AI時代の顧客主権

ほとんどのAIプラットフォームは、あなたのデータを利用規約の一項目のように語ります。私たちはそれをアーキテクチャとして扱います。2026年、ByteByteGoのマルチテナンシーに関するガイドは、そのトレードオフを率直に示しました：共有システムは安価ですが、「多くの顧客が同じデータベース、同じサーバー、同じバックグラウンドジョブに依存するようになると、彼らの命運は結びついてしまう」(ByteByteGo, "A Guide to Multi-Tenancy: Benefits and Challenges", 2026)。私たちは逆のやり方でEverythinkを構築しました。主権は私たちの5つのコミットメントのうちの第4の価値であり、このプラットフォームでは機能であり——あなたが切り替える設定でも、あなたが購入するプランでもありません。

Key Takeaways

• 共有プールではなく、ネットワークごとのテナンシー：各組織は独自の分離されたテナンシーと独自の資格情報で稼働します (Everythink、2016年から本番稼働中)。
• 共有プール型マルチテナンシーは顧客の命運を結びつけます——うるさい隣人や1回の不良デプロイが全員に影響を与え得ます (ByteByteGo, 2026)。
• セルフホストツールは現在、テナント分離やデータ復旧を含む6つの次元で評価されます (NocoBase, 2026)。
• 主権は正直にラベル付けされます：Whitelabel Networkと独自資格情報のCampaignsはProduction ✅、walletとcommunity creditはRoadmap 🔵です。

AIプラットフォームにおける顧客主権とは何を意味するのか？

主権とは、プラットフォームがあなたのデータがどこにあり、誰がそれに触れるかを証明できることを意味し、ポリシー文書で約束するだけではないことを意味します。2026年、NocoBaseによる20以上のセルフホスト型エンタープライズツールの評価は、インフラストラクチャ、アクセス制御、監査とコンプライアンス、データセキュリティと復旧、保守性、AI準備度という6つの次元で制御を測定し、「テナント分離」を第一級のアクセス制御要件として挙げました (NocoBase, "20+ Best Self Hosted Tools for Enterprises with Full Data Control", 2026)。それは私たちの捉え方と一致します。主権は1つの設定ではなく、トポロジー、資格情報、可視性モデルに設計された性質です。

[PERSONAL EXPERIENCE] Everythinkのエンジンは2016年から本番稼働しており、当時構築したトポロジー——network → community → room、各レベルが実在するポリゴン——は、顧客を1つにまとめることを拒絶する形で形成されました。networkとは、プラットフォーム上の組織の最も外側の境界です。その内側にあるすべて（コミュニティ、room、メンバー、メッセージ履歴）は、そのnetworkのテナンシーに属します。私たちは2つのnetworkのデータを混ぜて共有モデルを訓練することはなく、あるnetworkからのリクエストを別のnetworkのroomにルーティングすることもありません。

これが「あなたのデータはあなたのもの」という主張の背後にある機構です。法廷で持ちこたえることを期待するDPA条項ではなく、スキーマの形そのものです。買い手が自分のデータはどこにあるかと尋ねるとき、答えは「そのnetworkのテナンシー」であり、「みんなと一緒にクラスターで」ではありません。

ネットワークごとのテナンシーは共有プールとどう違うのか？

ネットワークごとのテナンシーは各組織に独自の分離された空間を与えますが、共有プールはすべての顧客を同じデータベースに置き、行レベルのロジックで分離します。ByteByteGoの2026年のガイドは共有のコストについて単刀直入です：「重いレポートを走らせる顧客1人が、隣にいる全員のサービスを遅くし得る。1回の欠陥のあるデプロイが全員を一度に影響し得る……そして最も深刻なリスクはデータ漏洩であり、ある顧客が別の顧客のデータを見せられてしまう」(ByteByteGo, "A Guide to Multi-Tenancy: Benefits and Challenges", 2026)。これらは理論上のリスクではありません——プーリングの文書化された故障モードです。

[UNIQUE INSIGHT] 共有プールモデルはベンダーの顧客あたりコストを最適化するのであって、顧客の分離を最適化するのではありません。ネットワークごとのテナンシーは逆を最適化します：障害の爆発半径はplatformではなくnetworkです。私たちはその境界の運用コストを受け入れます。なぜなら、買い手が「私のデータは安全か」と尋ねるとき、彼が本当に求めているのはその境界だからです。

具体的には、Everythinkでは：

• 各networkがそれ自身のテナントです。リクエストはエッジからテナントコンテキストを運びます。アプリケーション層が覚えておくべきものではありません。
• コミュニティとroomはnetworkの内側に存在します。クロスネットワークのアクセスは欠落した機能ではなく、設計上の選択です。
• あるnetworkの重いジョブが別のnetworkを止めることはできません。なぜなら、プールされたテナントのように同じ実行コンテキストを共有していないからです。

だから私たちは主権を機能と呼びます。分離は約束ではなく構築されています——そして私たちのTheorem 3（「ある性質は、その機構が実装され測定されている場合にのみ保証される」）によれば、ある能力が「Production」という言葉を得るのは、その背後の機構が構築され、かつ積極的に測定されている場合のみです。✅

自分の資格情報でCampaignsを送信することはどう守るのか？

EverythinkのCampaignsは、あなた自身のemail、SMS、pushの資格情報を通じて送信されます——プラットフォームが制御する共有プールアカウント経由ではありません。NocoBaseの2026年のオープンソースAIエージェントプラットフォームのレビューは、セルフホストを「完全なデータ制御」で評価し、資格情報、監査ログ、フィールドレベルの権限こそが、あなたが所有するツールとあなたを所有するツールを分けるものだと指摘しています (NocoBase, "8 Open-Source AI Agent Platforms for Building Internal Tools", 2026)。同じ論理が送信メッセージに当てはまります：プラットフォームのプロバイダーアカウントがあなたのCampaignsを送信するなら、プラットフォームはあなたの関係リストと送信者レピュテーションの保管者になります。

あなた自身の資格情報を持ち込むとき：

• 到達性の問題は、あなたのプロバイダー自身のログで診断可能であり、私たちへのサポートチケットを通じてではありません。
• あなたの送信者レピュテーションは、あなたのドメインに属し、別のnetworkの悪いアクターが毒しうる共有プールには属しません。
• あなたの加入者リストは、届けるために第三者へエクスポートする必要がありません——あなたのnetworkのテナンシーにとどまり、あなたのプロバイダーを通じて送信されます。

これは主権に関する決定であり、EverythinkではProduction ✅です。Campaignsモジュールは、SocialおよびWhitelabel Networkと並んで、今日、独自資格情報モデルで出荷されています。私たちはロードマップ項目を説明しているのではありません。機構は構築され、使用中です。

トレードオフがあり、私たちは正直にそれを述べます：自分の資格情報を持ち込むとは、自分自身のプロバイダーアカウントを準備し支払うことです。私たちはそれが無料だと偽りません。送信チャネルをあなたのものに保つためのコストです。

公開か非公開かはプラットフォームが押しつけるべき決定か？

いいえ——そしてNocoBaseの2026年のフレームワークが「テナント分離」をアクセス制御要件として扱うのはまさに、可視性はベンダーではなく運営者が設定すべきポリシーだからです (NocoBase, "20+ Best Self Hosted Tools for Enterprises with Full Data Control", 2026)。私たちの「私たちについて」ページはこれを書面ポリシーとして述べています：「あなたのnetwork、あなたのブランド、あなたのデータ。roomごとの公開・非公開の可視性は、あなたが決める。」roomとは、コミュニティ内の機能領域です——支部のイベントページ、協同組合の内部台帳、自治体の市民ヘルプデスク。roomの中には、オープンなインターネット上の公開ページとして意図されたものもあれば、閉じた会員制のものもあります。プラットフォームはどちらがどちらかを決めません。

これが重要なのは、可視性こそが主権が抽象から具体に変わる場所だからです。すべてのroomをデフォルトで公開にするプラットフォームは、あなたのデータについて、あなたに代わって決定を下しています。すべてのroomをデフォルトで非公開にするプラットフォームは、逆の決定を下しています。私たちはどちらにもデフォルトを置きません——networkの運営者がroomごとに可視性を設定し、トポロジーがそれを強制します。

[ORIGINAL DATA] プラットフォームの3つのトポロジーレベルにわたり、可視性はnetworkごとの性質ではなく、roomごとの性質です。つまり、1つのnetworkは、同じブランドと同じアイデンティティの下で、公開向けのコミュニティ（商工会議所のオープンなイベント）と非公開のコミュニティ（理事会の内部承認）を、2つ目のインストールなしで運営できます。roomを非公開から公開に切り替えるのは、コードではなく設定です。

ここの正直タグは、可視性機構そのものについてProduction ✅です。roomの上に乗るモジュールはそれぞれ独自の状態を持っており、私たちはそれらを混同しません：Matchmaking ⚠️ Partial、Marketplace ⚠️ Partial、Calendar ⚠️ Partial。それぞれは今日有用だが完成しておらず、ある買い手が1つのProduction能力から完成したスイートを推測しないように、私たちはそうラベル付けします。

主権のコストとは何か——分離は保守負担を意味するのか？

分離にはコストがありますが、コードより設定を優先することが、それが保守負担になるのを防ぎます。ByteByteGoの2026年のガイドは、共有の代替である「顧客ごとの専用コピー」は「推論は容易だが、数百の別々のコピーを維持するコストは新規顧客ごとに増大する」と指摘します (ByteByteGo, "A Guide to Multi-Tenancy: Benefits and Challenges", 2026)。各コピーが別々のデプロイである場合、それは真です。各テナントが1つの設定されたプラットフォーム内の分離されたコンテキストである場合、それは真ではありません。

Everythinkのモデルは後者です。プラットフォームは1つのコードベースであり、各networkはテナンシーであってforkではありません。roomでモジュールを有効にするのは、スプリントではなく設定です。networkの運営者は、私たちがリリースを出さず、彼らがコードを書かなくても、自分の世界の形を変えます。こうして私たちはネットワークごとのモデルを手頃に保ちます：分離はデプロイメント層ではなく、データと資格情報の層にあります。

だからこそ、私たちのロードマップは隠さず公開されています。Federation between networks 🔵、ネットワークごとのtoken wallet 🔵、community credit 🔵は2026年と日付され、Roadmapとラベル付けされています——pre-revenue、未実装であり、何かが立ち上がる前に適用される金融・証券の枠組み（例えばHowey分析）に服します。私たちはそれらをProductionとして提示しません。networkの経済層に対する主権は、私たちがまだ主張する権利を得ていない約束であり、だから主張しません。

残りの主権スタックを正直にどうラベル付けするのか？

ネットワーク層をProductionとするのと同じ正直さのシステムが、他のすべてをマークします。私たちの21論文の学術シリーズからのTheorem 3は、ある性質はその機構が実装され測定されている場合にのみ保証されると言います。私たちはそれをこのサイト上のすべての主張に適用し、この投稿の主張にも適用します。

能力	状態	それが意味するもの
HAI会話エンジン	✅ Production	2016年から本番稼働中、今日roomのコンテキストで回答
Whitelabel Network (web + iOS + Android)	✅ Production	1つのブランド、1つのアイデンティティ、あなたの名のあなたのapp
Social + Campaigns (独自資格情報)	✅ Production	組み合わせ可能なモジュール、あなた自身のプロバイダーアカウント
Matchmaking / Marketplace / Calendar	⚠️ Partial	今日有用、完成していない——そのようにラベル付け
Federation between networks	🔵 Roadmap	設計済み、未構築、2026
Wallet、ネットワークごとのtoken、Community Credit	🔵 Roadmap	Pre-revenue、未実装、Howey審査に服する

私たちは、完成したように見せるためにPartialやRoadmap項目をProductionに昇格させることは決してありません。買い手が「walletは今日存在するか」と尋ねれば、答えは「いいえ」です。主権には、何が構築されているかについて真実を告げられる権利が含まれます。

よくある質問

ネットワークごとのテナンシーと共有プールの違いは？

ネットワークごとのテナンシーは各組織に独自の分離されたテナントコンテキストを与えますが、共有プールはすべての顧客を同じデータベースに置き、行レベルのロジックで分離します。ByteByteGoの2026年のガイドは、プール型モデルの故障モードを挙げます：うるさい隣人、共有される爆発半径、そしてテナント間のデータ漏洩。私たちはネットワークごとのテナンシーを選びました。障害の爆発半径がplatformではなくnetworkになるように。

CampaignsはEverythinkのプロバイダーアカウント経由ですか、それとも自分の経由ですか？

自分の経由です。CampaignsはProduction ✅であり、独自資格情報モデルを採用しています：あなたが自身のemail、SMS、pushのプロバイダーアカウントを準備し支払い、プラットフォームはそれらを通じて送信します。あなたの送信者レピュテーションと加入者リストはあなたのままです。私たちはネットワーク間で送信メッセージをプールしません。

1つのnetworkは公開と非公開のroomを両方運営できますか？

はい。可視性はnetworkごとの性質ではなくroomごとの性質であり、Production ✅です。1つのnetworkは、同じブランドとアイデンティティの下で、公開向けコミュニティ（オープンなイベント）と非公開コミュニティ（内部承認）を、2つ目のインストールなしで運営できます。運営者がroomごとに可視性を設定します——プラットフォームはデフォルトを押しつけません。

walletやcommunity creditは今日利用可能ですか？

いいえ。ネットワークごとのtoken walletとcommunity creditはRoadmap 🔵です——pre-revenue、未実装、2026年と日付されており、何かが立ち上がる前に適用される金融・証券の枠組み（例えばHowey分析）に服します。私たちはそれらをProductionとして提示せず、その層の何も今日稼働していません。

主張するだけでなく、どうやって主権を証明するのか？

私たちのTheorem 3によれば、ある性質はその機構が実装され測定されている場合にのみ保証されます。主権の機構は、ネットワークごとのテナンシー、独自資格情報のCampaigns、roomごとの可視性です——いずれも構築され、本番稼働中です。分離はポリシー文書ではなく、スキーマとトポロジーの中に生きています。

---

世界を構築しようとするなら、あなたのデータがどこにあり、何が完成しているかを教えてくれるプラットフォームの上に構築してください。あなたのnetworkを作る——あるいはデモを予約し、このページ上のすべての主張の背後にある機構を指し示すよう私たちに求めてください。

Sources

• ByteByteGo (Alex Xu), "A Guide to Multi-Tenancy: Benefits and Challenges", retrieved 2026-08-23, https://blog.bytebytego.com/p/a-guide-to-multi-tenancy-benefits
• NocoBase, "20+ Best Self Hosted Tools for Enterprises with Full Data Control", retrieved 2026-08-23, https://www.nocobase.com/en/blog/20-best-self-hosted-tools-for-enterprises
• NocoBase, "8 Open-Source AI Agent Platforms for Building Internal Tools", retrieved 2026-08-23, https://www.nocobase.com/en/blog/8-open-source-ai-agent-platforms-for-internal-tools