小規模事業者／一人法人版

小規模事業者版はEnterprise統制の省略版ではなく、専任管理者がいない環境でも維持できる少数の高価値controlへ圧縮する運用profileとして扱う。最低限の境界は、業務用identity/MFA、投入データ規則、vendor card、高影響操作のhuman checkpoint、cost ceiling、recovery kitの6つとする。

AIプランは一席あたりの価格だけで選ばず、最低席数、chat subscription / business workspace / API / productivity-suite bundleの違い、既存suiteとの重複、API別課金、必要なデータ保護・契約条件、tenant/region/plan availabilityを分離して確認する。small-business向けplan名そのものをsecurity/compliance保証として扱わない。

A. BUSINESS IDENTITY — 業務用account/emailを個人生活accountから分離し、MFAを有効化する。一人法人ではowner/admin/userを同一人物が兼務し得るため、role separationを人数だけで表現しない。 B. DATA RULE — PUBLIC / INTERNAL / CUSTOMER-CONFIDENTIAL / REGULATED程度の簡易分類を用意し、AIへ投入できるデータを事前に定める。training defaultだけでなくretention/delete/connected-app data flowも確認する。 C. VENDOR CARD — provider/plan、training default、retention/delete、export、admin/security、region、contract gateを一枚で管理する。public product docsは特定tenantの実効availabilityを証明しない。 D. HUMAN CHECKPOINT — 外部送信、契約・会計・法務・顧客影響、正本更新はAI単独確定にしない。一人法人では全操作に別人承認を要求する代わりにaction classを分け、高影響操作だけを二段階確認または外部専門家確認へ上げる。 E. COST CEILING — seat + suite + API + credits/add-onsを月額上限として管理する。chat subscriptionとAPI billingを分離し、minimum seat、suite重複、annual commitmentも総額へ含める。 F. RECOVERY KIT — 正本をAI chat/memoryだけに置かず、export/backup、credential recovery、代替provider入口、incident memoを保持する。復旧可能性を高度機能より優先する場合がある。

AUTHORITY COMM-027-EA0025。NIST AI RMF 1.0、NIST AI 600-1、FTC small-business cybersecurity/privacy guidanceを設計根拠とし、OpenAI Business、Google Workspace Business/Gemini、Microsoft 365 Business/Copilotの公開資料をcurrent product examplesとして扱う。provider優劣評価には使用しない。pricing、seat、entitlement、plan名、quotaは PRODUCT_VOLATILE。

small-business向けplan名はsecurity/compliance保証ではない。BAA/ZDR/custom retention/data residency/SCIM等が上位または契約planに限定される可能性を残す。bundle AIが安価でも機能quota・edition差がある。個人planが安価でもbusiness data policy/admin/audit requirementを満たすとは限らない。一人法人でも顧客・従業員・医療・金融・機密等ではsector/legal requirementが優先される。NIST/FTCは米国資料であり、日本法人の法令適合性そのものを確定しない。public product docsから特定tenantの実効availabilityを推測しない。

UNEXECUTED。非機密fixtureで confidential customer email draft / invoice-table transformation / research with citations / external-send boundary / account loss-export-recovery をscenario replayする。品質だけでなくdata boundary、manual steps、monthly cost、recovery timeを測る。external send/writeはdry-runのみ。未実施結果や閾値を推測しない。

日本の個人事業主／一人法人に対するprivacy・個人情報・業法crosswalk、主要providerのcurrent commercial minimum-seat/contract conditions、日本円実効税・契約条件、one-person tenantでのadmin/audit実挙動、tenant固有entitlement/region/contractual controls。UNKNOWNを推測で閉じない。

EA-001 plan crosswalk、EA-022 migration、EA-023 lock-in、EA-024 procurementへ接続する。ただし本packetで各EAを再編集・再解釈しない。