この話の結論（3つだけ）
- 作る人の「削除の印1つ」は、使う人にとっての「消したはずのもの」
印を付けて隠すだけなら、データは残っている。そこから漏れると「消したのに漏れた」という一段上の事故になる
- 消し方は、作り始める前に決める
何を保存しないか／いつ自動で消すか／本人が自分で消せるか／消した記録をどう残すか。あとから足すほど高くつく
- それでも残る場所は、正直に書く
バックアップ・外部のAIの会社・利用者が自分でコピーしたもの。「即座にすべて消えます」とは書かない
CHAPTER 1
「論理削除」と「物理削除」
システムの「削除」には、大きく2つのやり方があります。
| | 論理削除 | 物理削除 |
|---|
| やること | データは残したまま「削除済み」の印を付け、画面に出さない | データそのものを消す |
| 良いところ | 間違えて消しても戻せる。過去の記録を調べられる | 残っていないので、漏れようがない |
| 困るところ | データは残り続ける。印の見落としで「消したはずのもの」が出てくる | 間違えて消すと戻せない（だからバックアップと組み合わせる） |
たとえるなら：付箋とシュレッダー論理削除は、書類に「廃棄」の付箋を貼って、棚に戻しておくこと。物理削除は、シュレッダーにかけること。付箋の書類は、棚を開ければ誰でも読めます。
現場ではどう議論されているか
2026年11月、X（旧Twitter）で「なぜ日本の業務システムは論理削除だらけなのか」という話題に、たくさんの声が集まりました。要点は次のとおりです。
- 残すべき業界もある：住民の記録・税・監査のように、過去にさかのぼって調べる必要があるシステムは、論理削除が基本。業務の性質に合わせて選ぶ
- 使う人から見ると話が違う：退会したつもりのサービスから個人情報が漏れたら「は？」となる。削除を頼んだのに漏れたら、もっと深刻
- 印の管理は事故のもと：「最新のデータだけを取り出す」ときに印の確認を忘れる、といった取りこぼしが起きやすい
- 「とりあえず論理削除」には事情もある：運用が決まっていない時期に、削除の作りを詰めるより早いから。ただし、その「とりあえず」が何年も残る
- 落としどころは両方使う：退会したら、まず見えなくする（論理削除）。一定期間たったら本当に消す（物理削除）
押さえておきたいことどちらが正しいかではなく、「何のために残すのか」と「いつ本当に消すのか」が決まっているかが大事です。「なんとなく残している」データは、漏れたときに説明ができません。
CHAPTER 2
作る前に決める5つ
AIに仕組みを作らせるときも、自分で設計するときも、最初にこの5つを決めます。あとから足すと、すでに溜まったデータの扱いまで考え直すことになります。
1何を保存しないか。いちばん安全なのは、そもそも持たないこと。氏名・連絡先が本当に要るか、まず疑う。
2いつ自動で消えるか。「会話は30日」「最後に使ってから30日」のように、データの種類ごとに期限を決め、期限が来たら仕組みが自動で消す。
3本人が自分で消せるか。「全部消す」ボタンを置き、押したら本当に消す（印を付けるだけにしない）。
4消したことの記録をどう残すか。「誰の・何を・いつ消したか」だけを残し、中身は残さない。問い合わせや監査に答えるためで、消したデータの控えではない。
5バックアップから戻したときに、消したものが復活しないか。障害でデータを過去の時点に戻すと、消したものまで戻ってくる。4の記録を見て、戻した後に消し直す手順を決めておく。
たとえるなら：シュレッダーの記録簿4の記録は、「何月何日に、誰の書類をシュレッダーにかけたか」だけを書いた記録簿です。書類のコピーではありません。
CHAPTER 3
それでも残る「消したはずのもの」3つ
本当に消す作りにしても、仕組みの外や裏側に、しばらく残る場所があります。隠さずに把握しておきます。
| 残る場所 | 何が起きるか | 例（2026年11月時点） |
|---|
| バックアップ | 障害に備えて、過去の時点に戻せる控えを持つ。消したデータも、その期間は控えの中に残る | Cloudflare のデータベース（D1）は、有料プランなら過去30日の時点に戻せる（無料は7日） |
| 外部のAIの会社 | AIに送った内容を、相手の会社が一定期間保存することがある（学習に使うかとは別の話） | APIで送った内容を、一定期間保存してから消すと規約に書いている会社が多い。期間は会社・契約ごとに違うので、規約で確認する |
| 利用者の手元 | 利用者が自分でコピー・保存・スクリーンショットしたものには、こちらの削除は届かない | 画面の「コピー」ボタンで持ち出したまとめなど |
だから、説明は正直に書く
プライバシーポリシーや同意画面、削除ボタンの近くの説明には、残る場所と期間を書きます。
| | 書き方 |
|---|
| ✕ 避ける | 「削除ボタンを押すと、すべてのデータが即座に完全に消去されます」 |
| ○ 正直 | 「削除するとすぐに画面から見えなくなり、バックアップなどからも最大30日で消えます。ご自身でコピーした内容は消えません」 |
なぜ大事か「すぐ全部消える」と書いておいて、あとからバックアップに残っていたと分かると、データが漏れていなくても信用を失います。できることだけを、できる期間で書くのが、いちばん強い説明です。
CHAPTER 4
AIに作らせるときの頼み方
AIは、何も言わなければ「とりあえず論理削除」で作ることがあります。作り始める前に、次のように頼んでください（そのまま貼って、中身を自分の仕組みに合わせて直す）。
この仕組みでは、利用者の相談内容（個人情報を含む）を保存します。作り始める前に、データの消し方の設計を先に提案してください。
1. 保存する項目と、保存しない項目（そもそも持たなくてよいものは持たない）
2. 項目ごとの保存期間と、期限が来たら自動で消す方法
3. 利用者が自分で全部消せるボタン（押したら本当に消す。削除の印を付けて隠すだけにしない）
4. 消したことの記録（誰の・何を・いつ。中身は残さない）
5. バックアップから戻したときに、消したデータが復活しない方法
6. それでも残る場所（バックアップ・外部のAIの会社・利用者のコピー）と、その期間。プライバシーポリシーに書く文案も出してください
削除の印で隠す（論理削除）を使う所があれば、その理由と、本当に消すまでの期限を書いてください。
※保存期間や各社の保存の扱いは、AIの知識が古いことがあります。数字は必ず公式の規約・ドキュメントで確かめてから決めてください。
CHAPTER 5
チェックリスト
- 保存しない項目を決めた（氏名・連絡先が本当に要るか確かめた）
- データの種類ごとに保存期間を決め、期限で自動で消える
- 「全部消す」は印を付けるだけでなく、本当に消す
- 消した記録は「誰の・何を・いつ」だけで、中身を持たない
- バックアップから戻したときに、消し直す手順がある
- バックアップ・外部のAIの会社・利用者のコピーに残る期間を把握した
- 説明に「即座にすべて消えます」と書いていない
APPENDIX
用語ミニ辞典
- 論理削除ろんりさくじょ
- データを残したまま「削除済み」の印を付けて、画面に出さないやり方。
- 物理削除ぶつりさくじょ
- データそのものを消すやり方。
- バックアップ・巻き戻し—
- 障害に備えた控え。過去の時点にデータを戻せるが、消したデータもその期間は控えに残る。
- 保存期間ほぞんきかん
- データを持っておく期間。過ぎたら自動で消す仕組みとセットで決める。
- APIエー・ピー・アイ
- 仕組みからAIなどの外部サービスを呼び出す窓口。送った内容の扱いは、各社の規約で決まっている。