本人確認と検索可能性を先に定める
問い合わせを受けたら、求める権利、対象期間、利用したサイトやメールなど、検索に必要な範囲を確認します。本人確認のために必要以上の身分証明情報を集めず、受領日と回答期限を記録します。
AI費用ログだけで個人を検索できるとは限りません。直接識別子を保存しない設計なら、その事実と検索可能性を説明し、本人と合理的に結び付く契約、サポート、ライセンス、安全ログを別々に調べます。
保存情報と一時処理を分ける
AI Cost Circuit Breakerのプラグインは、生のプロンプト、応答、APIキー、直接識別子を保存しない設計です。一方、WordPress内の利用カウンターや設定、ライセンス検証に必要な情報、任意の鍵付きHMAC-SHA256要約など、運用上の記録は存在し得ます。
処理時に一時的に扱った情報と、後から検索できる保存情報は区別します。『処理したから保持している』『保持していないから一度も扱っていない』のどちらも自動的には成り立ちません。
項目別の回答マップを作る
各項目について、目的、保存場所、本人との結び付き、保持期間、第三者提供、回答方法を一行へ置きます。検索結果がない場合も、どのシステムをどの識別子で調べたかを内部記録へ残します。
| 項目 | 状態 | 本人と結び付く手掛かり | 回答 |
|---|---|---|---|
| 生のプロンプト・応答 | プラグインでは非保存 | なし | 設計と確認範囲を説明 |
| APIキー | 非保存 | なし | 保存していない旨 |
| 利用カウンター | WordPress内に保存 | 通常は集計 | 個人別でないことを説明 |
| 鍵付きHMAC-SHA256要約 | 任意設定 | 追加情報次第 | 設定・目的・保持期間を評価 |
| ライセンス・決済 | サービス側に保存 | メール、契約ID等 | 本人確認後に検索 |
| セキュリティログ | 限定保持 | IP等を含み得る | 第三者情報を保護して回答 |
鍵付き要約の扱いを個別に評価する
鍵付き要約は元の入力をそのまま保存するものではありませんが、運用環境によっては他の情報と組み合わせた扱いを検討する必要があります。『匿名だから対象外』と一律判断せず、法務・プライバシー担当が利用目的と再関連付け可能性を評価します。
第三者情報を除いてシステム別に回答する
一人の請求に対し、他の訪問者の要求、顧客企業の機密設定、全体のセキュリティログを一括で書き出してはいけません。本人に関係する部分を抽出し、第三者の権利やセキュリティを損なう情報は適切にマスキングします。
回答が複数システムにまたがる場合は、一つの結論へ無理に統合せず、WordPressプラグイン、ライセンス管理、決済、サポートごとに何を検索し、何が見つかったかを分けます。
回答で見つかった設計課題を別に直す
回答時に所有者不明のログ、期限のない保持、目的が説明できない項目が見つかったら、請求対応とは別の改善課題として登録します。請求者のために急いで削除し、法的保存義務や監査証拠まで失わないよう承認を通します。
最終回答には確認した範囲、保持している項目、保持していない項目、提供または不提供の理由、問い合わせ先を明記します。具体的な法的判断は適用法と状況で変わるため、個別案件では専門家へ確認し、公開中のプライバシーポリシーと実際の処理を一致させます。
「プライバシー請求に対し、AI費用ログが訪問者について知ることを項目別に答える」の「データ請求回答マップ」を、最初の実環境導入に使ってください。AI Cost Circuit Breakerを無料でダウンロードし、Monitoringから始め、期待するシグナルと戻し方を確認してから制御を有効にしましょう。