「監査部門から、ChatGPTの利用記録を出せるかと聞かれた」「情報漏洩が疑われたとき、誰が何を入力したかを追えるのか」。ChatGPTを全社で使い始めると、この「記録」の問題が必ず出てきます。
結論から言えば、ChatGPTで利用者の会話の記録を会社として取り出せるのは、Enterprise（とEdu）だけです。Enterpriseには「コンプライアンスAPI」と「コンプライアンスログの基盤」があり、会話、アップロードしたファイル、メモリー、利用者の情報などを、タイムスタンプ付きで取り出せます。管理者の操作や認証の記録も監査ログとして出せます。一方、Businessでは、公式ヘルプによれば管理者は既定で社員の私的な会話を見られず、セルフサービスのデータ出力も提供されていません。Enterpriseのようなコンプライアンス用のAPIやログの基盤も、Businessには用意されていません。「記録を保全する要件があるか」が、BusinessとEnterpriseを分ける最大の分岐点です。
この記事では、ChatGPTコンサル編集部が、プランごとの記録の範囲、コンプライアンスAPIで取り出せる内容、監査ログの種類、有効化の手順と権限、連携できる製品、保持期間との関係、内部監査で使うときの整理までを解説します。
⚠️ 機能は更新されることがあります。本記事は2026年9月27日時点の情報です。最新の内容は公式ヘルプ「OpenAI Compliance Platform」でご確認ください。
プランごとの「記録」の範囲
最初に、プランごとに会社が何を見られるかを整理します。
| 項目 | 個人向け（無料版、Go、Plus、Pro） | Business | Enterprise |
|---|---|---|---|
| 会社が会話を取り出す | できません | できません | コンプライアンスAPIで可能です |
| 管理者が社員の会話を見る | 該当しません | 既定で見られません | 権限を持つオーナーが、APIを通じて取得できます |
| 管理者の操作の記録 | 該当しません | 公式には案内されていません | 監査ログとして出せます |
| 利用状況の分析 | 該当しません | ワークスペース分析があります（メンバー別の利用状況を含みます） | 分析ダッシュボードとCSVの出力があります |
| データの保持期間の設定 | 個人が削除します | 公式ヘルプに設定の案内はありません | オーナーがカスタムの保持期間を設定できます |
公式FAQによれば、Businessでは管理者とオーナーは既定で社員の私的な会話を見られません（OpenAIのEnterprise Privacyのページには管理者が会話を閲覧・出力できるという古い記述も残っており、本記事は公式ヘルプの記述に基づいています）。これは社員のプライバシーの面では利点ですが、監査の面では「会社として記録を持っていない」ことを意味します。内部監査や訴訟対応で記録が必要になる可能性があるなら、Enterpriseが前提になります。
💬 さとしさん（編集長）
Businessは「管理者にも見えない」設計です。安心材料でもあり、監査では弱点でもある。ここを理解した上で選んでくださいね！
コンプライアンスAPIで取り出せるもの
OpenAIは2024年7月に、Enterprise向けのコンプライアンスAPIを発表しました。公式の発表によれば、取り出せるのはタイムスタンプ付きのやり取りで、会話、アップロードしたファイル、ワークスペースのGPTの設定とメタデータ、メモリー、ワークスペースの利用者が含まれます。
現在のコンプライアンス基盤は、公式ヘルプによれば次の2つの形で提供されています。
- コンプライアンスログの基盤（Compliance Logs Platform）：変更できない追記型のイベントのログです。会話のメッセージ、認証の記録、管理者の操作の記録などが、種類ごとに取り出せます
- 状態を問い合わせるコンプライアンスAPI（Stateful Compliance API）：問い合わせた時点の状態（現在のワークスペースの利用者、会話の内容など）を取り出します
会話のメッセージを取り出す権限は、公式ヘルプによれば、ワークスペースのオーナーだけが付与できます。管理者であっても、オーナーが権限を与えなければ会話は取り出せません。この設計は、社内で「誰が会話を見られるのか」を決めるときの根拠になります。
技術的には、ワークスペースの範囲で発行した管理者キー（Admin key）を使い、api.chatgpt.com のエンドポイントからカーソル方式でログを取得します。イベントの種類で絞り込みができ、時刻の範囲を指定して差分を取る運用が想定されています。
監査ログの種類
コンプライアンスの基盤で取り出せる記録は、会話だけではありません。公式の発表によれば、次の3つの監査ログが追加されています。
- 管理者の操作の記録（Admin Audit）：ワークスペースの設定やポリシーの変更が、誰によっていつ行われたかの記録です
- 認証の記録（User Authentication）：ログインなどの認証に関する記録です
- Codexの利用の記録（Codex Usage）：開発向け機能の利用の記録です
これらは変更できない、時間の枠で区切られたJSONL形式のファイルとして出力されます。SIEM（ログの統合管理の仕組み）に取り込む前提の形式で、情シスが既存の監視の仕組みに組み込めます。
内部監査の観点では、「会話の中身」より先に「管理者が何を変えたか」の記録が求められることが多いです。たとえば、Codexのポリシーや設定の変更は監査ログに記録されると公式に案内されています。ほかの設定の変更がどこまで対象になるかは、公式の一覧で確かめてください。
有効化の手順と権限
コンプライアンスAPIを使う手順は、公式ヘルプによれば次のとおりです。
- ワークスペースのオーナーか管理者が、管理コンソール（
admin.openai.com）でワークスペースの範囲の管理者キーを作成します - 会話のメッセージを取り出す場合は、オーナーがそのキーに「会話のメッセージ」の権限を付与します
- 情シスか監査部門が、そのキーを使ってログを取得する仕組みを作るか、連携製品に設定します
管理者キーは強い権限を持つため、発行と保管は情シスの厳格な管理下に置きます。誰がいつ発行し、どこに保管され、いつ失効させるかを、社内の規程で決めておいてください。キー自体の発行や変更が管理者の操作の記録に含まれるかは、公式の一覧で確かめてください。
連携できる製品
自社でAPIを叩く仕組みを作らなくても、既存のセキュリティ製品やコンプライアンス製品と連携できます。公式ヘルプが挙げている連携先には、Microsoft Purview、Netskope、Palo Alto Networks、Zscaler、CrowdStrike、Varonis、Forcepoint、Global Relay、Smarsh、Relativity、Theta Lakeなどがあります。
すでにこれらの製品でメールやチャットの記録を保全している会社なら、ChatGPTの記録も同じ基盤に集約できます。監査部門にとっては、「ChatGPTだけ別の場所に記録がある」状態を避けられる点が大きな利点です。
💬 あやさん（副編集長）
自社で仕組みを作るより、いま使っているPurviewやNetskopeに乗せるほうが早いことが多いです。情シスに「対応製品の一覧」を見せてみてくださいね！
保持期間との関係
記録の保全を考えるとき、2つの保持期間を分けて理解する必要があります。
- ワークスペースのデータの保持期間：Enterpriseでは、会話などのデータをいつまで保持するかをカスタムで設定できます。無期限にも、一定の期間で削除する形にもできます
- コンプライアンスログの基盤の保持期間：公式ヘルプによれば30日です。長期の保全が必要なら、30日以内に自社の基盤や連携製品に取り込む必要があります
つまり「ログの基盤に残っているから安心」ではありません。監査で数年分の記録が必要なら、定期的に取り出して自社側で保管する運用が必須です。連携製品を使う場合は、製品側の保持期間を確かめてください。
また、利用者がワークスペースから外れた場合、公式ヘルプによれば、その利用者の会話とファイルはワークスペースの保持期間の設定に従って扱われます。プロジェクトやGPTの中の会話も、保持期間の方針に沿って削除の対象になります。退職者の記録を保全する要件があるなら、保持期間が切れる前に取り出す設計にしてください。
利用状況の分析
監査ログとは別に、Enterpriseには利用状況の分析ダッシュボードがあります。公式ヘルプによれば、アクティブな利用者数、メッセージの総数、ツールの利用、プロジェクトの利用の推移などを見られ、利用者ごとのレポートをCSVで出力できます。期間は最大12か月で、データは1〜24時間ごとに更新されます。
これは「誰が何を入力したか」ではなく「どれだけ使われているか」の記録です。導入の効果を経営に報告する場面や、使われていない部署を見つけて研修を当てる場面で使います。
内部監査で使うための整理
内部監査や法務から記録について聞かれたときは、次の4つに分けて答えると整理できます。
- 何を記録できるか：Enterpriseでは会話、ファイル、メモリー、利用者、管理者の操作、認証の記録が取り出せます。Businessでは会社として会話を取り出せません
- 誰が見られるか：会話の取得の権限はオーナーだけが付与できます。誰に付与するかは社内で決めます
- どこに保管するか：ログの基盤は30日のため、自社の基盤か連携製品に取り込んで保管します
- どう使うか：日常の監視ではなく、規程違反の疑いや法的な要請があったときに参照する、という使い方を規程で定めます
4つ目は、社員との信頼の問題です。会話の記録を会社が取り出せることは、就業規則や利用規程で社員に明示しておく必要があります。「見られる可能性がある」と知らされていない状態で記録を使うことは、法的にも感情的にも問題を生みます。
よくある質問（FAQ）
Q. Businessでも社員の会話を会社として記録できますか？
A. 公式に案内されている手段はありません。公式FAQによれば、Businessでは管理者は既定で社員の私的な会話を見られず、セルフサービスのデータ出力も提供されていません。記録の保全が必要ならEnterpriseが前提です。
Q. コンプライアンスAPIで取り出せるのは会話だけですか？
A. 会話のほか、アップロードしたファイル、GPTの設定、メモリー、利用者の情報が取り出せます。加えて、管理者の操作、認証、Codexの利用の監査ログも出せます。
Q. 誰でも会話を取り出せますか？
A. いいえ。会話のメッセージを取り出す権限は、ワークスペースのオーナーだけが付与できます。管理者でも、オーナーの付与がなければ取り出せません。
Q. ログはずっと残りますか？
A. コンプライアンスログの基盤の保持期間は30日です。長期に保管するなら、自社の基盤や連携製品に取り込む必要があります。
Q. 自社で開発しないと使えませんか？
A. Microsoft Purview、Netskope、Zscalerなどの連携製品を使えば、開発なしで既存の記録の基盤に取り込めます。
まとめ
ChatGPTの監査ログとコンプライアンスAPIについて、要点を5つにまとめます。
- 会社として会話の記録を取り出せるのはEnterprise（とEdu）だけで、Businessでは管理者も既定で会話を見られません
- コンプライアンスAPIでは会話、ファイル、GPTの設定、メモリー、利用者が取り出せ、管理者の操作、認証、Codexの利用の監査ログも出せます
- 会話を取り出す権限はオーナーだけが付与でき、管理者キーの管理が運用の要になります
- ログの基盤の保持期間は30日のため、自社の基盤か連携製品への取り込みが必須です
- 記録を会社が取り出せることは、利用規程で社員に明示しておく必要があります
まずは、監査部門と法務に「ChatGPTの記録を保全する要件があるか」を確かめてみてください。その答えが、BusinessかEnterpriseかを決める最初の判断材料になります。
💬 さとしさん（編集長）
記録の話は、導入してから考えると手戻りが大きいです。監査部門への確認は、プラン選びの前に済ませておきましょう！
生成AIの導入・活用でお困りではありませんか
ChatGPTやClaudeをはじめとした生成AIの活用を、研修とコンサルティングで支援しています。これまでPower BIやDX支援など、30社以上・のべ数千名の支援に携わってきました。「監査や法務の要件を整理してプランを選びたい」「利用規程と記録の運用を設計したい」といったご相談も承っています。まだ情報収集の段階でも構いません。お気軽にお問い合わせください。
