AIが覚えたことは、どこに置かれるのか——Googleが出した「預かるが、鍵は渡さない」設計

要点

• Googleが2026年9月23日、Private AI Computeにサーバー側の記憶を持たせる設計を公開しました
• これまでこの基盤はステートレスで、処理が終わるたびに文脈をすべて消していました
• 新しい設計では、データはクラウドの暗号化された領域に保存され、それを解く鍵は本人の端末だけが持ちます
• Google自身もその中身を読めない、という前提で組まれています
• あわせて、サーバー側のソフトウェアの記録を公開し、端末が「改変されていないこと」を確かめてから送る仕組みと、外部のセキュリティ企業による監査結果を出しています

何が新しいのか

「覚えさせない」から「覚えさせても読まれない」への移行です。

AIに前の会話を覚えさせると便利になる一方で、覚えた内容がどこかに残ります。この矛盾に対して、これまでの答えは二択でした。端末の中だけで処理する（安全だが、大きなモデルは動かせない）か、クラウドで処理して毎回忘れさせる（強力だが、続きができない）か。

Googleが以前から提供していたPrivate AI Computeは後者でした。クラウド上の隔離された領域で処理し、終わった瞬間に文脈を消す。今回はここに、消さずに残す層を足しています。ただし残す場所は利用者ごとに分けた暗号化データベースで、それを開く鍵は端末側にしか置かない、という条件付きです。

なお、発表文が挙げている例はスマートグラスとノートPCの連携など個人向けの利用です。企業向け製品の発表ではありません。提供時期も明記されていません。

仕組み

1. 鍵を預けない

保存領域はクラウドにありますが、復号に必要な鍵は利用者の端末から導出され、端末だけが保持します。事業者側にデータはあっても、開く手段がない。「アクセスしない」という約束ではなく、構造として読めないようにする、という考え方です。

2. 復号は隔離された箱の中だけ

AIが情報を必要としたとき、端末とクラウドの間に認証済みの暗号化された通信路がつながります。データは「セキュアエンクレーブ」と呼ばれるハードウェアで隔離された領域に入り、そこで一時的に復号されて処理され、新しい文脈が加えられたうえで、すぐに再び暗号化されます。

3. 送る前に、相手を検証する

Googleは、サーバー側で動いているソフトウェアの記録を改ざんできない形で公開すると書いています。端末は個人データを送る前に、稼働しているソフトウェアが公開されたものと同一かを確認できます。あわせて、外部のセキュリティ企業による独立監査の結果と、技術文書を公開しています。

企業のAI活用にとっての意味

1. 「AIに覚えさせてよいか」は、ツールの設定ではなく業務の線引きです。

社内で生成AIを使い始めると、必ず「これは入力してよいのか」という質問が出ます。メモリ機能が入ると、その質問は「一度入れたものが次回以降も使われてよいか」に変わります。判断の基準は、ツールの機能一覧ではなく、自社のどの情報がどの範囲まで出てよいかという業務側の取り決めです。

2. ベンダーに聞く質問が、具体的になります。

今回の発表は、確認できる形を先に示した点に価値があります。データはどこに保存されるか。復号の鍵は誰が持つか。外部の監査を受けているか。稼働中のソフトウェアが公開されたものと同じであることを、利用者側が確認できるか。導入検討の場で、この4つは自社の言葉で聞ける項目です。

3. 便利さと記録は、同じ機能の裏表です。

記憶が続くということは、何を話したかが残るということでもあります。個人の業務効率にとっては利点ですが、労務や人事の観点では別の論点になります。社員に使わせる前に、何が保存され、誰が消せるのかを社内で説明できる状態にしておく必要があります。

4. 研修の中身に、一項目増えます。

プロンプトの書き方だけでは足りません。「入れてよい情報・いけない情報」を自社の業務に即して線引きし、その理由まで含めて伝える。ここを飛ばすと、現場は安全側に倒れて使わなくなるか、無警戒に使うかのどちらかに寄ります。

※ 本記事の内容は、Google DeepMindが公開した発表文の記述に基づきます。提供時期・対象製品・適用範囲は今後変わる可能性があります。最新の内容は一次情報をご確認ください。

※ この記事は海外の一次情報（発表元の公式発信）のみを出典とし、内容を確認のうえ掲載しています。