前回の記事「CoworkとClaude Code、ガバナンスの違いは「契約」と「Bedrock」で決まります」では、会社の統制を左右するのは製品の違いではなく「契約」と「ログイン方法」だ、という話をしました。今回はその続編として、もうひとつの定番の質問を扱います。

「で、データはどこに、いつまで残るんですか？」

提案書では「Bedrock経由ならデータは残りません」と一行で片づけられがちです。ですが実際に調べてみると、データが残る場所は1か所ではありません。Anthropicのクラウド、AWSのクラウド、そして手元の端末——3つの「保存場所」があり、それぞれ保持期間も、ゼロにする方法も、決める人も違います。この記事では、その3つを公式ドキュメントに基づいて順に整理します。

この記事の要点：データが残る場所は「Anthropic側」「AWS側」「手元の端末」の3つ。Claude公式ログインならAnthropic側に標準30日（ゼロ保持は個別申請）。Bedrock経由なら保持は自社がAWSの設定で決められ、ゼロ保持も選べます。ただし最新モデルは「Anthropicへの共有と30日保持」への同意が利用条件という例外が生まれており、「Bedrockなら何も残らない」とは言い切れなくなってきています。そして端末には、どの構成でも記録が残ります。

今回も先に、大事な注意です。この分野は変化が速い。本稿で扱う「最新モデルの例外」は、まさに最近になって加わった仕様です。本稿の期間や条件は執筆時点（2026年7月13日）のものとお考えいただき、導入判断の際は記事末尾の公式ドキュメントで最新の状態をご確認ください。

まず、「残る」とはどういうことか

言葉をそろえておきます。ここで言う「データが残る」とは、あなたがAIに入力した文章（プロンプト）とAIの回答が、サービス事業者のサーバーに保存されることです。これを「保持（データリテンション）」と呼びます。

なぜ事業者はデータを保持するのか：主な理由は「不正利用の検知」と「安全性の確認」です。たとえば悪用の通報があったとき、事業者側で内容を確認できる状態を一定期間つくっておく、という趣旨です。裏を返せば、保持は「学習に使われる」こととは別の話です。保持されていても、学習に使われるかどうかは契約と設定で別に決まります。
ゼロデータ保持（ZDR）：入力と出力をサーバー側に一切保存しない特別な取り扱いのこと。規制の厳しい業種で求められることがあります。後述のとおり、Claude公式でもAWSでも「誰でも選べる標準機能」ではなく、条件付きです。

それでは、3つの保存場所を順に見ていきます。

場所①：Anthropicのクラウド（Claude公式でログインする場合）

claude.aiのアカウントでログインして使う場合（前回記事で言う「Claude公式ルート」）、入力と出力はAnthropicのサーバーに送られ、次の期間保持されます。

利用形態保持期間備考
個人プラン（無料・Pro・MAX）で
「学習への利用を許可」がオン		5年モデル改善と安全性向上のため。設定はいつでも変更可能
個人プランで学習への利用を許可しない30日claude.aiの設定画面で選択
法人（ビジネス・エンタープライズ）・API標準30日学習には使われない（商用契約の既定）
ゼロデータ保持（ZDR）を有効化した組織保存されない標準のエンタープライズ契約には含まれず、適格性の確認を経て組織単位で個別に有効化

ここで注目すべきは2点です。まず、個人プランで「学習への利用」を許可していると、保持は5年に及びます。会社の情報を個人アカウントで扱うことのリスクは、前回述べた「統制が効かない」ことに加えて、この保持期間の長さにも表れます。

次に、ゼロ保持はエンタープライズ契約でも「標準装備」ではないことです。契約すれば自動的にゼロになるわけではなく、個別の申請と適格性確認が要ります。「エンタープライズだから残らない」という思い込みは禁物です。

場所②：AWSのクラウド（Bedrock経由の場合）

Bedrock経由にすると、状況が根本から変わります。保持のルールを決めるのが、Anthropicではなく自社になるのです。

AWSの公式ドキュメントによれば、Bedrockには「保持モード」という設定があり、アカウント単位・プロジェクト単位で自分で選べます。

保持モード何が起きるか
default（既定）モデルごとの標準ルールに従う。不正利用対策のためAWSが一定期間保持することがあるが、モデル提供元（Anthropic）には渡らない
none（ゼロ保持）入力も出力も、AWSにもモデル提供元にも永続保存されない
provider_data_share（提供元共有）モデル提供元の要件に従い、データの保持と提供元への共有を明示的に許可する。一部モデルの利用条件

さらに、AWSには組織全体にルールを強制する仕組み（SCP：組織のアカウント全部に一括で適用できるポリシー）があり、「わが社では『none（ゼロ保持）』以外の設定を禁止する」と技術的に縛ることもできます。公式ドキュメントにその設定例まで載っています。

また、そもそもBedrockの仕組みとして、モデル提供元は顧客のプロンプトや出力にアクセスできない構造（提供元の手が届かない専用アカウントでモデルを動かす方式）になっています。前回記事の「統制の担い手が自社に移る」という結論が、保持についてもそのまま当てはまるわけです。ここまでは、提案書の「Bedrockならデータは残りません」を裏付ける話です。

ただし、例外が生まれています ― 最新モデルは「共有への同意」が利用条件

ところが、です。AWSの公式ドキュメントに、次の趣旨が明記されています。

最新世代のモデル（Claude Fable 5 / Claude Mythos 5）は、「provider_data_share（提供元共有）」モードでしか利用できません。このモードを明示的にオンにすると、プロンプトと出力がAnthropicに共有され、安全性確認のために最大30日間保持されます。

つまりこうなります。

  • ゼロ保持（none）を選んだ組織では、最新モデルはそもそも使えない（一覧に「利用不可」と表示され、呼び出しは拒否されます）
  • 最新モデルを使いたければ、「Anthropicへの共有と30日保持」に組織として明示的に同意する必要があります
  • ゼロ保持のまま最新モデルを使いたい場合は、AWSの担当者経由でアカウント・モデル単位の個別審査になります

なお、これは最新世代に限った話で、それ以前のモデル（Claude Fable 5より前）の扱いは変わっていません。従来どおり、ゼロ保持を選べばAWSにもAnthropicにも残りません。

「Bedrock経由ならデータは社外に残らない」は、旧世代モデルでは今も正しく、最新世代モデルでは条件付きに変わりました。提案書にこの一行を書くなら、「どのモデルを・どの保持モードで使うか」まで添える必要があります。

データの境界を最優先するなら「ゼロ保持＋実績ある旧世代モデル」、最新モデルの能力を優先するなら「30日保持への同意」——これは技術設定の話ではなく、会社としてどちらを取るかの判断です。

場所③：手元の端末 ― どの構成でも残る、忘れられがちな場所

クラウド側の議論に集中していると、いちばん身近な保存場所を見落とします。利用者のPCそのものです。

  • Claude Codeのセッション記録：会話を再開できるようにするため、各自のPCに暗号化されていない形式（平文）で、既定30日間保存されます。保存期間は設定（cleanupPeriodDays）で変更できます。
  • Bedrock経由のデスクトップアプリ（Claude Desktop on 3P）：前回記事のとおり、この構成では会話履歴が各自の端末に保存されます。クラウドに残らない代わりに、端末が「記録の置き場所」になるのです。

つまり、クラウド側をどれだけ厳格にゼロ保持にしても、端末には記録が残ります。ここの統制はクラウドの設定ではなく、ディスク暗号化（FileVault / BitLocker）、端末管理（MDM）、保存期間の設定、退職時の端末回収・消去という、昔ながらの端末管理の話になります。むしろクラウドで消した分だけ、端末が「唯一の記録」として重みを増す、とも言えます。

結論：3つの場所を、1枚にまとめます

① Anthropicのクラウド② AWSのクラウド③ 手元の端末
いつ関係するかClaude公式でログインして使うときBedrock経由で使うときどの構成でも
標準の保持期間個人：30日〜5年（設定次第）
法人・API：30日		保持モードの設定次第
（最新モデルは30日保持が条件）		既定30日（変更可）
3P構成は会話履歴が端末保存
ゼロにする方法ZDR（個別申請・標準契約に含まれず）保持モード「none」を設定
（ただし最新モデルは使えなくなる）		保存期間の短縮・消去運用
（完全ゼロは実質困難）
決めるのは誰かAnthropic（契約と設定の範囲内）自社（AWSの設定・SCPで強制可）自社（MDM・暗号化・運用）

導入前に決めるべきことは、3つの場所それぞれにひとつずつあります。

  1. Anthropic側：ゼロデータ保持を申請するか。それとも標準30日を許容するか
  2. AWS側（Bedrockを使うなら）：保持モードをどれにするか。最新モデルの「共有と30日保持」に同意するか、旧世代モデルでゼロ保持を貫くか。決めたらSCPで組織に強制するか
  3. 端末側：ディスク暗号化と端末管理を必須にできているか。ローカル記録の保存期間と、退職時の消去手順を決めているか

「データはどこに、いつまで残るのか」——この問いに一行で答えられない理由が、お分かりいただけたかと思います。ですが逆に言えば、上の3行を決めてしまえば、対外的にも監査にも、根拠を持って答えられるようになります。それが、この整理のいちばんの使い道です。

出典（一次情報）

本稿の主張は、以下のAnthropic・AWSの公開ドキュメントで裏付けを確認しています（いずれも2026年7月13日時点）。

  • Anthropic側の保持期間（個人：学習許可オンで5年／オフで30日、商用：標準30日、ZDRは標準エンタープライズに含まれず個別有効化）、Claude Codeのローカル記録（平文・既定30日・cleanupPeriodDaysで調整）：
    Data usage ― Claude Code Docs
  • Bedrockの保持モード（default / none / provider_data_share）、SCPによる組織強制、最新モデル（Claude Fable 5 / Mythos 5）はprovider_data_shareが利用条件でありプロンプト・出力がAnthropicへ共有され最大30日保持されること、旧世代モデルは変更なし、ZDRの個別審査：
    Data retention ― Amazon Bedrock User Guide
  • Bedrockではモデル提供元が顧客のプロンプト・出力・ログにアクセスできない構造（Model Deployment Account）であること：
    Data protection ― Amazon Bedrock User Guide
  • Bedrock経由のデスクトップアプリ（Claude Desktop on 3P）では会話履歴が利用者の端末に保存されること：
    Claude Desktop on third-party (3P) ― Overview

本稿の内容はすべて、上記のAnthropic および AWS の公開ドキュメントに基づいています（2026年7月13日時点）。保持期間・保持モード・対象モデルなどの仕様は変更されることがあります。導入判断の際は、必ず最新の公式情報をご確認ください。