GitHub の開発者向けの年齢確認に関する見解

世界中の政策立案者たちは、オンライン上の児童・青少年を保護するため、年齢確認（Age Assurance）に関する提案を推進しています。一部の手法は未成年者の特定のサービスやコンテンツへのアクセスを制限するものですが、他ではデバイス、オペレーティングシステム、またはアプリストアに対し、年齢情報を収集し、それをアプリやウェブサイトに伝えるよう義務付ける案があります。これらの提案は重篤な懸念に駆られたものですがいながら、適切に範囲（スコーピング）が定められない場合、オープンソースソフトウェアや開発者向けインフラサービスに対して過剰な負担を強いる恐れがあり、これらは直面する消費者プラットフォームとは異なる程度の児童リスクを有しています。本ブログ投稿では、開発者が知っておくべき概要とどのように関与すべきかを説明します。

これらの法律が目指している被害は深刻であり、注目を集めるに値します。性目的的な誘拐、暴力コンテンツへの露出、およびオンライン上のいじめなどは、若者たちがインターネット上において直面するリスクの一部に過ぎません。同時に、オープンソースソフトウェア開発を含むオンラインコミュニティへの参加は、若者の教育や社会生活の重要な一部となる可能性があります。自由と保護の間でバランスを取りようとする際、政策立案者は常に、自らの提案が開發者に与える影響、あるいはオープンソースエコシステムがどのように機能しているのかについて十分には認識していない場合があります。

「年齢確認」とは、利用者の年齢を決定または推定するために用いられる幅広いアプローチの総称です。これは、写真による ID 照合や金融・身元確認システムとの照合といった高い信頼性を持つ手法を指す場合によく使われる用語である「年齢認証（Age Verification）」と時に同義で使用されますが、年齢確認はさらに、利用者が自身の年齢を報告する自己申告（Self-attestation）や、シグナル、顔面スキャン、または行動から年齢を推測する推定手法を含みます。これらのアプローチは広範なスペクトルに跨り、精度、プライバシー、セキュリティ、相互運用性、そしてアクセシビリティの間のトレードオフに関する議論が続いています。また、提案には制限がトリガーとなる年齢閾値、対象となるサービスやコンテンツの内容、親の同意がどのように考慮すべきか、アクセスがどのように制限されるかなど、多様な点が含まれます。ここでは各アプローチについて詳しく述べませんが、読者には立法に参加し、異なる技術的・政策的視点を検討いただき、インターネットが提供する知識へのアクセス、学習機会、創造的な可能性（コードを学ぶ機会やグローバルなオープンソースエコシステムへの参加などを含む）を維持しつつ若者をオンライン上で保護する方法を考えていただくよう推奨します。

不適切に設計された年齢確認法は、オープンソースプロジェクトに対して重大な予期せぬ影響をもたらす可能性があります。例えば、オペレーティングシステムが中央集权的にユーザデータを収集・管理することを要求したり、アプリストア外からのソフトウェアインストールを制限するといった要件は、分散型かつユーザ制御のオープンソースエコシステムの規範と抵触します。

また、オペレーティングシステムの「出版者」に対して年齢確認義務を課すことにも潜在的な落とし穴があります。個人であっても会社であっても問わずです。オープンソースのオペレーティングシステムは頻繁に個人の貢献者や小規模コミュニティによって反復的に改善され、再利用され、再配布されるものであり、その多くは資源が限られユーザベースも小さなものです。ソフトウェアエコシステムの多様性は守るべき価値があります。

GitHub は数年間、政府に対して年齢関連のオンライン安全に関する提案と対話を行ってきました。オーストラリアのソーシャルメディア最低年齢立法などのいくつかのケースでは、政策立案者と協力し、オープンソースコード協業プラットフォームが対象から外されるべき理由を説明しました。同様の免除措置は他でも見られます。例えば、フランスの現在のソーシャルメディア最低年齢提案も、EU 著作権指令にあるものと同様、オープンソースコード協業サイトおよびオンライン百科事典に対し排除条項を含んでいます。

多くの政策立案者は、オープンソースソフトウェア開発エコシステムへのアクセスが教育、イノベーション、セキュリティを含む重要な公的便益をもたらすことを認識しており、同時に若者がオープンソース開発コミュニティに参加することで直面するリスクは比較的死に異なるものであることも理解しています。一方、ますます多くの法律が、オペレーティングシステムやアプリ配布レイヤーなどテクノロジースタックの様々なレベルで児童安全の目標を推進しようとしており、これにより開発者に対して、これらの要件が実際どのように適用されるか、および GitHub などのオープンソースオペレーティングシステムや開発者インフラに影響を与えるかどうかという新たな疑問が生じています。

【知るべき立法】

• カリフォルニア州 AB 1043 デジタル年齢確認法および 2026 年改正法案 AB 1856：オペレーティングシステムプロバイダ（対象アプリストアとの連携下）に対し、アカウント設定時に自己申告された年齢を収集し、リアルタイム API を通じてアプリケーションに年齢範囲のシグナルを送信することを要求します。
• コロラド州 SB 26-051 デバイス上の年齢確認：オペレーティングシステムおよび対象アプリストアに対し、リアルタイムインタフェースを介してアプリケーションに対して年齢カテゴリーのシグナルを生成・共有することを要求し、「対象アプリケーション」と「対象アプリストア」の定義は進化する中で範囲を形成します。
• イリノイ州 HB 4140 デジタル年齢確認法：オペレーティングシステムプロバイダに適用され、年齢データの収集および開発者に対して年齢カテゴリのシグナルをリアルタイム API を介して送信することを要求し、カリフォルニアのモデルに準ずるものです。
• ニューヨーク州 S 8102/A 8893 デバイスレベルの年齢確認：デバイスメーカー、オペレーティングシステム、アプリストア全般に適用され、「商業的に合理的な」年齢確認（自己申告だけでなく）をデバイス起動時に実施し、検証された年齢シグナルをアプリケーションおよびウェブサイトに送信することを要求します。

これは米国のオペレーティングシステムおよびアプリストアにおける年齢確認立法の一部の選択例に過ぎません。またテキサス州（SB 2420）、ルイジアナ州（HB 570）、ユタ州（SB 142）でも関連するが明確に区別されたアプリストアに焦点を当てた法律が可決されています。

これらの提案は能動的に変化しています。コロラド州では SB 26-051 が、継続的な立法検討の一環として 2026 年 4 月 23 日に委員会聴取を開催しました。この聴取は児童安全、プライバシー、実現可能性のバランスの複雑さを反映し、オープンソース開発者および組織からの強力な関与がありました。委員会のメンバーもまた、オープンソースオペレーティングシステムや開発者インフラを対象範囲に加えようとする意図はないことを示唆しており、最新の改正文書では、アプリストア外にインストールされたソフトウェア（公開リポジトリからダウンロードされたものを含む）が対象から外れていることを明確化しました。

ブラジルでは、「児童・青少年のためのデジタル憲法」（デジタル ECA）は 2026 年 3 月から施行され、オペレーティングシステム、アプリストア、プラットフォームを含む「児童・青少年にアクセスし得る可能性のあるデジタルサービス」全般に適用されますが、オープンな技術プロトコルおよび標準といった基幹インターネット機能を除外しています。ブラジル国立データ保護機関（ANPD）は、同法がフリーかつオープンソースソフトウェアにどのようにまたはどの程度適用されるかを正式に明確化していないものの、規制アジェンダでは当初「アプリストアと専有オペレーティングシステム」を優先しており、直近の公募草案ガイダンスでは、協業モデルに基づくシステムおよび自由ソフトウェアは専有サービスと同じ義務の対象とはならない旨が示されています。

にもかかわらず、法的な不確実性により既に一部のオープンソースプロジェクトがブラジルでのアクセス制限を行っています。これは非商業的かつボランティア駆動のエコシステムにおいてコンプライアンスの実現可能性に対する懸念を反映しています。同法は主に商業的主体を対象として設計されたものの、範囲に関する重要な疑問は未解決であり、オープンソース開発者が継続中の公募諮問プロセスに積極的に参加し、分散型開発モデルを反映した実装を確保し、予期せぬアクセス制限やイノベーションへの悪影響を避けることが不可欠です。

【アプリストアとは本当に何なのか】

オープンソースコミュニティの懸念の多くは、これらの提案がオープンソースオペレーティングシステムに与えるリスクに焦点を当てていますが、同様に重要な未解決の問題として、「アプリケーションストア」と「アプリケーション」の定義がどうあるべきかという点があります。草案通り、いくつかの「アプリケーションストア」の定義は、ユーザーがソフトウェアへのアクセスまたはダウンロードを可能にするためだけにコード協業プラットフォームやパッケージマネージャ、オープンソースインデックス化サービスといった開発者インフラを含むほど広範である可能性があります。

ソフトウェアをダウンロード利用できるようにすることと、多くの人々がアプリストアと理解する中央集権的で消費者向け市場を運営することは異なります。「アプリケーション」の定義も精緻に定める必要があります。ソースコード、ライブラリ、フレームワーク、モデル、ユーティリティなどのソフトウェアコンポーネントをダウンロードすることは、消費者向けアプリマーケットプレイスを通じて独立した実行可能アプリケーションを提供することとは根本的に異なります。これらのコンポーネントは上流ビルディングブロックでありエンドユーザー製品ではなく、それらをホストまたはインデックス化するサービスは、従来のアプリストアが行うような方法で消費者配布やプレゼンテーションを制御しません。

近年の諸法域における改正および議論は、規制当局が消費者向け配布とエンドユーザーアクセスを制御するサービスに焦点を当てることを意図していることを示唆しています。法律がその意図と一致するように確保するためには明確な統計的区別が必要です。これは技術政策において一般的な課題を反映しています。青少年安全および年齢確認を目的とした枠組みは、通常、ユーザデータを収集・収益化し、コンテンツを大規模に配布し、エンゲージメント駆動システムを用いてユーザー行動を形成することを特徴とする消費者向けサービスに関連するリスクに対応しています。

対照的に、協業ソフトウェア開発をサポートするプラットフォームは根本的に異なる機能を提供します——それらは大量のオーディエンスを引きつけたり、コンテンツを増幅させたり、受動的かつ過剰な消費を促進するために構築されるのではなく、ユーザーがコードを作成・共有・維持することを支援するためです。その結果、実質的に低いリスクプロファイルを持ちます。GitHub のようなサービス上で運営されるオープンソースコミュニティは共通の技術的目標を核としており、協業、再利用、透明性の規範によって導かれており、これらの開発者向けサービスが規制設計において消費者向けプラットフォームとは区別されるべきであることのさらなる強調となります。

オープンソースソフトウェアもまた経済発展とイノベーションの主要な推進力であり、重要なデジタルインフラとしての役割を果たしています。ポリシーがオープンソースがどのように構築・維持されているかを正確に反映することを確保することは、これらの便益を維持するために不可欠です。政策立案者がオープンソース開発者や市民社会と直接対話する際には、定義を洗練させ、範囲を明確にし、法律を技術的事実とよりよく整合させることがしばしば可能になります。

コンプライアンス要件に関する不確実性は、多くの場合ボランティアベースで貢献しているオープンソース開発者にとって困難です。一方で、政策立案者がオープンソースコミュニティと対話しバランスの取れたアプローチを模索したポジティブな事例も存在します。EU のサイバレジリエンス法はオープンソースに対して適切なバランスを得るため反復プロセスを通じて洗練されました。米国全州においてはこれらの法案は引き続き進化する中で、政策立案者はオープンソースコミュニティとの対話を示し、規制意図および技術的実現可能性との整合性を考慮するための変更を検討しています。

【対話の機会】

建設的な対話のためのウィンドウはまだ開かれています——開発者の声は有意な変化をもたらすことができます。

カリフォルニア州、コロラド州、イリノイ州、ニューヨーク州などこれらの提案を検討している州の有権者に連絡したり、ブラジルのデジタル ECA 公募諮問に貢献したり、オープンソース機構のような組織や FreeBSD Foundation や Debian のようなプロジェクトに影響を受ける可能性があるものを管理する財団と対話したりすることで、開発者が自身の視点を共有する具体的な手段があります。これにより、これらのポリシーが児童のデジタル安全を支援しつつ技術的事実を反映し、規制意図に整合し、オープンソースエコシステムへの予期せぬ悪影響を回避することを確保できます。

GitHub は政策立案者とオープンソースコミュニティと協力して、若者を保護しながらオープンな開発を維持するバランスの取れたアプローチをサポートし続ける予定です。開発者には情報を注視し続け、オープンソースポリシー組織と連絡を取り合い、ご質問や懸念については当社にご連絡ください。また 5 月 22 日に FreeBSD Foundation とオープンソース機構のパネリストを迎えた Maintainer Month ライブストリームを通じて、これらの提案が提起するより広い問題と、オープンソースを考慮した技術政策設計の方法について議論を続けられる予定です。

執筆