OneTrust

概要

OneTrust は、社内の法務・プライバシーチームの多くが引き継ぐことになるプライバシープログラム基盤です。Cookie と同意の管理、データマッピングと処理活動記録（RoPA）、データ主体からの請求（DSAR）の自動化、プライバシー影響評価、第三者リスク、そして現在前面に打ち出している AI ガバナンスを扱います。単一製品ではなく、1 つのプラットフォーム上のモジュールとして販売され、モジュールごとに課金指標が異なります。Kabir Barday がアトランタで創業し、直近の評価額付きラウンド（2023 年）で 45 億ドルと評価されました。Fortune 500 の半数超が顧客だとしています。IDC のプライバシーソフトウェア市場シェアに関する初のレポートでは 29.7% と、2 位の競合の 2 倍超でした。この数字は 2022 年のものですが、その後に順位が入れ替わったことを示す公開情報はありません。

2026 年に 2 つの変化がありました。2 月 9 日に John Heyman が Barday に代わって CEO に就任し、Barday は取締役会に移りました。そして TrustWeek（9 月 28〜30 日、ラスベガス）で、OneTrust は AI エージェントのガバナンスを主役に据えました。共有の推論・証跡レイヤーである CORIE、エージェントの行動を実行時に評価する AI Control Plane、そして Governance Command Center で、いずれも一般提供（GA）として発表されています。一方、人々が実際に使うツールの中に OneTrust を組み込む要素、つまり ChatGPT、Claude、Copilot、Glean 向けのヘッドレスな MCP Gateway、AI による評価、対話型の同意取得は、2026 年秋時点でプライベートプレビューです。Gartner は初の 2026 年版 AI Governance Platforms の Magic Quadrant で、OneTrust を Leader ではなく Visionary に位置付けました。

Legal Ops のスタックに入る理由

• 監査人や規制当局がすでに想定している記録システムです。 監督機関が見慣れた RoPA、DPIA の記録、同意ログは、GDPR の調査で効きます。
• 1 つのインベントリが複数の義務を支えます。 RoPA のために作ったデータマップは、DSAR の検索範囲やベンダー評価の範囲を決めるマップと同じです。DSAR 受付フロー や ベンダーデューデリジェンスのスキル を運用するチームは、いずれにせよこのマップを必要とします。
• AI インベントリは EU AI Act とともに必要になります。 OneTrust の AI ガバナンスモジュールはモデルとユースケースを登録し、AI Act と NIST のフレームワークに照らしてリスク評価を行い、プライバシーのインベントリと紐付けます。この紐付けこそ、単体ツールではなく OneTrust から買う理由です。

価格の実態

価格は公開されていません。価格ページには CMP Base と Suite、Privacy Automation Base と Suite、Third-Party Risk Base と Suite、AI Governance、Tech Risk & Compliance といったパッケージが並び、それぞれ管理ユーザー数、サイトの日次訪問者数、データプロファイル数、インベントリ規模など異なる指標で課金されます。

Vendr の取引データ（約 309 件）では、契約の中央値は年間約 12,000 ドル、範囲はおよそ 1,600〜48,000 ドルです。この中央値は主に同意管理の単一モジュール契約です。従業員 1,000〜5,000 人の企業で複数モジュールを運用すると、第三者の推計で年間約 40,000〜120,000 ドル、エンタープライズの案件は 6 桁ドルに達します。導入費は初年度サブスクリプションの 20〜40% が上乗せされます。競合ベンダーは、OneTrust が 2026 年 Q2 から年間 10,000 ドルの最低額を設けたと報告していますが、OneTrust は確認していません。見積もりではなく、実質的な下限と考えてください。Vendr によると、複数年契約では初回見積もりから 20〜30% 下がり、年 5〜10% の値上げ条項が標準です。

最適な利用者

GDPR と米国の複数の州プライバシー法の下で事業を行う、従業員 2,000 人超の企業のプライバシー責任者と Legal Ops リード。同意、RoPA、DSAR、ベンダー評価を 1 つの監査可能なシステムで扱う必要があり、取締役会に AI 利用のインベントリを示す責任を負っている人です。実際に運用するモジュールが増えるほどリターンは高まり、2 つ以上から共有インベントリの元が取れます。

従業員 500 人未満で、必要なのが Cookie バナーと月に数件の DSAR だけという会社には買わないでください。その買い手はプラットフォームのごく一部に最低価格を払うことになります。ドメイン単位の月額料金を公開している同意管理専用ツールで同じ要件を満たせます。

代替製品との比較

TrustArc は最も古い競合で、2 社目の見積もり先の定番です。評価と認証が中心のプログラムで、電話に出てくれる小規模なベンダーを求めるなら TrustArc を選んでください。より広いモジュール群と、同じインベントリ上の AI ガバナンスレイヤーが必要なら OneTrust です。

Securiti は直近で最大のイグジットを果たした挑戦者で、2025 年 12 月に Veeam が 17.25 億ドルで買収しました。クラウドのデータストア全体でのデータ発見と DSPM が本当の課題で、セキュリティ部門が予算を共同で持つなら Securiti を選んでください。法務とプライバシーがプログラムを所有するなら OneTrust です。

Transcend は、DSAR と同意をチケット処理ではなく API でコードの中に組み込みたい、エンジニアリング主導の企業に合います。

Vanta は、プライバシーではなく SOC 2 や ISO 27001 の証跡が目的の場合に勝ちます。従業員が使うエージェントや MCP ツールを実行時に制御するなら、OneTrust の control plane がようやく始めたことを WitnessAI や Zenity はすでに実施しています。訴訟主導の買い手には、データマップを legal hold と共有する Exterro があります。

どれも合わない場合、欠けているのはたいてい責任の所在です。データマップを維持する人がおらず、ここに挙げたどのプラットフォームもそのマップ以上に最新にはなりません。

注意点

• 所有権が未確定です。 The Information は 2025 年 11 月、OneTrust が評価額 100 億ドル超と報じられるプライベートエクイティへの売却を協議していると報じました。2026 年 10 月初旬時点で合意は発表されていません。新しいオーナーは更新価格を改定し、伸びの鈍いモジュールを廃止できます。対策: 契約で更新時の値上げに上限（5% 以下）を設け、ペナルティなしで解約できるチェンジ・オブ・コントロール条項を加え、売却が決着するまで 24 か月を超える契約期間は避けてください。
• 更新時の値上げが大きいです。 更新時に 20〜40% の値上げを提示されたという報告があり、それを上回る例もあります。対策: 更新交渉を 120 日前に始め、TrustArc か Securiti の見積もりを持参し、モジュールごとに明細化して未使用のものを外せるようにしてください。
• エージェントガバナンスの目玉は大半がプレビューです。 MCP Gateway、AI による評価、対話型の同意取得はプライベートプレビューで、本番稼働の顧客名は公表されていません。対策: AI ガバナンスモジュールは現在提供されているインベントリと評価のために購入し、エージェント実行時に関する約束はすべて受け入れ基準付きの契約別紙にしてください。
• 管理負荷は現実のものです。 モジュールごとに設定の奥行きがあり、レビューでは一貫して使いやすさより機能面が高く評価されています。対策: 契約前に専任のプラットフォーム責任者を決め、初年度に導入パートナーの工数を予算化してください。