ChatGPT Enterprise のデータ保持と学習オプトアウト｜契約時に確認したいチェックリスト（要公式確認）
目次 クリックで開く
企業が生成AIを導入する際、最大の障壁となるのが「機密情報の漏洩」と「入力データの学習転用」です。特に ChatGPT Enterprise は、OpenAI社が提供する中で最も強固なセキュリティを誇るプランですが、その仕様を正しく理解していなければ、社内のコンプライアンス審査を通過させることはできません。
本記事では、OpenAIの公式サイトおよび公式ドキュメントに基づき、ChatGPT Enterprise のデータ保持、学習オプトアウトの仕様、そして契約時に必ず確認すべきセキュリティ要件を徹底的に解説します。
1. ChatGPT Enterprise 導入前に定義すべき「データ保護」の基準
1.1 法人利用で最も懸念される「AIの学習転用」とは
一般的に、ChatGPT の無料版や Plus 版（個人向け有料プラン）では、デフォルトでユーザーの入力したプロンプトがモデルの精度向上のために学習される仕様になっています。企業にとってこれは、自社のソースコードや顧客データ、未発表の経営戦略が、将来的に他者の回答に混じって出力されるリスクを意味します。
1.2 個人版・Team版・Enterprise版の決定的な違い
OpenAIは、利用形態に応じて複数のプランを提供しています。企業がガバナンスを効かせるためには、単に「有料か無料か」ではなく、「管理者がデータを制御できるか」という視点が不可欠です。例えば、社内アカウントの管理を徹底するためには、SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャのような、アイデンティティ管理（IdP）との連携が可能なプランの選定が重要になります。
2. 【公式準拠】ChatGPT Enterprise のデータ保持・学習仕様
2.1 学習オプトアウトのデフォルト設定
ChatGPT Enterprise において、ユーザーが入力したデータはデフォルトでモデルの学習に使用されません。 これは OpenAI の公式ヘルプセンターおよび「Enterprise Privacy」ページで明記されています。
- 学習対象外： 入力プロンプト、アップロードされたファイル、カスタム GPTs の作成データ
- オプトアウト設定： ユーザーや管理者が個別にオプトアウト申請を行う必要はなく、契約時点で学習対象外となります。
2.2 データの暗号化（保管時および転送時）
データは通信時および保存時の両方で保護されます。
- 転送中のデータ： TLS 1.2 以上を使用して暗号化。
- 保存中のデータ： AES-256 を使用して暗号化。
2.3 データの保存期間と物理的削除のプロセス
Enterprise 版では、管理者がデータの保持ポリシーを制御できます。ユーザーがチャット履歴を削除した場合、通常 30 日以内にシステムから論理削除され、その後バックアップを含めた物理削除が行われます。ただし、コンプライアンス維持のために管理者が「監査ログ」を有効にしている場合、そのメタデータは組織のポリシーに従って保持されます。
3. 信頼性を支えるセキュリティ認証とコンプライアンス
3.1 SOC 2 Type II 準拠の意味
OpenAI は、独立した監査法人による SOC 2 Type II 報告書を取得しています。これは、セキュリティ、可用性、機密保持などの基準において、適切なコントロールが設計・運用されていることを証明するものです。エンタープライズ企業がベンダー審査を行う際の重要な指標となります。
3.2 データの局所性（サーバーの場所）とGDPRへの対応
現在、ChatGPT Enterprise のデータサーバーは主に米国に設置されています。欧州の GDPR（一般データ保護規則）等への対応として、OpenAI はデータ処理補足契約（DPA）を提供していますが、日本国内にデータを閉じ込める「データローカライゼーション」には（執筆時点の標準仕様では）完全対応していません。機密データの性質によっては、この点を法務部門と合意しておく必要があります。
4. 契約・運用開始時に確認すべき「セキュリティ・チェックリスト」
導入時に情シス担当者が確認すべき項目をまとめました。これらは OpenAI の管理コンソール（Admin Console）で設定可能です。
| カテゴリ | 確認項目 | 重要性 |
|---|---|---|
| 認証 | SAML SSO (シングルサインオン) が設定されているか | 高（退職者のアクセス遮断に必須） |
| ドメイン | 社内ドメインを検証し、野良アカウントの作成を禁止しているか | 高（シャドーIT対策） |
| 共有設定 | チャットリンクの外部共有を制限しているか | 中（情報漏洩防止） |
| 監査 | 監査ログ（誰がいつログインしたか）を定期的に出力しているか | 中（インシデント発生時の調査） |
| GPTs | 外部作成の GPTs 利用を許可するか制限しているか | 中（第三者へのデータ送信防止） |
特に、SSOの設定は、SFA・CRM・MA・Webの違いを解説。高額ツールに依存しない『データ連携の全体設計図』で示されるような、社内全体のID管理基盤の一部として組み込むべき重要なステップです。
5. 既存ツールとの比較から見る Enterprise 版の立ち位置
5.1 ChatGPT 各プランおよび競合AIサービスとのセキュリティ比較表
企業が選択肢として検討する主要な AI サービスと比較します。
| 項目 | ChatGPT Enterprise | ChatGPT Team | Azure OpenAI Service |
|---|---|---|---|
| モデル学習 | なし（デフォルト） | なし（デフォルト） | なし |
| SSO対応 | あり | なし | あり（Entra ID） |
| データ保持場所 | OpenAI管理（米国中心） | OpenAI管理（米国中心） | Azureリージョン（日本指定可） |
| 管理機能 | 非常に強力（監査ログ等） | 標準的 | インフラレベルで強力 |
| 最小ライセンス数 | 要問い合わせ（通常150〜） | 2ユーザー〜 | 制限なし（従量課金） |
5.2 自社開発（API）か Enterprise 版かの判断基準
利便性を優先し、ブラウザですぐに業務を開始したい場合は Enterprise 版が最適です。一方で、既存の社内システム（例えば、楽楽精算×freee会計の「CSV手作業」を滅ぼす。経理の完全自動化とアーキテクチャのような自動化フロー）にAIを組み込みたい場合や、日本国内のリージョンにデータを閉じ込めたい場合は、Azure OpenAI Service 等の API 利用を選択すべきです。
6. Enterprise 版導入後の運用ステップと注意点
6.1 管理コンソールでの初期設定手順
- ドメイン検証： OpenAI Admin Console にて、自社のメールドメイン（@example.com）を登録し、DNS設定を行って所有権を証明します。
- SSOの設定： Entra ID (旧 Azure AD) や Okta と連携し、SAML 2.0 による認証を有効化します。
- メンバー招待： 初期メンバーを招待し、ワークスペースへのアクセス権を付与します。
6.2 ユーザー教育と「入力してはいけない情報」の定義
システム的なガードレールを引いても、ユーザーが「他人の個人情報」や「極秘の顧客資産」を安易に入力することは避けるべきです。社内ガイドラインを策定し、以下の3点は徹底して教育する必要があります。
- 個人情報（氏名、住所、電話番号、メールアドレス等）の入力禁止
- 第三者の著作権を侵害する恐れのある情報の入力禁止
- 生成された情報の正確性を必ず人間が確認すること（ハルシネーション対策）
6.3 よくあるエラーと管理者側での対処法
エラー例：SSO ログインに失敗する
原因の多くは、IdP 側の属性（Claim）設定ミスです。OpenAI が要求するメールアドレス形式と IdP 側から送信される NameID が一致しているか確認してください。
7. まとめ：安全な AI 活用が企業の競争力を決める
ChatGPT Enterprise は、適切な設定と契約理解に基づけば、現時点で最も強力かつ安全なビジネス AI 基盤の一つです。学習オプトアウトが標準化されており、SOC 2 準拠や SSO 対応など、エンタープライズが求める要件の多くを満たしています。
導入にあたっては、まず本記事のチェックリストを元に、自社のセキュリティポリシーとの整合性を確認してください。最新の料金や詳細な仕様については、必ず OpenAI 公式サイト を参照し、必要に応じて直接問い合わせを行うことを推奨します。
【実務補足】運用フェーズで直面する「権限管理」と「コスト」の盲点
ChatGPT Enterpriseの導入はゴールではなく、継続的なガバナンスの始まりです。初期設定後、情シス・DX推進担当者が直面しやすい課題について、公式情報を踏まえたチェックリストとFAQをまとめました。
管理者が四半期ごとに確認すべき運用チェックリスト
- ワークスペース外への共有設定： 「Shared Links」機能が適切に制限されているか。デフォルトで許可されている場合、意図せず社外へプロンプトが公開されるリスクがあります。
- カスタムGPTsの公開範囲： 「Anyone with a link」での公開が禁止されているか。社内限定（Only your organization）設定の徹底が必要です。
- 利用率とライセンスの棚卸し： Enterprise版は通常、年間契約が基本です。利用率が低いアカウントを放置せず、SaaSコストを削減。フロントオフィス＆コミュニケーションツールの「標的」と現実的剥がし方の視点で定期的なライセンス最適化を推奨します。
よくある質問（FAQ）
| 質問 | 回答（公式ベース） |
|---|---|
| Enterprise版に保存できるデータ容量に制限はありますか？ | ナレッジベース（Files）の容量制限はプランにより変動するため、Admin Consoleまたは担当営業への要確認事項です。 |
| 日本国内の法令に基づく「電子帳簿保存法」等の証跡としてチャット履歴は使えますか？ | 標準の履歴機能は国税関係書類の要件（真実性・可視性）を単体で満たすものではありません。別途、監査ログを保存・管理する必要があります。 |
| 解約後のデータはどうなりますか？ | 契約終了後、一定期間を経てデータは削除されます。重要データは、あらかじめ外部ストレージ等へエクスポートしておく必要があります。 |
さらなる自動化・高度化を目指す方へ
ChatGPT Enterpriseで得られた知見を、単なるチャットツールに留めず、社内の既存業務フローへ組み込む動きが加速しています。例えば、経理部門での請求書処理や精算フローの自動化と組み合わせることで、AIのポテンシャルは最大化されます。
具体的なアーキテクチャについては、【徹底比較】バクラク vs freee支出管理。中堅企業が「経費精算・稟議」を会計ソフトと分ける本当の理由などの事例も、ツールの「責務分解」を考える上で非常に参考になります。
より詳細な技術仕様や最新のセキュリティアップデートについては、OpenAIの公式ドキュメント「Enterprise guide」を継続的に確認してください。
ご相談・お問い合わせ
本記事の内容を自社の状況に当てはめたい場合や、導入・運用の設計を一緒に整理したい場合は、当社までお気軽にご相談ください。担当より折り返しご連絡いたします。