すべてのOSが子どもの年齢を申告せよ — イリノイの年齢確認という実験
すべてのOSが子どもの年齢を申告せよ — イリノイの年齢確認という実験
イリノイはアプリではなくOSに子どもの年齢を申告させることにした。これは子どもを守る最小限のシグナルなのか、それともすべての端末に消えない身元の札を刻む最初の一歩なのか。
導入 — 規制の重心がアプリから端末へ移るとき
米国イリノイ州が、子どものオンライン安全を名目とする法律を成立させた。名称は児童オンラインソーシャルメディア安全法(Children’s Online Social Media Safety Act, HB5511)であり、JB・プリツカー知事が署名した。採決は下院82対27、上院57対0、最終同意は全会一致であった(出典:It’s FOSS 報道)。数字だけを見れば超党派の合意のように読める。しかしこの法律が目を引くのは成立の政治的重みではなく、規制の矢をどこに向けたかにある。これまで児童保護立法の標的は、おおむね個々のアプリやプラットフォーム — ソーシャルメディアサービスそのもの — であった。イリノイはその標的を一段下げた。年齢を確認し申告する主体を、アプリではなく端末とOS、そしてアプリストアと定めたのである。法のいう「対象製造者(covered manufacturers)」には、端末メーカー、OS提供者、アプリストアが含まれる。つまり Apple、Google、Microsoft がそれぞれのOSの中に子どもの年齢を保持し、アプリが求めればそのシグナルを渡す配管を敷かねばならない。この一行の方向転換が本件の核心である。アプリごとに年齢を尋ねていた世界から、端末が一度知りすべてのアプリが照会する世界への移行だ。本稿はその移行が正確に何を要求し、なぜよりによってこの層なのか、そしてその代償が何かを、事実と分析に分けて見ていく。
法は実際に何を要求するのか — 四つの年齢区分と二つの期限
まず事実を分析と切り離して整理しよう。法の骨子は「年齢シグナル(age signal)」という概念一つに収束する。It’s FOSS の報道によれば、2028年1月1日までに対象製造者は、アカウントを最初に設定する段階で、親またはアカウント保有者から子どもの生年月日を入力させるインターフェースを用意しなければならない。そうして受け取った生年月日はそのまま保存・流通するのではなく、四つの区分に換算される — 13歳未満、13〜15歳、16〜17歳、そして18歳以上である。アプリはダウンロード・起動の後にAPIを通じてこの区分値を照会する。すなわちアプリが利用者に直接年齢を尋ねる代わりに、OSがあらかじめ確保しておいた年齢区分をアプリに渡す構造だ。
ここで押さえておくべき性質が一つある。この年齢は政府発行の身分証で検証した値ではなく、アカウント作成時に親や保有者が手で入力した生年月日から出てくる。しかも個別の年齢ではなく四枠の区分に丸められる。だからこの制度は、いわゆる「年齢認証(age verification)」というより「年齢シグナルの伝達」に近い。この区別は後のプライバシー分析で決定的なので、いま釘を刺しておく — 検証された身元ではなく、端末が保持しアプリが読む大まかな年齢属性である。
シグナルが「未成年」と判定されると、アプリは一連の安全制約を有効にせねばならない。報道によれば、その制約にはフィード制限、成人へのプロフィール非表示、成人からのメッセージ遮断、位置情報の隠蔽、そして午後10時から午前7時までの通知無効化が含まれる。ただし親と16歳以上の利用者はこの設定を上書き(override)できる。施行には二つの期限がある。製造者が年齢入力インターフェースを備えるべき期限が2028年1月1日、アプリがそのシグナルを要求するよう義務づけられる期限が2028年7月1日である。違反は一件あたり最大 $50,000 の制裁金の対象となり、執行は州の司法長官(Attorney General)が担う。ただしシグナルが誤っていても善意(good faith)で行動した事業者は責任を負わないという免責条項(safe harbor)が付いている。誤った年齢を渡され、それを誠実に処理したアプリを罰しないという趣旨だ。この免責は実務的に重要である。アプリの立場からは、シグナルを誠実に読みそのまま従うことが法的に最も安全な選択になるからだ。
法の設計で最も論争的な空白は、オープンソース例外の不在である。報道は、コロラド・カリフォルニアが類似立法でオープンソース開発者に免除を設けたのとは異なり、イリノイにはそうした例外がないと指摘する。その結果、Linux ディストリビューションやオープンライセンスでソフトウェアを配布する個人開発者も、原則として同じ義務の射程に入る。法案の主要な提出者は下院のジェニファー・ゴン=ガーショウィッツ(Jennifer Gong-Gershowitz)、上院のウィリー・プレストン(Willie Preston)らである。ここまでが文書に記された事実だ。要約すれば、親が入力した生年月日 → OSが保管する四枠の区分 → アプリがAPIで照会 → 未成年なら夜間通知の遮断を含む制約の自動適用、違反時は一件あたり $50,000。この配管が2028年、米国の大手OSの上に敷かれる。
なぜアプリではなくOSなのか — 責任の再配置とその受益者
ここからは分析である。規制対象をアプリからOSへ下げた選択は、一見すると技術的効率の問題に見える。アプリごとにばらばらに年齢を確認させれば、利用者は何十回も同じ手続きを繰り返し、実装品質もまちまちになる。反対に端末が一度年齢を知り、すべてのアプリがその値を読めば、確認は一か所に集まり利用者体験も単純になる。単一の真実の源(single source of truth)というエンジニアリングの常識が、そのまま規制設計に適用された格好だ。実際、業界はすでにこの方向へ動いてきた。アプリストア・OSの層で年齢を管理しようという提案 — たとえばアプリストアが年齢帯を宣言してアプリに渡すAPI、アプリストアに責任を負わせる州法 — は、ここ数年の潮流であった。イリノイはその潮流をもう一歩押し進め、OSそのものを年齢の保管庫に指定した。
しかし「効率」という表層の下には、利害の再配置がある。HN の議論では、この構造が事実上ソーシャルメディアのプラットフォームに有利に組まれているという指摘が出た — Meta のようなプラットフォームがむしろOS層での執行を好んでロビーし、そうすれば年齢を誤判定する責任を Apple・Google 側へ移し、自分は「シグナルを受け取り誠実に従っただけだ」という防御線を確保できるという(HN 議論、意訳)。論理は単純だ。年齢を決めることが難しく危険な作業なら、その作業を自分の手ではなくOSの手に委ねるほうがよい。ソーシャルプラットフォームはAPIが下ろす区分値を信頼し、制約を有効にするだけでよい。先に見た善意の免責条項が、この防御線を法的に支える。
そう見れば、この法律の政治経済が浮かび上がる。コストは上から下へ流れる。最も収益性の高い行為者であるソーシャルメディアのプラットフォームが、執行の重みをOS製造者へ、その下では生年月日を入力せねばならない親へ、さらに横では何の対価もなくソフトウェアを維持するオープンソース開発者へ転嫁する構図だ。HN の議論では、まさにこの転嫁を突いて、この法律が責任を「オープンソースコミュニティと技術に不慣れな親」へ回すという趣旨の批判が出た(意訳)。年齢シグナルを生み出す実際の労働 — インターフェースを作り、区分を管理し、APIを保守する仕事 — は結局OSを作る側の負担となり、その正確性の最初の入力は親の指先に委ねられる。
既存アプローチとの比較がトレードオフを鮮明にする。代替案は大きく二つあった。一つはアプリごとに政府の身分証で年齢を検証させる方式だ。これは正確だが、身元情報をアプリごとに撒き散らすためプライバシーの災厄に近く、情報漏洩の標的を何十倍にも増やす。もう一つがイリノイの採ったOS層の大まかなシグナルである。この方式は身分証を求めないためそれより侵襲性が低く、年齢情報を端末一か所に集めて拡散を防ぐ。代わりに正確性を手放す — 親が入力した値なので誤りうるし、故意にごまかすこともできる。要するにイリノイは「正確だが危険な身元検証」と「緩いが侵襲性の低いシグナル」の間で後者を選んだ。この選択自体はプライバシーの観点から擁護の余地がある。問題は後者にも固有の危険が付いてくる点であり、それが次節の主題だ。
プライバシー、迂回、そして実現可能性 — シグナルは守られうるのか
まずプライバシーである。年齢区分は身分証ではないが、だからといって無害な値でもない。OSが利用者ごとに年齢属性を保持しAPIで露出させるということは、端末の層に準身元シグナルが常時存在するようになるという意味だ。HN の議論では、区分単位の年齢でもシャドープロフィールや広告ターゲティングの材料になりうるという懸念が提起された(意訳)。正式な身元確認なしでも「この利用者は13〜15歳」というシグナルは、それ自体が細分化された標的情報である。子ども保護のために作ったシグナルが、逆説的に子どもを狙いやすい目印になりうる、というわけだ。もちろん反論も成り立つ。四枠の区分は個別の年齢よりずっと粗く、身分証ベースの認証に比べれば露出する情報は少ない。だからこの制度は「年齢=身元」という等式を完成させるというより、その等式へ向かうなだらかな最初の段に近い。問題は、段が一度置かれると次の段を上げるのが容易になる点にある。
第二は迂回の可能性だ。このシグナルの最初の入力が親の手から出るという事実は、すなわち容易な偽装の経路が開かれているという意味である。HN の議論では、その気になった子どもは結局すり抜けるという懐疑論が繰り返された — 二つ目のブラウザ、兄弟姉妹のアカウント、VPN、あるいは単に偽の生年月日を入力する(意訳)。成人による上書きが許され、16歳以上は自ら制約を外せるのだから、年齢を一つ上に書くだけで相当部分が無力化される。規制の文言は緻密だが、その緻密さが現実の回避を防ぐ保証は弱い。執行もまた開かれた問いだ。イリノイに事業実体のない Linux ディストリビューションや海外の個人開発者に、この義務をどう問うのか。HN の議論では、この点を挙げて、法の執行が技術的に堅牢というより宣言的だという指摘が出た(意訳)。
第三は実務者に残る現実である。楽観シナリオでは、夜間通知の遮断や成人メッセージの遮断といった既定値が実際に多くの子どもの露出を減らし、身分証なしの緩いシグナルが、より侵襲的な身元認証立法の拡散を防ぐ防波堤になる。悲観シナリオでは、容易な偽装で保護は緩いままOS層に準身元シグナルだけが常設化され、他の州や国が同じ配管を求めて規制の軍拡競争が起きる。HN の議論でも、この種の立法が他所へ波及する連鎖効果への懸念があった(意訳)。現実シナリオはその間のどこかだろう — 大手プラットフォームはAPIを誠実に読み免責の後ろに立ち、オープンソースと小規模開発者はグレーゾーンに放置され、実際の子ども安全の改善は測定しにくいまま残る。いずれにせよ、2028年7月までに年齢シグナルAPIを統合し上書きの流れを設計せねばならないことは、アプリを作る側の具体的な課題としてすでに定まっている。
結論 — シグナルは残り、保護は証明されていない
リードの問いに戻ろう。イリノイの年齢シグナルは、子どもを守る最小限の装置なのか、すべての端末に身元の札を刻む最初の一歩なのか。正直な答えは「どちらでもありうる」だ。身分証を求めず年齢を端末一か所に集める設計は、アプリごとに身元を撒き散らす最悪の代替案よりも明らかに侵襲性が低い。その点でこの法律は、プライバシーを最悪から救い出した折衷として読める。しかし折衷には値が付く。OSの層に準身元シグナルが常設化され、そのシグナルは容易に偽装され、執行は大手プラットフォームには防御線を、オープンソースには負担を残す。保護は証明されないまま、配管だけが確実に敷かれる。
だからこの問題の真の争点は「年齢を確認すべきか」ではなく「年齢をどの層で知らせるか」である。イリノイはその層をアプリからOSへ下げた。そしてその決定の余波はイリノイの中にとどまらない。Apple・Google・Microsoft が一つの州のために配管を敷けば、その配管は次の州や次の国のために再利用される。技術の配管は政治より長く残る。ゆえにエンジニアと政策読者がいま問うべきはこれだ — 我々は子どもを守るために年齢をシグナルにしているのか、それとも年齢をシグナルにするインフラを、子ども保護という名目で正当化しているのか。2028年の期限が来る前に、そのシグナルが実際に何を守り何を露出させるのかから問い直さねばならない。
出典: