{
  "format": "agent-article-v0",
  "article_id": "EA-063",
  "canonical_url": "/tools/ea-063-ai-privacy-engineering",
  "page_type": "reference",
  "claim_ids": [],
  "evidence_ids": [
    "EVD-EA-063-URL-3EDB753B1E82",
    "EVD-EA-063-URL-442F44134BE7",
    "EVD-EA-063-URL-06AA7E11E256",
    "EVD-EA-063-URL-D448256EE669",
    "EVD-EA-063-URL-C901555D7BB6",
    "EVD-EA-063-URL-FA23D84A3FBE",
    "EVD-EA-063-URL-D301AE659B75",
    "EVD-EA-063-URL-423757B28269",
    "EVD-EA-063-URL-6E0D8F2151C7",
    "EVD-EA-063-URL-4DD32461E05C",
    "EVD-EA-063-URL-33D25B306E1A",
    "EA-063-R11-RESEARCH",
    "EA-063-R11-WEB-READBACK"
  ],
  "unknown_ids": [
    "EA-063-UNKNOWN-01",
    "EA-063-UNKNOWN-CURRENTNESS"
  ],
  "operational_object_ids": [],
  "provider": [
    "Google",
    "Microsoft"
  ],
  "models": [],
  "plans": [],
  "surfaces": [],
  "regions": [],
  "current_status": "UNKNOWN",
  "observation_status": "SPEC_ONLY",
  "freshness": "UNKNOWN",
  "last_verified": null,
  "supersedes": [],
  "superseded_by": [],
  "provenance": [
    "COMM-059-EA0063",
    "SRC-EA-063-URL-3EDB753B1E82",
    "SRC-EA-063-URL-442F44134BE7",
    "SRC-EA-063-URL-06AA7E11E256",
    "SRC-EA-063-URL-D448256EE669",
    "SRC-EA-063-URL-C901555D7BB6",
    "SRC-EA-063-URL-FA23D84A3FBE",
    "SRC-EA-063-URL-D301AE659B75",
    "SRC-EA-063-URL-423757B28269",
    "SRC-EA-063-URL-6E0D8F2151C7",
    "SRC-EA-063-URL-4DD32461E05C",
    "SRC-EA-063-URL-33D25B306E1A",
    "WEBBODY-EA0063-R8-7F7F2772"
  ],
  "article_sources": [
    {
      "id": "EVD-EA-063-URL-3EDB753B1E82",
      "evidence_class": "RESEARCH",
      "title": "author/org: National Institute of Standards and Technology (NIST)",
      "href": "https://www.nist.gov/privacy-engineering",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-3EDB753B1E82"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://www.nist.gov/privacy-engineering"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-442F44134BE7",
      "evidence_class": "RESEARCH",
      "title": "author/org: Simson L. Garfinkel / NIST",
      "href": "https://doi.org/10.6028/NIST.IR.8053",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-442F44134BE7"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://doi.org/10.6028/NIST.IR.8053"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-06AA7E11E256",
      "evidence_class": "RESEARCH",
      "title": "author/org: Joseph Near, David Darais, Naomi Lefkovitz / NIST",
      "href": "https://doi.org/10.6028/NIST.SP.800-226",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-06AA7E11E256"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://doi.org/10.6028/NIST.SP.800-226"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-D448256EE669",
      "evidence_class": "RESEARCH",
      "title": "author/org: UK Information Commissioner's Office (ICO)",
      "href": "https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/the-research-provisions/what-are-the-appropriate-safeguards/",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-D448256EE669"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/the-research-provisions/what-are-the-appropriate-safeguards/"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-C901555D7BB6",
      "evidence_class": "RESEARCH",
      "title": "author/org: UK Information Commissioner's Office (ICO)",
      "href": "https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/pseudonymisation/",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-C901555D7BB6"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/pseudonymisation/"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-FA23D84A3FBE",
      "evidence_class": "RESEARCH",
      "title": "author/org: Data Privacy Stack / Microsoft-origin Presidio project",
      "href": "https://microsoft.github.io/presidio/analyzer/",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-FA23D84A3FBE"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://microsoft.github.io/presidio/analyzer/"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-D301AE659B75",
      "evidence_class": "RESEARCH",
      "title": "author/org: Data Privacy Stack / Microsoft-origin Presidio project",
      "href": "https://microsoft.github.io/presidio/anonymizer/",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-D301AE659B75"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://microsoft.github.io/presidio/anonymizer/"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-423757B28269",
      "evidence_class": "RESEARCH",
      "title": "author/org: Google Cloud",
      "href": "https://docs.cloud.google.com/sensitive-data-protection/docs",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-423757B28269"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://docs.cloud.google.com/sensitive-data-protection/docs"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-6E0D8F2151C7",
      "evidence_class": "RESEARCH",
      "title": "author/org: Google Cloud",
      "href": "https://cloud.google.com/sensitive-data-protection/docs/reference/rest/v2/projects.content/inspect",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-6E0D8F2151C7"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://cloud.google.com/sensitive-data-protection/docs/reference/rest/v2/projects.content/inspect"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-4DD32461E05C",
      "evidence_class": "RESEARCH",
      "title": "author/org: Microsoft Foundry / Microsoft Learn",
      "href": "https://learn.microsoft.com/en-us/azure/foundry/openai/concepts/content-filter-personal-information",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-4DD32461E05C"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://learn.microsoft.com/en-us/azure/foundry/openai/concepts/content-filter-personal-information"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-063-URL-33D25B306E1A",
      "evidence_class": "RESEARCH",
      "title": "author/org: NIST",
      "href": "https://doi.org/10.6028/NIST.AI.600-1",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-063-URL-33D25B306E1A"
      ],
      "supporting_locators": [
        "EVIDENCE TABLE",
        "canonical URL: https://doi.org/10.6028/NIST.AI.600-1"
      ],
      "scope": "EVIDENCE TABLE",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EA-063-R11-RESEARCH",
      "evidence_class": "RESEARCH",
      "title": "EA-063 監査済みresearch / canonical revision binding",
      "supports": [
        "1. EA-063は「PII削除機能」ではなくprivacy engineering lifecycleとして成立する。第一原則はdetect-and-redactより前のdata minimizationであり、不要なpersonal dataをそもそも収集・検索・toolへ転送・memoryへ書込・logへ保存しない設計が優先される。\n2. anonymization / pseudonymization / masking / redaction / hashing / encryptionは別概念である。特にpseudonymized/reversible transformは識別可能性を低減しても復元経路を残す。OSS上の“anonymizer”という名称だけでanonymousと判定してはならない。\n3. PII/sensitive-data detectorは分類器であってauthorization truth sourceではない。entity coverage、language/country、custom recognizer、threshold、context、version/default-set changeによるfalse negative/false positiveがあり得る。`not detected = non-personal`という推論は禁止する。\n4. de-identificationはrisk reductionでありcategorical guaranteeではない。直接識別子を除いてもquasi-identifier、外部dataとのlinkage、small-group uniqueness、semantic contextから再識別され得る。\n5. differential privacyは有力PETだが、単にnoiseを加える機能ではない。privacy parameters、accounting/composition、implementation hazard、utility lossを含めて評価しなければならない。\n6. provider組込PII filterは有用なdefense-in-depthだが、scopeを確認しなければならない。Microsoftのcurrent filter例はmodel output detectionであり、input、RAG context、tool payload、memory、telemetryを自動的に保護する証拠ではない。\n7. Core候補は、prompt / retrieved context / tool input / tool output / memory/state / generated output / evaluation fixture / trace-log-cache の各surfaceごとに「必要性→classification→detection→transform→recipient→retention→audit」を評価するPrivacy Surface Matrixである。これは複数一次資料と実装から導くINFERENCE / PROPOSALであり、既存標準の名称ではない。"
      ],
      "limit": "canonical監査・revision bindingの存在を示す。外部ソースcurrentnessが本文またはcontrol-planeで確定していない場合は、currentnessをUNKNOWNのまま保持する。",
      "origin_class": "AUDITED_CANONICAL_RESEARCH_PACKET",
      "source_or_experiment_ids": [
        "COMM-059-EA0063"
      ],
      "supporting_locators": [
        "COMM-059-EA0063",
        "EA-063-R5-LEGACY-MIGRATION-20261008-R1",
        "content/staging/EA-063.md"
      ],
      "scope": "監査済みEA本文・canonical revision・既存Source Graph relationの範囲。欠損currentnessは推測で閉じない。",
      "provenance_status": "AUDIT_PASS_CANONICAL_BINDING"
    },
    {
      "id": "EA-063-R11-WEB-READBACK",
      "evidence_class": "IMPL",
      "title": "EA-063 Web body identity / canonical readback",
      "supports": [
        "canonical staging bodyのSHA-256一致とR9 canonical ledger readbackをProduction projectionの入力として検証する。"
      ],
      "limit": "body identity/readbackは本文claim自体の真偽や外部ソースの最新性を追加保証しない。",
      "checked_at": null,
      "origin_class": "IMPLEMENTATION_READBACK",
      "source_or_experiment_ids": [
        "WEBBODY-EA0063-R8-7F7F2772"
      ],
      "supporting_locators": [
        "WEBBODY-EA0063-R8-7F7F2772",
        "content/staging/EA-063.md",
        "EA-063-R5-LEGACY-MIGRATION-20261008-R1"
      ],
      "scope": "R9/R10 canonical readback後のProduction生成時body identity。",
      "provenance_status": "CANONICAL_READBACK_BODY_HASH_MATCH"
    }
  ],
  "research_sections": [
    {
      "heading": "WHY_THIS_MATTERS_TO_UPDATE",
      "text": "Enterprise AIでは、個人情報がuser promptだけに現れるとは限らない。RAGで取得した文書、tool入出力、agent memory/state、生成物、評価fixture、trace/log/cacheにも同じ情報が複製・派生し得る。したがって「LLMへ送る前にPIIを伏せる」だけではprivacy engineeringにならない。公開後アップデートでは、データ最小化、識別可能性の低減、検出、変換、復元可能性、保持、監査をruntime surfaceごとに分離し、製品内蔵filterと組織側controlの責務を混同しない設計が必要である。"
    },
    {
      "heading": "SCOPE_ROUTING",
      "text": "Enterprise AI Core: privacy-by-design、data minimization、de-identification/pseudonymization、runtime privacy policy、transformation provenance。\nProvider mapping: Google Cloud Sensitive Data Protection、Microsoft Foundry PII filterをcurrent implementation sampleとして扱う。\nImplementation/OSS: Presidio Analyzer/Anonymizerを実装precedentとして扱う。\nGovernance: NIST Privacy Engineering、NISTIR 8053、NIST SP 800-226。UK ICO guidanceはjurisdiction-specific regulatory guidanceとして扱い、global legal ruleへ一般化しない。\nInteroperability: prompt/RAG/tool/memory/output/telemetry間のprivacy label・transform state伝播。"
    },
    {
      "heading": "CLAIM_OR_RESEARCH_QUESTION",
      "text": "Q1. AI privacy engineeringは「PII detector + redaction」ではなく、収集・転送・保持そのものを減らすdata minimizationを第一段に置くべきか。\nQ2. anonymization、pseudonymization、mask/redact、tokenization/hash、encryptionを同義語として扱えるか。\nQ3. PII detectorの判定はprivacy/compliance上のtruth sourceとして使用できるか。\nQ4. de-identified dataに対するre-identification riskと、差分privacy等のPETをどの粒度で評価すべきか。\nQ5. provider内蔵filterを組織全体のprivacy controlとして外挿できるか。"
    },
    {
      "heading": "EVIDENCE TABLE",
      "text": "1) source class: official privacy engineering program / framework resource\nexact title: Privacy engineering\nauthor/org: National Institute of Standards and Technology (NIST)\ncanonical URL: https://www.nist.gov/privacy-engineering\npublication/update/access date: current page / accessed 2026-09-14\nversion/release: program page; references NIST Privacy Framework and PRAM\nsupporting locator: PEP overview; Privacy Framework; Privacy Risk Assessment Methodology\n evidence label: VERIFIED_SPEC\nrelation: support / context\nestablished: NIST Privacy Engineering Programはmeasurement scienceとsystems engineeringをprivacy riskへ適用し、Privacy Framework、PRAM等を提供する。privacy controlを単一のredaction機能ではなくsystem risk managementとして扱う根拠になる。\n\n\n2) source class: official NIST publication\nexact title: De-Identification of Personal Information\nauthor/org: Simson L. Garfinkel / NIST\ncanonical URL: https://doi.org/10.6028/NIST.IR.8053\npublication/update/access date: published 2015-10-22; NIST page updated 2020-01-27; accessed 2026-09-14\nversion/release: NISTIR 8053\nsupporting locator: Abstract; de-identification / re-identification discussion\n evidence label: VERIFIED_SPEC + RESEARCH\nrelation: support / counter / limit\nestablished: de-identificationはprivacy riskを下げられるが、de-identified dataが再識別され得ることが明記される。対象はstructured dataだけでなくfree text、multimedia、medical imageryまで含む。\n\n\n3) source class: official NIST guideline\nexact title: Guidelines for Evaluating Differential Privacy Guarantees\nauthor/org: Joseph Near, David Darais, Naomi Lefkovitz / NIST\ncanonical URL: https://doi.org/10.6028/NIST.SP.800-226\npublication/update/access date: published 2025-03-06; accessed 2026-09-14\nversion/release: NIST SP 800-226 Final\nsupporting locator: Abstract; privacy hazards; differential privacy pyramid; NIST release announcement\n evidence label: VERIFIED_SPEC + RESEARCH\nrelation: support / limit\nestablished: differential privacyはデータに個人が含まれることによるprivacy lossを定量化する数学的枠組みであり、privacy-preserving MLにも適用可能。一方NISTは実装上のprivacy hazard、noise設定、privacy-utility trade-offを評価する必要を強調しており、「DP使用=再識別不能」のような保証へ単純化できない。\n\n\n4) source class: regulator guidance\nexact title: What are the appropriate safeguards?\nauthor/org: UK Information Commissioner's Office (ICO)\ncanonical URL: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/the-research-provisions/what-are-the-appropriate-safeguards/\npublication/update/access date: accessed 2026-09-14\nversion/release: current web guidance; jurisdiction-specific\nsupporting locator: data minimisation; anonymised information; pseudonymisation\n evidence label: SOURCE_REPORT + PRODUCT_VOLATILE\nrelation: support / context / limit\nestablished: 必要なpersonal dataの最小量を特定し、それ以上保持しないdata minimisationを明示する。anonymous informationを利用できない場合にpseudonymisationを検討し、pseudonymous dataはなおpersonal dataであるとする。\n\n\n5) source class: regulator guidance\nexact title: Pseudonymisation\nauthor/org: UK Information Commissioner's Office (ICO)\ncanonical URL: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/pseudonymisation/\npublication/update/access date: accessed 2026-09-14\nversion/release: current web guidance; jurisdiction-specific\nsupporting locator: Define your goals; Detail the risks; data minimisation / security sections\n evidence label: SOURCE_REPORT + PRODUCT_VOLATILE\nrelation: support / counter / limit\nestablished: pseudonymisationはidentifiabilityを目的に必要な範囲へ減らす手段になり得るが、追加情報の復元・アクセス防止が必要。insider/external attackerによるre-identificationを考慮し、unauthorised reversalを抑止する必要がある。\n\n\n6) source class: author-maintained OSS documentation\nexact title: Presidio Analyzer\nauthor/org: Data Privacy Stack / Microsoft-origin Presidio project\ncanonical URL: https://microsoft.github.io/presidio/analyzer/\npublication/update/access date: accessed 2026-09-14\nversion/release/tag/commit: docs current; exact release tag not fixed in this RUN\nsupporting locator: Main concepts; Creating PII recognizers; Multi-language support; decision process\n evidence label: OSS_PRACTICE\nrelation: support / limit\nestablished: PII detectionはregex、NER、custom logic等のrecognizer集合で実装でき、entity type/span/scoreを返す。custom recognizer、country/language scope、decision tracingが必要になること自体が、detector出力を普遍的truthとみなせないことを示す実装precedentになる。\n\n\n7) source class: author-maintained OSS documentation\nexact title: Presidio Anonymizer\nauthor/org: Data Privacy Stack / Microsoft-origin Presidio project\ncanonical URL: https://microsoft.github.io/presidio/anonymizer/\npublication/update/access date: accessed 2026-09-14\nversion/release/tag/commit: docs current; exact release tag not fixed in this RUN\nsupporting locator: Built-in operators; Deanonymizer; security considerations\n evidence label: OSS_PRACTICE\nrelation: support / counter / limit\nestablished: replace、redact、mask、hash、encrypt等の異なるtransformが一つの“anonymizer”実装に含まれ、encryptはdecrypt可能である。したがってAPI/function名がanonymizeでも、法的・risk上のanonymisationを達成した証明にはならない。referential integrityのためsaltを保持すれば再識別riskが増えるというsecurity trade-offも明示される。\n\n\n8) source class: official cloud product documentation\nexact title: Sensitive Data Protection documentation / Inspect storage and databases for sensitive data\nauthor/org: Google Cloud\ncanonical URL: https://docs.cloud.google.com/sensitive-data-protection/docs\npublication/update/access date: accessed 2026-09-14\nversion/release/API revision: current Google Cloud service; PRODUCT_VOLATILE\nsupporting locator: infoTypes; inspection; de-identification; risk analysis; repository scanning\n evidence label: VERIFIED_SPEC + PRODUCT_VOLATILE\nrelation: support / availability / context\nestablished: text/structured data/images等のsensitive data検出、predefined/custom infoTypes、de-identification、k-anonymity/l-diversity等のre-identification risk analysisを提供する。productized privacy engineering building blocksが存在するが、cloud project/region/billing/API limit等の利用条件とは分離すべきである。\n\n\n9) source class: official API documentation\nexact title: projects.content.inspect / Sensitive Data Protection\nauthor/org: Google Cloud\ncanonical URL: https://cloud.google.com/sensitive-data-protection/docs/reference/rest/v2/projects.content/inspect\npublication/update/access date: accessed 2026-09-14\nversion/release/API revision: v2 REST surface; current docs\nsupporting locator: InspectConfig / infoTypes; default detector behavior; content/response limits\n evidence label: VERIFIED_SPEC + PRODUCT_VOLATILE\nrelation: counter / limit / availability\nestablished: inspectionはconfigured/default infoType detectorに依存し、default setは時間とともに変化し得る。またrequest/output/処理時間等のlimitsがある。検出結果を不変・完全な分類truthとして保存する設計は不適切で、detector configuration/version相当のprovenanceが必要。\n\n\n10) source class: official provider product documentation\nexact title: Personally identifiable information (PII) filter\nauthor/org: Microsoft Foundry / Microsoft Learn\ncanonical URL: https://learn.microsoft.com/en-us/azure/foundry/openai/concepts/content-filter-personal-information\npublication/update/access date: updated 2026-07-31; accessed 2026-09-14\nversion/release: current Foundry PII filter; PRODUCT_VOLATILE\nsupporting locator: Personal data types; Filtering modes\n evidence label: VERIFIED_SPEC + PRODUCT_VOLATILE\nrelation: support / availability / limit\nestablished: LLM completion outputのpersonal dataを検出し、AnnotateまたはAnnotate and Blockで扱える。entity categoryごとに設定可能。ただしdocumented scopeはmodel output側であり、これ単独ではprompt/RAG/tool/memory/logを覆うenterprise-wide privacy controlにならない。\n\n\n11) source class: official AI risk profile\nexact title: Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile\nauthor/org: NIST\ncanonical URL: https://doi.org/10.6028/NIST.AI.600-1\npublication/update/access date: published 2024-07-26; accessed 2026-09-14\nversion/release: NIST AI 600-1\nsupporting locator: publication scope / companion profile to AI RMF 1.0\n evidence label: VERIFIED_SPEC\nrelation: context\nestablished: GenAI固有riskをAI RMFへ接続するcross-sector profileが存在する。本packetでは個別privacy controlを同文書から推測せず、AI-specific risk-management contextとしてのみ使用する。"
    },
    {
      "heading": "FINDINGS",
      "text": "1. EA-063は「PII削除機能」ではなくprivacy engineering lifecycleとして成立する。第一原則はdetect-and-redactより前のdata minimizationであり、不要なpersonal dataをそもそも収集・検索・toolへ転送・memoryへ書込・logへ保存しない設計が優先される。\n2. anonymization / pseudonymization / masking / redaction / hashing / encryptionは別概念である。特にpseudonymized/reversible transformは識別可能性を低減しても復元経路を残す。OSS上の“anonymizer”という名称だけでanonymousと判定してはならない。\n3. PII/sensitive-data detectorは分類器であってauthorization truth sourceではない。entity coverage、language/country、custom recognizer、threshold、context、version/default-set changeによるfalse negative/false positiveがあり得る。`not detected = non-personal`という推論は禁止する。\n4. de-identificationはrisk reductionでありcategorical guaranteeではない。直接識別子を除いてもquasi-identifier、外部dataとのlinkage、small-group uniqueness、semantic contextから再識別され得る。\n5. differential privacyは有力PETだが、単にnoiseを加える機能ではない。privacy parameters、accounting/composition、implementation hazard、utility lossを含めて評価しなければならない。\n6. provider組込PII filterは有用なdefense-in-depthだが、scopeを確認しなければならない。Microsoftのcurrent filter例はmodel output detectionであり、input、RAG context、tool payload、memory、telemetryを自動的に保護する証拠ではない。\n7. Core候補は、prompt / retrieved context / tool input / tool output / memory/state / generated output / evaluation fixture / trace-log-cache の各surfaceごとに「必要性→classification→detection→transform→recipient→retention→audit」を評価するPrivacy Surface Matrixである。これは複数一次資料と実装から導くINFERENCE / PROPOSALであり、既存標準の名称ではない。"
    },
    {
      "heading": "LIMITS / COUNTEREVIDENCE / FAILURE ENVELOPE",
      "text": "- anonymisedと称するdataでも、contextやauxiliary datasetとのlinkageで再識別可能性が残り得る。NISTIR 8053はこの限界を明示する。\n- PII detectorはknown entity patternに強くても、自由記述中の間接識別、希少属性の組合せ、業務固有ID、画像内文字/object、複数言語ではcoverageが変わる。provider/OSS間のentity taxonomyも一致しない。\n- false positiveを強くblockすると業務utilityを壊す。false negativeを減らそうとしてcontextを広げれば、privacy処理自体がより多くのraw dataへ触れる場合がある。\n- reversible tokenization/encryptionはmapping/key/saltを守る別security problemを生む。復元情報を同一trust domainへ置けばpseudonymizationの分離効果が弱まる。\n- output filterのみでは、providerへ送信済みのinputやretrieved contextを後から保護できない。pre-inference minimization/controlとpost-generation filteringを別層で持つ必要がある。\n- Differential Privacyのbenchmark/数学保証を個別LLM会話の秘密保持保証へ外挿しない。用途・adjacency definition・privacy budgetが異なる。\n- ICO guidanceはUK jurisdictionのguidanceであり、他法域へそのまま法的結論として転用しない。"
    },
    {
      "heading": "AVAILABILITY_GATES",
      "text": "- Detector: supported entity/infoType、language/locale/country、file modality、custom recognizer、threshold/likelihood、request size、latency/output limits。\n- Transform: irreversible vs reversible、mapping/key/salt custody、KMS/HSM availability、referential-integrity requirement。\n- Provider: service/region、SKU/billing、tenant/admin setting、filter mode、supported model/deployment、API revision。\n- Workflow: whether control is applied before provider transmission, after generation, at storage/logging, or only at one surface。\n- Governance: jurisdiction、purpose、lawful/approved processing basis、retention/deletion rule。法的適否の最終判断は当該組織の法務・privacy governanceと分離する。"
    },
    {
      "heading": "IMPLEMENTATION_STATE",
      "text": "VERIFIED implementation building blocks exist: NIST risk-engineering guidance、Google Sensitive Data Protection、Microsoft Foundry PII filter、Presidio等。しかしprovider-neutralな「AI Privacy Gateway」標準が確立しているとは確認できない。\n\n\nPROPOSAL / INFERENCE for future Core:\n`Privacy Gateway / Data Reduction Layer`をinference前段だけに限定せず、各runtime surfaceへ適用する。最低限のrecordは `surface`, `purpose`, `source_classification`, `detector/config revision`, `detected entity/infoType`, `transform`, `reversibility`, `mapping/key custodian`, `destination/recipient`, `retention`, `policy decision`, `exception/approval`, `provenance`。ただしauditのためにraw PIIを重複保存しない。raw valueそのものではなくpolicy/transformation eventを記録する設計を優先する。"
    },
    {
      "heading": "BENCHMARK_OR_EVAL",
      "text": "Privacy evaluationは単一accuracy scoreで閉じない。後続Work向けTEST_PROFILE（未実施）:\nA. synthetic PII corpusを用い、entity type × language × formatting × contextごとのprecision/recallを計測する。\nB. direct identifiersだけでなくquasi-identifiers、業務固有ID、複数属性組合せをfixture化し、detector missを観測する。\nC. redaction/tokenization後にtask completion/answer utilityがどこまで壊れるかを同時測定する。\nD. reversible transformでは、mapping/key分離、unauthorized recovery、key rotation/失効、auditを試験する。\nE. de-identified datasetではknown auxiliary informationを使ったlinkage/re-identification testを隔離synthetic dataで行う。\nF. DP採用時はepsilon等のparameterだけでなくcomposition/accounting、implementation、utilityをNIST SP 800-226に沿って評価する。\n実在個人データ、秘密情報、認証済みtenantへの危険なlive testは使用しない。"
    },
    {
      "heading": "SECURITY / PRIVACY / AUDIT / COST / OPERABILITY",
      "text": "Privacy: minimizationを最初のcontrolに置き、必要な場合のみ検出・transformを重ねる。anonymous/pseudonymous/reversibleの状態を混同しない。\nSecurity: mapping table、encryption key、stable salt、custom detector rule、raw quarantineは高価値資産として分離・least privilege化する。\nAudit: detector/config/model version、transform policy、decision/override、destination、retention、re-identification test結果を記録する。一方、証跡のためにraw personal dataを新たに複製しない。\nCost: full-content inspection、OCR/image scan、NER、custom classifier、DP processingはlatency/compute/API costを持つ。全surfaceの同期inline scanが適切とは限らず、risk classに応じてinline/batchを分ける。\nOperability: detector taxonomy drift、provider feature更新、language coverage差に備え、golden synthetic corpusで回帰試験する。block policy変更はEA-058 configuration management、EA-059 canary/feature flagと接続可能。"
    },
    {
      "heading": "SAFE_WORDING_FOR_FUTURE_BOOK",
      "text": "「AIのプライバシー対策は、PIIを見つけて黒塗りすることだけではない。まず業務目的に不要な個人情報を取得・検索・転送・保持しない。必要な情報には、検出、仮名化、削除、暗号化などを目的に応じて使い分ける。『検出されなかった』『anonymizeという関数を通した』ことだけで匿名化済みとは判断できない。識別可能性は周辺情報や復元鍵、外部データとの結合でも変わるため、入力、RAG、tool、memory、出力、ログまで処理面ごとに確認する必要がある。」"
    },
    {
      "heading": "UPDATE_WORK_HANDOFF",
      "text": "1. 公開後本編ではEA-061 Data Classificationの分類結果をEA-063のprivacy actionへ接続する。classificationとPII detector findingは別フィールドにする。\n2. `AI Privacy Surface Matrix`を作る。rows: user input / system-provided context / RAG retrieval / tool input / tool output / memory-state / model output / eval dataset / trace-log-cache。columns: necessity / classification / detector / transform / reversibility / recipient / retention / residency / audit / owner。\n3. anonymization / pseudonymization / redaction / masking / tokenization / hashing / encryption / aggregation / differential privacyを別用語として定義し、可逆性・linkability・utility・適用対象をcrosswalkする。\n4. publication時にNIST Privacy Framework最新status、NIST SP 800-226 revision、ICO anonymisation guidance revision、Google detector/API docs、Microsoft Foundry PII filter availabilityを再確認する。\n5. Presidioは公開時点のrelease/tag/commitを固定し、supported recognizer/language listとknown issuesをauthor repoから再採集する。今回のdocs currentだけでversion保証しない。\n6. TEST_PROFILE-PRIV-001（未実施）: synthetic多言語PII + quasi-identifiers + domain IDsでprovider/OSS detector比較。precision/recallだけでなくtask utilityとlatency/costも測る。\n7. TEST_PROFILE-PRIV-002（未実施）: prompt → RAG → tool → memory → output → telemetryを通るsynthetic identifierにcanary markerを付け、どのsurfaceへ残存するかを非破壊sandboxで追跡する。\n8. EA-062 Residency/Sovereigntyへtransform前後dataのregion/recipientを接続し、EA-051 Telemetryへlog minimization、EA-055 Forensicsへprivacy-preserving evidence、EA-058へdetector/policy versioningをcross-referenceする。\n9. 法規制crosswalkはjurisdiction別の別層で作り、engineering controlの存在から法令適合を自動推定しない。"
    },
    {
      "heading": "OPEN_UNKNOWN",
      "text": "- provider横断で通用するAI-runtime privacy transformation metadata schemaの有無。\n- embedding/vector representationからのmembership/inversion/re-identification riskを、Enterprise運用向けにどの試験でbounded評価するか。\n- multimodal PII detectionについてtext/image/audio/videoで同等のcoverageを保証できるprovider-neutral手法。\n- LLM memory/stateの削除・forget操作と、backups/log/eval copiesを含む実効削除の統一contract。\n- anonymizationの十分性を各jurisdiction/用途でどのthresholdに置くか。engineering packetから法的thresholdは確定しない。\n- NIST Privacy Framework次版の最終statusは公開後更新時に再確認する。"
    },
    {
      "heading": "STOP_CONDITION",
      "text": "EA-063の初回Evidence Packetとして、privacy engineeringのsystem scope、主要techniqueの非同義性、PII detectorの限界、de-identification/re-identification、DP、provider/OSS実装precedent、safe wording、TEST_PROFILEまで採集できたためbounded unitを閉じる。PRODUCT_VOLATILEなprovider機能・guidance revisionと上記OPEN_UNKNOWNは公開後Workで再採集する。\n\n---"
    },
    {
      "heading": "AUDITED_BOUNDARY",
      "text": "NIST Privacy Framework 1.1 is Initial Public Draft/not final; NIST SP 800-226 is Final. Microsoft Foundry PII filtering is scoped to documented model-output scanning. Google detector behavior/config/version can drift and does not guarantee compliance. Presidio must be release/config pinned. No-detection is not non-personal proof."
    }
  ],
  "human_url": "/tools/ea-063-ai-privacy-engineering",
  "markdown_url": "/agent/article.md?path=%2Ftools%2Fea-063-ai-privacy-engineering",
  "json_url": "/agent/article.json?path=%2Ftools%2Fea-063-ai-privacy-engineering"
}