Pendoの人工知能（AI）

Pendoでは、パフォーマンス、セキュリティ、データプライバシーを最優先し、組織としてプロダクトやポリシーを設計する際もこれらを踏まえて実施しています。

この記事では、AIに関連するPendoのセキュリティおよびプライバシー慣行に関する情報を提供します。弊社の取り組みが進化していく中でも、引き続きこのような透明性を提供できるよう努めてまいります。

注： Pendoは、安全なモデルコンテキストプロトコル（MCP）サーバーを介して、互換性のある外部AIクライアントにプロダクトデータも公開します。MCPは、互換性のあるAIツールが、Pendoでアクセスするのと同じアナリティクスやAIを活用したインサイトを照会できるようにするアクセスレイヤーを提供します。詳細については、「Pendo MCPサーバーへの接続」を参照してください。

Pendoで使用されているAIテクノロジー

Pendoは、独自のAIテクノロジー（Pendo AI）とサードパーティーサービスを組み合わせて使用しています。現在利用しているサービスは、Microsoft Azure上でホストされるOpenAI（Azure OpenAI）およびOpenAIのインフラストラクチャ（OpenAI）、Amazon Web Services（Amazon Bedrock）、Google Cloud Platform上でホストされるGoogle Gemini（Google Generative AI）、ならびにAnthropic（Claude）です。Pendoの他のすべてのサービスと同様に、AI機能にも同じデータ保護原則を適用しています。具体的には、保存中および転送中のすべてのデータの暗号化、顧客データを混在させないこと、本番データを開発およびテスト環境で使用しないことなどが含まれます。

米国のサブスクリプションでLeoに対して、PendoはGoogle Generative AI、OpenAI、Anthropicのいずれかを使用する場合があります。リクエストを処理するプロバイダーが利用できない場合や、処理できない場合（たとえば、容量の制約がある場合）、Pendoはリクエストをこれらのプロバイダーのうち別のプロバイダーにルーティングすることがあります。AIアクセス設定でそのプロバイダーによる処理が許可されていない場合、PendoはOpenAI、Azure OpenAI、Anthropicにリクエストをルーティングしません。Pendoが使用するAIプロバイダーは、時間の経過とともに変更される場合があります。AIプロバイダーを含むPendoのサブプロセッサの最新リストについては、Pendoのサブプロセッサページをご覧ください。

すべてのサードパーティのLLMプロバイダーは、Pendoのセキュリティおよびプライバシーチームによる全面的なレビューを受けており、弊社は長年にわたるパートナーシップに支えられた、各プロバイダーとのエンタープライズレベルの契約を維持しています。プロバイダーに送信されるデータが、プロバイダー独自のモデルトレーニングや開発に使用されないようにしています。データは、AIテクノロジープロバイダーによって可能な限り最短の期間、実質的にゼロデイリテンション（ZDR）で保持されます。名前、メールアドレス、SSN、クレジットカード番号などの一般的なPIIデータタイプは、AIテクノロジープロバイダーに送信する前にあらゆるテキスト文字列から秘匿化します。エージェントアナリティクスでは、各AIエージェントに対してPendoがどのカテゴリーを秘匿化するかを選択します。選択されていないカテゴリーは、入力されたとおりにAIテクノロジープロバイダーに送信されます。詳しくは、「データ収集とコンプライアンス」を参照してください。これらの保護対策により、お客様のデータはPendoのプライバシー、セキュリティ、信頼への取り組みに沿って保護されます。

新しいAI機能を開発する際は、デザインパートナー契約に基づき、希望された一部のお客様と協力しています。これにより、データセキュリティポリシーと手順に従いながら、設計やアルゴリズムの有効性を迅速に改善できます。

Pendo AIとは、各お客様に属するアプリケーションごとに1つのモデルをトレーニングする、弊社の社内機械学習（ML）システムを指します。詳細については、この記事の「モデルのトレーニング」を参照してください。

機械学習を基盤とするPendo AIに加えて、モデルを使用せず、単純な統計処理に基づき同じ入力に対して常に同じ出力を返すルールベースの人工知能機能も社内で開発しています。これを「社内AIコード」と呼んでいます。

Pendoはまた、サードパーティのAIサービスであるTavilyを使用して、サブスクリプション管理者から提供された会社のWebサイトのURLからビジネスコンテキストの説明を生成します。Tavilyは、顧客からのフィードバック、エンドユーザーデータ、またはPendoがお客様に代わって収集するその他のデータを受け取りません。ビジネスコンテキストについての詳細は、「サブスクリプション設定」をご覧ください。

次の表は、Pendo AIを活用した各フィーチャーに使用されるAIテクノロジープロバイダーの一覧です。

外部AIクライアントのMCPアクセス

Pendo UI内でAIを使用するだけでなく、Claude、ChatGPT、Cursor、Copilotなど、モデルコンテキストプロトコル（MCP）をサポートする外部のAIツールにPendoのデータを安全に公開することができます。

Pendo MCPサーバーをオンにすると：

• 外部のAIクライアントは、既存のPendoログインを使ってOAuthで認証します。
• これらのAIクライアントは、Pendoですでに適用されているのと同じロール、アクセス制御、リージョンを使用して、Pendo MCPツールを呼び出して、使用状況データ、メタデータ、ガイドをクエリできます。
• お客様のAIクライアントとPendo MCPサーバーの間で送信されるデータは、送信中に暗号化され、各顧客のデータを分離し、Pendoの他のサービスのデータリテンションを管理するのと同じポリシーの下で取り扱われます。

MCPで外部AIクライアントを使用する場合、そのクライアントがプロンプトとレスポンスをどのように処理するか（モデルトレーニングを含む）は、そのクライアント独自のデータ使用ポリシーと契約によって管理されます。セットアップの詳細については、「Pendo MCPサーバーへの接続」を参照してください。

モデルのトレーニング

お客様の行動データを使用して、サブスクリプション固有の機械学習モデル（非生成型）を他の顧客データとは切り離してトレーニングします。通常、お客様ごとに1つのモデルをトレーニングしますが、場合によっては、各お客様のプロダクトの特徴ごとに1つのモデルをトレーニングします。これは、訪問者によるアプリケーションの使用に関するインサイトを表面化するために行っています。

つまり、モデルトレーニングを行う際、すべてのトレーニングデータはお客様ごとに個別にスコープ設定され、トレーニングされます。これは、初期モデルおよび後続モデルの両方に適用されます。これによりPendoはお客様に、具体的で、お客様への関連性が高く、充実したインサイトを提供できます。またPendoは企業としての行動指針にこれを維持しています。弊社の行動指針の詳細については、「PendoのAI原則」をご覧ください。

AIシステムのプライバシーとセキュリティ

Pendoは、AIシステムを提供するサブプロセッサを含め、各サブプロセッサとデータ処理契約を締結しています。契約により、これらのサブプロセッサはプライバシーとセキュリティに関する規制基準を維持しなければなりません。たとえば、OpenAIは、お客様がオプトインしない限り、そのAPIを通じて提供された情報をAIモデルのトレーニングに使用しないことを公に約束しています。Pendoはオプトインしておらず、今後もオプトインする予定はありません。

Pendoは独自の大規模言語モデル（LLM）技術や「生成AIエンジン」を開発・運用していません。

サードパーティのAIクライアントがMCPサーバーを介してPendoにアクセスする場合、そのクライアントのリクエストは、OAuthベースの認証、リージョナルルーティング、転送中の暗号化といった同じ契約上の保護と技術的管理の対象となります。データが外部のAIクライアントに提供された後、そのクライアントがどのようにデータを保存、処理、または使用するか（モデル学習を含む）は、Pendoではなく、そのクライアント自身のデータ使用ポリシーとそのクライアントとの契約によって管理されます。

AIを活用したフィーチャーのオプトインとオプトアウト

PendoのAIを活用した機能を利用するかどうか、またいつ利用するかを選択できます。Pendoのサブスクリプション管理者ユーザーは、［設定（Settings）］>［サブスクリプション設定（Subscription settings）］のAIアクセスタブで、特定のAIを活用した機能のオプトインとオプトアウトを選択できます。ここでは、使用しているAIテクノロジーと、このテクノロジーを提供しているサードパーティプロバイダーがあれば、それを確認できます。Leoの場合、Google Generative AIを利用できないときに使用される可能性があるOpenAIとAnthropicが含まれます。これらの設定の詳細については、「サブスクリプション設定」の記事の「AIアクセス」を参照してください。

Pendoは、AI機能が自動的にオンになることでデータの保存および処理に変更が生じ、規制上の制限が適用されるため、多くのお客様が懸念を抱く可能性があることを理解しています。これらの懸念に対処しつつ、ほとんどのお客様が当社のAI機能による付加価値を簡単に体験できるようにするため、Pendoの主要なデータの保存および処理機能に使用されるものと同じGCPベースのクラウド環境内でデータの保存と処理が行われる機能のみが、デフォルトでオンになっています。これらには、Google Generative AI、Pendo AI、および社内AIコードを使用する機能が含まれます。Google Generative AIを使用するLeoは、デフォルトでオンになっています。Google Generative AIを利用できない場合、Leoは代替手段としてOpenAIまたはAnthropicを使用することがあります。その場合、データはPendoの主要なGCPベースのクラウド環境外で、そのプロバイダーによって処理されます。この代替手段は米国のサブスクリプションにのみ適用され、AIアクセス設定によって制御されます。設定でプロバイダーによる処理が許可されていない場合、PendoはLeoのリクエストをOpenAI、Azure OpenAI、またはAnthropicに送信しません。OpenAI、Azure OpenAI、およびAnthropicの機能はデフォルトでオフになっていますが、ほとんどの場合、Pendoのサブスクリプション管理者がオンにできます。一部のAI機能は、規制上または地域的な制限に基づき、デフォルトでオフになっているか、利用できない場合があります。

以下の表では、各機能とその利用可否（有効化／無効化）の詳細を、これらの要素に基づいて示しています。

日本およびオーストラリアのデータ環境では、Google Generative AIを利用したLeoとAI機能をご利用いただけます。データはそれぞれの地域内で処理されます。サブスクリプション管理者は、［設定（Settings）］>［サブスクリプション設定（Subscription settings）］の［AIアクセス（AI access）］タブで、利用可能な機能を有効にすることができます。

MCPサーバー経由でのPendoデータへのアクセスは、［設定］ > ［サブスクリプション設定］ の［AIアクセス］タブでも制御でき、サブスクリプション管理者はここでPendo MCPサーバーの有効化または無効化を行うことができます。この設定はデフォルトでオフになっており、現在利用可能なすべての読み取り専用MCPツールを制御しますが、［AIアクセス］で有効になっているAIプロバイダーは変更しません。

データのセキュリティとプライバシー

Pendoでは包括的な個人情報保護プログラムを採用しています。このプログラムには、年次トレーニング、適切な影響評価を含む一貫したレビュー、お客様と評価の高い第三者機関の両方による継続的な監査などがあります。こうした対策を講じることで、厳しさが増しているプライバシーおよびセキュリティ関連の法律および規制にも準拠しています。たとえばPendoのAIを活用したフィーチャーに関していえば、これらのフィーチャーの提供に関連するサードパーティのサービスプロバイダーに呼び出し（コール）があった場合、その呼び出しは必ず、共通の内部アプリケーションプログラミングインターフェースを介してルーティングされ、呼び出しごとに適切なセキュリティとプライバシーチェックが実施されます。

Pendoはまた、適用されるプライバシー法に基づいて追加的な保護を提供し、すべてのお客様に対してGDPRコンプライアンスを維持しています。なおPendoでは、国や業界特有の推奨事項に基づいて、一部のAIサービスを使用できる場所について自主規制による制限を設けています。

データの保存と処理

お客様のデータは、お客様が選択した既存のクラウド環境に残ります。

プライバシーとセキュリティを維持するために、お客様のデータはセグメント化され、他のお客様のデータとは別に保存されます。弊社では、お客様同士のデータが混ざり合うことがないように、お客様ごとに固有の名前空間を活用した論理分離技術を採用しています。詳細については、「データ収集とコンプライアンス」を参照してください。

データとモデルは専用のクラウドコンテナ内にのみ存在するため、他のPendoのお客様のデータから分離されます。これは、Pendoの情報セキュリティプログラムと、GCPの保護手段およびメカニズムによって安全に保たれます。つまり、お客様のデータとそれに関連するPendoAIモデルは、他のPendoのお客様のデータとは分離されたままになります。お客様ごとに、独自のデータを使用して固有のモデルまたはモデルのセットをトレーニングします。詳細については、この記事の「モデルのトレーニング」を参照してください。

お客様はそれぞれ独自のデータを所有しています。

データの再呼び出し（リコール）

PendoのAI機能について利用をやめる場合でも、すでにLLMで処理されたデータを取り消せません。LLMへの入力（LLMに送信され、LLMによって受信されたデータ）をリコールすることは、現在の機械学習の分野や研究では技術的に不可能です。

そのため、PendoはLLMに入力された入力情報を取得できません。ただし、PendoはGDPRに準拠しており、信頼と安全性を重視しています。お客様は、クラウドコンテナ（GCP、Azure OpenAI、OpenAI、Anthropic、Pendo AIを問わず）に存在するAIモデルをすべて削除することができます。これを行う方法の詳細については、弊社のプライバシーポリシーをご覧ください。