されませんでしたが、おそらくこちらのほうが重要です。

OpenAI は、「ChatGPT のやり取りが持つ特異な私的性質を踏まえ、人々のプライバシーを尊重するため、 現時点では自傷のケースを法執行機関に付託していない」と述べました。

つまり、公表されている線は苦悩ではなく、他者への危害のところに引かれています。 自分自身について危機にある人は、警察への通報なしに、プロダクトの内部（危機対応リソース、モデルの挙動の変更、場合によっては人間のレビュー）で扱われます。 第三者への脅迫を書いた人は、まったく別のパイプラインに入ります。エスカレーションのしきい値について 1 つだけ覚えるなら、 線は誰が傷つくかで引かれており、それはプロバイダーが改訂しうる方針上の選択だ、ということを覚えておいてください。

保持期間の計算​

このセクションは行動を変えます。数字は誰もが想像するよりも長く、そのうちいくつかは設定パネルの操作では影響を受けないからです。

対象プロバイダー期間自分で削除しても残るか
削除した通常の会話Anthropic（消費者向け）履歴からは即座に消え、バックエンドストレージからは 30 日以内に消去—
利用ポリシー違反としてフラグが立った会話Anthropic入力と出力を最長 2 年はい
その会話の Trust-and-safety 分類スコアAnthropic最長 7 年はい
モデル改善にオプトインしたデータAnthropic（消費者向け）匿名化された状態で、学習パイプライン内に最長 5 年その時点のオプトアウトに従う
人間のレビュー担当者が読んだチャットGoogle（Gemini アプリ）最長 3 年、Google アカウントとの紐付けは解除はい。アクティビティを削除しても消えない
Gemini アプリのアクティビティ オンGoogleデフォルトで 18 か月後に自動削除（3 か月または 36 か月に調整可、またはオフ）—
Gemini アプリのアクティビティ オフGoogle一時チャットは、応答と安全の確保のために 72 時間保持—
ChatGPT 一時チャットOpenAI履歴に残らず、メモリにも入らず、学習にも使われない。安全のために最長 30 日保持されることがある—
Covered Model へのプロンプトと応答Anthropic最低 30 日、義務的、その後自動削除—

2 つの行は 2 度読む価値があります。

分類スコアの 7 年間。 会話そのものは消えていても、それについての構造化された判断は、十年近く残ります。 分類スコアはあなたのテキストのコピーではありませんが、あなたのテキストが特定のカテゴリで特定のスコアを取ったという、 アカウントに紐づいた持続的な主張です。長期的なエクスポージャーを考える人にとって、これが本当の保持期間の地平であり、 削除は機能すると言うときに人々が挙げる 30 日の消去期間の、およそ 85 倍の長さです。

削除後も生き残る 3 年間。 Google は明示しています。人間がレビューしたチャットと、それに付随するメタデータ （言語、デバイスの種類、位置情報、フィードバック）は、アカウントとの紐付けが解除されているがゆえに、アクティビティを削除しても削除されません。 匿名化は、この保持を正当化するものであると同時に、あなたの側から見て永続的にするものでもあります。削除を発行する先のアカウントのハンドルがもう存在しないからです。 Google は人間が見る前にレビュー対象のチャットの紐付けを外そうとしますが、メッセージの中に自分が入力したものは、メッセージの一部です。

ZDR の神話​

契約によって問題を解決したと信じている開発者に、最も多い誤解がこれです。

Claude for Enterprise 上の Claude Code におけるゼロデータ保持（ZDR）とは、プロンプトと応答がリアルタイムで処理され、 応答が返された後は「Anthropic によって保存されない」という意味です。ただし 「法令遵守または不正利用への対処に必要な場合を除く」。 Anthropic 自身の文書は、この例外を明記しています。

ZDR が有効であっても、Anthropic は、法令上必要な場合や利用ポリシー違反に対処するために、データを保持することがあります。 セッションがポリシー違反としてフラグ付けされた場合、Anthropic は関連する入力と出力を最長 2 年間保持することがあります。

また、そもそも ZDR が対象にしていなかったものについては、別にこうあります。

Anthropic は、利用ポリシーを執行するために、User Safety 分類器の結果を引き続き保持します。

したがって正しいメンタルモデルは、ZDR が取り除くのは保存であって、パイプラインではないというものです。 分類はすべてのリクエストで引き続き行われ、スコアは引き続き保持され、フラグが立ったセッションは引き続き 2 年間保持されます。 ZDR は日常的な保持に対しては優れた管理手段ですが、不正利用対応の保持に対しては弱い手段です。 送ったものが後で争われるとき、重要になるのはまさにその保持です。

ZDR がしない、さらに 4 つのこと​

Anthropic はこれらを明示的に文書化しており、どれも誰かがつまずいた点です。

  • Web アプリや Cowork は対象外です。 Claude Code 向けの ZDR は Claude Code の推論を対象にします。 同じ Enterprise インターフェース経由の claude.ai 上のチャットや Cowork セッションは、標準の保持期間に従います。
  • ユーザーには付いてこず、組織にだけ付きます。 ZDR は、ZDR が有効な組織に認証されるリクエストに適用されます。 個人アカウントでサインインした開発者や、別の組織の API キーを使う開発者は、単に対象外です。 Anthropic の答えは、forceLoginMethod と forceLoginOrgUUID のマネージド設定です。ZDR が自分にとって要になっていると考えるなら、導入する価値があります。
  • 新しい組織には引き継がれません。 ZDR は組織ごとに Anthropic のアカウントチームが有効化するもので、 同じアカウントの下に作られた新しい組織に自動では適用されません。
  • サードパーティは対象外です。 MCP サーバーや外部連携で処理されるデータは、ZDR の完全に外側です。 （エージェントがアップロードするものと MCP サーバーの保護を参照してください。）

Covered Models：能力と保持のトレードオフが明示された​

Anthropic は最も高性能なモデル（現時点では Claude Mythos 5.1、Claude Fable 5.1、Claude Mythos 5、Claude Fable 5）を Covered Models に指定しており、これらはデフォルトでデータ保持を必須とします。プロンプトと応答は最低 30 日間保持され、その後自動的に削除されます。 保持されたウィンドウは、有害なコンテンツをフラグ付けするよう設計された自動安全システムによって評価されます。

述べられている理由は、本当に興味深い部分です。リクエスト単位のフィルタリングの限界についての認めにあたるからです。

「一部の形態の不正利用は多数のリクエストにまたがって初めて検知可能になるため、これらのモデルには、 1 回のリクエストごとではなく、保持された利用データのウィンドウ全体で働くセーフガードが必要である」

危険な全体の、無害に見える一片を組み立てる単独のリクエストは、ステートレスな分類器には見えません。 パターンを検知するには、リクエストを記憶しておく必要があります。これは本物のセキュリティ上の論拠であり、 能力と保持が設計上結びついたことを意味します。これらのモデルでは、フロンティアの能力か、ゼロ保持か、どちらか一方であり、両方は得られません。 標準構成では、Covered Models に ZDR は使えません。組織やワークスペースが必須の保持を備えていない場合、 それらのモデルへのリクエストはクライアント設定にかかわらずサーバー側で拒否され、Claude Code の best エイリアスは黙って Fable ではなく Opus に解決されます。 Anthropic は、対象となるお客様が社内業務アプリケーション向けに Fable 5 と 5.1 を ZDR の下で使える Enterprise Frontier Safeguards の道筋を示しており、2026 年秋に順次提供される予定です。 どちらとも決めつけず、現在の状況はアカウントチームに確認してください。

これをモデル側から見た説明は、Fable 5.1 フィールドガイドを参照してください。 API の挙動の観点から同じ義務的な 30 日間のウィンドウに触れており、それを備えていない組織からのリクエストは 400 を返します。

プライバシー設定が実際に管理するもの​

ここに明快な切り分けがあり、これがこのページの実践的な主張です。

設定管理するもの管理しないもの
Anthropic のシークレットチャットモデル改善がオンでも、モデル改善の対象から除外される安全性のフラグ付けと、それに続く保持
ChatGPT の一時チャット履歴、メモリ、学習安全／不正利用のための保持。OpenAI の FAQ によれば最長 30 日
Gemini アプリのアクティビティ オフ学習、今後のチャットの人間によるレビュー、長期のアクティビティ保存応答と安全の確保のために保持される 72 時間のウィンドウ
会話の削除自分の履歴と、消去タイマー付きのバックエンドコピーフラグ付きコンテンツ、分類スコア、すでにレビューされたチャット
ゼロデータ保持プロンプトと応答の日常的な保存分類そのもの、スコアの保持、フラグ付きセッションの保持

右の列を 1 文として読んでください。消費者向けのプライバシー設定は、学習と履歴の設定です。 そのどれも、不正利用監視の設定ではありません。 これは細かい字に隠された落とし穴ではなく、利用ポリシーを執行可能にするための唯一の方法です。 ただし、「シークレットなら誰にも見られない」というメンタルモデルが、実際に問題になる形で間違っていることも意味します。

人間によるレビューを本当に狭める設定が 1 つあります。Google では、チャットをレビュー担当者に回す経路を無効にできます。 myaccount.google.com → データとプライバシー → Gemini アプリのアクティビティ → オフにする。 以後の会話は、人間のレビューに送られず、学習にも使われなくなります。すでにレビューされたチャットは、引き続き 3 年のウィンドウの中にあります。

法的メカニズムを手短に​

Heller は、フロリダ州の書面による脅迫に関する法律、Fla. Stat. 836.10 で起訴されました。 その構成要件は、チャットボットに書いたことがなぜ起訴されうるのかを説明してくれるので、読む価値があります。 この法律は、殺害または身体的危害を加えること、あるいは銃乱射事件やテロ行為を行うことの脅迫を含む、書面その他の記録を、 電子的記録を含め、「他の人が閲覧しうるあらゆる方法で」送信、投稿、伝達する者（またはその送信、投稿、伝達を手配する者）に及びます。 第 2 級重罪です。

法的助言ではなく、法文の読み方として、2 点述べます。

  • 文言は、意図した人間の受け手を要求していません。 要求しているのは、他の人に閲覧されうる方法で送信された記録です。 プロバイダーのサーバーに保存され、そのプロバイダーのレビュー担当者が読める会話が、この文言の外にあることは、明白とは言えません。 これは、ユーザーが自分はしていると感じていること（私的に書いている）と、法律が記述していること（閲覧可能な電子的記録を送信している）との、まさに隔たりです。
  • 意図は依然として要素です。 フロリダの典型的な構成要件は、被告がその脅迫を「真の脅迫（true threat）」として意図したことを要求します。 これは、起訴可能な脅迫を誇張や愚痴から分ける法理上の線であり、弁護側の明らかな争点です。 「チャットボットに愚痴っていただけだ」というのは意図についての事実上の主張であり、媒体が生み出す安全地帯ではありません。

法令そのものが必要なら、フロリダ州上院が公開しており、リンクは出典にあります。 実際に法的なトラブルにあるなら、フィールドガイドではなく弁護士に相談してください。

では、テキストはどこに置くべきか​

正直な判断手順を、テキストの種類ごとに示します。

テキストの種類適したサーフェス理由
通常の仕事、コード、文章どのホスト型アシスタントでもパイプラインは存在するが、あなたには無関係
機密性の高いビジネスデータ適切な条件の商用／Enterprise 層。資格があれば ZDR日常的な保持は取り除かれる。不正利用のための保持は残る
規制対象データ（医療、金融）BAA/HIPAA 構成のエンタープライズ導入技術面だけでなく契約面での保護
暴力、武器、エクスプロイトに触れるセキュリティ研究ホスト型で構わない。ただし文脈を会話内で示すレビュー担当者はテキストを読み、研究と意図を分けるのは文脈
日記、危機、侵入的思考、希死念慮ローカルモデル、または人間パイプラインが本当にユーザーの利益に反する、唯一の種類

最後の行が、フロリダの事例の一行要約です。チャットアシスタントは、日記の見かけ上の機能（私的に感じられ、常に使え、飽きない）を持っていますが、 日記の性質は何一つ持っていません。見かけ上の機能がほしいなら、モデルを自分のマシンで動かしてください。 サーバーがないので、そこにパイプラインは存在しません。

どんな分類器にも見られない日記

# one-time: install Ollama, then pull a small local model
ollama pull llama3.2

# a private journalling session — no network, no review queue, no retention
ollama run llama3.2

そのセッションのすべては、自分のディスクに留まります。完全なセットアップは Ollama でモデルをローカルで動かす、 ホスト型サーフェスを完全に取り除くアーキテクチャは プライベートなローカル AI スタックを参照してください。

もう 1 つの実践的な手立てがあります。正当な仕事が、暴力、武器、自傷、搾取を題材として本当に扱う場合は、会話の中でそう明言することです。 分類器はテキストをスコアリングし、人間のレビュー担当者はそれを読みます。明示された文脈は、 レビュー担当者が下す結論を変えられる、あなたがコントロールできる唯一のものです。

分類器が推測できない文脈をレビュー担当者に伝える

Context for this conversation, stated up front:

I am a [threat analyst / security researcher / novelist / clinician / trust-and-safety
engineer] working on [specific artefact: a tabletop exercise, a published paper,
chapter 14 of a manuscript, an abuse-detection ruleset].

I need to discuss [violent / self-harm / weapons / exploitation] subject matter as
material to be analysed, depicted or detected — not planned. My output is
[a report / fiction / a detection rule], not an operational plan.

Please keep that frame for the whole thread, and tell me if a request of mine
crosses from analysis into operational detail so I can rephrase it.

最後の一文が、役に立つ半分です。これは、あなたに推測させるのではなく、モデルに協力的な境界の番人として振る舞うよう求めるものであり、 モデルが拒否し、あなたが言い換えるやり取りが明示的に含まれたスレッドは、そうでないものとは、レビュー担当者の目にまったく違って映ります。

これが意味しないこと​

行き過ぎた反応を 3 つ避けてください。これらの事例をめぐる議論は、その 3 つすべてを生みました。

  • 人間による継続的な監視ではありません。 人間のステップに到達するのは、特定のカテゴリで分類器に振り分けられた、ごく一部の会話だけです。 これらのパイプラインの既定の体験は、誰もあなたのチャットを読まない、というものです。
  • 新しいものではありません。 コンテンツ分類、人間による不正利用対応キュー、狭い法的通報条項の組み合わせは、 あらゆる大規模コミュニケーションプラットフォームの標準的なアーキテクチャであり、20 年来そうです。新しいのは、入力の親密さ （人はアシスタントに、決して投稿しないようなことを話す）と、保持の例外が今では長く、文書として書かれていることです。
  • 1 つのプロバイダーに固有のものではありません。 このページのどの表にも Anthropic、OpenAI、Google の項目があるのは、 3 社とも基本的に同じ設計を公表しているからです。この軸でプロバイダーを選ぶとは、雰囲気ではなく、文書化された具体的な数字を比べることです。 本当の選択軸はホスト型かローカルかであり、その判断の残りについては モデルプロバイダーの選び方のページがあります。
Enter キーまたはスペースキーでカードを裏返します。左右の矢印キーでカードを移動できます。用語を表示しました。
1 / 10

Check yourself

0/6
  1. Anthropic とゼロデータ保持契約を結んでいます。あるセッションが利用ポリシー違反としてフラグ付けされました。そのセッションはどうなりますか。
  2. Gemini のアクティビティを削除しました。先月のチャットの 1 つは人間のレビュー担当者に読まれていました。それは消えましたか。
  3. OpenAI の公表されたポリシーによれば、法執行機関への付託の対象に明示的に「含まれない」のはどのケースですか。
  4. Anthropic が Fable 5.1 のような Covered Models に義務的な保持を求めるのはなぜですか。
  5. サンフランシスコの事例で、メッセージの送信からプロバイダーが警察に通報するまで、おおよそどれくらい経過しましたか。
  6. あなたは、武器や暴力を題材として議論する必要があるセキュリティ研究者です。自分でコントロールできる最も有用なことは何ですか。

出典と参考文献​

次へ​