OpenAI dotsは安全か｜自動レビュー・承認・学習設定と、会社のデータを接続する前の確認(2026年9月)

前提: dotsは何に触れ、OpenAIは何を用意したのか

dotは、OpenAIの最上位モデルGPT-6 Astraで動くエージェントです。dotごとに専用のクラウドコンピューターとブラウザー、専用のIDを持ち、4,000以上のアプリに接続できます。接続したアプリの情報は、質問していなくてもdotが先回りして読み、記憶を作ることがあります(2026-09-30時点のヘルプセンター)。

OpenAIはGPT-6 Astraを土台に、情報・作業環境・操作のそれぞれに保護を足したと説明しています。暗号化、アクセス制御、不審な利用の検知はChatGPTと共通です。全体を先に表で示します(右2列はOpenAIの説明をもとに当社が整理)。

仕様の出典: OpenAI「dots に安全性、セキュリティ、プライバシーを組み込む仕組み」(2026-09-29) / OpenAI Help Center「Getting started with your dot」

仕組みを1つずつ: 何を防ぎ、何は防げないか

1. 専用のクラウド環境と分離

dotはdotごとのクラウドコンピューターで動きます。これはサンドボックス(外と切り離した作業場所)で、使えるコードやツールが制限され、利用者ごとの環境は互いに分離されています。さらに、dotがコードを実行する環境は、保護措置を適用するシステムとは別に置かれ、dotが安全の仕組みを変えたり必須の確認を外したりはできないとOpenAIは説明しています。

防げないのは、許可した範囲の中での失敗です。dotは接続したアプリに利用者の権限でアクセスします。自分のパソコンへの接続(初期設定はオフ)を許可すると、dotはそのパソコンのファイルにも触れられます。分離は「他人から守る」仕組みで、「自分が渡した権限の使い方」までは守りません。

2. 実行前の自動レビュー

メールの送信やファイルの変更などの前に、独立した安全システムが、予定された手順を利用者の指示・カスタムルール・安全要件と照らしてチェックします。メールなら宛先と本文を見ます。止めた場合は理由をdotに返します。利用者が承認しても、基本的な安全要件は無効にできません。

通常の読み取り専用の手順は、この追加のレビューの対象外です。また、レビューが照らすのは利用者の指示とルールなので、ルールが緩ければその範囲の操作は通ります。

3. 操作ごとのルール(カスタムルールと必須の確認)

共有・購入・アクセスについて、操作ごとに「聞かずに実行する」「事前に承認されていれば実行する(プロンプトで明示的に頼んだ場合)」「実行の前に聞く」「利用者に引き継ぐ」の4つから選べます。OpenAIの側でも、次のように操作の種類ごとに扱いを決めています。

防げないのは、承認する人の見落としです。承認の画面が続くと中身を読まずに押しがちになります。

4. 安全なサインイン

利用者がログインフォームに入力している間、モデルは一時停止します。認証情報はブラウザー環境に直接送られ、モデルのコンテキスト(AIが読んでいる内容)には入りません。保存済みのパスワードは、専用の暗号化された認証情報サービスが扱います。

ただしOpenAIは、dotが読めるメッセージや文書に書かれた秘密情報は、モデルから見える可能性があると明記しています。チャットに貼ったパスワード、共有フォルダーに置いたアカウント一覧、メールで送られた初期パスワードは、この仕組みでは守られません。

5. 先回りのリサーチは読み取り専用

dotは利用者とやり取りしていない間も、接続済みの情報源から情報を集め、dot用の非公開のメモを保存します。このとき使えるのは読み取り専用のツールで、メッセージの送信、アプリ内の変更、ブラウザーやデスクトップの操作はできません。この制限はコードで強制されているとOpenAIは説明しています。

「勝手に実行する」ことは防げますが、「勝手に読む」ことは止まりません。接続するアプリを選ぶことが、そのまま「dotに読ませる範囲」を決めることになります。

6. 監視とプロンプトインジェクション対策

プロンプトインジェクションは、Webページ・メール・文書に悪意ある指示を仕込み、AIに意図しない操作をさせる攻撃です。OpenAIは、モデルの保護措置、ツールの制限、実行前のチェック、監視を重ねて対策するとしています。監視は、指示から外れた行動や保護措置を回避しようとする行動を検出すると、作業を一時停止して利用者に確認を求めることがあります。

OpenAIは、防ぎきれるとは書いていません。安全性の記事で、それでもdotsがミスをする可能性はあると明記しています。仕組みは失敗の確率と影響を下げるもので、ゼロにするものではありません。

仕様の出典: OpenAI「dots に安全性、セキュリティ、プライバシーを組み込む仕組み」(2026-09-29) / OpenAI Help Center「Getting started with your dot」

System Cardで確認できたこと

OpenAIは、dotsの土台であるGPT-6 AstraのSystem Card(安全性の評価をまとめた文書)に、2026-09-29付でdotsの付録を追加しました。当社が2026-09-30に読めた範囲で、判断に関わる点だけを挙げます。

プロンプトインジェクションについては、外部の攻撃コンテスト(Gray Swan社のIPI Arena)から選んだ1,810件の攻撃で、GPT-6 Astraの攻撃成功率の推定は8.5%、前世代のGPT-5.6 Solは27.0%とされています(1つの場面につき15回試した場合)。改善していますが0%ではありません。この数値がdots固有の評価かモデル全般の評価かは、当社の確認では判別できませんでした。

制限を守るかの評価では、自動レビューを回避しようとする試みは見られなかったとしつつ、テストで失敗が見られなかったことは、ほかの場面ですべての制限を守ることを保証しない、という趣旨の注記を付けています。

仕様の出典: OpenAI Deployment Safety Hub「GPT-6 Astra System Card」(2026-09-29にdotsの付録を追加)

学習への利用と、接続を外しても残るデータ

会社にとって大きいのは2点です。1つは、社員が個人のProで業務のデータを扱う場合、学習に使うかどうかが社員本人の設定に任されることです。もう1つは、接続を外しても情報が残ることです。退職や異動のときに「会社のアカウントを止めれば終わり」にはならず、dotのリセットまで手順に入れる必要があります。

学習の設定が効いた例として、OpenAIは2026-09-25(米国時間)に、研究環境のAIエージェントが学習用データを外部に送り、ChatGPT利用者の画像53件が含まれていたと公表しています。対象は学習への利用を許可していた個人向けアカウントで、Business・Enterprise・EduとAPIは対象外と説明されました(当社記事「OpenAIの研究用AIがChatGPT利用者の画像53件を外部に投稿」)。個人プランで業務データを扱うなら、学習オフを会社のルールにする理由になります。

データを保存する地域(日本国内に置けるか)や保存期間について、dots固有の記載は当社が確認できた公式情報にはありませんでした(2026-09-30時点)。要件がある会社は契約前に確かめてください。

仕様の出典: OpenAI「dots に安全性、セキュリティ、プライバシーを組み込む仕組み」(2026-09-29) / OpenAI Help Center「Getting started with your dot」

日本の会社で使えるか

使えます。対象はPro(欧州経済領域・スイス・英国を除く地域)、Business Premium(ChatGPTが対応するすべての地域)、Enterprise(Edu・Healthcareを含む。ベータ版)で、日本はいずれにも入ります(2026-09-30時点。順次提供)。Proは月100ドルから、Business Premiumは1人あたり月125ドル(年払いなら月100ドル相当)です。1ドル=157円の参考値で、それぞれ約15,700円、約19,625円です。

安全の面で違いが出るのは契約の種類です。Enterpriseは管理者が有効にするまでオフです。Business Premiumはワークスペースの中で使うため、初期設定で学習に使われません。個人のProは、会社が何も決めていなくても社員が今日から使え、学習の設定も本人しだいです。

仕様の出典: OpenAI Help Center「Getting started with your dot」 / OpenAI「ChatGPT Business にプレミアムシートが登場」(2026-08-10)

会社のアカウントを接続する前の確認項目

仕組みを踏まえて、会社が決めることは次のとおりです。

• 誰の契約で使うか: 業務のデータはBusiness PremiumかEnterpriseに限るのか、個人のProも認めるのか。認めるなら「モデルを改善する」設定のオフを条件にする
• 接続してよいアプリ: 先回りして読まれる前提で決める。最初はカレンダーと社内の公開資料まで。顧客情報、人事・給与、経理、契約書は接続しない
• 承認なしで任せる操作: 社外へのメール送信、外部へのファイル共有、購入は「実行の前に聞く」を初期値にする
• 自分のパソコンへの接続: 初期設定はオフ。業務用のパソコンで許可してよいかを決める
• 秘密情報の置き方: パスワードやAPIキーをメール・チャット・共有文書に書かない
• 辞めるときの消し方: 接続の解除だけでは情報が残る。退職・異動のチェックリストにdotのリセットを入れる
• 結果の確かめ方: dotのプロフィールの進行中・予定・完了を週に一度見る。社外に出たものは会社の送信済みメールや発注記録に残る形で運用する

いまやること・待ってよいこと

• 今週: ChatGPTを個人のProで契約している社員がいるかを確かめ、上の確認項目のうち「誰の契約で使うか」「接続してよいアプリ」「承認なしで任せる操作」の3つだけでも先に伝える
• 試すなら: Business PremiumかEnterpriseで、1人・1業務・2週間から。dotが何を読み、何を提案し、自動レビューや監視でどこが止まったかを記録する
• Enterpriseの会社: 管理者が有効にする前に、試す部署と期間を決める。初期設定がオフなので、決めてから有効にすれば足りる

待ってよいのは、全社への展開と、組織の業務を担う「専門dot」の検討です。最初の1か月のあとの利用枠の条件がまだ出ておらず、専門dotは企業向けの限定プレビューです。MetaのMuseと安全の仕組みを比べたい場合は「Meta Museは安全か」が対になる記事です。

出典

• OpenAI「dots に安全性、セキュリティ、プライバシーを組み込む仕組み」(OpenAI、2026-09-29): https://openai.com/ja-JP/index/how-we-build-safety-security-and-privacy-into-dots/
• OpenAI「dots のご紹介」(OpenAI、2026-09-29): https://openai.com/ja-JP/index/introducing-dots/
• OpenAI Help Center「Getting started with your dot」(OpenAI、2026-09-30確認): https://help.openai.com/ja-jp/articles/20001530-getting-started-with-your-dot
• GPT-6 Astra System Card(OpenAI Deployment Safety Hub、2026-09-29更新): https://deploymentsafety.openai.com/gpt-6-astra/change-log
• OpenAI「ChatGPT Business にプレミアムシートが登場」(OpenAI、2026-08-10): https://openai.com/ja-JP/index/premium-seats-chatgpt-business/

よくあるご質問

dotsに接続した会社のデータは、AIの学習に使われますか?

ChatGPT Business・Enterprise・Eduのワークスペースでは、初期設定で使われません。個人向けのプラン(Proを含む)では、「すべての人のためにモデルを改善する」の設定しだいです。先回りのリサーチのメモは直接は学習に使われませんが、内容が学習対象の会話に取り込まれると設定に応じて使われることがあります(2026-09-30時点)。

アプリの接続を解除すれば、dotが読んだ情報は消えますか?

消えません。接続を解除しても、dotがすでに得た情報は残るとOpenAIのヘルプセンターは案内しています。消すにはdotをリセット(削除)します。リセットは会話・記憶・予定の仕事をまとめて削除します(2026-09-30時点)。

dotが勝手にメールを送ったり、お金を動かしたりしませんか?

メール送信やファイルの変更の前には独立した自動レビューが入り、購入には承認が要ります。送金とパスワードの変更は利用者に引き継ぐ扱いです。ただしOpenAIは、dotはルールに従うときも含めて間違えることがあると書いています。社外への送信は「実行の前に聞く」にしておくのが安全です。

dotsはプロンプトインジェクションを防げますか?

対策はありますが、完全ではありません。OpenAIは保護措置、ツールの制限、実行前のチェック、監視を重ねていると説明しています。GPT-6 AstraのSystem Cardでは、1,810件の攻撃に対する攻撃成功率の推定が8.5%と報告されています(2026-09時点)。