表題のまんまです。
結論を言うとアプリのメインと言うかデフォルトのマニフェストファイル内では宣言していなくても利用しているライブラリのマニフェストで使っている可能性があります。
今回 AD_ID が引っかかってしまい実際に宣言されていたのが以下の通りでした。
Google Play Console の App Bundle の詳細より確認が出来ます。

似たような人は結構いて、今回の場合は firebase ががっつり使っていましたね…。
[GA4] データ収集
android studio で ライブラリが必要とする権限とかすぐにわかったりしないのかしら…。
