Tutorial 15: Document Security & Redaction

What You'll Do

このチュートリアルでは、Claude を使用した文書セキュリティと墨消しワークフロー（PII 検出、自動墨消し、プライバシーコンプライアンス）を案内します。明確なステップバイステップのパスに従います。

主なワークフロー（Claude）： 標準化された感度ティアを持つ PII 検出と墨消しテンプレートを使用。本番前に反復可能な墨消しと検証チェックリストを適用。高リスク所見（特権、規制データ、曖昧さ）を弁護士レビューにエスカレート。

学習目標

このチュートリアルを終えると、次のことができるようになります：

• 文書セット全体で PII 検出と識別を習得
• テキストと PDF の自動墨消しワークフローを実装
• 脱識別と匿名化技術を適用
• 発見生産における GDPR/CCPA コンプライアンスを確保
• 墨消しの完全性と正確性を検証
• 特権ログ墨消しを体系的に管理

---

Part 1：PII 検出と識別

プライバシーリスクの課題

現代の訴訟は多様な文書タイプにわたる敏感な個人情報を伴います。墨消し漏れは責任、規制違反、倫理違反を引き起こします。

主要 PII カテゴリ

身元情報（氏名、生年月日、SSN、運転免許、パスポート）、連絡先情報（メール、携帯、住所）、金融情報（銀行口座、クレジットカード）、医療情報（診断、薬剤）、法的に敏感な情報（特権通信、訴訟戦略）。

検出ワークフローとエンティティ認識

PII カテゴリリストを確立、感度レベルを定義、文書セットをバッチスキャン、検出レポートを生成、人手によるレビュー対象をマーク。感度分類：高（SSN、口座、診断）、中（メール、氏名）、低（役職、業務電話）。

実践演習 1.1

ディスカバリ文書セットの PII 検出・分類プロトコルを作成。含める内容：パターン付き PII タイプリスト、感度分類スキーム、生産タイプ別ルール、偽陽性手順、QC チェックリスト。

---

Part 2：自動墨消しワークフロー

テキスト墨消し戦略

PII パターンを特定、墨消しを適用（例：[REDACTED] または [NAME]）、文書構造を保持。文書インベントリ準備、バッチ戦略、出力命名規則、バージョン管理、検証チェックリスト。

PDF 墨消し技術

テキストレイヤー、画像レイヤー、メタデータ。スキャン文書用 OCR。墨消し・マスキング・削除アプローチの比較。法務ディスカバリにおける各アプローチのリスク。

バッチ墨消しプロトコル

マルチフォーマット墨消し：画像内テキスト、ネイティブファイルを処理。墨消し前チェックリスト：カテゴリ定義、感度レベル、特権マーカー、検証手順。演習 2.1：複数カストディアン向けバッチプロトコル作成。

---

Part 3：墨消し検証と品質管理

完全性検証

墨消し後の全文検索で漏れがないことを確認。メタデータ、変更追跡、非表示コメントを確認。

正確性検証

墨消しが過剰または不十分かサンプリングで確認。QC チェックリスト：PII タイプ別検証ルール、サンプリング比率、エスカレーション手順。

画像・ネイティブファイルの墨消し

フォーマット別課題（PDF、Word、Excel、PowerPoint、メール）。OCR と画像内 PII 検出。埋め込みオブジェクト、メタデータスクラビング。

---

Part 4：脱識別パターン

匿名化技術

一般化（日付、年齢範囲）、抑制（完全削除）、仮名化（可逆的置換）、集約（要約統計）。

一貫した置換トークン

個人ごとにトークンを割り当て（[INDIVIDUAL-001]、[WITNESS-001]）。セット全体で一貫性を維持。脱識別マップ（機密）を作成。

医療・法務文書データ

医療・健康データ：HIPAA セーフハーバー、専門家判定法。法務文書：可読性とプライバシー保護のバランス。演習 4.1：文書サンプルの脱識別プロジェクト。

---

Part 5：GDPR/CCPA コンプライアンス考量

生産前検証

データ最小化、目的制限、保存期間、同意/法的根拠。該当する場合 DPIA。

ディスカバリ生産のコンプライアンス

墨消しが必要な個人データの特定、適用規制、越境移転制限、データ主体の権利。GDPR 特別カテゴリ：健康データ、民族的原籍、政治的意見—追加の注意。

CCPA 要件

GDPR より広い個人情報。ディスカバリにおける消費者権利。事業者義務、訴訟ホールドとの衝突。

---

Part 6：特権ログ墨消し

体系的管理

特権ログは特権主張を保護するため墨消しが必要な場合が多い。各保留文書について：記述的概要（特権内容なし）、墨消しログテンプレート、レビュアー検証、一貫性チェック。

実質的コンテンツ vs. 識別

特権通信の説明を墨消し；法的助言を開示しない。良いエントリ：「訴訟戦略に関する外部顧問からのメール」。悪いエントリ：和解閾値やワークプロダクト分析の開示。

第三者データの取り扱い

ベンダー、顧客、競合の情報を評価。オプション：保護なしで生産、機密指定付き、墨消し付き、または保護命令を請求。

---

比較：Claude 支援セキュリティ vs. 競合

PII 検出、墨消し決定、脱識別プロトコル、メタデータスクラビング、GDPR/CCPA コンプライアンス、テストデータ生成、特権ログ品質についての手動、Claude、Private AI、Relativity の比較表。

---

まとめとベストプラクティス

完全なセキュリティワークフロー

1. 文書を PII と機密コンテンツについて評価
2. 感度と規制要件で情報を分類
3. 墨消し・脱識別戦略を設計
4. Claude ガイドプロトコルで実装
5. 完全性と正確性を検証
6. すべての決定と手順を文書化
7. 信頼と監査証跡で生産

重要な教訓

• 一貫性が重要：置換トークン、テンプレート、チェックリストを使用
• フォーマットが重要：フォーマット固有のアプローチを設計（PDF ≠ Word ≠ メール）
• メタデータは危険：隠れたコンテンツ、変更追跡、コメントを忘れない
• コンプライアンスは複数管轄：GDPR、CCPA、州法が適用
• 検証が不可欠：サンプリング、スポットチェック、墨消しの監査
• 文書化が保護：特権ログ、決定メモ、証明書

---

出典

• FRCP Rule 26
• California Consumer Privacy Act (CCPA)
• EU Data Protection Rules
• GDPR Full Text
• NIST SP 800-122: Protecting PII Confidentiality

---

追加読書

• NIST AI Risk Management Framework
• Federal Register
• State Attorneys General Directory (NAAG)

---

今すぐ実行

• PII カテゴリと感度レベルリストを確立
• サンプル文書セットで墨消しワークフローを実行
• 墨消し後検証を実行
• 敏感なフィールドに脱識別技術を適用
• 生産前 GDPR/CCPA コンプライアンスチェックリストを確認
• 特権ログの墨消しプロトコルを確立

---

生産前の宿題

1. プロセスの監査 — 現在の PII 取り扱い手順を文書化（10 件のランダム文書の手動監査）
2. コンプライアンス義務のマッピング — 管轄区域別の適用プライバシー法の一覧を作成
3. 墨消しマトリックスの構築 — 生産タイプ別の墨消しルールを作成
4. 検証チェックリストの開発 — 100 文書サンプルの品質管理アプローチを設計
5. プレイブックのセットアップ — 最も一般的な文書タイプ（メール、契約、財務記録）のプロトコルを作成

---

関連ファミリーページ

• Document Security & Redaction (OpenAI)
• Concepts

---

ナビゲーション

• 前へ: Practice Management
• 次へ: Contract Intelligence