カスタマーサービスAIにおけるPCI-DSS

カスタマーサービスAIにおけるPCI-DSSとは？

PCI-DSS（Payment Card Industry Data Security Standard）は、決済カードデータを保存、処理、または送信するすべての組織を対象とした国際的なセキュリティ基準です。AIエージェントがクレジットカード番号、請求に関する異議申し立て、決済処理などを含む顧客との会話を扱う場合、AIプラットフォームはPCI-DSSの要件を満たす必要があります。これにより、カード会員データを不正アクセスや盗難から守ります。

PCI-DSSには年間取引件数に応じて4つの準拠レベルがあります。最も厳格なのはLevel 1で、年間6,000,000件を超えるカード取引を処理する組織に求められます。

AIプラットフォームに求められるPCI-DSS要件

決済データを扱うAIカスタマーサービスプラットフォームは、次の要件に対応する必要があります。

• データ最小化： カードデータの保存を最小限に抑え、CVV2、トラックデータ全体、PINは一切保存しない
• 暗号化： 強力な暗号化標準を用いて、転送中および保存時のカード会員データを暗号化する
• トークン化： AIの会話やログでは、実際のカード番号を機密性のないトークンに置き換える
• アクセス制御： ロールベースの権限により、カード会員データへのアクセスを業務上必要な範囲に限定する
• ** リダクション：** 会話の記録、ログ、分析データ内のカード番号を自動的にマスキングする
• 脆弱性管理： 四半期ごとの脆弱性スキャンと年1回のペネトレーションテストを実施する

AI特有のPCI課題

AIプラットフォームには、PCI-DSSに関して次のような特有の課題があります。

• 会話ログ： 顧客がチャットや音声でカード番号を伝えた場合、AIはすべてのログと記録からそれを自動的に除去する必要がある
• 通話録音： 通話録音では、機密性の高い認証データをマスキングまたは除外する必要がある
• モデルの記憶： AIは会話をまたいでカード番号を「記憶」してはならず、学習データにも含めてはならない

業界の状況： PCI-DSS準拠には、監査と認証プロセスで$12,000〜$25,000の費用がかかります。さらに、四半期ごとの脆弱性評価が継続的に求められます。非準拠の場合の罰金は月額$100,000に達することもあります。

Mavenの強み：PCI-DSS Level 1認証取得

Maven AGIは、PCI認証の最高レベルであるPCI-DSS v4.0 Level 1のAOC（Attestation of Compliance：準拠証明書）を取得しています。本プラットフォームは、すべてのチャネル（テキストおよび音声）の会話から決済カードデータを自動的に除去し、暗号化を徹底しています。機密性の高い認証データは一切保存しません。そのため、AIエージェントはコンプライアンス上のリスクを生むことなく、請求に関する問い合わせや決済関連のサポートに対応できます。

Mavenの実績： 機密性の高い金融データを扱う給与・決済プラットフォームのCheckは、Maven AGIの導入により、複雑な金融関連の問い合わせで85%の精度を維持しています。PCI準拠のAIでも解決能力が損なわれないことを示す事例です。

よくある質問

AIエージェントは決済カードデータを安全に扱えますか？

はい。プラットフォームがPCI-DSS認証を取得し、適切に設定されていれば可能です。AIはカードデータをリアルタイムでトークン化または除去し、会話ログにカード番号を残さないようにする必要があります。また、厳格なロールベースの制御によって決済情報へのアクセスを制限することも欠かせません。

AIカスタマーサービスベンダーにはどのPCIレベルが必要ですか？

AIが関与する取引件数によって異なります。エンタープライズでの導入では、PCI-DSS Level 1が最も高い保証となります。ベンダーの具体的なPCI認証レベルを確認し、AIが対応するやり取りの範囲が認証の対象に含まれていることを確かめてください。

AIエージェントが誤ってカードデータを保存した場合はどうなりますか？

PCI-DSS違反となり、罰金、侵害の通知義務、監査要件の強化につながる可能性があります。適切に設定されたAIプラットフォームでは、データの保存後ではなく保存前に自動リダクションを実行して、これを防ぎます。