ChatGPTのデータ収集が70%増加！　AIチャットボットのプライバシー問題を徹底分析

　Surfshark B.V.は3月30日、人気AIチャットボットアプリのプライバシー実態に関する最新分析結果を発表しました。

　分析によると、調査対象となったすべてのAIチャットボットアプリが何らかのユーザーデータを収集しており、収集されるデータの種類は最大35項目中、平均で14項目にのぼります。

調査詳細資料：https://docs.google.com/spreadsheets/d/1y2-xlH0z5oyRVU0Lx9F0CQUkYBbyS7YsbWwbTwgSVdE/edit?gid=1592853215#gid=1592853215

位置情報を収集するAIチャットボットが40%から70%へ急増

　Surfsharkの最高セキュリティ責任者（CSO）であるトーマス・スタムリス氏は、今回の調査結果についてコメントしています。

　「チャットボットによるユーザーデータ収集は、ますます積極化しています。当社の調査では、人気のAIアプリの70%が位置情報を収集しており、これは昨年の40%から大きく増加しています。こうしたデータ収集の拡大傾向はChatGPTにも見られ、最近では収集範囲を70%拡大し、健康・フィットネス情報、検索履歴、音声データなども対象に含まれるようになりました」とコメントしています。

　また、同氏はプライバシー保護の観点から、「全てのプロンプトを”公開される可能性のある情報”として扱う意識が重要です。設定を見直し、チャット履歴を削除し、公開されて困る情報は決して入力しないようにしてください」と注意を呼びかけています。

各AIチャットボットのデータ収集実態

Meta AI：最多の95%にあたる33項目を収集

　分析対象の中で最も多くのユーザーデータを収集しているのはMeta AIで、全35項目中33項目、約95%に相当するデータを取得しています。

　金融情報カテゴリのデータを収集しているのはMeta AIのみです。くわえて、Google Geminiとともに、人種・民族や性的指向、妊娠・出産、障がい、宗教・思想、労働組合への加入状況、政治的見解、遺伝情報、生体情報といった機微（センシティブ）情報も収集しているとのことです。

Google Gemini：35項目中23項目を収集

　Google Geminiは35項目中23項目のデータを収集しています。氏名やメールアドレス、電話番号などの連絡先情報、ユーザーコンテンツ、連絡先（端末のアドレス帳情報）、検索履歴、閲覧履歴、正確な位置情報など、多岐にわたるデータが取得されているとのことです。

　こうした広範なデータ収集は、プライバシーやセキュリティを重視するユーザーにとっては過度に感じられる可能性があるとSurfsharkは指摘しています。

ChatGPT：昨年比70%増の17項目に拡大

　Apple社のApp Storeの情報によると、ChatGPTは現在35項目中17項目のデータを収集する可能性があると開発者により示されています。これは昨年の調査で確認された10項目から70%の増加です。

　新たに追加されたデータには、おおまかな位置情報や健康・フィットネス情報、検索履歴、音声データ、広告データ、カスタマーサポート関連情報などが含まれます。

　収集されたデータの大半（14項目）はアプリの機能提供のために使用されますが、分析（7項目）やプロダクトのパーソナライズ（4項目）、開発者による広告・マーケティング（3項目）、第三者広告（2項目）など、他の目的にも利用される可能性があるとのことです。なお、健康・フィットネス情報および広告データはアプリの機能提供に必須ではないとされています。

Claude：13項目を収集、機能提供目的が中心

　4番目に多くのデータを収集しているClaudeは、全35項目中13項目のデータを収集しています。これらはいずれもアプリの機能提供に不可欠とされており、ユーザー認証や機能の提供、不正防止、セキュリティ対策、サーバー稼働の維持などに活用されているとのことです。

　一方で、おおまかな位置情報や写真・動画といったコンテンツデータなど、分析や開発者による広告・マーケティングなど別の用途にも利用される可能性のあるデータも含まれているとのことです。

DeepSeek：中国サーバーへのデータ保存に専門家が警鐘

　5番目に多くのデータを収集しているDeepSeekは、ユーザー入力やチャット履歴などを含む13項目のデータを収集しています。また、必要とされる限り情報を保持し、中国に所在するサーバーに保存しているとされています。

　この点についてトーマス・スタムリス氏は、「ChatGPTやGeminiなどのAIチャットボットは、米国の法規制の下で運営され、規制当局とも連携しています。一方でDeepSeekは、GDPRのような同等の法的枠組みの対象ではありません。このような監督体制の不在は、説明責任やデータ保護に関する懸念を一層高める要因となる可能性があります」と述べています。