データ保持期間

データ保持期間（data retention）は、AIサービスの提供者が、利用者から送られた入力（プロンプト）や出力、添付ファイル、利用ログなどを、どれくらいの期間サーバー上に残すかを表す条件です。データは送信して処理が終われば消える、と思われがちですが、実際には不正利用の監視、障害調査、品質の改善などを目的に、一定期間保存されることがあります。

なぜ重要か

保存されたデータは、保存されている間、漏えいや不正アクセスの対象になりえます。また、法令や裁判に伴う要請で、提供者が開示を求められる可能性もあります。個人情報や取引先の機密を入力する場合、「どこに、誰が、いつまで持っているか」は、リスクを見積もる基本の情報です。

確認するポイント

• 保持される対象：入力、出力、添付ファイル、会話履歴、利用ログのうち、どれが保存されるか。
• 期間：数日か、数十日か、無期限か。サービスや契約ごとに異なり、更新されることもあります。
• 目的：不正利用の検出、サポート、モデル改善など、保存の理由。
• 学習への利用：保存されたデータがモデルの学習に使われるか、使われないか。
• 削除の方法：利用者が履歴を消せるか、消した後に実際のサーバーからも削除されるまでの期間。
• 地域：データがどの国や地域のサーバーに置かれるか。

具体例

同じ提供元でも、個人向けのチャットアプリと、企業向けの API とで、保持の扱いが異なることがあります。たとえば API では、不正利用の監視のために一定期間だけログを保存する設定が標準で、申請して認められれば保存しない設定にできる、という形です。いずれも契約やプランに依存するため、自社の契約内容を確認する必要があります。

注意点

• 履歴を消してもすぐ消えるとは限りません。 画面から削除しても、バックアップや監視用のコピーが一定期間残る場合があります。
• 法令による保存義務があります。 業種によっては、記録を一定期間残す義務があり、AI の利用ログがその対象になることもあります。
• 社内のルールも必要です。 保持期間が短いサービスを選んでも、従業員が機密を個人アカウントに入力すれば意味がありません。

関連する考え方

保持を最小限にする極端な形がゼロデータ保持です。規約の確認は利用規約、個人データの扱いは GDPR、第三者による安全性の確認は SOC 2 とも関係します。