ある企業が GDPR に基づき、特定のユーザーのデータを機械学習のトレーニングに利用した履歴を記録・管理し、データ削除要求への対応を可能にしたい。このデータガバナンス要件に対応するために最初に実施すべき施策はどれか。
- A. どのデータがどのトレーニングジョブに使われたかを追跡するデータカタログとリネージ記録の仕組みを整備する
- B. トレーニングデータをすべてパブリック S3 バケットに公開して透明性を確保する
- C. 全データを KMS カスタマーマネージドキーで暗号化して保管する
- D. モデルのトレーニングが完了したら元データをすべて即座に削除する
解答と解説を見る
正解: A
GDPR のデータ主体の権利（削除要求・アクセス要求）に対応するには、まずどのデータがどこに存在しどのシステムで利用されたかを把握できるデータカタログとリネージ（追跡記録）の整備が必要。AWS Glue Data Catalog や SageMaker Lineage Tracking がこれを支援する。Dの即時削除はデータ使用記録がない状態では削除漏れのリスクがあり不完全。Cの暗号化は機密性保護として重要だが、削除要求への対応はリネージ管理が前提。Bのパブリック公開は機密データを公開することになり、GDPR 違反の重大リスクとなる。