ChatGPTの高度なアカウントセキュリティとは｜Business・Enterpriseで使えるかと、管理者のログインの守り方
高度なアカウントセキュリティとは、ChatGPTへのサインインをパスキーとセキュリティキーだけに絞り、パスワードやメールでの復旧を止める、個人向けアカウント用の任意のセキュリティ設定です。Enterprise 管理対象アカウントと、確認済みかつ申請済みのドメインに関連付けられたアカウントでは使えず、ChatGPT Business などワークスペースにリンクされたアカウントはアカウント構成とロールアウトによって異なるため、設定 > セキュリティ に表示が無ければ現在は使えないことになります。会社のアカウントでこの設定が使えない場合、管理者は Business の SSO（シングルサインオン）とドメイン確認で、社員のサインインを会社の ID にそろえる形でログインを守ることが出来ます。
学習やデータの保持、情報漏洩への備えを含めた全体の考え方はChatGPTのセキュリティ設定の解説で扱っており、ログイン方法そのものの選び方はChatGPTのログイン方法の解説で確かめられます。
※OpenAI の仕様・画面名・条件は、2026年11月7日時点で OpenAI の公式ヘルプに掲載されている内容です。いずれも OpenAI の説明（同社発表）で、第三者が検証したものではありません。画面の表示や対象は変わることがあるため、実際の設定画面もあわせてご確認ください。
高度なアカウントセキュリティとは｜個人向けChatGPTの任意設定
高度なアカウントセキュリティは、OpenAI が2026年4月30日に発表した、ChatGPTアカウント向けの任意設定になります。公式ヘルプでは「個人向け ChatGPT アカウント用の任意のセキュリティ設定です」と説明されており、アカウント乗っ取りや不正アクセス、データ漏えいのリスクを下げるために、サインインの条件と復旧の方法を厳しくする仕組みです。
発表では、想定する利用者の例として「ジャーナリスト、公職者、政治的反体制派、研究者、そして特にセキュリティ意識の高い方々など」が挙げられています。公式ヘルプのよくある質問でも、デジタル攻撃のリスクが高い可能性がある方や、アカウント復旧について追加の責任を負うことに問題がない方に向けて設計された機能、という位置づけになります。
一度登録すると、保護は同じログインで使う Codex にも及びます。発表の原文では「保護は、そのログインを通じてアクセスされるChatGPTアカウントとCodexアカウントの両方に適用されます」と書かれています。
会社の方が押さえておきたいのは、会社として配る仕組みではなく、社員が自分のアカウントで入れるかを決める設定だという点です。会社のアカウントで使えるかどうかは、次の早見表で確かめてみてください。
会社のアカウントで使えるか｜プラン・アカウント別の早見表
会社のアカウントでは、Enterprise の管理対象は使えず、Business は画面に表示されるかどうかで決まります。公式ヘルプの利用可否はプラン名ではなくアカウントの種類で書かれているため、条件の原文をそのまま表にしました。
| アカウントの種類 | 公式ヘルプの記載（原文） | 使えるか |
|---|---|---|
| 個人用の ChatGPT アカウント（個人向けプランで使うもの） | ChatGPT の対応地域にある対象の個人用 ChatGPT アカウントで利用できます。 | 使える（対象の個人用アカウント） |
| Enterprise 管理対象アカウント | 以下では利用できません。／Enterprise 管理対象アカウント | 使えない |
| ChatGPT Enterprise のユーザー、Enterprise 管理対象ドメインに関連付けられたアカウント | ChatGPT Enterprise ユーザー、Enterprise 管理対象アカウント、または Enterprise 管理対象ドメインに関連付けられたアカウントでは利用できません。 | 使えない |
| 確認済みかつ申請済みのドメインに関連付けられたアカウント | 以下では利用できません。／確認済みかつ申請済みのドメインに関連付けられたアカウント | 使えない |
| ChatGPT Business やその他のワークスペースにリンクされたアカウント | ChatGPT Business やその他のワークスペースにリンクされたアカウントでの利用可否は、アカウント構成とロールアウトによって異なる場合があります。 | 設定 > セキュリティ に表示が無ければ現在は使えない（表示があれば登録を試せる） |
| 後から Enterprise 管理対象になったアカウント | アカウントが後で Enterprise 管理対象になると、そのアカウントでは高度なアカウントセキュリティが無効になる場合があります。 | 有効にしていても無効になる場合がある |
※2026年11月7日時点で OpenAI の公式ヘルプ「高度なアカウントセキュリティ」に掲載されている条件文です。表の「使えるか」の列は、原文の条件を短く言い換えたものです。
Business は 設定 > セキュリティ の表示で確かめる
Business のアカウントで使えるかどうかは、公式ヘルプでも一律には書かれていません。ヘルプには「ChatGPT ウェブ版の 設定 > セキュリティ に 高度なアカウントセキュリティ が表示されない場合、そのアカウントでは現在利用できません」とあり、確かめる方法は画面を開くことになります。社員から問い合わせがあったときは、ウェブ版で同じ画面を開いてもらい、項目があるかどうかを見てもらうのが早いでしょう。
確認済みかつ申請済みのドメインとは
確認済みかつ申請済みのドメインとは、会社がメールのドメイン（アドレスの＠より後ろの部分）を自社のものとして OpenAI 側で確認・登録した状態を指す言葉と読み取れます。Business でも、SSO を設定する手順の中に、ワークスペース設定でメールドメインを確認済みドメインとして追加し、確認する工程があります。会社がこの手続きを済ませると、その会社のドメインのアドレスで作ったアカウントは、利用できない条件に当たる可能性があるでしょう。実際に当たるかどうかは、社員のアカウントで 設定 > セキュリティ を開いて、表示を見てみてください。
後から会社の管理下に入ると無効になる場合がある
個人で作ったアカウントで高度なアカウントセキュリティを有効にしていても、そのアカウントが後で Enterprise 管理対象になると、設定が無効になる場合があります。Enterprise の導入を考えている会社は、対象になりそうな社員へ前もって伝えてあげましょう。
Enterprise への拡大は予定として発表されている
2026年4月30日の発表には「私たちはこの取り組みを、エンタープライズ環境を含む追加の利用者層にも拡大していく予定です」という一文があります。ただし時期は書かれておらず、2026年11月7日時点の公式ヘルプでは、Enterprise 管理対象アカウントでは利用できない扱いのままです。今の時点では、Enterprise で使える前提で社内の手順を組まないほうが安全でしょう。
有効にすると変わること｜パスワード・メール・SMSコードが使えなくなる
有効にすると、サインインはパスキーとセキュリティキーだけになり、パスワードやメール、SMS のコードは使えなくなります。公式ヘルプに書かれている変更点は、次のとおりです。
- サインインにはパスキーとセキュリティキーが使用されます。
- パスワードによるサインインは無効になります。
- メールと SMS のサインインコードは無効になります。
- メールによるアカウント復旧は無効になります。
- メールのログイン通知は有効になります。
- アクティブなセッションは短くなるため、より頻繁に再サインインが必要になる場合があります。
- 高度なアカウントセキュリティが有効な間、会話は OpenAI モデルのトレーニングに使用されません。
サインイン方法と復旧の方法が変わる
大きな変化は、メールアドレスを使った復旧が止まる点になります。パスワードを忘れたときにメールで再設定するという普段の逃げ道がなくなり、登録したパスキーとセキュリティキー、それにリカバリーキーだけが入口として残ります。鍵をすべて失うと自分でも入れなくなる、という前提で選ぶ設定です。
セッション短縮・ログイン通知・アクティブなセッションの確認
有効にしている間は、サインインの状態が続く時間が短くなり、再サインインを求められる回数が増える場合があります。代わりにメールのログイン通知が有効になるため、自分の知らないサインインに気づきやすくなるでしょう。ヘルプでは、設定のアクティブなセッションから、サインイン中のセッションを確認して、個別に、またはまとめてログアウト出来ると案内されています。
有効な間は会話がモデルの学習に使われない
公式ヘルプには「高度なアカウントセキュリティが有効な間、会話は OpenAI モデルのトレーニングに使用されません」とあります。個人向けプランで学習を止める方法には、設定のデータコントロールにある「すべての人のためにモデルを改善する」をオフにするやり方もありますが、こちらは高度なアカウントセキュリティを有効にしている間の扱いになります。Business と Enterprise は、OpenAI の説明では既定で会社のデータがモデルの学習に使われないため、会社のアカウントでは学習を理由にこの設定を探す必要はありません。
必要なもの｜パスキー・セキュリティキー2つ以上とリカバリーキー
登録には、デバイス間で機能するものを1つ含む、少なくとも2つの安全なサインイン方法と、設定中に提供されるリカバリーキーの保存が必要です。サインイン方法には、パスキー、FIDO 対応のセキュリティキー、またはその両方の組み合わせを使うことが出来ます。
パスキーとは、パスワードの代わりに、スマートフォンやパソコンの指紋・顔の認証や画面ロックでサインインする仕組みです。セキュリティキーは、端末につないだり近づけたりして使う小さな物理的な鍵で、FIDO という業界の規格に対応したものが使えます。
| 組み合わせ | 公式ヘルプでの扱い |
|---|---|
| パスキー1つ＋対応ハードウェアセキュリティキー1つ | 有効な設定例として掲載 |
| 対応パスキー2つ | 少なくとも1つがデバイス間で機能する場合に、有効な設定例として掲載 |
| 対応ハードウェアセキュリティキー2つ | 有効な設定例として掲載 |
| 1台のデバイスにだけ保存されたパスキー | 1 台のデバイスにのみ保存されたパスキーは、デバイス間の要件を満たさない場合があります。 |
気をつけたいのは、1台のスマートフォンやパソコンの中だけにあるパスキーです。パスキーのヘルプにも、ローカルにだけ保存されて同期されていないパスキーは、その端末にアクセスできなくなると使えなくなることがある、と書かれています。iCloud キーチェーンなどで同期されるパスキーと、別の場所に保管する鍵を組み合わせておくのが安心でしょう。
YubiKey は任意で、必須ではない
YubiKey（ユビキー）は、セキュリティキーとして知られる製品の1つになります。ヘルプでは、米国・英国・EEA の対象ユーザーに YubiKey の注文の案内が表示される場合があると書かれており、「YubiKey バンドルは任意であり、高度なアカウントセキュリティの使用に必須ではありません」と明記されています。同期されるパスキーを含む2つのパスキーでも条件を満たせるので、まず手元の端末のパスキーで組み立ててみてください。
ロックアウトの危険｜OpenAI サポートでも復旧できないこと
すべてのサインイン方法とリカバリーキーを失うと、OpenAI サポートに頼んでもアカウントを元に戻せない場合があります。ヘルプの原文は次のとおりで、普段のパスワード忘れとは扱いがまったく違ってきます。
※公式ヘルプの原文：「高度なアカウントセキュリティが有効な間、OpenAI サポートは標準のメールによるアカウント復旧、パスワードのリセット、高度なアカウントセキュリティの削除、または通常のアクセスを復元するためのサインイン方法の追加や削除を行うことはできません。」（2026年11月7日時点）
サポートに連絡すれば何とかなる、という考えは通じない設定です。鍵とリカバリーキーの管理は、すべて本人の責任になります。
リカバリーキーは1回だけ使え、解除まで48時間かかる
鍵をなくしたときの頼みの綱は、リカバリーキーです。公式ヘルプには「各リカバリーキーは 1 回だけ使用できます」「有効なリカバリーキーを入力してから 48 時間後にアカウントのロックが解除されます」と書かれています。入力してすぐに入れるわけではないため、登録した鍵をすべてなくしてリカバリーキーで戻す場合は、2日ほど ChatGPT に入れない状態になってしまいます。
リカバリーキーは置き換えることも出来ますが、置き換えると古いキーは無効になります。置き換えは 設定 > セキュリティ > 高度なアカウントセキュリティ > リカバリーキー の 管理 から進め、新しいキーを保存し直す必要があります。
普段の MFA を失ったときとの違い
高度なアカウントセキュリティを入れていない通常の多要素認証（MFA）では、方法をすべて失っても、サポートの確認手続きのあとにメールでの1回限りの復旧用ログインが用意されています。確認には数日かかる場合があり、ヘルプでも「この復旧オプションは一度しか利用できません」とされているものの、サポートを通じた道は残る仕組みです。高度なアカウントセキュリティは、この道まで閉じてしまう設定だと考えておくと分かりやすいでしょう。
失わないための準備
失わないための準備は、鍵を分けて持つことに尽きます。たとえば、ふだん使うスマートフォンの同期されたパスキーと、自宅に置く物理的なセキュリティキーを組み合わせ、リカバリーキーは紙に書いて別の場所にしまう、という分け方が考えられるでしょう。パスワード管理ツールにリカバリーキーを入れる場合は、そのツール自体に入れなくなったときのことも考えておいてください。
社員が個人アカウントで有効にしたとき、会社が困ること
社員が業務に個人の ChatGPT アカウントを使っていて、そのアカウントで高度なアカウントセキュリティを有効にすると、会社からは止めることも戻すことも出来なくなります。個人のアカウントはもともと会社の管理の外にありますが、この設定が入ると、本人以外がアクセスを取り戻す道もほぼ閉じてしまいます。
サポートも会社も、アカウントを復旧できない
前の節のとおり、有効な間は OpenAI サポートでも、メールによる復旧やサインイン方法の追加・削除を引き受けられません。社員が鍵をなくして入れなくなった場合、そのアカウントに残っていた業務のチャットの履歴は、会社にとっても取り出せないものになってしまいます。
リカバリーキーは社員の手元にしかない
リカバリーキーは設定の途中で本人に提供され、本人が保存します。各キーは1回しか使えず、解除にも48時間かかるため、会社が預かって代わりに使う運用は現実的ではありません。退職や異動の際に、会社側でアカウントを止めたり引き継いだりする手段がない点も、個人アカウントならではの悩みになります。
Business の管理者は個人用ワークスペースの統合や削除を求められない
会社が後から ChatGPT Business を契約しても、社員の個人アカウントがそのまま会社の管理下に入るとは限りません。Business の SSO のヘルプには「ChatGPT Business の管理者は、個人用ワークスペースの統合や削除をユーザーに要求することはできません」と書かれています。個人アカウントに残った業務の履歴は、社員が自分で統合を選ばない限り、会社の管理下には移りません。
社員が自分の判断で強い守りを入れること自体は、本人のアカウントを守るうえで悪いことではないでしょう。困るのは、業務の情報がそのアカウントに入っている場合です。業務で使う ChatGPT を会社の管理下の環境にまとめ、個人アカウントには業務の情報を入れないという線を引いておけば、社員が個人で高度なアカウントセキュリティを入れても、会社が困る場面はほとんどなくなります。会社が把握していない個人アカウントでの業務利用は野良AI（シャドーAI）と呼ばれ、ログインの設定とは別に向き合う必要があるテーマです。
個人アカウントに業務の履歴を残さないよう、使う環境を会社で1つにまとめておくと安心です。UPGEAR AI（アップギアAI）は、ChatGPT・Claude・Gemini・Perplexityを1つの契約で使える法人向けサービスです（人数無制限）。
使えない会社アカウントで、管理者がログインを守る方法
会社のアカウントで高度なアカウントセキュリティが使えないとき、管理者が使える主な手段は、Business の SSO とドメイン確認で、社員のサインインを会社の ID にそろえることになります。SSO とは、会社で使っている ID の仕組み（ID プロバイダー、IdP と呼ばれます）に一度サインインすれば、各サービスにも同じ ID で入れるようにする仕組みです。IdP には一般に Microsoft Entra ID・Google Workspace・Okta などがあり、パスキーや多要素認証の条件は IdP 側で決めることが出来ます。
SSO は入れなければ危ないというものではなく、社員ごとに任せていたサインインの守りを会社で決められるようにする選択肢の1つです。社員数や、すでに会社の ID の仕組みを使っているかどうかを見て、入れるかどうかを決めてみてください。
OpenAI 自身も、Trusted Access for Cyber の組織については、SSO の中のフィッシングに強い認証を代わりの手段として示しています。発表の原文では、Trusted Access for Cyber の個人メンバーは2026年6月1日から高度なアカウントセキュリティの有効化が必須になるとしたうえで、「Trusted Accessを持つ組織は、代替手段として、シングルサインオンのワークフローの一部としてフィッシング耐性のある認証を備えていることを表明できます」と書かれていました。会社の守りを SSO と IdP 側のフィッシングに強い認証（パスキーなど）で組み立てる考え方は、この発表の方向とも重なります。
Business の SSO とドメイン確認の手順
公式ヘルプには「ChatGPT Business には、SSO とドメイン確認が含まれています。Business は、Security Assertion Markup Language（SAML）と OpenID Connect（OIDC）をサポートしています」とあります。設定の流れは、ヘルプに沿うと次のようになります。
- ワークスペースのオーナーとしてサインインします
- ワークスペース設定 > ID とアクセス を開き、ID とプロビジョニング に進みます
- 確認済みドメイン で、会社のメールドメインを追加して確認します
- シングルサインオン（SSO）で、SAML か OIDC を選んで SSO を設定します
- IdP 側でも ChatGPT との接続を構成します
- テスト用のユーザーでサインインを試し、問題がないことを確かめます
- IdP に登録されているメールアドレスで、メンバーを招待します
招待に使うメールアドレスは、IdP に登録されているものとそろえてください。ヘルプによると、同じメールアドレスで SSO からサインインすると既存のアカウントとチャット履歴は保持され、別のメールアドレスだと別のアカウントになる場合があります。
SSO を必須にしても、効くのは対象のメールドメインだけ
SSO を必須にした場合でも、その条件がかかるのは、ワークスペースのサインインポリシーの対象になっているメールドメインに限られます。ヘルプの原文は「ワークスペースで SSO が必須の場合、その要件はワークスペースのサインインポリシーの対象となるメールドメインに適用されます。他のドメインから招待されたメンバーは、引き続き、許可されている別のサインイン方法を使用できる場合があります」となっています。グループ会社や外部の協力者を別のドメインで招いている場合、その方々のサインインは SSO の外に残ることになります。
管理者は ChatGPT 側で MFA を必須にできない
多要素認証（MFA）は、パスワードに加えて、スマートフォンのアプリやパスキーなどでもう1段確かめる仕組みです。ChatGPT の MFA は、認証アプリ・プッシュ通知・テキストメッセージ（SMS または WhatsApp の6桁コード）・パスキーから選べますが、管理者がワークスペースとして全員に必須にする設定は、2026年11月7日時点で用意されていないとヘルプに書かれています。
※公式ヘルプの原文：「管理者はワークスペースまたは組織で MFA を必須にできますか？ 現時点では対応していません。MFA は現在、ChatGPT ワークスペースまたは API プラットフォームの組織レベルでは適用できません。」
そのため、会社として MFA を全員に通したいときは、SSO を必須にして、IdP 側で MFA やパスキーを求める形が現実的になります。SSO で管理されているアカウントでは、パスキーは MFA の方法として働く、とパスキーのヘルプにも書かれています。SSO を使わない場合は、社員一人ひとりに MFA の設定をお願いし、設定したかどうかを確かめる流れになるでしょう。
単独の Business には SCIM がない
SCIM とは、IdP に登録した社員の追加や削除を、自動で各サービスのアカウントに反映させる仕組みです。ヘルプには「スタンドアロンの ChatGPT Business プランには、SCIM、同期グループ、ディレクトリの自動プロビジョニングは含まれません」とあります。また、SSO はサインインの方法を決めるもので、メンバーの招待やアクセス権の付与まではしてくれません。入社した方の招待と、退職した方の削除は、管理者が ChatGPT の管理画面で手作業で進めることになります。
社員数が数十名ほどであれば、入退社のたびに管理画面で招待と削除をする運用でも、十分に回せる会社は多いでしょう。退職の手続きの一覧に、ChatGPT のメンバー削除を1行足しておくのが近道になります。端末をなくした場合などは、本人に 設定 > セキュリティ（ヘルプによっては セキュリティとログイン）の すべてのデバイスからログアウト を使ってもらうと、ほかの端末のセッションをまとめて切ることが出来ます。
※すべてのデバイスからログアウトは、全セッションがログアウトされるまで最大30分かかる場合がある、と公式ヘルプに書かれています（2026年11月7日に確認）。
サインインの設定を変える前に、別のオーナーか復旧方法を用意する
SSO を必須にするなど、サインインの条件を変える前には、もう1人のオーナーか、承認済みの復旧方法を用意しておきましょう。ヘルプでは「サインイン要件を変更する前に、権限のある別のワークスペースのオーナー、または承認済みの復旧方法が利用可能であることを確認してください」と案内されています。唯一のオーナーが辞める前の所有権の譲渡と、署名証明書の有効期限が切れる前の更新も、同じヘルプに書かれている作業です。
ChatGPT のパスキー｜高度なアカウントセキュリティとの違い
ChatGPT のパスキーは、高度なアカウントセキュリティを入れなくても、単独で追加できるサインイン方法になります。高度なアカウントセキュリティがパスワードやメールでの入口を閉じる設定なのに対し、パスキーの追加はパスワードなどを無効にする設定ではありません。
パスキーの追加と管理の手順
パスキーは、Web 版の ChatGPT にサインインして、設定 > セキュリティ > パスキー の パスキーを追加 から登録します。追加したパスキーの削除も、同じ 設定 > セキュリティ のパスキーから行えます。パスキーを設定すると、メールアドレスを入力した後の既定のサインイン方法がパスキーになります。
会社のアカウントでのパスキーの位置づけ
会社が SSO を使っている場合、パスキーの役割が変わります。パスキーのヘルプには「シングルサインオン (SSO) を使用する組織によってアカウントが管理されている場合、引き続き組織を通じてサインインし、パスキーは多要素認証 (MFA) の方法として機能します」と書かれています。SSO の会社では、パスキーは入口ではなく、組織のサインインに足す2段目の確認として働きます。
メールアドレスのないアカウントでは、セキュリティ設定にセキュリティキーとパスキーが表示されず、パスキーでのログインも出来ません。同期されていない1台の端末だけのパスキーは、その端末を使えなくなると使えなくなることがあるので、社員には同期されるパスキーを勧めておくとよいでしょう。
画面の名前は「セキュリティ」と「セキュリティとログイン」の2通り
高度なアカウントセキュリティとパスキーのヘルプでは、設定の画面名が「セキュリティ」と書かれています。一方で MFA のヘルプでは、「ChatGPT の設定」から「セキュリティとログイン」を開いて多要素認証（MFA）を選ぶ手順になっており、記事によって表記が分かれている状態です。社員向けの案内では両方の名前を書いておくと、画面の表記が違っても迷いにくくなります。
入れる人・入れない人の判断
高度なアカウントセキュリティは、個人のアカウントで、鍵を自分で管理できる方に向いた設定になります。公式ヘルプが想定しているのは、デジタル攻撃のリスクが高い可能性がある方や、利用可能な最高レベルのアカウントセキュリティを求め、アカウント復旧の責任を自分で負える方です。
| 状況 | 判断の目安 |
|---|---|
| 個人のアカウントで、乗っ取られたときの影響が大きい（取材・研究・公的な立場など） | 入れる候補。鍵2つ以上とリカバリーキーの保管場所を先に用意する |
| 個人のアカウントで、鍵やリカバリーキーを自分で管理する自信がない | 先にパスキーの追加と MFA から始める |
| 会社の Enterprise 管理対象アカウント | 使えない。会社のサインインの仕組み（SSO など）に従う |
| 会社の Business のアカウント | 設定 > セキュリティ に表示があるかを確認し、会社の方針に従う |
| 業務の情報を個人のアカウントで扱っている | 設定を考える前に、業務を会社の環境へ移す |
会社の方にとっては、業務で使うアカウントについて、社員が個人で入れるかどうかを決めるのではなく、会社のサインインの決まりに合わせることになります。個人のアカウントで入れるかどうかは本人の判断に任せ、業務の情報は会社のアカウントで扱う、という分け方を社内で決めましょう。
設定手順と、あとから無効にする方法
登録は、ウェブ版・Android・iOS のどれからでも始められます。モバイルから始めた場合は、途中でウェブブラウザーに切り替わります。
- 設定 > セキュリティ > 高度なアカウントセキュリティ を開きます
- 登録 を選び、安全な設定ページで 続行 を押します
- 2つ以上の安全なサインイン方法（パスキーやセキュリティキー）を追加します
- リカバリーキーを保存し、保存したことを確認します
初期設定が終わると、すべてのデバイスからサインアウトされます。仕事で使っているパソコンやスマートフォンでも入り直しになるので、時間に余裕のあるときに設定してみてください。
あとから無効にする方法
無効にしたいときは、設定 > セキュリティ > 高度なアカウントセキュリティ から 無効にする を選び、安全なサインインを済ませます。無効にすると、パスワードやメール・SMS のコード、メールでの復旧が再び使えるようになり、ログイン試行のメールアラートはオフに切り替わります。リカバリーキーは削除され、登録したパスキーとセキュリティキーはアカウントに残りますが、サインインに必ず使うものではなくなります。
社員に配る案内文のひな形
社員への案内は、会社のアカウントでは設定が出ない場合があること、個人で入れる場合の注意、業務は会社の環境で扱うこと、の3点を短く伝える形がおすすめです。次のひな形は、実名やメールアドレスを入れずに、そのまま社内のチャットやメールに貼れる形にしてあります。［ ］の中を自社の内容に置き換えて使ってみてください。
件名：ChatGPTの「高度なアカウントセキュリティ」の扱いについて ［部署名］の皆さま ChatGPTの設定に「高度なアカウントセキュリティ」という項目があります。会社での扱いを次のとおりお知らせします。 1．会社のアカウントについて 会社の ChatGPT アカウントでは、この項目が表示されない場合があります。表示されない場合は使えない仕組みのため、対応は不要です。会社のアカウントのサインインは、［会社のサインイン方法（例：会社のIDでのシングルサインオン）］に従ってください。 2．個人のアカウントで有効にする場合 個人のアカウントで有効にするかどうかは、各自の判断で構いません。有効にすると、パスワードやメールでの復旧が使えなくなり、OpenAI のサポートでもアカウントを復旧できなくなります。有効にする場合は、次の3つを先に用意してください。 ・パスキーまたはセキュリティキーを2つ以上（1つは複数の端末で使えるもの） ・設定中に表示されるリカバリーキーの保管場所（端末とは別の場所） ・時間に余裕のあるタイミング（設定後、すべての端末で入り直しになります） 3．業務の情報について 業務の情報は個人のアカウントには入力せず、会社が用意した環境だけで扱ってください。個人のアカウントで鍵をなくすと、会社でも中身を取り出せません。 ご不明な点は［担当部署・窓口の名前］までお問い合わせください。
会社が SSO を使っていない場合は、1の後半を「会社のアカウントでも、各自で多要素認証（MFA）を設定してください」に差し替えると、会社のアカウントの守りもあわせて呼びかけることが出来ます。
管理者の点検リスト
最後に、管理者が一度確かめておきたい項目を並べます。上から順に見ていけば、会社のアカウントの守りと、個人アカウントに残る業務の情報の両方を点検することが出来ます。
- 会社のアカウントで表示を確かめた社員のアカウントで、ChatGPT ウェブ版の 設定 > セキュリティ に 高度なアカウントセキュリティ が出るかを見る
- 会社のメールドメインを確認済みにしたBusiness の ワークスペース設定 > ID とアクセス > ID とプロビジョニング にある 確認済みドメイン で確認する
- SSO を使うかどうかを決めた使う場合は SAML か OIDC か、IdP 側で求める MFA・パスキーの条件まで決める
- SSO 必須の対象外になるメンバーを把握した他のドメインから招待したメンバーは、許可されている別のサインイン方法を使える場合がある
- SSO を使わない場合、社員に MFA の設定を依頼した管理者は ChatGPT のワークスペースとして MFA を必須にできない
- 別のオーナーか承認済みの復旧方法を用意したサインイン要件を変える前に。唯一のオーナーの退職前の譲渡と、署名証明書の更新時期も控えておく
- 招待のメールアドレスを IdP とそろえた別のメールアドレスで SSO サインインすると、別のアカウントになる場合がある
- 入退社の手順に ChatGPT の招待と削除を入れた単独の Business には SCIM・同期グループ・ディレクトリの自動プロビジョニングが含まれない
- 端末紛失時のログアウト手順を決めた設定 > セキュリティ（ヘルプによっては セキュリティとログイン）の すべてのデバイスからログアウト（反映まで最大30分かかる場合がある）
- 業務で使われている個人アカウントを洗い出したBusiness の管理者は、個人用ワークスペースの統合や削除をユーザーに要求できない
- 社員に案内文を配った個人で有効にする場合の準備と、業務の情報は会社の環境だけで扱うことを伝える
点検の結果、業務で使われている個人アカウントが多いと分かったときは、業務で使う環境そのものをどうそろえるかを考える段階になります。
会社でChatGPTを安全に使うには｜使う環境を会社の管理下にそろえる
ログインの守りをいくら固めても、社員が業務で個人のアカウントを使っていれば、その部分は会社から見えないまま残ります。会社で安全に使うための土台は、業務で使う生成AIの環境を、会社の管理下に1つにそろえることになります。
1つ目は、学習に使わせない扱いが全員にかかることです。ChatGPT Business と Enterprise は、OpenAI の説明では既定で会社のデータをモデルの学習に使わない扱いで、個人向けプランのように社員一人ひとりの設定に頼らずに済みます。
2つ目は、誰がどれだけ使っているかを会社で把握できることです。ログを会社側で確かめられる環境であれば、配った後の使われ方や、入れてはいけない情報の扱いを振り返ることが出来ます。
3つ目は、配布と回収を会社の手で進められることです。入社した方にはアカウントを渡し、退職した方の分は止める、という当たり前の流れが、個人アカウントのままでは作れません。
4つ目は、ChatGPT 以外の AI も同じ考え方でそろえることです。用途によっては ChatGPT 以外の AI を使いたくなる場面もあり、ChatGPT だけを固めても、ほかの AI が個人アカウントのまま残ってしまいます。複数の AI を使い分ける考え方はマルチAI（複数の生成AIの併用）と4つのAIの使い分けで、社内の決まりの作り方は生成AIの社内ガイドラインの作り方で紹介しています。
費用の面は、ChatGPT 法人プランの料金で人数ごとの総額を確かめてみてください。まだ社内の点検が済んでいない場合は、生成AIのセキュリティチェックリストから始めるのも1つの方法になります。
社員のAI利用を、会社が管理できる1つの環境に
UPGEAR AIは、ChatGPT・Claude・Gemini・Perplexityを1つの契約・1画面で使える法人向けサービスです。管理者ダッシュボードで利用ログ・権限・モデルのON/OFFを管理でき、データの保管とログ管理は国内サーバー（AWSの日本リージョン）で行います。月額30,000円（税抜）から。どのプランも利用人数は無制限で、料金は利用量に応じたプラン設計です（人数の目安はライト1〜5名、スタンダード6〜20名、プレミアム21〜50名）。初期費用100,000円（税抜）が別途かかります。
UPGEAR AIの詳細を見るよくある質問
高度なアカウントセキュリティは ChatGPT Business で使えますか？
ChatGPT Enterprise で使えるようになる予定はありますか？
高度なアカウントセキュリティを使うには YubiKey が必要ですか？
鍵とリカバリーキーをすべて失ったら、OpenAI サポートに復旧してもらえますか？
Business の管理者は、社員全員に MFA を必須にできますか？
パスキーを追加するのと、高度なアカウントセキュリティを有効にするのは何が違いますか？
社員が個人アカウントで有効にしても、会社に影響はありますか？
有効にすると、会話はモデルの学習に使われなくなりますか？
まとめ
高度なアカウントセキュリティは、パスキーとセキュリティキーだけでサインインさせ、パスワードやメールでの復旧を止める、個人向けの任意設定です。Enterprise 管理対象アカウントや、確認済みかつ申請済みのドメインに関連付けられたアカウントでは使えず、Business は 設定 > セキュリティ に表示があるかどうかで決まります。
使えない会社のアカウントでは、Business の SSO とドメイン確認でサインインを会社の ID にそろえ、MFA やパスキーの条件は IdP 側で決める形が中心になります。ChatGPT 側では管理者が MFA を必須にできないこと、SSO 必須は対象のメールドメインにだけ効くこと、単独の Business には SCIM がないことを前提に、入退社の手順まで決めておきましょう。
社員が個人アカウントで有効にしたあとに鍵とリカバリーキーをすべて失うと、OpenAI サポートも会社もアカウントを元に戻せなくなってしまいます。業務の情報は会社の管理下の環境だけで扱うと決め、案内文と点検リストで社内にそろえてみてください。ほかの記事はAI活用コラム一覧から探すことが出来ます。