法人向けAIの利用記録はどこまで残る？管理者が確認したい範囲

法人向けAIを選ぶときは、管理画面で見られる情報が、自社で調べたいことに足りるかを確かめます。

私なら、契約前に「どんな問題が起きたとき、何を調べたいか」を先に出します。たとえば、共有範囲が変更されたのか、外部アプリが呼び出されたのか、作成した資料がどこに保存されたのか。知りたいことによって、必要な記録は変わります。

以下は2026年9月13日に確認したOpenAIの公式情報と、会社での運用案です。すべての法人向けAIが同じ機能や保存期間を持つわけではありません。

集計と調査用の記録を分ける

まず、日常の利用状況を見る目的と、問題が起きたときに調査する目的を分けます。機能一覧に「分析」「ログ」と書かれていても、その言葉だけで契約を判断しないようにします。

この表は必要項目の整理例で、どの製品でも取得できるという説明ではありません。実際には、必要な項目が契約プランで取得可能かを一つずつ確認します。

たとえば、全体の利用回数が分かっても、特定の資料が外部へ送られたかは、その数字だけでは判断できません。管理画面を見せてもらうときも、集計の見やすさと調査に使える情報を別に見ます。

管理者が全会話を見られるとは限らない

ChatGPT Businessの公式FAQでは、メンバーはそれぞれの履歴を持ち、管理者やオーナーが既定で全員の非公開チャットを見られるわけではないと説明されています。OpenAI：ChatGPT Business FAQ

一方、ChatGPT EnterpriseとEdu向けには、ワークスペースのログやメタデータを取得するCompliance Platformがあります。利用対象のプランを確認せず、Businessにも同じ仕組みがあるとは扱えません。OpenAI：Compliance Platform

契約を比較するときは、「管理者がいるか」だけでなく、「必要な記録を、どの機能で取得できるか」まで確認します。上位プランという名前だけで決めず、自社で必要な調査ができるかを見ます。

逆に、全会話の取得を目的にしていない会社なら、必要以上の記録を集める構成を前提にする必要もありません。何を守るために何を確認するのかを決め、その目的に合う範囲を選びます。

保存期間の後も調べられるか

OpenAIのCompliance Logs Platformは、データの保持期間を30日と説明しています。それより長く保持したい場合は、継続的にダウンロードして自社の方針に沿って保存する仕組みが必要です。これは同プラットフォームのログの説明で、ChatGPTのあらゆるデータが30日で消えるという意味ではありません。OpenAI：ログの保持期間

ここで確認したいのは、必要な期間と、実際に取り出せる期間が合っているかです。月末に確認する運用を考えているなら、いつの事象まで確認できるかを具体的な日付で考えます。

長く保存するなら、保存先、閲覧権限、削除する時期、取得に失敗したときの通知まで決めます。保存先の管理担当が決まっていなければ、「ログがあるので安心」とは判断できません。

保存期間は、取引先との条件や自社の情報管理方針も含めて担当部門と決めます。特定の日数をすべての会社へ一律に勧めるものではありません。

AIと接続先の両方を見る

AIが外部ツールを操作するなら、AI側の記録だけで仕事の完了まで追えるかを確認します。AIが操作を依頼したか、接続先で結果が保存されたかを、それぞれ確認します。

たとえば、AIが社内の案件管理へ登録する構成なら、AI側の実行記録と、案件管理側に作成されたレコードを結び付けられるかを試します。途中で失敗した場合、再実行してよいかを判断できる情報が必要です。

テスト用の案件を一件だけ作り、操作した時刻と登録先を控えます。そのあと、担当者が記録から同じ案件を見つけられるかを確認します。さらに、失敗させても問題のない環境で、失敗時に何が残るかを見ます。

記録だけでは分からない部分があれば、何が分からないかを書き残します。取得していない内容を後から推測で埋めないことも、調査の手順に入れます。

誰が何のために見るかを決める

記録には業務情報が含まれることも考えられるため、閲覧範囲を決めます。日常の利用状況を見る担当と、個別の事象を調査する担当を同じ権限にする必要があるかを検討します。

運用開始前には、確認の目的、対象となる記録、閲覧できる担当、保存期間を社内へ説明する方法も整えます。監査機能の導入だけで、社内の情報管理や関係者への説明が完了するわけではありません。

また、「月に一回見る」と決めるだけでなく、何があれば対応するのかを決めます。見慣れない接続の追加、設定変更、処理の失敗など、自社で確認したい事象ごとに対応する担当を決めます。

通知は、担当者が異常かどうかを判断し、対応できる内容に整理します。確認しても動けない通知を増やすと、担当者の確認作業ばかりが増えるためです。

契約前に一件を追ってみる

最後は説明資料だけでなく、自社が確認したい一件を追えるかで判断します。利用者を特定できるか、操作の対象が分かるか、必要な期間の記録を取り出せるか。その確認を、導入担当だけでなく実際の調査担当と行います。

機能がないなら、別の記録方法で足りるのか、対象業務を絞るのか、契約を見直すのかを決めます。「法人向けだから残っているはず」ではなく、必要なときに必要な担当者が調べられる状態までを、導入条件にするのがよいと思います。