Proton Lumo 2.0とApertus——ビッグテックに頼らないプライベートAIの現実【2026年9月】
Protonが発表したLumo 2.0（高度な推論・マルチモーダル・引用付きWeb検索・Memory/Projects）と、スイス主権モデルApertus連携を整理。ゼロアクセス暗号化の利点と、クラウドAIとしての信頼モデルの限界も併記します。
この記事の目次6項目
はじめに
日常的にAIへ渡す情報が、かつてメールやクラウドに預けていた量を超えつつあります。会話が学習データになり、行動が広告・プロファイリングの材料になる——この前提を避けたい人向けに、Protonはゼロアクセス暗号化のAIアシスタント Lumo を展開しています。2026年6月30日に Lumo 2.0 が発表され、同年9月17日にはスイスの主権モデル Apertus との提携が正式発表され、Apertus 1.5がLumoのモデル選択欄から使えるようになりました。
この記事では、Lumo 2.0で何が変わったか、Apertus連携が示すEU/スイス軸、そして「プライベートでもクラウドである」ことの実務的な注意点を、公開情報ベースで整理します。本文中のProton公式の説明（Lumo 2.0ブログ、Apertus提携発表、Lumoプライバシー・セキュリティ解説）は2026年10月3日に確認したもので、Lumoアプリ自体の動作を実機で検証したものではありません。
Lumo 2.0で追加された能力
公式ブログ Lumo 2.0: The most powerful private AI によれば、Lumo 2.0はアーキテクチャを刷新し、次の方向へ拡張しています。
- 高度な推論: Fast / Thinking（推論）モード。Artificial Analysis Intelligence Index上で、LiteはLumo 1.4比で約127%、Maxは約240%のスコア向上と記載
- 日常応答の高速化: 最大約76%速い日常クエリ応答（同ブログ）
- マルチモーダル: 画像の解析・生成・編集・スケッチからの画像化。画像にもゼロアクセス暗号化を適用すると説明
- 引用付きWeb検索: ライブ結果と出典。ニュース・金融・天気など時事情報の精度向上を狙う
- Memory と Projects: ユーザー制御の記憶、約2倍のコンテキスト、暗号化された作業スペース
- Custom Lumos: 用途別の指示付きアシスタント
- Lumo for Business: チーム管理と欧州インフラ上の業務利用向け
オープンソースであることの強調、欧州インフラ・スイスのプライバシー法制下での運用も、従来どおり前面に出ています。
Apertus——スイス主権モデルという角度
2026年9月17日の正式発表 Proton partners with Apertus, Switzerland’s sovereign AI model（Lumo AI 更新一覧 にも同日掲載）によると、提携の中身は次のとおりです。
- 使い方: Lumoのモデル選択（ドロップダウン）で Apertus 1.5 を選ぶと、通常どおりチャットできる。会話は他のLumoの会話と同じくゼロアクセス暗号化で保存され、デフォルトでは共有されない
- Apertusとは: EPFL・ETH Zurich・スイス国立スーパーコンピューティングセンター（CSCS）の研究者が開発したLLMで、発表は「fully open（完全オープン）」なモデルと表現している。同発表では、アーキテクチャ・訓練データ・訓練手法が公開され、公開データで訓練し、オプトアウト要求を尊重し個人情報をフィルタしていると説明されている
- 任意の研究フィードバック: Apertusの応答に👍／👎を押した場合に限り、そのフィードバックが匿名化されて大学の研究チームへ提供される
ここで分けておきたいのは、デフォルトの非共有とユーザーが明示的に選ぶ研究協力です。Lumoのプライバシー説明 も「会話を学習に使わない・第三者に共有しない」原則に対し、「Apertus 1.5への匿名化フィードバックを明示的に許可した場合を除く」と例外を明記しています。👍／👎を押さなければ従来どおりですが、押せばその応答に関するフィードバックが研究側に渡る、と理解しておくのが正確です（匿名化の具体的な方法や、フィードバックに含まれる範囲は発表では詳述されていません）。
ビッグテックのクラウドAIが米国法域・訓練・ログ慣行と結びつきやすいのに対し、EU/スイス側のインフラとオープンなモデルを前面に出す動きとして読めます。モデルの公開範囲は上記の正式発表とApertus側の公開情報で確認でき、本記事はその説明を紹介するもので、訓練データの内容を独自に検証したものではありません。
ビッグテックAIとの差（過大宣伝しない範囲）
| 観点 | 典型的な大手クラウドAI | Lumo（公式主張） |
|---|---|---|
| 会話の学習利用 | プラン・設定依存で訓練に使われ得る | 会話で訓練しないと明記（例外：Apertus 1.5の応答に👍／👎で任意に送ったフィードバックは匿名化して研究チームへ提供） |
| アクセスモデル | 運営側が平文の会話を保存・閲覧し得る設計が多い | 保存履歴はゼロアクセス暗号化。推論中はLLMサーバーで復号・処理（応答生成後に破棄と説明） |
| インフラ法域 | 米国企業が中心になりやすい | 欧州インフラ・スイス法を強調 |
| 検証可能性 | クローズドが多い | オープンソースを強調 |
関連して、入力漏洩の一般論は AIデータ漏洩リスクの整理 も参考になります。企業向けの「ゼロ保持」表現の読み方は AnthropicのEFSとZDR と並べると、契約・サーフェス・例外の確認習慣が身につきます。
実務上の注意（クラウドAIであることの限界）
Lumoは「端末内だけで完結するローカルLLM」ではありません。次は意識しておくべき点です。
- 信頼の置き場: ゼロアクセスでも、クライアント実装・鍵配布・サーバ側のメタデータ（接続時刻・アカウントなど）は別問題
- アカウントと識別子: Protonアカウントに紐づく利用は、完全な匿名利用とは異なる
- Web検索・外部取得: 検索クエリや取得先への露出は、チャット本体の暗号化とは別レイヤー
- ビジネス要件: Lumo for Businessは組織向け。個人プランと条件を混同しない
- 能力比較: ベンチマーク数値は公式引用であり、自環境での再現や用途適合は別途検証が必要
Protonの セキュリティ説明 と プライバシー説明 では、プロンプトは端末側で非対称暗号化（User-to-Lumo暗号化）されて送られ、LLMサーバー（GPUサーバー）だけが復号して処理し、応答生成後に破棄、その後の会話履歴をゼロアクセス暗号化で保存する、という順序で説明されています。つまり「運営が読めない」のは主に保存された履歴についてであり、推論の間はサーバー上で平文として処理されるという点は残ります。破棄やノーログはProtonの運用方針としての説明で、利用者が外部から検証できる性質のものではありません。
「学習されない」「保存履歴を運営が読めない」は強い利点になり得ますが、プロンプトに入れた秘密がネットワーク越しにサーバーで処理されるという事実は変わりません。機密の度合いが高いほど、ローカル推論や送信量そのものを減らす構成も検討対象です。
まとめ
- Lumo 2.0は推論モード、マルチモーダル、引用付きWeb検索、Memory/Projects、Custom Lumos、Business向け機能を加えた大型更新（2026-06-30公式）
- 2026-09-17の正式発表でスイス主権モデル Apertus 1.5がモデル選択欄から利用可能に。会話はデフォルト非共有で、👍／👎の任意フィードバックのみ匿名化して研究チームへ提供される
- 推論中はLLMサーバーで処理され、ゼロアクセス暗号化が守るのは保存履歴。ゼロアクセス・非学習（Apertusの任意フィードバックを除く）・オープンソース・欧州インフラはビッグテックとの差別化ポイントだが、クラウドAIとしての信頼モデルとアカウント前提は残る
- 採用判断では「公式の暗号化主張」と「自分の脅威モデル（メタデータ・検索・端末）」を分けて書くのが実務的
プライベートAIは「魔法の匿名箱」ではなく、訓練と平文アクセスを減らす方向の選択肢です。Lumo 2.0とApertusの動向は、その選択肢が能力面でも追いつこうとしている兆しとして追う価値があります。
