AI時代のデータ最小化：集めない・残さない・重ねない

GDPR第5条は、第1項cで目的に対して十分で関連し、必要な範囲へ限定するデータ最小化、第1項eで保存期間の限定、第2項で説明責任を定めます。[1] 最小化は列を適当に削ることではなく、目的、対象、粒度、期間ごとに、保有する必要を説明できる状態です。

AI案件では『将来の再学習に使う』を無期限の理由にしないよう、想定タスク、必要性能、代替となる集計・仮名化・オンデバイス処理、再取得コストを比較します。個人単位が不要な評価には集計を使い、自由記述が不要なら収集しません。目的が変わる時は、当初同意や法的根拠から自動的に延長せず再審査します。

必要性は、列ごとの有無を争う前に、より少ない粒度、短い保持、集計値で同じ目的を満たせるかを比較して記録します。性能が少し上がるという説明だけでは保有を正当化せず、その改善が利用判断を変えるかを業務所有者が示します。目的を変えた場合は、以前の必要性評価を流用せず、法的根拠と代替手段を再確認します。[1]

CarliniらはGPT-2 XLへブラックボックスで問い合わせ、60万件の生成サンプルから少なくとも604件の一意な記憶例を確認しました。分類表には、非ニュースの実名個人や連絡先情報を含む例も報告されています。[2] 公開ウェブ由来でも、モデル出力から特定の連絡先や文脈が再現されれば、収集時の公開性だけでは再利用リスクを説明できません。

件数はすべての大規模言語モデルの漏えい率ではなく、特定モデルと攻撃の実証です。それでも、学習前のPII検出、アクセス制限、秘密情報の除外、モデルごとの抽出テスト、出力フィルター、インシデント時のモデル停止と再学習を求める根拠になります。モデル重みも、元データと無関係な成果物ではなく、情報を保持し得る資産として管理します。

Kandpalらは、学習データ中に10回現れる系列が、1回だけ現れる系列より平均で約1,000倍生成されやすいと報告し、重複除去が会員推論などのプライバシー攻撃を弱めることを示しました。[3] 大規模クロールでは転載、テンプレート、バックアップが、同じ秘密を何度も学習させる可能性があります。

重複除去は容量節約ではなく、リスク低減の制御です。完全一致だけでなく近似重複を文書・段落・系列で検出し、ソース間の再掲載も追います。ただし一度しかない個人情報、珍しい表現、ログやプロンプトの漏えいは残ります。重複除去を匿名化や形式的プライバシー保証の代替にせず、収集最小化とアクセス制御へ重ねます。

抽出が多い原因には、モデルの記憶だけでなく、同じ文書が多数の経路から重なったこともあり得ます。近似重複を除いた版と元の版で、秘密に似た系列の生成や会員推論の差を比べれば、重複対策が効く範囲を分けられます。[3] 差が縮んでも、単独で存在するPIIや運用ログには移せないため、収集停止と権限制御を残します。

以下はデータ最小化を実装するための推奨です。項目が役立ちそうかを会議で推測するだけでなく、その項目を外す、粒度を落とす、期間を短くする、集計へ置く条件を作り、同じ判断手順が必要水準を満たすかを事前比較します。法的判断の代替ではなく、必要性説明の技術資料にします。

仮想例として、正確な生年月日を年代へ置き換えても対象選定が変わらないなら、その用途で日付精度を保持する説明は弱くなります。一方、少数事例だけ判断が変わるなら、全件保持と即断せず、その事例に追加確認を求める二段階手順で同じ目的を満たせないかを試します。置換後の確認負荷も数えます。

比較は平均性能だけで決めません。誤りの種類、影響を受ける対象、本人へ追加負担を求める頻度、再取得の可否を用途ごとに並べます。削減案が下限を満たさない場合も、必要性が全用途で証明されたとは扱わず、その判断、粒度、保持期間に限った理由として台帳へ記録します。下限の判定者も先に決めます。

派生物を見つけてから消すだけでなく、作成時に終了条件を必ず持たせる運用を提案します。開発コピー、評価標本、検索索引、ログ抽出ごとに、目的、責任者、元データ版、保存先、期限、更新可否を貸出記録として発行し、期限を過ぎたものは再承認まで利用不能にします。貸出IDも付けます。

貸出期間の延長は、元の目的をそのまま転記する手続にしません。利用実績、残る判断、より少ない代替、削除依頼の反映可否を個別に再確認します。所有者不明や期限不明のコピーは、将来利用の便益を仮定せず隔離候補へ移し、利用中の処理を確認してから閉鎖します。延長回数も記録します。

閉鎖確認ではファイル削除の通知だけでなく、索引参照、派生出力、再作成ジョブ、バックアップ復元後の再出現を標本で試します。残留が見つかった場合は削除失敗の経路として貸出記録へ戻します。モデル対応が必要かどうかは別の責任者が判断し、コピーの閉鎖だけで完了としません。

• ABLATION RECORD：外す項目、下げる粒度、短くする期間と判断差を用途別に残す
• DATA LEASE：派生物の目的、責任者、元版、保存先、期限、更新可否を発行時に固定する
• RESIDUAL TEST：索引、派生出力、再作成ジョブ、復元後に標本が再出現しないか試す
• CLOSEOUT：削除済み、隔離、延長審査、モデル判断待ちの状態で貸出を閉じる

データ台帳には、取得元、目的、法的根拠、必要な列と粒度、重複処理、学習・評価・検索での利用、プロンプトとログの保存、アクセス主体、保持期限、削除方法を記録します。開発用コピーや特徴量ストア、ベクトル索引、バックアップも含め、原本を消しても派生物に残る経路を見つけます。

指標は保有総量だけでなく、目的不明データ、期限超過、重複率、広すぎる権限、削除不能な派生物、抽出テストの結果を追います。最小化は一度の棚卸しではなく、新しいデータ源、モデル更新、用途追加のたびに繰り返します。法的適合性は地域と文脈で異なるため、技術台帳を専門家の判断と本人への説明につなげます。

削除は申請受付数ではなく、派生物まで消せたかで監査します。台帳から対象レコードを選び、原本、開発コピー、検索索引、ログ、バックアップ、再学習待ちデータの所在確認と削除証跡を通しで試します。モデルからの抽出が疑われる場合は、出力遮断だけで完了させず、影響版の停止や再学習を含む判断をモデル所有者へ上げます。[2]

• COLLECT：目的、列、粒度、代替手段を収集前に審査する
• TRAIN：PII除外、完全・近似重複除去、データ版を記録する
• SERVE：プロンプト、出力、ログ、検索索引の権限と保持を分ける
• DELETE：原本、派生物、バックアップ、モデル対応を追跡する
• データ所有者：目的別の必要性と保持期限を説明する
• 基盤責任者：重複除去と派生物削除の実行証跡を残す
• モデル所有者：抽出兆候に対する停止・再学習を判断する