カスタムGPTとGPTアクションのプライバシーポリシー

ポリシーはアクションの背後にあるサービスについて、ChatGPTの利用者が理解できる平易な言葉で書きましょう。次の内容を含めます。

1. アクションの運営者：あなたの名前または会社名、GPTまたはサービスの名称、プライバシーの窓口。
2. 受け取るもの：スキーマが受け付けるパラメーター、それとともに送信される会話のテキスト、OAuthを使う場合はアカウントのデータ。
3. 利用する理由：要求に応えるため、利用者のアカウント機能を動かすため、不正利用を防ぐため。事実でない限り、それ以外の目的は書かない。
4. ほかの受け取り手：ホスティング、データベース、ログ、呼び出すAIモデルの提供者と、それぞれの短い説明。
5. 保存期間：リクエストのログ、保存した結果、アカウントのデータについて、それぞれ実際の期間。
6. 利用者の権利と削除：アクセスや削除を求める方法と、OAuthアカウントの連携を解除する方法。
7. 子ども：OpenAIのサービスには独自の年齢ルールがあります。あなたのサービスが子どもを対象としているかどうかを記載する。
8. 変更と施行日。

アクションがユーザーアカウントに対応している場合は、それらのアカウント内のデータの扱いも追加しましょう。モデル提供者、プロンプト、学習については、AIチャットボットのプライバシーポリシーガイドとAI製品のプライバシー開示のガイドでさらに詳しく解説しています。

この要件は、あなたが定義した外部APIをGPTが呼び出せるようにする機能であるアクションに結びついています。OpenAIのヘルプセンターは、GPTがアクションを使い、公開で共有したりGPTストアに公開したりしたい場合、公開する各アクションに有効なプライバシーポリシーのURLを含めなければならないとしています。アクションの設定に関する記事も、より短い形で同じことを述べています。各アクションにはプライバシーポリシーのURLを含めることができ、リンクでの共有かGPTストアかを問わず、アクションのある公開GPTには有効なURLが必要です。公開に関する記事は、有効なプライバシーポリシーのURLなしにアクションを使っているGPTを、公開がブロックされる理由の1つとして挙げています。

アクションがなく、指示とナレッジファイルだけを使うGPTは、この特定のルールの対象になりません。非公開のGPTやワークスペース内でのみ共有するGPTも対象外ですが、ワークスペースの管理者が独自の制御を設定できます。

OpenAIがこれを求めるのはなぜでしょうか。アクションが実行されると、データはChatGPTを離れてあなたのサーバーに届き、OpenAIは、第三者のサービスがそのデータをどう使い保存するかを監査も管理もしないと述べているからです。利用者がそれを知る手段があなたのポリシーです。同じ考え方はほかのプラットフォームにも当てはまります。リンクのホスティングとテストについては、プライバシーポリシーのURLを用意する方法のガイドで解説しています。

ポリシーではサーバーが見るものを説明しなければならないため、正確にしましょう。OpenAIのアクションに関する本番運用の注意事項は、利用者がGPTのカスタムアクションを使うと、ChatGPTが会話の一部をアクションのエンドポイントに送信することがあるとしています。モデルは利用者の要求をOpenAPIスキーマで定義されたパラメーターに変換するため、利用者が入力したものは、氏名、メールアドレス、その他利用者が共有を選んだものを含め、何でもそれらのパラメーターに入りえます。OpenAIはまた、ChatGPTは公開しているIPアドレス範囲からアクションを呼び出すとしており、サーバーにはOpenAIのインフラからのリクエストが届きます。

ほかに何が届くかは、設計によって変わります。

• 認証：OpenAIはなし、APIキー、OAuthの選択肢を挙げています。OAuthでは利用者があなたのサービスにログインするため、リクエストはあなたのサービスでのアカウントに紐づけられます。
• 自社のログ：Webサーバー、APIゲートウェイ、監視ツールが保存するリクエストボディ、タイムスタンプ、エラー。
• 下流のサービス：バックエンドが呼び出すデータベース、検索API、AIモデルの提供者。

OpenAIのGPTのプライバシーに関するFAQは、GPTの作成者は利用者がGPTと行う個々の会話を見ることはできないとしています。あなたが関わるのは、アクションが受け取るものと保存するものであり、まさにそれをポリシーで説明すべきです。

どの認証方式を選ぶかで、ポリシーに書くべき内容が変わります。

認証なし。あなたから見るとすべてのリクエストは匿名ですが、利用者が入力した個人データが含まれることはあります。ポリシーでは、リクエストの内容を処理すること、ログは最小限にすること、利用者を特定しようとしないことを説明しましょう。

APIキー。キーが認証するのはGPTであり、個々の利用者ではありません。誰がチャットしていてもリクエストは同じに見えるため、扱うデータは少なく済みます。ポリシーは匿名の場合と似ていますが、レート制限や不正利用の防止を行っている場合はそれも加えます。

OAuth。利用者があなたのサービスにログインし、リクエストはそのアカウントに紐づけられます。この場合、ポリシーでは、プロフィールのデータ、保存されたコンテンツ、アクションがアカウントをどう更新するか、利用者がどう連携を解除できるかなど、アカウントに関わる関係全体をカバーしなければなりません。OpenAIの設定に関する記事は、OAuthのアクションでは利用者がChatGPTで連携済みのアカウントを確認・管理でき、実行前にアクションの承認を求められることがあるとしています。

どれを選ぶにしても、機能が動作する最も狭いスコープと入力を求めましょう。そうすれば、ポリシーもセキュリティの作業も短くて済みます。

審査での却下や利用者の混乱は、たいていいくつかの間違いに行き着きます。

• OpenAIのプライバシーポリシーにリンクする。OpenAIのポリシーが対象とするのはChatGPTであり、あなたのサーバーではありません。自分のポリシーが必要です。
• GPT、アクション、APIが受け取るデータに一切触れない、ホームページや汎用的な会社のポリシーにリンクする。
• ログにリクエストボディが丸ごと残っているのに、何も保存しないと書く。Webサーバー、ゲートウェイ、監視の設定を確認しましょう。
• バックエンドが呼び出すAIの提供元を書き漏らす。アクションがテキストを別のモデルAPIに転送しているなら、その名称を挙げ、保存期間を説明しましょう。
• 期間や基準のない「必要な期間」のようなあいまいな保存期間。
• ログインが必要な文書のリンクや、訪問者が編集できる文書のリンクを使う。
• 新しい種類のデータを受け付けるエンドポイントを追加したのに、ポリシーの更新を忘れる。

簡単なテストがあります。OpenAPIスキーマとポリシーを並べて読みましょう。個人データを含みうるすべてのパラメーターがポリシーで説明され、コードが呼び出すすべての提供元がポリシーに記載されているべきです。

GPTに投資する前に、この製品がどこへ向かっているかを確認しましょう。2026年10月時点で、OpenAIのヘルプセンターはカスタムGPTを廃止する予定だとしており、再利用可能な指示と連携アプリをまとめたプラグインにワークフローを移すことを推奨しています。同じお知らせによると、次のとおりです。

• 移行機能は2026年9月17日を目標としており、すべてのアカウントやワークスペースに一斉に届くとは限らない
• 対象となるEnterpriseワークスペースでの廃止は2026年12月11日に予定されており、ほかのプランも同じスケジュールに従う見込み
• 既存のGPTは廃止まで引き続き使える
• Free、Go、Plus、Proを含む個人のChatGPTアカウントでは新しいGPTの作成や公開ができず、Business、Enterprise、Eduのワークスペースではワークスペースの設定と権限による

これらの日付はOpenAI自身のお知らせによるもので、変更される可能性があるため、公開を計画する前にヘルプセンターの最新記事を確認しましょう。

プライバシーポリシーにとって、この変更は見た目ほど大きな影響はありません。ChatGPTでの利用者の要求があなたのバックエンドに届くという、データの流れは似ています。アクションのAPIについて正確に書いたポリシーは、一から書き直さなくても、以下で説明するようにプラグイン向けに更新できます。

プラグインに移行すると、プライバシーのルールは簡単になるどころか、より詳細になります。ChatGPTとCodexで共有されるディレクトリに掲載されるプラグインを対象とするOpenAIのプラグインガイドラインは、申請に明確で公開されたプライバシーポリシーを含めなければならないとし、少なくとも収集する個人データのカテゴリー、利用目的、提供先のカテゴリー、データの保存期間、利用者に提供する管理機能を説明することを求めています。利用者はインストール前にポリシーを確認できます。

ガイドラインは、ポリシーに反映すべきデータのルールも定めています。

• 必要最小限のデータだけを収集し、「念のため」の項目は設けない
• PCI DSSの対象となる支払いカードのデータ、保護対象の医療情報、政府発行の識別子、アクセス用の認証情報などの制限されたデータを収集しない
• 会話の全履歴や生のチャットの記録を求めない
• 開示され、範囲が限定され、利用者が実質的に管理できる場合を除き、IPアドレスなどのメタデータを通じたものを含め、利用者を追跡したりプロファイリングしたりしない
• プラグインは13〜17歳の利用者に適したものでなければならず、13歳未満の子どもを対象にしてはならない

GPTアクションのポリシーで、すでにカテゴリー、目的、提供先、保存期間、管理機能を記載しているなら、ほぼ準備はできています。申請の際に、これらのガイドラインと照らし合わせて見直しましょう。

AI向けプライバシーポリシー作成ツールは、この種のサービスのために設計されています。AIの用途を選び、アクションが受け取るもの、使っている提供元、ユーザーアカウントの有無、保存期間、利用者がいる地域を説明しましょう。質問票、完全なプレビュー、シンプルなHTMLとPDFのダウンロードはアカウント不要で無料です。

条項は回答に基づき、バージョン管理されたライブラリから決定論的に選択されます。実行時にAIが条項を書くことはないため、結果は予測可能で、あなたが確認したことだけが記載されます。GDPR、英国、カリフォルニア州などの高度な地域別モジュールは$5で、任意の公開ホスティングは1回限りで$0.99が追加され、アクションのプライバシーポリシー欄やプラグインの申請に貼り付けられる公開ページが手に入ります。

バックエンドがリポジトリにあるなら、Codex、Claude Code、ChatGPTなどのAIコーディングエージェントが開発者向けMCPサーバーを通じてコードベースを調べ、見つけた内容から非公開の草案を作成でき、あなたはそれを確認して確定します。忘れていたログや提供元の呼び出しを見つけるのに役立ちます。生成された文章は回答を反映したものであり、法的助言ではありません。