OpenAI Dotsのプライバシー公約、これまでで最も厳しい試練に直面
OpenAIは、中心的な矛盾を抱えながら常時稼働するエージェントとしてDotsを発表した。OpenAI Dotsのプライバシー保護には、製品がユーザーの生活をより深く理解することが求められる。
dotは接続されたアプリを監視し、会話をまたいで文脈を維持し、所有者が離席した後も作業を続けられる。こうした機能はエージェントを便利にする一方、その所有者を形づくるメッセージ、文書、予定、認証情報、人間関係へのアクセスも与える。
OpenAIは、Dotsがこうした情報を管理された環境内に保ち、危険な操作を停止できるとしている。競合する個人向けエージェントMuseについても、Metaは同様の主張をしている。これは単に、どのアシスタントがより多くのタスクを完了できるかを競う争いではない。
問われているのは、どちらの企業が広範なデータアクセスを安全だと感じさせられるかだ。
この約束を評価するのは、タイミング的にも難しい。個人向けエージェントはチャット画面からメール、ブラウザ、ワークスペース、コミュニケーションプラットフォームへと移行している。接続するアカウントが増えるほど価値は高まるが、ミスの影響も大きくなる。
だからこそ、プライバシーは法的な注記ではなく、製品機能になっている。OpenAIとMetaは、エージェントが機能するために十分な文脈をユーザーから共有してもらう必要がある。独立した検証が整う前にユーザーがシステムを信頼しなければ、どちらの企業もその目標には到達できない。
OpenAI Dotsのプライバシーは実際に何を約束しているのか
OpenAI Dotsのプライバシーは、隔離、限定的な権限、可視化された活動、そして機微な操作に対するユーザー承認に基づいている。
OpenAIは2026年9月29日、DevDayイベントでDotsを発表した。同社はこれを、個別のプロンプトを待つのではなく、継続中の責務を管理できる永続的なエージェントと説明している。
dotは専用のクラウドコンピューター上で動作する。ユーザーが追加サービスを接続しない限り、これによりエージェントの作業環境はユーザーの物理的な端末から分離される。
Dots announcementによると、ユーザーはデスクトップ、Web、モバイルのChatGPTを通じてこれらのエージェントとやり取りできる。SlackとTeamsのサポートにより、同じ作業文脈を複数のチャネルにまたがって利用できる。
この継続性は、製品にとって重要な要素だ。エージェントがChatGPTと職場の会話の間を移動するたびに、ユーザーが同じプロジェクトを説明し直す必要はない。
OpenAIはエージェントのバックグラウンド活動を「プロアクティブリサーチ」と呼ぶ。この過程でdotは、読み取り専用ツールを通じて接続済みアプリの情報を調べられる。これらのツールは、メッセージ送信、コンテンツ編集、ユーザーのブラウザ操作はできない。
OpenAIはまた、監視システムが安全上の懸念を検知した場合、dotを一時停止または停止できるとしている。Custom Rulesでは、特定の操作を許可、ブロック、または承認必須に設定できる。
読み取りと実行の区別は重要だ。カレンダーを読むエージェントは一種類のリスクをもたらす。予定をキャンセルし、メールを送り、チケットを購入できるエージェントは別の種類のリスクをもたらす。
OpenAIが公開したprivacy FAQによると、極めて機微な操作にはユーザーの直接的な関与が必要となる。パスワード変更や送金では、ユーザーが操作を引き継ぐ必要がある。
その他の操作では、実行前の承認を必須にできる。これにはソフトウェアのインストールや情報の完全削除が含まれる。OpenAIは、限定的かつ反復的な操作について、ユーザーが事前承認を与えられる場合もあるとしている。
これらのコントロールは境界を設けるが、根本的な露出をなくすものではない。読み取り専用のエージェントでも、機密情報を発見し、人間関係を推測し、誤った文脈で情報を要約する可能性がある。
データ利用はアカウント種別によっても異なる。OpenAIによると、ChatGPT Business、Enterprise、Eduのワークスペースデータは、デフォルトではモデルの学習に使用されない。
個人向けプランでは、「Improve the model for everyone」の設定により、対象となるDotsの会話と作業がモデル改善に利用されるかどうかが決まる。この作業には、委任されたタスク、接続アプリのデータ、エージェントが実行した操作が含まれる可能性がある。
OpenAIは、プロアクティブリサーチやdotの非公開作業メモを直接学習に使用しないとしている。ただし、そのリサーチで得た情報は対象の会話に入る可能性がある。そこに入った後の取り扱いは、ユーザーの設定に依存する。
この区別は、多くのユーザーにとって見落としやすいだろう。情報は保護されたバックグラウンド処理から会話へ移る可能性があるが、当事者には意味のある違いとして見えないかもしれない。
したがって同社が示しているのは、絶対的な保証ではなく、多層的なプライバシーモデルだ。その信頼性は、現実世界の圧力下でこれらの層が一貫して機能するかにかかっている。
なぜ個人向けエージェントはチャットボットより多くのデータを必要とするのか
常時稼働するエージェントは、代理する本人についてより多くの情報を得なければ、より便利にはなれない。
チャットボットは、単一のプロンプトを使って孤立した質問に答えられる。個人向けエージェントは、それ以前に何が起きたか、何が未完了か、そしてどの将来の行動がユーザーの意図に合うのかを理解しなければならない。
それには記憶が必要だ。また、意思決定が結果を生むライブシステムへのアクセスも必要になる。
出張を管理するエージェントを考えてみよう。必要なのは旅行者のカレンダー、目的地、航空会社の好み、経費ポリシー、パスポート要件、コミュニケーション履歴だ。
メール、決済ツール、社内ファイル、他者のスケジュールへのアクセスも必要になるかもしれない。有用な回答は、これらの情報源を個別に読むのではなく、組み合わせることに依存する。
これは、個人向けのAI second brainが文脈を蓄積するほど価値を増すのと同じ理由だ。システムが関連知識を取得できるのは、その知識を保持し、整理しているためである。
自律型エージェントは、このモデルをさらに一歩進める。文脈を取得するだけではない。その文脈を利用して行動する。
そこから生じるプライバシー問題には、3つの層がある。
第一に、エージェントはユーザーが意図的に提供した情報にアクセスできる。これにはメッセージ、ファイル、設定、接続済みアカウントが含まれる。
第二に、ユーザーが正式な事実として入力したことのない情報を推測できる。繰り返されるカレンダー予定は治療を示す可能性がある。メールのパターンは、商談や個人的な人間関係を明らかにし得る。
第三に、エージェントは利用規約に同意したことのない人々に関するデータに接触する。ユーザーの受信トレイには、同僚、顧客、親族、友人からのやり取りが含まれている。
エージェントが正当なタスクを完了するために、そのやり取りを必要とする場合もある。他の参加者は、AIシステムが自分たちの言葉を処理し、その関係性の作業モデルを構築していることを知らないかもしれない。
このため、同意は標準的なアプリの権限画面が示唆するよりも難しい問題になる。メールへのアクセスを許可しても、そのメッセージ内の情報をどのように解釈・保持すべきかというあらゆる問いが解決されるわけではない。
永続的なエージェントは、最小権限の意味も変える。最小権限とは、システムには当面のタスクに必要なアクセスだけを与えるべきだというセキュリティ原則である。
常時稼働するエージェントに、単一の当面のタスクはほとんどない。機会を見つけ、作業を準備し、将来の要求に文脈を持ち越すよう設計されている。
広範なアクセスはその柔軟性を支える。狭いアクセスは潜在的な被害を抑えるが、エージェントが達成できることも制限する。
OpenAIは、プロアクティブな読み取り専用活動と、外部システムを変更する操作を分けることで、この緊張関係を管理しようとしている。この分離は理にかなっているが、読み取り自体が結果を生むこともある。
侵害されたエージェントは、元の文書を編集せずに機微な要約を漏らす可能性がある。また、機密資料を共有チャネルに持ち込んだり、無関係な回答を作成する際に利用したりする可能性もある。
プロンプトインジェクションは、さらに別の層を加える。プロンプトインジェクションとは、ユーザーの実際の目標からAIシステムを逸らそうとする指示を、コンテンツ内に隠す手法である。
Webサイトを閲覧し、メールを処理するエージェントは、信頼できない指示に絶えず接する。正当なコンテンツと、その振る舞いを操作するために設計されたテキストを区別しなければならない。
OpenAIは、Dotsに監視と権限制御が組み込まれているとしている。しかし、現時点のどの設計もプロンプトインジェクションを完全になくすことはできない。本当の問題は、防御がどの程度の頻度で失敗するか、そして失敗した際にどれほどのアクセスが残るかだ。
これにより、プライバシーはアーキテクチャの試験となる。ポリシーの文言も重要だが、隔離境界、認証情報の取り扱い、監査ログ、復旧手順はさらに重要である。
OpenAI DotsとMeta Museの対決は信頼をめぐる競争
OpenAI DotsとMeta Museの競争は、どちらの企業がより強いプライバシー表現を使うかではなく、検証可能な制限によって決まる。
Metaは、OpenAIがDotsを発表する数週間前にMuseを発表した。両製品は、継続的な支援、永続的な記憶、クラウドベースの実行、機微な操作に対するユーザーコントロールを約束している。
Museは専用の仮想マシン、すなわちVM内で動作する。VMは、エージェントのファイル、ツール、ブラウザ、実行環境を収める隔離されたソフトウェア上のコンピューターだ。
Metaによると、各ユーザーには隔離された環境が提供される。認証情報は別のコンテナに保存され、SentinelエージェントがMuseの外向きの活動を確認する。
Muse launchによると、エージェントはメール送信や購入などの操作の前に許可を求める。ユーザーは監査証跡も確認できる。
これらの機能はOpenAIのアプローチに似ている。両社はクラウド上でエージェントの活動を隔離し、認証情報をモデルから隠し、影響の大きい操作の周囲に承認ゲートを設けている。
重要な違いは、各社がアクセスと将来の保護をどのように説明しているかに表れる。
Metaは、現行アーキテクチャでは技術的に同社によるMuseデータへのアクセスを防げないことを認めている。ポリシーによって従業員のアクセスは制限されるものの、Metaはサービスの運用、保護、サポート時に情報へアクセスできる。
Metaは、2026年後半にConfidential VMを導入する計画だとしている。同社は、そのバージョンでは暗号技術によってMetaや他のサービスプロバイダーが環境内の情報を閲覧できないようにすると主張している。
Metaが説明した時点では、このより強力な機能はテストと外部レビューの段階にあった。したがって、現在のすべてのMuseセッションの特性ではなく、計画中の保護として扱うべきだ。
Metaはまた、Museの会話軌跡が学習を支援し得るとしている。軌跡には、会話、ツール呼び出し、エージェント間の引き継ぎが含まれる。
同社は、こうした軌跡を利用する前に、主要な個人識別情報を削除するとしている。ユーザーは設定を通じて学習を無効にできる。
OpenAIも同様に、個人アカウントのユーザーへ学習に関するコントロールを提供している。いずれのモデルでも、ユーザーが理解し設定しなければならない項目に、重要な責任が置かれている。
Metaが公開したsecurity explanationには、もう一つ重要な認識がある。Museは攻撃に対して免疫があるわけではなく、プロンプトインジェクションは依然として業界全体の未解決問題だとしている。
この認識は、無条件の安全性の主張よりも有用だ。これは購入者が適用すべき実際の基準を示している。攻撃が可能かどうかではなく、システムが被害をどの程度抑えられるかである。
OpenAIの強みは、消費者と企業の双方における確立されたChatGPTとの関係にある。Dotsは、そのプラットフォームの接続性、アカウント制御、職場への配布基盤を継承できる。
Metaの強みは、WhatsApp、Instagram、Facebook、接続デバイスにまたがる存在感にある。これらのサービスは、広範な人間関係と行動の文脈を提供できる。
同じ利点が、同時にプレッシャーにもなる。OpenAIは、dotが機密性の高いコンテキストを誤ったワークスペースへ持ち込まないことを示さなければならない。Metaは、広告事業がMuseのプライバシー境界を損なわないとユーザーに納得させる必要がある。
Metaによれば、Museの会話やVMデータは広告システムへ直接流入しない。また、エージェントの閲覧行動が間接的に広告へ影響する可能性も指摘している。
たとえば、Museが訪問した小売事業者は、その訪問を後にInstagram上の広告ターゲティングに利用する可能性がある。エージェントのデータ自体はMetaの広告システムの外部にとどまっていても、その行動が広告シグナルを生み出すことはあり得る。
この違いには技術的な意味がある。ただし、エージェントに委任したタスクに関連する広告を目にしたユーザーにとって、それが意味のある違いと感じられるとは限らない。
OpenAIも並行する説明上の課題に直面している。プロアクティブな調査がいつトレーニングの対象外にとどまり、同じ情報が会話に入力された後にいつ対象となるのかを、ユーザーは理解する必要がある。
どちらの場合も、プライバシーモデルには要約しにくい境界が含まれる。単一のプライバシートグルでは、メモリ、推論、トレーニング、閲覧、行動の間で生じるすべての移行を説明できない。
そのため両社は、ユーザーがシステム全体を独力で検証できるようになる前に、信頼を売り込んでいる。より明確なログ、より強力なデフォルト設定、監査可能なインフラを提供する企業こそ、より説得力のある主張を行えるだろう。
プライバシー制御はプライバシー保証ではない
許可プロンプトは偶発的な被害を減らせるが、エージェントが適切な境界を理解したことまでは証明できない。
従来の権限システムは、アクセスがリソースに明確に対応することを前提としている。アプリはカメラの使用、連絡先の読み取り、フォルダの閲覧といった許可を受けられる。
エージェントの権限は、ソフトウェアが情報を解釈し、動的に行動を選択するため、より複雑になる。同じメールへのアクセスでも、無害な要約に使われる場合もあれば、機密交渉を漏らす場合もある。
承認画面には目先の行動が表示されても、それを形作ったすべての事実が示されるとは限らない。ユーザーは、別のアカウントの情報に基づく下書きだと気付かずにメールを承認する可能性がある。
事前承認は、さらなる不確実性を生む。ユーザーを毎回中断させることなく、予測可能な定期作業をエージェントに実行させる助けにはなる。
しかし、状況は変わる。週次アップデートを送信する恒常的な許可は、プロジェクトが機密扱いになった後や、受信者の役割が変わった後も有効なままかもしれない。
そのような場合、ログは不可欠だ。ユーザーは、エージェントが何にアクセスし、何を推論し、どのツールを使い、なぜその行動を選んだのかを確認する必要がある。
完全なイベント記録は、調査担当者が障害を再構築するうえでも役立つ。これがなければ、企業はエージェントが誤った行動を取ったことを把握しても、どの信頼できない指示がその挙動を変えたのか分からない可能性がある。
インシデント後の可視性は、インシデントそのものを防ぐものではない。一部の行動は取り消せても、情報開示は多くの場合、取り消せない。
エージェントはメールを呼び戻したり、編集済みのファイルを復元したりできるかもしれない。しかし、受信者に機密情報を忘れさせることは確実にはできない。
同じ制約は、メモリに保存された個人データにも当てはまる。元のメッセージを削除しても、エージェントが抽出した事実を別の場所に保持していないかどうかは、必ずしも分からない。
ユーザーにはバックアップに関する明確さも必要だ。システムはアクティブなデータを削除しても、セキュリティや運用上の理由から復元可能なコピーを保持している場合がある。
データ削除の権利は、この複雑さの一部に対処できる。OpenAIは、該当する場合、ユーザーが個人情報へのアクセス、訂正、削除、またはコピーを請求できるとしている。
ただし、エージェントは非ユーザーに関する情報も処理できる。そうした人々は、どの顧客のエージェントが情報を収集したのか、あるいはどこへ請求を送ればよいのかを知らない可能性がある。
Museに関する初期報道は、この懸念を示している。独立したセキュリティ研究者が、ユーザーの生活に関わる人物のページを説明する内部指示を抽出したと報じられた。
その結果として得られたMuse memory findingsは、そうしたページに家族、同僚、友人、その他の連絡先が含まれ得ることを示唆していた。この発見は、すべてのMuseユーザーがすべての連絡先について詳細なプロファイルを持っていることを立証するものではない。
しかし、エージェントのメモリがアカウント保有者の範囲を超え得ることは示している。ある人物は製品を一度も使わなくても、別のユーザーの人間関係の文脈に登場する可能性がある。
OpenAIは、Dotsが同じメモリ構造を使用しているとは公表していない。Museの例を同一の挙動の証拠として扱うべきではない。
それでも、これは重要な警告だ。パーソナルエージェントには人間関係に関する知識が必要であり、その知識が一人だけに属することはめったにない。
業界が好んで示す答えはユーザーによる制御だ。この原則は依然として必要だが、一人のユーザーが多くの他者に関わるデータを管理する場合には不十分である。
したがって、より強いプライバシーには設定以上のものが必要となる。収集、保持、推論、コンテキストをまたぐ再利用、従業員アクセス、二次的なトレーニングに対する制限が求められる。
企業はこれらの制限を検証可能にしなければならない。独立監査人には、システム設計、脅威モデル、再現可能な証拠へのアクセスが必要だ。
バグ報奨金プログラムは、研究者が脆弱性を安全に報告する助けになる。ただし、特に障害がソフトウェアの悪用ではなく通常の製品挙動に関わる場合、正式な評価の代替にはならない。
決定的な証拠は、インシデントとその対応から得られる。企業のプライバシーに関する約束は、失敗を開示し、被害を封じ込め、原因を修復し、ユーザーへ明確に情報を更新したときに信頼性を持つ。
最初の失敗が示すエージェントプライバシーの現実
基盤となるモデルがパスワードを一度も見ず、ユーザーがすべての接続を承認していたとしても、エージェントのプライバシーは破綻し得る。
認証情報の分離は、深刻な脅威の一つに対処する。モデルが保存済みパスワードを読めなければ、悪意あるプロンプトがそれを直接盗む機会は減る。
ただし、その保護は、エージェントが認証済みセッションを誤用することまでは防がない。エージェントは有効なトークンを通じてサービスにアクセスし、ユーザーが意図しない行動を実行する可能性がある。
したがって、セキュリティ境界は秘密情報と能力の両方を統制しなければならない。エージェントが認証情報によって得られるアクセスを自由に使えるなら、認証情報を隠すだけでは不十分だ。
OpenAIは、Dotsが保存済みパスワードをモデルから分離していると説明している。MetaもMuseについて同様の主張をしている。どちらの手法も露出を減らすが、認可の判断はより広いエージェントシステムの内部に残る。
公開テストの第一波は、分かりやすい失敗に焦点を当てるだろう。研究者は、エージェントにシステムプロンプトを明かさせたり、許可ルールを無視させたり、Webページに埋め込まれた指示に従わせたりしようとするはずだ。
より難しい失敗は、文脈に関わるものだ。エージェントは正しい情報を誤った相手に開示したり、誤ったタイミングで行動を予定したり、複数プロジェクトの事実を組み合わせたりする可能性がある。
こうした失敗を防ぐのは難しい。個々の手順はどれももっともらしく見える可能性があるからだ。被害はその連鎖から生じる。
たとえば、dotが接続済みのメールと社内ファイルを使って顧客向け提案書を作成するとする。顧客、製品要件、過去の交渉を正しく特定する。
共有ドキュメントには、別の顧客への割引に関する古いメモが含まれている。エージェントはそのメモを一般的な価格ルールとして扱い、新しい提案書に組み込む。
攻撃者がパスワードを盗む必要はなかった。マルウェアがクラウドコンピューターから出る必要もなかった。エージェントが単に文脈上の境界を越えただけだ。
人によるレビューで一部のミスは防げる。しかし、常時稼働するエージェントという約束は、必要なレビュー量を減らすことに依存している。
ユーザーがすべての情報源と推論を検査しなければならないなら、効率性の多くは失われる。行動を素早く承認するなら、承認は儀式的なものになる。
ここには製品設計上のトレードオフがある。頻繁な警告はユーザーに無視を促す一方、警告が少なければエージェントにはより大きな裁量が与えられる。
企業には、日常的で取り消し可能な作業と、異例または不可逆的な行動を区別するリスクベースの承認システムが必要だ。そうしたシステムは、なぜある行動がリスクとみなされるのかも説明しなければならない。
より広いセキュリティ環境は、事態の重要性を高めている。DevDay coverageは、OpenAIが安全上の懸念から別のモデル展開を停止した直後にDotsを発表したと伝えた。
この時系列はDotsが安全でないことを証明するものではない。ただし、OpenAIの保証が厳しく精査される理由を示している。
OpenAIは、常時稼働し、接続された情報を観察し、外部サービスをまたいでタスクを完了するシステムを受け入れるようユーザーに求めている。求められる証拠の水準は、その権限の大きさに見合うべきだ。
Metaも同じ負担を負う。Museは閲覧、フォーム入力、通信の送信、購入、長期的なコンテキストの維持を行える。
両社が公表している保護策は、妥当な出発点を示している。しかし、現実世界での失敗率を示すものではない。
独立テストでは、エージェントが不要なアクセスをどの程度頻繁に要求するか、機密性の高い行動をどの程度誤分類するか、アカウント間で情報をどの程度露出させるかを検証しなければならない。
エンタープライズ顧客は、管理者向け制御に関する証拠も求めるだろう。個人による承認は、保持、リーガルホールド、規制対象情報に関する組織ルールを満たさない場合がある。
消費者が直面する問いは異なる。仮想マシン、モデルのトレーニング、コンフィデンシャルコンピューティングの専門知識を必要としないプライバシー説明が必要だ。
システムは技術的に高度でも、設定が誤った安心感を生むなら失敗する。ユーザーインターフェースはセキュリティモデルの一部である。
勝つ設計は、安全な行動を安全でない行動より容易にするだろう。また、ユーザーが警告を見落とし、過剰なアクセスを許可し、データフローを誤解することを前提にするだろう。
エージェントは摩擦を取り除くことを約束するため、この基準は厳しい。プライバシー保護は、まさに自動化が排除しようとする箇所に摩擦を加えることが多い。
約束が守られるかを決める3つの検証
OpenAI Dotsのプライバシーに関する次の段階は、独立テスト、透明性の高いインシデント対応、過剰な権限を求めない形での普及によって評価される。
第一のシグナルは技術的検証だ。
OpenAIは、外部の研究者が分離、権限執行、認証情報の扱い、プロンプトインジェクション対策を検証できるだけの詳細を提供すべきだ。資格を持つ研究者が基礎となる証拠を再現できるとき、セキュリティ上の主張はより強くなる。
Metaが計画するConfidential VMも同様の検証対象となる。Metaは、外部監査人が設計を検査し、継続的な監査情報を公開するとしている。
このシステムがアクセス可能な証拠とともに開始されれば、すべてのパーソナルエージェント提供者への期待を高めるだろう。限定的なまま、あるいは遅延した場合、Metaの最も強いプライバシー上の約束は未証明のままとなる。
技術的検証はサービス間の境界も対象にすべきだ。DotsはChatGPT、Slack、Teams、接続済みアプリをまたいでコンテキストを維持できる。
研究者は、情報が意図されたユーザーとワークスペースの境界に従うかを検証しなければならない。コンテキストが認可されていないチャネルへ届くなら、安全なクラウドコンピューターが提供する保護はほとんど意味を持たない。
第二のシグナルはインシデント開示だ。
エージェントはミスをする。OpenAIとMetaは、直接的に、あるいは説明している保護策を通じて、その現実を認めている。
重要なのは、各社がどれだけ迅速に障害を検知し、影響を受けたユーザーにどこまで伝えるかだ。有用な開示では、関与した情報、失敗した制御、是正措置を特定すべきである。
企業が限定的な説明を公表するのか、それとも測定可能な変更を示すのかを注視すべきだ。安全性が向上したという曖昧な保証では、どの境界が破綻したのかは分からない。
ユーザーは、エージェントが完全な活動履歴を提供するかも確認すべきだ。監査証跡には、モデルのエラー、権限の失敗、悪意ある指示を区別できるだけの詳細が必要である。
第三のシグナルはユーザーの行動だ。
プライバシー保護の設計は説得力があるように見えても、ユーザーが機密性の高いアカウントを接続しないままである可能性はある。低リスクなデモンストレーションは、人々がエージェントに金融情報、業務文書、健康情報、あるいは私的なコミュニケーションを託すことを信頼している証明にはならない。
企業顧客での導入状況は、有用な指標の一つとなる。セキュリティチームは一般に、より明確な管理手段、契約上の保証、そして管理者による可視性を求める。
消費者の行動も重要だ。ユーザーがエージェントを広く導入しても、利用をショッピング、旅行のリサーチ、公開情報に限定する可能性がある。
このパターンは、完全な信頼なしに自動化への関心があることを示す。メール、カレンダー、個人アーカイブとのより深い連携は、より大きな信頼の表れとなるだろう。ただし、企業はこうした指標を慎重に報告しなければならない。
生のアカウント総数よりも、権限の付与パターンのほうが意味を持つ。何百万人ものユーザーを抱えるエージェントでも、重大な影響を及ぼすシステムへのアクセスは限定的である可能性がある。
読者は、プライバシーのデフォルト設定がより厳格になるかどうかにも注目すべきだ。OpenAIとMetaはいずれも、個人ユーザーが特定のやり取りをモデルのトレーニングに利用するかどうかを管理できるようにしている。
二次利用を最小化するデフォルト設定は、設定を一度も変更しないユーザーの負担を軽減する。より広範な利用を有効にするデフォルト設定は、開示と十分な情報に基づく同意をより重視することになる。
根本的な問いは、OpenAIやMetaが説得力のあるプライバシー声明を書けるかどうかではない。両社とも、多層的な管理措置や責任ある意図を説明できる。
問題は、そうした管理措置が、一般のユーザー、悪意あるコンテンツ、曖昧な指示、そしてエージェントをより自律的にしようとする圧力に耐えられるかどうかだ。
パーソナルエージェントは、約束された価値を提供するために親密な文脈を必要とする。これは偶発的なプライバシーリスクではない。製品の中核となる運用要件である。
OpenAI Dotsのプライバシーが信頼を得るのは、ユーザーがエージェントの把握していた情報、行動した理由、そして自分の情報の行き先を検証できる場合に限られる。Meta Museも同じ基準に直面している。
常時稼働するエージェントをデジタル生活の中心に接続する前に、そのトレーニング設定を確認し、権限を制限し、活動履歴を点検しよう。そして、さらに厳しい問いを投げかけるべきだ。エージェントが明日、誤った推論をした場合、それを確認し、止め、被害を修復できるだろうか。
