AIプライバシーで最も危険な言葉

AIプライバシーで最も危険な言葉は「training（学習）」ではありません。「eventually（いずれ／そのうち）」です。

Eventually deleted. Eventually removed from backups. Eventually purged from logs. Eventually inaccessible. Eventually anonymized. Eventually processed. Eventually reviewed. Eventuallyは、気まずい約束を揺りかごのように包み込みます。

eventuallyの問題は、責任を負わないまま「責任を持っているように聞こえる」ことです。製品が削除をほのめかしながら、ユーザーに削除までの時間枠を提示しません。運用側がプロセスへのコミットを避けられます。サポートが難しい質問に対して、最も柔らかい霧で答えられます。

AI画像のワークフローでは、より鋭い言葉が必要です。扱う素材はセンシティブになり得ます。プロンプトにはプライベートな意図が含まれることがあります。アップロードには顔が含まれることがあります。出力は、キャンペーン、クライアント、家族、あるいは個人的な実験を明らかにする可能性があります。ユーザーは、「temporary（一時的）」が秒なのか、時間なのか、日なのか、あるいは調達の熱死後の地質学的な時代なのかを知るべきです。

解決策は、必ずしも即時削除ではありません。即時削除が一部のシステムでは現実的でない場合もあります。ジョブが失敗することがあります。キューはリトライします。悪用対策の仕組みには短いウィンドウが必要です。バックアップにはサイクルがあります。セキュリティログには保持要件があります。正直なプライバシーは、こうした制約が消えるふりをしません。

しかし、正直なプライバシーはそれらに数字を付けます。 一時的なアップロードは、特定の期間の後に削除されます。署名付きURLは、特定の時間で期限切れになります。プロンプト本文は保存されないか、保存する場合は特定の目的と期間のためにのみ保存されます。バックアップは、明示された期間、暗号化されたコピーを保持します。例外は名前が付けられます。

これはエンジニアリングにも役立ちます。具体的な保持（リテンション）期間は、テスト可能な要件になります。「ユーザーが保存しない限り、生成された出力は24時間後に削除する」は実装でき、監視でき、監査できます。「Delete eventually（いずれ削除）」は、ロードマップ付きの肩すかしです。

プロダクトチームが具体性を避けるのは、ときに間違えることを恐れるからです。妥当です。具体的な約束は義務を生みます。それが目的です。義務のないプライバシー約束は、約束ではありません。雰囲気（アンビエンス）です。

もしAI画像プロダクトがeventuallyという言葉を使っているなら、数字に置き換えるか、拒否に置き換えてください。データがいつ削除されるのかをユーザーに伝えるか、まだ削除を約束できないことを認めるかのどちらかです。2つ目の選択肢はつらいです。1つ目の方が良いです。霧は、どちらよりも悪いからです。

Further reading: Why temporary upload needs a retention policy, The privacy promise users actually understand, and Zero retention AI image generation.