BLOG

*本記事では、各社が公開しているデータの利用や保存、保護などに関する方針や設定を総称して「データポリシー」と表記しています。各社では名称が異なり、OpenAIでは「データコントロール」や「ビジネスデータのプライバシー、セキュリティ、コンプライアンス」、Anthropicでは「Anthropic Privacy Center」、Googleでは「Gemini アプリのプライバシー ハブ」、Microsoftでは「Microsoft Copilotに関するプライバシーに関する FAQ」や「Microsoft Copilot および Microsoft Copilot Chat におけるエンタープライズ データ保護」などの名称で情報を公開しています。

生成AIを業務で活用する機会が増える中、入力した情報がクラウド上でどのように扱われるのかを把握することは重要です。特に個人情報を含むデータを扱う場合には、単に生成AIへ入力できるかどうかだけでなく、そのデータが保存やモデル改善などにどのように利用されるのかまで確認する必要があります。

以前の記事では、個人情報をクラウドLLMに入力する際の法的な考え方を整理し、サービスを利用する前に確認すべきポイントとして、入力内容がモデル改善に利用されるか、どのように保存されるか、人が内容を確認する可能性があるか、他の事業者がデータの処理に関わるかという観点を紹介しました。

では、実際のクラウド生成AIサービスでは、これらの項目はどのように定められているのでしょうか。

今回は、ChatGPT、Claude、Gemini、Copilotを対象に、それぞれのデータ取り扱いに関するポリシー（2026年8月19日時点）を確認します。そのうえで、個人向けと法人向け、利用する機能などによる違いを整理し、企業がクラウドLLMを利用する際に必要となる確認や管理について考えます。さらに、こうしたクラウドLLMの運用と比較しながら、外部サービスに依存した管理負担を減らすという観点から、ローカルLLMを利用するメリットについても改めて整理します。

主要クラウドLLMのデータポリシーを比較

以前の記事では、個人情報をクラウドLLMに入力する際に確認すべきポイントとして、入力したデータがモデル改善に利用されるか、どのように保存されるか、人が内容を確認する可能性があるか、他の事業者が処理に関わるかという4つの観点を整理しました。

この章では、ChatGPT、Claude、Gemini、Copilotについて、実際にどのようなデータ取り扱いが定められているのかを確認します。また、同じサービスでも個人向けと法人向けで条件が異なる場合や、CodexやClaude Codeのような関連機能で追加の確認が必要になる場合についても見ていきます。

その前に、各サービスのポリシーで頻繁に登場する「モデル改善への利用」について整理しておきましょう。あわせて、CodexやClaude Code、Gemini Code Assistなどのコーディング支援機能では、プロンプトに直接入力した内容以外のコードやファイルも処理対象になる場合があるため、こうした機能を利用する際に確認しておきたい点についても説明します。

モデル改善への利用とは

生成AIサービスでは、ユーザーが入力したプロンプトやそれに対して生成された回答などを、今後のモデルやサービスの改善に利用する場合があります。回答精度の向上、安全性の改善、モデルの評価などが主な用途です。

個人向けの生成AIサービスでは、こうしたモデル改善への利用をユーザー側で選択できる場合があります。モデル改善への利用が有効になっていると、チャットや関連するデータがモデルの学習や評価などに利用される可能性があります。

一方、モデル改善への利用を希望しないユーザー向けに、オプトアウトの仕組みを用意しているサービスもあります。オプトアウトとは、自分の利用データをモデル改善に使わないよう設定することです。

モデル改善への利用をオフにしても、入力したデータに関する処理がすべてなくなるわけではありません。サービスの提供、不正利用の防止、安全性の確認などを目的として一定期間保存される場合や、必要に応じて人が内容を確認する場合があります。また、サービス提供のために他の事業者がデータ処理に関わる場合もあります。

そのため、クラウドLLMのデータポリシーを見る際には、モデル改善に利用されるかどうかに加えて、データの保存、人的な閲覧、他事業者による処理についても確認する必要があります。

コーディング支援ではプロンプト以外の情報も処理される

CodexやClaude Code、Gemini Code Assist、GitHub Copilotなどのコーディング支援機能では、ユーザーがプロンプト欄に入力した文章だけが処理対象になるとは限りません。

たとえば「このコードのエラーを修正して」と指示した場合、AIがその内容を理解するためには、現在編集中のコードや関連するファイルを確認する必要があります。そのため、利用するサービスや設定によっては、リポジトリ内のファイルやIDE（統合開発環境：コードの作成や編集、実行などを行うための開発環境を指す）で開いているコードなどが、回答生成やコード修正に必要な情報として処理されることがあります。

つまり、利用者が個人情報や機密情報をプロンプトへ直接貼り付けていなくても、AIがアクセスできるファイルの中にそうした情報が含まれていれば、外部サービス側で処理される可能性があります。

企業でコーディング支援機能を利用する場合は、プロンプトに何を入力してよいかだけでなく、AIがどのファイルやリポジトリまで参照できるのかについても確認することが重要です。

では、実際にChatGPT、Claude、Gemini、Copilotの4つのサービスについて、データの取り扱いを確認していきます。

ChatGPT / OpenAI

ChatGPTでは、個人向けのFree、Go、Plus、Proなどと、BusinessやEnterpriseなどの法人向けサービスで、入力データの取り扱いが異なります。また、同じOpenAIが提供するCodexについても、基本的なデータ設定はChatGPTと共通する一方、一部にCodex固有の設定があります。

個人向けChatGPT

個人向けChatGPTでは、ユーザーが入力したプロンプトやChatGPTからの回答などが、モデルの改善に利用される場合があります。モデル改善への利用は設定からオフにでき、オフにした後の新しい会話はモデルの学習には使用されません。会話履歴を残したまま、モデル改善への利用だけを停止することも可能です。

また、Temporary Chatを利用した場合、その会話は履歴に表示されず、Memoryにも利用されず、モデルの学習にも使用されません。ただし、Temporary Chatだからといってデータが即座に削除されるわけではなく、OpenAIのシステムから削除されるまで最大30日間保持されます。

モデル改善への利用をオフにしても、人による閲覧やデータ処理がすべてなくなるわけではありません。OpenAIでは、不正利用やセキュリティ上の問題の調査、ユーザーサポート、法的対応など、必要な場合に限って権限を持つ担当者や委託先がユーザーのコンテンツを確認する場合があります。

サービス提供には外部の事業者も関わります。OpenAIは、サービス提供を支援する信頼された事業者へ必要な範囲でデータを共有する場合があるとしており、法人向けの顧客データを処理するサブプロセッサについては一覧を公開しています。

法人向けChatGPT・API

ChatGPT Business、Enterprise、APIでは、入力と出力をデフォルトでOpenAIのモデル学習に利用しません。ユーザー側が明示的にデータ提供へ同意した場合などを除き、業務データをモデル改善に使わないことがOpenAIの法人向けデータポリシーとして示されています。

データの保持についても、法人向けには組織向けの管理機能が提供されています。対象となる組織では保持期間を設定できます。

APIでは通常、不正利用の検知や利用ポリシーの適用を目的としたログが生成されます。このログには、APIに送信したプロンプトや生成された回答などが含まれる場合があり、通常は最大30日間保持されます。

一方、条件を満たす組織向けにはZero Data Retentionが用意されています。対応するAPIでは、プロンプトや回答などの顧客データを不正利用監視ログに残さないようにできます。ただし、すべてのAPI機能が対象となるわけではなく、一部の機能では処理を実現するために別途データが保存される場合があります。

法人向けサービスでもOpenAIだけで全処理を行っているわけではなく、クラウドインフラやサポートなどを担うサブプロセッサが顧客データを処理する場合があります。OpenAIは対象となる事業者と処理内容を一覧として公開しています。

Codexでは何が変わる？

Codexを個人向けChatGPTのアカウントで利用する場合、ChatGPTのモデル学習に関するデータ設定がCodexにも適用されます。たとえばChatGPT側でモデル改善への利用をオフにしていれば、Codexで処理された通常のコンテンツについても、その設定が反映されます。

ただし、CodexにはChatGPTとは別に管理するモデル改善の設定項目もあります。この設定はCodex側で管理されており、ChatGPTの設定画面やPrivacy Portalでモデル改善への利用を変更しても、自動的には変更されません。

このように、同じOpenAIのサービスであっても、ChatGPTの設定だけを確認すればすべての機能について確認が完了するとは限りません。利用する機能ごとに追加のデータ設定がないかを確認する必要があります。

Claude / Anthropic

Claudeでは、個人向けのFree、Pro、Maxと、Claude for WorkやAnthropic APIなどの法人向けサービスで、入力データの取り扱いが異なります。Claude Codeについても独立した一律のポリシーが適用されるわけではなく、利用するアカウントや契約によって扱いが変わります。

個人向けClaude

Claude Free、Pro、Maxでは、ユーザーがモデル改善への利用を許可している場合、チャットの内容などがモデルの改善に利用される場合があります。また、安全性に関する仕組みによってレビュー対象となった会話については、安全対策の改善などに利用される場合があります。

ClaudeにはIncognito Chatと呼ばれる一時的なチャット機能も用意されています。Incognito Chatで行った会話はモデル改善には利用されず、通常のチャット履歴やMemoryにも残りません。ただし、データがすぐに削除されるわけではなく、デフォルトでは30日間保持されます。

また、Claudeの提供にはクラウドインフラなどを担うサブプロセッサも関わっており、Anthropic以外の事業者が必要な範囲でデータ処理を行う場合があります。

法人向けClaude

Claude for WorkやAnthropic APIでは、顧客の入力と出力をデフォルトでモデル学習に利用しません。ただし、ユーザーが明示的にフィードバックを送信した場合や、モデル改善への利用を明示的に許可した場合などは例外となります。

データの保持については利用形態によって違いがあります。Anthropic APIでは、入力と出力は原則として30日以内にバックエンドから削除されます。一方、Claude for Workでは、過去の会話を継続して利用できるようにデータが保持されます。法人向けであっても、必ず30日で全データが削除されるわけではないため、利用しているサービスごとに保持条件を確認する必要があります。

法人向けサービスでも、クラウドインフラなどのサブプロセッサがデータ処理に関わる場合があります。そのため、モデル学習への利用だけでなく、どの事業者がどのような目的でデータを処理するのかについても確認が必要です。

Claude Codeでは何が変わる？

Claude Codeでは、利用しているアカウントや契約に応じたデータポリシーが適用されます。たとえばFree、Pro、MaxのアカウントでClaude Codeを利用する場合は個人向けのデータポリシーが適用され、Claude for WorkやAnthropic APIを通じて利用する場合は法人向けの扱いになります。

そのため、Claude Codeという機能名だけを見てデータの取り扱いを判断するのではなく、どのアカウントや契約を通じて利用しているのかまで確認することが重要です。

Gemini / Google

Geminiでは、個人のGoogleアカウントで利用する場合と、Google Workspaceを通じて組織で利用する場合でデータの取り扱いが異なります。

個人向けGemini

個人向けGeminiでは、アクティビティに関する設定などに応じて、チャットや共有したコンテンツがGoogleの生成AIモデルやサービスの改善に利用される場合があります。ユーザー側で設定を変更し、モデル改善への利用を制限することもできます。

また、一部のチャットは品質や安全性の向上を目的として、人間によるレビューの対象になる場合があります。アクティビティの保存をオフにした場合でも、サービスの提供や安全性の確保などを目的として、チャットが72時間保持される場合があります。人間によるレビューが行われたデータについては、アクティビティを削除した後も最長3年間保持される場合があります。

Geminiのサービス提供には、Google以外のサービスプロバイダが関わる場合もあります。そのため、モデル改善への利用を停止しただけで、データの保存や人的な確認、他の事業者による処理まですべて停止するわけではありません。

法人向けGemini

Google WorkspaceでGeminiを利用する場合、Geminiがコアサービスとして提供され、エンタープライズ級のデータ保護が適用されている環境では、入力したデータは組織外の生成AIモデルの学習に利用されません。また、人間によるレビューにも利用されないとされています。

会話履歴については、Workspace管理者が保持期間などを管理できます。さらに、既存のGoogle Workspaceで設定されているアクセス権限や情報管理の仕組みもGeminiの利用に関係します。たとえば、ユーザーがGoogle Drive上の特定のファイルにアクセスする権限を持っていない場合、Geminiを通じてそのファイルの内容を参照できるようになるわけではありません。また、管理者やファイルの所有者が設定したアクセス制限によって、Geminiが回答生成に利用できるWorkspace上の情報も制限されます。

ただし、仕事用のGoogleアカウントでログインしていれば、必ず同じ条件が適用されるとは限りません。Workspaceの契約内容などによってGeminiが追加サービスとして提供される場合があり、その場合には適用される規約やデータ保護の条件が異なることがあります。そのため、企業では仕事用アカウントかどうかだけではなく、Geminiがどのようなサービスとして提供されているかまで確認する必要があります。

法人向けの場合でも、Google WorkspaceやGoogle Cloudの提供に必要なサブプロセッサがデータ処理に関わる場合があります。

Gemini Code Assistでは何が変わる？

Gemini Code Assistは、IDE上でコードの生成や修正を支援するサービスです。企業向けのStandardやEnterpriseでは、顧客のプロンプトや回答をモデル学習には利用しないとされています。

また、Gemini Code Assist StandardとEnterpriseでは、プロンプトと回答はGoogle Cloudに標準では保存されません。必要な場合には、企業側でCloud Loggingを設定し、利用状況を記録することもできます。

Antigravityでは何が変わる？

Antigravityは、Googleが2025年に新たに提供を開始したエージェント型の開発プラットフォームです。コードの補完だけでなく、コードの調査や複数ファイルの編集、テストなどをAIエージェントに任せることができます。Googleではその後、個人向けGemini Code AssistやGemini CLIの一部をAntigravityへ移行するなど、開発者向けAIサービスの統合も進めています。

このようなエージェント型のサービスでは、従来のチャット型AIよりもAIが扱う情報や実行できる操作の範囲が広がります。また、Googleの開発者向けAIサービスではサービス体系の変更も進んでいます。

企業向けにGoogle Cloudの環境からAntigravityを利用する場合には、Google Cloudの企業向けデータ保護や利用規約が適用される形も用意されています。

新しいサービスの追加や既存サービスの提供形態の変更によって、確認すべきデータポリシーや利用条件が変わる可能性があります。クラウドLLMの利用では、導入時の確認だけでなく、その後のサービス変更を継続して確認することも重要です。

Copilot / Microsoft

MicrosoftのCopilotも、個人向けMicrosoft Copilotと企業向けのMicrosoft 365 Copilotでデータの取り扱いが異なります。また、GitHub CopilotはMicrosoft 365 Copilotとは別のサービスであり、独自のデータポリシーを確認する必要があります。

個人向けMicrosoft Copilot

個人向けMicrosoft Copilotでは、ユーザーの会話などがモデル改善に利用される場合があります。モデル改善への利用はユーザー側でオプトアウトすることが可能です。

会話履歴はデフォルトで18か月保存されます。モデル改善への利用をオフにした場合でも、サービスの提供や安全性の確保などに必要なデータ処理までなくなるわけではありません。

また、一部の会話は製品改善や安全性の確保を目的として、人によるレビューの対象になる場合があります。利用規約への違反が疑われる場合などには、モデル改善への利用をオフにしていても人による確認が行われる可能性があります。

さらに、安全性の評価や改善のため、Microsoftが外部の研究機関と連携し、会話ログのレビューや評価を行う場合もあります。

法人向けMicrosoft 365 Copilot

Microsoft 365 CopilotやCopilot Chatでは、Enterprise Data Protectionが適用され、プロンプトや回答などは基盤モデルの学習には利用されません。

一方、プロンプトや回答が一切保存されないわけではありません。利用履歴は組織の管理対象となり、Microsoft 365の仕組みを通じて保持期間などを管理できます。

また、Microsoft 365 Copilotでは、企業ですでに利用しているMicrosoft 365のアクセス権限や情報管理の仕組みがそのまま利用されます。既存のアクセス権限や秘密度ラベル、保持ポリシー、管理者設定などがCopilotの利用にも反映されます。

たとえば、ある社員に特定のファイルを閲覧する権限がなければ、Copilotを利用してもそのファイルへ新たにアクセスできるようになるわけではありません。既存のMicrosoft 365上の権限を前提として、Copilotが参照できる情報も制限されます。

利用する機能によっては、Web検索や外部モデルなど別のサービスが処理に関わる場合があります。企業側ではMicrosoft 365 Copilot本体のポリシーだけでなく、追加で利用する機能によってデータの処理先が変わらないかも確認する必要があります。

GitHub Copilotでは何が変わる？

GitHub Copilotでは、IndividualのFree、Pro、Pro+などと、BusinessやEnterpriseでデータの取り扱いが異なります。個人向けでは、入力や出力、コードなどがモデル改善に利用される場合があり、ユーザー側でオプトアウトできます。一方、BusinessやEnterpriseの顧客データはモデル学習には利用されません。

さらに、同じBusinessやEnterpriseであっても、Copilotをどこから利用するかによってデータ保持の条件が異なります。IDE上のChatやコード補完を利用した場合にはプロンプトや提案を保持しない一方、GitHub.comやCLIなど別の方法で利用した場合には、プロンプトや提案が原則28日間保持されます。

このように、同じサービス、同じ法人向け契約であっても、利用方法によってデータの保持条件が変わる場合があります。企業で利用ルールを決める際には、サービスや契約だけでなく、どの機能をどの方法で利用するのかまで確認する必要があります。

企業がクラウドLLMを利用する際に確認・管理すべきこと

ここまで各サービスのポリシーを確認すると、クラウドLLMのデータ取り扱いは、サービス名だけでは判断できないことが分かります。同じ提供会社のサービスでも、個人向けか法人向けかによって条件が異なり、さらに利用する機能やアクセス方法によって保存期間や設定が変わる場合もあります。

そのため、企業でクラウドLLMを利用する際には、まず利用を認めるサービスと契約形態を明確にする必要があります。たとえば、個人向けアカウントでの業務利用を認めるのか、法人向けプランに限定するのかを決めたうえで、CodexやClaude Code、Gemini Code Assist、GitHub Copilotなど、どの機能まで利用を許可するのかを整理します。

あわせて、入力してよい情報の範囲をあらかじめ決めておくことも重要です。法人向けサービスでは入力データをモデル学習に利用しない場合が多いものの、それだけでどのような情報でも入力できるとは限りません。データの保存、人的な確認、サブプロセッサによる処理なども踏まえ、個人情報や顧客情報、機密情報などをどこまで入力できるのかを社内ルールとして定める必要があります。

また、こうした確認は導入時に一度行えば終わりではありません。クラウドLLMでは、利用規約やデータポリシーが更新されるだけでなく、新しい機能が追加されたり、既存サービスの提供形態が変更されたりすることがあります。実際に、同じサービスでも利用するプランや機能によって適用される条件が異なるため、自社が利用しているサービスの範囲を把握し、変更があった際には利用ルールや設定を見直す必要があります。

このように、クラウドLLMを企業で利用するには、どのサービスを利用するかだけではなく、契約、アカウント、機能、設定、入力する情報まで含めて管理することが求められます。利用するサービスや機能が増えるほど確認対象も増えるため、こうした継続的な管理もクラウドLLMを運用するうえで必要になる負担の一つと考えられます。

ローカルLLMで減らせる管理負担

ここまで見てきたように、クラウドLLMを企業で利用する場合は、サービスごとのデータポリシーだけでなく、契約プラン、利用機能、設定、データの保存条件なども確認する必要があります。さらに、利用するサービスや機能が増えるほど、確認しなければならない対象も増えていきます。

こうした管理負担を減らす方法の一つが、ローカルLLMの活用です。ローカルLLMでは、自社が管理する環境内でモデルを動かすため、プロンプトや業務データを外部のLLM事業者へ送信せずに処理できます。

そのため、外部事業者が入力データをモデル改善に利用するか、どの程度保存するか、人による確認が行われる可能性があるかといった項目について、クラウドサービスごとに確認する必要性を減らせます。また、外部サービスの規約変更や新機能の追加によってデータの取り扱いが変わっていないかを継続して確認する負担も抑えやすくなります。

特に、複数のクラウドLLMやコーディング支援サービスを業務で利用する場合、それぞれの契約や設定、ポリシーを個別に管理する必要があります。ローカルLLMに適した業務を自社環境へ移すことで、こうした外部サービスへの依存を減らし、情報管理の対象を自社環境側に寄せることができます。

ただし、ローカルLLMであれば情報管理が不要になるわけではありません。自社環境へのアクセス制御、サーバーやネットワークのセキュリティ、ログの保存や削除、利用者が入力できる情報の範囲などは、自社で管理する必要があります。

つまり、ローカルLLMのメリットは管理をなくすことではなく、外部サービスごとに発生する確認や変更対応を減らし、管理対象を自社環境に集約しやすくする点にあります。クラウドLLMの利用料金だけでなく、規約確認や社内ルールの更新といった運用上の負担まで含めて考えると、ローカルLLMは管理コストを抑える選択肢の一つになります。

まとめ

本記事では、ChatGPT、Claude、Gemini、Copilotを対象に、入力したデータがモデル改善に利用されるか、どのように保存されるか、人が内容を確認する可能性があるかといった観点から、各サービスのポリシーを整理しました。

確認していくと、同じクラウドLLMでも個人向けと法人向けで条件が異なり、さらに利用する機能や契約、アクセス方法によってデータの取り扱いが変わる場合があることが分かります。そのため、企業でクラウドLLMを利用する際には、サービスを選ぶだけでなく、利用するプランや機能、入力可能な情報の範囲を決め、規約やサービス内容の変更にも継続して対応する必要があります。

一方、ローカルLLMでは、自社が管理する環境内で処理を完結させることで、外部サービスのデータポリシーや設定に依存する範囲を減らすことができます。情報管理そのものが不要になるわけではありませんが、外部サービスごとに発生する確認や変更対応を減らし、管理対象を自社環境側に寄せやすくなります。

クラウドLLMには、高性能なモデルや多様な機能をすぐに利用できるメリットがあります。ローカルLLMにも、データを外部へ送らずに処理できることに加え、外部サービスに依存した管理負担を減らせるメリットがあります。それぞれの特徴を理解し、扱う情報や業務に応じてクラウドとローカルを使い分けることが重要です。

※本記事の内容は2026年8月19日時点の各社の公開情報をもとに整理しています。サービスの機能やプラン、データの取り扱いに関するポリシーは変更される可能性があるため、実際に導入・利用する際は各社の最新の公式情報をご確認ください。