OpenAI berättade den 5 november 2026 på sitt X-konto för utvecklare om ett nytt sätt att övervaka hur dess programmeringsgränssnitt, API:et, används. Läget heter Zero Data Retention with Private Safety Processing (ZDR with PSP). Zero Data Retention innebär att OpenAI inte sparar innehållet i API-anrop. PSP lägger till en säkerhetsgranskning vars underlag stannar i kundens moln.

Så fungerar granskningen

Enligt OpenAI:s utvecklarguide väljer en säkerhetsklassificerare eller en godkänd urvalspolicy ut en del av promptarna och modellens svar för granskning. Att något väljs ut betyder inte att användarvillkoren har brutits, står det i guiden.

Den utvalda posten krypteras och skrivs till kundens regionala lagring, som kan vara AWS S3, Azure Blob Storage, Google Cloud Storage eller OCI Object Storage. I stället för en kopia av innehållet behåller OpenAI ett index med driftsmetadata och en hänvisning till lagringsplatsen. Kryptering och lagring sker separat från inferensen och gör därför inte svaren långsammare, skriver företaget i guiden.

I X-inlägget sägs granskningen ske i kundens miljö. Enligt guidens mer detaljerade beskrivning görs granskningen dock av OpenAI:s Safety Review Runtime, som hämtar de krypterade posterna från kundens lagring. Det är en hårdvaruattesterad beräkningsmiljö som människor inte har tillgång till. Den är utformad för att vara det enda system hos OpenAI som kan dekryptera innehållet, uppger företaget.

Från granskningen förs bara på förhand avgränsade säkerhetssignaler och godkänd metadata vidare i klartext. Detaljerade resultat krypteras och lagras i kundens lagring.

Posterna kan krypteras två gånger. Den inre krypteringen hanteras av OpenAI. Kunden kan lägga till ett yttre lager med egen nyckelhantering (Enterprise Key Management, EKM), vilket OpenAI rekommenderar. Om kunden återkallar behörigheten till nyckeln går posterna inte längre att dekryptera. Posterna raderas ändå inte, och redan utförd behandling ångras inte.

Enligt OpenAI används innehållet bara i säkerhetssyfte. Det används inte för att träna modeller och lämnas inte ut till företagets andra team eller till dess partner.

Vad som krävs av kunden

Kunden måste spara de krypterade posterna i minst 30 dagar och hålla lagringen och nyckelbehörigheterna i ordning. Kunden måste också rätta konfigurationsfel som OpenAI rapporterar och tillsammans med OpenAI utreda säkerhetsfarhågor som företaget tar upp.

PSP aktiveras per projekt. Läget gäller då all API-trafik i projektet, även modeller som inte kräver PSP. Kunder som vill använda ZDR utan PSP behöver ett separat projekt. Om projektets sista lagringsanslutning kopplas bort återgår lagringspolicyn till organisationens standard. Modeller som kräver PSP är då inte heller nödvändigtvis tillgängliga längre. Att anslutningen kopplas bort raderar inte lagrade poster.

Organisationer som redan har fått Zero Data Retention godkänt kan aktivera PSP i API-konsolen. Läget kan också användas tillsammans med policyn Modified Abuse Monitoring. Aktiveringen kräver en administratör i organisationen, en egen lagringsbehållare med en raderingsregel på 30 dagar och åtkomstbehörighet för OpenAI. Detaljerade instruktioner finns i OpenAI:s utvecklardokumentation.