はじめに

AIチャットに健康の悩みや仕事の相談を打ち込むとき、多くの人は「AIの会社とだけ話している」と考えがちです。ところが、その画面の裏側では、ふつうのウェブサイトと同じように広告・解析・監視用の第三者サービスが動いていることがあります。

吹き出しのチャット画面から点線が伸び、複数の監視の目のアイコンへつながるイラスト

スペインの研究機関 IMDEA Networks の研究チームは、主要なAIチャット9サービスのウェブ版とAndroid版を調べ、会話のURL・タイトル・プロンプトなど「会話から生まれる情報」が第三者へ送られていた事例を報告しました。論文「Prompt like a Butterfly, Sting like a Tracker」は、プライバシー研究の国際会議 PETS 2027（2027年7月19〜24日、オランダ・デルフト）の論文として採録され、2026年9月22日（UTC）にIMDEAのリポジトリで公開されています。

この記事では、論文が何を測ったのか、どこまでが確認された事実なのか、利用者にできることは何かを整理します。内容は2026年10月12日に確認した論文本文（PDF）、IMDEA Networksの発表（2026年5月6日、一部結果の先行公表）、英国ICOの発表（2026年10月8日）にもとづきます。本記事で通信を再測定したものではなく、各サービスの現在の挙動は論文の測定時点（2026年5月）から変わっている可能性があります。

調査の概要

  • 対象: ChatGPT、Claude、Grok、DeepSeek、Perplexity、Gemini、Microsoft Copilot、Mistral（Le Chat）、Meta AI の9サービス。ウェブ版は9つすべて、Android版はアプリのある8つ
  • 測定: 2026年5月にスペインで実施。ゲスト・無料・有料の各プラン、Cookieの同意／拒否、共有リンクの有無などの条件を変えて、手作業で会話しながら通信を記録
  • 見たもの: 第三者の広告・解析・監視サービス（論文では ATS＝Advertising and Tracking Services と総称。Datadog のような監視ツールや Intercom のようなサポートツールも含む）に、会話に関わる情報が送られているか

主な結果

1. 会話由来の情報が第三者へ

論文によると、ウェブ版9サービス中6つ、Android版8つ中3つで、会話のURL（パーマリンク）や会話ID、会話タイトル、直近のプロンプト、スクリーンショットといった会話由来の情報が、第三者サービスへ送られていました。送り先の数は、ウェブ版で11、Android版で2つの第三者サービスです。

さらに、こうした情報は多くの場合、Cookie・ユーザーID・ハッシュ化したメールアドレスなどの識別子と一緒に送られていました。論文は、これにより第三者が会話を特定の利用者や長期のプロフィールに結びつけ得ると指摘しています。

2. Grokは会話リンクが既定で公開、共有時には画面の一部も

研究チームが最も問題視したのが Grok です。

  • 無料・有料プランの会話URLは、既定でURLを知っていれば誰でも読める設定（オプトアウトは可能）
  • ウェブ版で不要なCookieを受け入れた条件では、Meta Pixel が会話ID・会話タイトル・会話URLなどを、Metaの識別用Cookie（_fbp）と一緒に受け取っていた
  • 同じく不要なCookieを受け入れた条件では、サーバー側のタグ管理を経由して、会話URLと話題のタイトルがMetaとTikTokのサーバーへ直接送られており、ブラウザ側の広告ブロッカーでは止められない形だった
  • 不要なCookieを受け入れた条件で会話を共有したときには、TikTokが会話のスクリーンショットを、MetaとTikTokが直近のプロンプトを受け取っていた

研究チームの公開資料によると、上のMeta・TikTok・サーバー間転送はいずれも不要なCookieへの同意後に観測されたものです（Google Analyticsへの会話URL・タイトルの送信は同意の有無にかかわらず起きていたとされます）。会話URLが既定で公開されていた点は、こうした送信とは別の、アクセス設定の問題です。

論文は、外部から悪用できるセキュリティ上の問題と判断したのはGrokの件だけで、それ以外の多くは「意図的な製品設計」によるものだとしています。研究チームは2026年4月17日にxAIへ報告しましたが、9月10日時点でもGrokの会話URLは公開されたままで、公式な返答は受け取っていないと記しています。

3. 会話に貼ったURLへのアクセス

研究チームは、会話や添付ファイルに「アクセスされると通知が来るURL（カナリアトークン）」を仕込んで、あとから誰が開くかも調べました。外部からのアクセスが確認されたのはGrokだけで、送信から数時間〜数日にわたり、14か国・70のIPアドレスから計70回のアクセスがあったといいます。ただし、アクセスしたのがMetaやTikTokだと特定した結果ではありません。

また Perplexity は、「URLを開かないで」と指示しても、自社のクローラーとされるIPアドレスから繰り返しアクセスしていました。なお論文は、アクセスが観測されなかったことは「アクセスがない」証拠ではないとも断っています。

4. 他のサービスの例と、Cookie拒否の効果

  • Claude: 不要なCookieを受け入れると、Anthropic自身のドメイン経由で、Facebook・LinkedIn・TikTokなど11の送り先へサーバー間でイベントを転送する設定が読み込まれていました。拒否すると、Meta Pixel や Datadog への送信、このサーバー間転送は止まったとされています
  • Perplexity: ゲストの会話は常に公開URLでした。一方で、2026年4月3日以降は会話URLをMetaなどへ送るのをやめたと論文は記しています。また、ハッシュ化したメールアドレスを解析会社Singularへ送っていました
  • ChatGPT・Claudeのウェブ版: 会話IDを監視ツールの Datadog へ送っていました

不要なCookieを拒否すると送信が減るケースは多いものの、論文によれば、無料プランでは9サービス中4つで、拒否したあとも第三者サービスがデータを収集していました。無料と有料プランの間には、はっきりした違いは見られなかったとしています。

AIチャットの会話情報が第三者へ流れる経路の図。会話URL・会話ID、会話タイトル、直近のプロンプト、共有時のスクリーンショットが、Cookieやハッシュ化メールなどの識別子と一緒に、広告・解析・監視の第三者サービスへ送られ得る。送信内容と経路はサービスやCookieの同意条件で異なり、すべての組合せが常に送られるわけではない。ブラウザからの送信に加え、サーバー間の転送は広告ブロッカーで止められない。測定は2026年5月のスペインで、ウェブ版9中6、Android版8中3で確認
図：会話由来の情報が第三者へ流れる主な経路（IMDEA Networksの論文をもとに作成。図を選ぶと大きく表示できます）。測定は2026年5月・スペインで、現在の挙動とは異なる可能性があります。

規制当局の動き

  • 研究チームは2026年4月13日にEUと英国のデータ保護当局へ報告し、5月27日にはスペインのデータ保護当局（AEPD）がこの研究を引用して、欧州データ保護会議（EDPB）での検討を求めたと論文に記しています
  • 論文は、OpenAIが2026年8月15日にプライバシーポリシーを更新し、第三者トラッカーに明示的に触れたとしつつ、研究との因果関係は確認できないとしています
  • 英国のデータ保護当局ICOは2026年10月8日、OpenAI・Anthropic・Google・Metaなど10社の基盤モデル開発企業から、データ保護の改善（すでに実施したものと、今後の実施を約束したもの）を取り付けたと発表しました。あわせてAIエージェントのデータ保護リスクに関する意見募集（2026年11月20日まで）を始め、xAIについては、Grokに関する正式な調査を開始したため個別の協議を中断し、その調査は継続中だとしています。ICOの発表は本論文を直接扱ったものではありません

論文はGDPRやeプライバシー指令との関係も論じていますが、これは「法的評価を確定するものではない」と明記されています。本研究だけで違法性・適法性は確定できません。

利用者ができる対策

  1. 不要なCookieは拒否する: 完全ではありませんが、論文でも送信が減るケースが多く確認されています
  2. ブラウザ側で第三者の通信を減らす: トラッカーをブロックするブラウザや拡張機能は、ブラウザから直接送られる分には効果があります。ただし、サーバー間で転送される分は防げません。ブラウザ選びは プライバシー重視のブラウザ比較 を参考にしてください
  3. 会話の共有リンクと公開設定を確認する: 共有したリンクは誰でも開ける前提で扱い、不要になったら取り消す。Grokを使う場合は、会話を公開しない設定にしているか確認する
  4. センシティブな内容は書かない、またはアカウントと切り離す: 健康・お金・人間関係などは、会話タイトルとして要約されるだけでも内容が推測され得ます。履歴を残さない一時チャットなども、送信自体を止めるものではない点に注意
  5. VPNは別の問題を解く道具と考える: VPNはIPアドレスを隠せても、AIサービスのページ内で動くトラッカーや、Cookie・アカウントによる識別は防げません

AIに渡した内容そのものの扱い（学習利用や保存期間）については AIデータ漏洩リスク2026 と AIサービスのプライバシーランキング で、トラッカーの仕組みは あなたのネット活動を追跡しているのは誰か で解説しています。

まとめ

  • IMDEA Networksの研究チームは、9つのAIチャットを2026年5月にスペインで調査。ウェブ版9中6、Android版8中3で、会話のURL・タイトル・プロンプトなどが第三者の広告・解析・監視サービスへ送られていたと報告した（PETS 2027採録、2026年9月22日公開）
  • 外部から悪用できる問題と判断されたのはGrokの会話URLの公開設定で、9月10日時点でも未対応とされる。そのほかの多くは製品設計による送信
  • Cookie拒否で減るケースは多いが、拒否後も収集が続くサービスがあった。サーバー間転送はブラウザ側では止められない
  • 本研究だけで違法性・適法性は確定できない。利用者側では、Cookie拒否、共有リンクの管理、センシティブな内容を書かないことが現実的な対策

「AIとの会話は二者間のもの」という前提を、一度見直すきっかけにしてください。