保持期間・保持方針 Policy for AI Conversations／Artifacts

AIの保持方針は、会話、添付ファイル、検索用データ、ツール実行記録、評価物などについて、何の目的で、どこに、いつまで保存し、いつ利用を止め、どの証拠で削除を確認するかを定めるものである。「会話を削除する」操作だけでは、会話から派生した要約や検索インデックス、外部サービスの記録、バックアップまで同時に消えるとは限らない。保存期間の設定、利用停止、実体の消去、消去の確認を区別して管理する。

本稿は技術・運用設計を扱う。特定の法域や契約で何日保存すべきかは決定しない。監査や紛争対応のための保全、機密情報の最小保持、業務の再現性は衝突する場合がある。責任者が対象データと目的を区分し、保全例外と解除条件を決め、その判断をシステムへ実装する必要がある。

各対象へ、所有者、分類、作成時刻、保持期間を数え始めるイベント、失効時刻、保全状態、削除方式、派生先の識別子を付ける。起算点を「作成」「会話終了」「最終更新」のどれにするかで、同じ30日でも結果は変わる。更新のたびに期限を延ばす構成では、頻繁に参照される会話が永久に残ることもあるため、絶対期限と無操作期限を分けて検討する。

入力時に必要なものだけ取得し、機微な内容をデバッグログへ無差別に複写しない。保存先ごとの設定を台帳化し、設定可能な期間・削除API・権限・契約面を確認する。アプリの削除ボタンから、どの保存先へ削除が伝わるかを追えるようにする。

削除処理は、受付、利用停止、派生物への伝播、保存先別の処理、再取得確認、完了または例外という状態を持たせる設計が考えられる。部分的な失敗は再実行可能にし、同一の削除要求IDで対象と結果を追跡する。APIが成功を返したこと、検索結果に出ないこと、すべてのコピーが物理消去されたことは異なる証拠である。保存先が保証しない範囲を、アプリだけで完了扱いにしない。

保全対象には、通常削除からの除外理由、対象範囲、承認者、期限または見直し日を付ける。例外が解除された後に通常の期限判定へ戻れるようにする。保全を理由にアクセス権を拡大する必要はない。本文を保管する必要と、日常のAI検索で参照可能にしておく必要は分ける。

既存のSource Explorer記録EV-XPL-20261019-R417-01は、xAI Responsesの保存・取得・削除機能を、組織の保持保証や下流の削除保証から区別していた。本稿では現行一次資料も再確認した。

xAIのGenerate Text資料は、保存したResponsesをIDで取得・継続できる期間を30日と説明し、store:falseで会話状態のサーバー保存を無効にできること、保存済み応答の削除操作を示す。[S1] 一方Security FAQは、既定のAPI入出力の監査目的の30日保持と、チーム単位のZero Data Retention（ZDR）を別に説明する。[S2] したがってstore:falseだけから、監査用保持を含む全記録がゼロになると推定しない。

FAQによればZDRは保存を前提とする機能へ制約を及ぼし、適用確認にはチーム設定や応答ヘッダー等がある。また個別のEnterprise契約が保持を別に定める場合もある。[S2] これらは確認日の製品固有の仕様であり、他Providerや消費者向けチャットへ一般化しない。アプリ側の履歴、転送先、監視ログは自社の管理対象として残る。

会話を削除しても、その要約を長期メモリが保持し、後日回答へ混入する場合がある。原文IDと派生物の関係を持ち、対象者・原文・利用目的ごとに検索対象から外し、派生先も処理する。逆に原文IDを一律削除するだけでは、同じ事実が別の許可された情報源にもある場合の扱いを決められない。削除の単位と根拠を明示する。

オブジェクト保存先でも、TTLやLifecycleの設定だけで即時の全版消去を保証できない。Amazon S3の資料では、版管理のあるバケットで現在版の失効と過去版の削除を区別し、過去版には別のExpirationアクションがある。削除処理には非同期処理やObject Lock等の条件もある。[S3] 「キーが見えないから全コピー消去済み」と判断せず、版・レプリカ・保全条件と保存先が提供する証拠を確認する。

バックアップから復元する場合、過去時点のデータには後日の削除要求が反映されていないことがある。アクセスを再開する前に、現在の削除・失効記録を再適用し、索引やキャッシュを再生成する設計が必要になる。削除記録自体に本文を残すと最小化に反するため、必要な識別子と実行結果へ限定する。

極端に短い保持は、障害分析や誤操作の追跡、継続中の作業の再開を困難にする。反対に、全会話を長期保存しても、誰がどの版のツールを実行したかが残らなければ監査に有効とは限らない。本文、実行識別子、承認、ハッシュ、集計値を分け、業務目的に必要な証拠を必要な期間だけ保持する。

暗号化されていることと削除済みであることも異なる。鍵廃棄を消去手段に使うなら、鍵の複製、共有範囲、復元可能性と、保存先・契約上の扱いを確認する。暗号化という設定名だけで削除義務の充足や匿名化を主張しない。

受入れでは、模擬会話を作り、添付、要約、検索索引、キャッシュ、外部応答IDへ追跡し、期限到来・手動削除・保全解除・復元後の各経路を調べる。未処理件数、最古の削除待ち、失敗保存先、例外の見直し期限を監視する。

• 対象組織の法域・契約・保全義務・保存先・バックアップ方式は未取得。共通の日数は定めていない。
• 実環境での削除伝播、ZDR適用、期限到来、保全、復元後再削除の試験はNOT_RUN。製品仕様の記述と実装完了は別である。
• GX02の旧記録は制御面と保持窓の対応付けであり、そこにある他製品の数値を現在の仕様として再使用していない。

「保存先と派生先ごとに保持・利用停止・削除・確認の条件を定め、実行証拠を残す」。一方、「学習に使われないので保存もされない」「応答を消したので全派生物も消えた」「30日なら全製品・全契約で適合」とはしない。

一次資料確認日: 2026-10-20。保持表・状態設計・試験例は本稿の設計提案。

• [S1] xAI Generate Text: https://docs.x.ai/developers/model-capabilities/text/generate-text （保存期間、store、取得・削除）
• [S2] xAI Security FAQ: https://docs.x.ai/developers/faq/security （監査保持とZDRの区別・適用境界）
• [S3] Amazon S3 Expiring objects: https://docs.aws.amazon.com/AmazonS3/latest/userguide/lifecycle-expire-general-considerations.html （現在版・過去版・非同期削除の境界）
• 既存採集: 統合台帳SOURCE_CLAIM_INDEX!2652、SOURCE_EA_RELATION!2910、EV-XPL-20261019-R417-01／SRC-EVID-000170。Provider保持日数の旧UNKNOWNは今回の資料記載範囲で補い、契約・下流削除のUNKNOWNは維持。
• 歴史的所在記録: https://docs.google.com/document/d/1Vd0BP7G2UyPDRQs_-8dPvTgQ78Tk6kcVGuMJjqNdr84/edit 、tab=t.0:21984–23383。GX02対応付け: Doc 1hA1wPtwaXY571O5OXHlFZctxyiOemdS2R_irQydfsdo、t.0:9146–9430。完成先行本文は確認できず、旧成果を復元したとは主張しない。