> ## Documentation Index
> Fetch the complete documentation index at: https://docs.rockapi.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# AI API の安全性とプライバシー：購入者の評価チェックリスト

> 顧客データを送る前に、AI API のデータ経路、保存、学習利用、認証情報、ログ、インシデント対応を確認します。

顧客データを AI API に送信する前に、データの行き先と各関係者が保持し得る情報を文書化します。ゲートウェイ、マーケットプレイスの販売者、上流の提供者では役割と条件が異なる場合があります。この記事は購入者向けの評価リストであり、企業のプライバシーポリシー、認証の表明、個別サービスへの保証を定めるものではありません。

## データ経路全体を洗い出す

アプリ、ゲートウェイ、選択した販売者またはモデル提供者、処理に関与する上流サービスを列挙します。テキストだけでなく、アップロードファイル、画像・音声入力、生成結果、ツールの出力も対象です。機密情報や個人情報を識別し、処理に不要な項目を除きます。

Rock API を評価する場合は [セキュリティとプライバシーのガイド](https://docs.rockapi.ai/ja/security-and-privacy.md) から始め、実際に使うモデルやマーケットプレイスのサービスの条件を確認してください。要件に対する回答がなければ運営者に書面で説明を求めます。ある経路についての説明が、すべての販売者や上流モデルに適用されるとは限りません。

## 抽象的な安心感ではなく根拠を確認する

| 項目 | 承認前に解決する質問 |
| - | - |
| 内容の保持 | プロンプト、出力、ファイル、エラー内容を保存するか。バックアップや例外を含め、期間はどれくらいか。 |
| 学習利用 | 学習やサービス改善に使われるか。変更する設定や契約はあるか。 |
| 処理場所 | どの地域で処理・保存し、どの再委託先が受け取るか。 |
| アクセス | 誰がどの権限で内容を閲覧し、どのような監査記録を残すか。 |
| 削除 | 削除依頼にどう対応し、アカウント閉鎖後に何が残るか。 |
| インシデント | 報告窓口、通知手順、責任分担はどうなっているか。 |

HTTPS や OpenAI 互換インターフェースから、法令適合、データ所在地の保証、契約上のゼロ保持を推測しないでください。必要なデータ処理契約と、その例外を運営者と確認します。

## 認証情報と自社のログを守る

API キーはサーバー側のシークレット管理基盤に置き、開発、ステージング、本番を分離します。必要な担当者とサービスだけがアクセスできるようにし、利用可能なら権限範囲や支出制限を設定します。所有者、失効、ローテーションの手順を記録し、漏えい時のキー交換を練習します。

アプリ、SDK、リバースプロキシ、監視ツール、サポート用エクスポートのログを確認してください。通常のログに含まれなくても、デバッグ設定でペイロード全体を取得している場合があります。認証ヘッダーをマスクし、標準では顧客の内容を保存しない設計にします。本番データを扱う前に合成データでエラー経路を検証します。

利用メタデータも評価対象です。リクエスト ID、時刻、モデル名、トークン数、IP アドレス、アカウント ID を組み合わせると、業務活動や個人が分かる場合があります。プロンプト以外は匿名と考えず、利用目的、保持期間、アクセス規則を決めます。

## 導入判断を記録に残す

対象サービス、確認文書、評価日、許可するデータ区分、未解決事項、責任者を記録します。マスキングとアクセス制御をテストし、障害・事故の連絡先を確認してください。要件が満たされるまで停止する処理も決めます。モデル、販売者、ルーティング設定、ログ機能を変えたら再評価します。

> [card] [API キーを安全に管理する](https://docs.rockapi.ai/ja/blog/buyers/secure-api-key-management.md)
>
> サービスとデータ処理の評価に合わせて、認証情報の保存、更新、失効を計画します。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.