子どもの安全を目的としたオンライン年齢確認ツールは、実際には大人を監視している。

トーマス・ルトッシェル | フォトテーク | Getty Images

米国の新たな法律は、未成年者を保護することを目的としており、成人のアメリカ人数百万人がオンラインコンテンツへのアクセス時に必須の年齢確認ゲートへと押し込まれています。これによりユーザーからの反発やプライバシー擁護者からは「自由で開かれたインターネット」が危険にさらされているとの批判が相次いでいます。米国の州の約半分は、成人向けサイト・オンラインゲームサービス・SNSアプリを含むプラットフォームに対し、未成年者のアクセスをブロックする法律を制定または推進しており、企業はデジタルゲートへ近づく全てのユーザーを審査せざるを得ません。

「規制は大きなスペクトラムがあります」と、Jumio（米国最大級のデジタル本人確認・認証プラットフォーム）のグローバルプライバシー責任者ジョー・カウフマン氏は語ります。州ごとの法律は技術的要求とコンプライアンス期待が異なり、規制は同時に多方向へ進んでいると彼は説明しています。

SNS企業Discordは2月に全世界で必須年齢確認を導入する計画を発表しました。Discordは顔認識がユーザーのデバイス上で行われるよう設計し、送信されたデータは直ちに削除されると述べました。しかし「セルフィーや政府発行IDの提出」を求められることへの懸念から、ユーザー側から激しい反発が起き、Discordは本年後半まで実装を延期しました。

「率直に言うと、この展開は論争を呼ぶと分かっていました。本人確認や検証に関わるものを導入すると、人々は強い感情を抱くのが当然です」とDiscordのCTO兼共同創業者スタニスラフ・ヴィシュネフスキー氏は2月24日のブログで述べています。

成人向けコンテンツ、ギャンブル、金融サービスを提供するサイトは、政府IDのスキャンとライブ画像との照合を必要とする完全本人確認に頼ることが多いです。これらのチェックポイントを支える認証システムは、しばしば専門の本人確認ベンダーが運用し、AI（顔認識や年齢推定モデル）を活用してセルフィーや動画から数秒で「アクセス可能か」を判断します。

SNSや低リスクサービスでは、詳細な個人情報を永続的に保存せずに年齢確認を行う軽量化ツールが使われることがあります。ベンダーは安全性とユーザーの許容する摩擦度合いとのバランスを取る課題に直面しています。「未成年者を確実に排除し、成人を可能な限り少ない摩擦で受け入れることが私たちの事業です」とSocure（本人確認プラットフォーム）の成長担当責任者リブカ・ゲウィルツ・リトは語ります。過剰なデータ収集はユーザーに抵抗感を与えると彼女は付け加えています。

それでも多くのユーザーは必須本人確認を侵入的だと感じます。「情報提供を強制される別の方法があること自体が人々には侵害的です」と知財・インターネット法専門パートナーのヘイディ・ハワード・タンディ氏は述べています。ユーザーはプリペイドカードや代替資格情報で迂回しようとしたり、非正規配信チャネルに流れたりする可能性があります。「それが海賊行為を生むでしょう」と彼女は付け加えました。

---

成人データの取り扱い先

多くの場合、本人確認ベンダー（ウェブサイト自体ではなく）が情報を処理・保持し、プラットフォームには合格／不合格だけが返されます。ゲウィルツ・リト氏は、Socureは認証データを販売せず、軽量化年齢推定の場合は政府IDのスキャンではなく迅速な顔解析やその他のシグナルで年齢を確認し、情報をほとんどまたは全く保存しないと語ります。完全本人確認（ゲーム・詐欺防止など）ではコンプライアンス文書として成人向け認証記録が保持される場合があります。同社は最大3年間の保管を行い、適用されるプライバシー規則や消去ルールに従うと述べています。

市民権擁護団体は、大量の本人情報を少数の認証ベンダーに集中させることがハッカーや政府要求への魅力的な標的になるリスクだと警告します。今年初め、Discordは第三者サービスの脆弱性で約70,000件のID画像が漏洩したデータ侵害を明らかにし、センシティブ情報保管の安全リスクを浮き彫りにしました。

さらに、年齢確認システム拡大は「利用可能性の課題」だけでなく、オンライン行動と本人情報が結びつく構造的変化を意味します。Molly Buckley（Electronic Frontier Foundation の立法アナリスト）は、「年齢確認は自由で開かれたインターネットの基盤に打撃を与える」と述べています。

ベンダーが個人情報保護を約束しても、ユーザーはしばしば読み込むことなく契約条項に依存します。「利用規約には法執行機関から情報要求があれば提供すると明記されています。永続的に唯一の保持主体になるわけではありません」とタンディ氏は警告しています。

第三者ベンダーを通じて年齢確認を実施するプラットフォーム増加に伴い、企業はそのデータ集中化による新たな法的リスクも抱えます。「会社が自社サーバーで情報を経由させることになる」とタンディ氏は語り、契約や保険でリスクを分散できるものの、本人確認システムとインフラの統合に責任を持たねばならないと指摘しています。

---

法的闘いは続く

連邦・州規制当局は年齢確認法が未成年者への実際の害への対応であり、厳格なプライバシーとセキュリティ基準を守るべきだと主張しています。FTCのスポークスパーソンは CNBC に対し、企業は収集情報の利用範囲を限定すべきだと述べました。年齢確認技術が親に子ども保護に役立つ一方で、同機関はデータ最小化・保持・セキュリティに関する既存消費者保護規則の遵守を求めています。

バージニア州検事総長室のレイ・ピケット氏は、未成年者保護と年齢適正なオンライン体験確保のために厳格な本人確認とデータ取り扱い基準が不可欠だと述べました。MetaやTikTokへの訴訟を例に、十分な安全策がないと若者が有害コンテンツに晒されるリスクがあることを示しています。

バージニア州法では、本人確認データの収集は年齢判断以外には使えず、州消費者データ保護法（Consumer Data Protection Act）に沿ったセキュリティ実践が求められます。しかし、先週連邦裁判所が一時的にこの法律の執行を阻止したため、バージニア検事総長ジョー・ジョーンズ氏は CNBC に対し「子どもたちを無制限アクセスによる有害性から守るためにあらゆる手段を講じる」と述べました。

Buckley 氏は立法者が第一修正権とプライバシーを犠牲にする必要はなく、データ最小化などの既存提案を取り入れつつ安全なインターネットを構築できると主張します。もし立法者が監視・検閲・排除ではなく実質的なオンライン安全性向上を望むなら、包括的かつ強力な連邦プライバシー法の制定を推進すべきだと彼女は述べています。

---

オンライン生活の恒久的特徴へ

イギリス・オーストラリア・ブラジル（近日）など、一部国では顔年齢推定やIDチェックを用いる年齢確認法が既に存在します。米国内主要プラットフォームは、Discord の例で示されたような議論の余地もあるものの、未成年者保護への弱い取り組みを訴える訴訟後、どのように実装すべきか立場を固めています。

Discord は遅延したグローバル導入を説明する中で、国際法が特定手段を要求しない限り、90％以上のユーザーは既存内部安全システム（ユーザー行動に基づく）だけで年齢確認が不要だと述べました。CTO は「多くの方々はこの措置自体を採用すべきではないと考えている」と認めています。

Discord は今年後半に信用カードなど追加の確認オプション、ベンダーや技術的詳細の透明性、システム稼働時には既存透明報告で年齢確認を求められるユーザー比率を公開するとしています。

Snap（Snapchat運営）は直接本人情報収集を減らす代替策に賛成し、「デバイス・OS・アプリストアレベルでの年齢確認導入がよりプライバシー志向だ」と CNBC に語りました。Meta と Google からはコメント未取得です。

タンディ氏によれば、州ごとに年齢確認義務化が進む中、これらシステムを支えるインフラはオンライン生活の恒久的な一部となるでしょう。業界リーダーは、年齢確認法の急速拡大が「単一の認証で複数サービスに再利用できる」仕組みへとプラットフォームを押し上げる可能性があると指摘しています。

「このトレンドは確実にユーザー年齢の継続的な確認へ向かっています」とカウフマン氏は語り、他方で「デジタル年齢証明」がプラットフォームを横断し、再度確認を必要とせずに済むようになる未来を想像しています。彼は Disney アカウントのようなエコシステムを例に挙げ、成人の場合は本人確認が偶発的摩擦ではなく日常アクセスの組み込みレイヤーとなることを示唆しました。