監視社会──知りたくても聞けなかったすべて

私たちが監視されていることは、誰もが知っています。しかし、その「彼ら」が誰であり、なぜ、どうやって行っているのかは分かっていません。

理由もなく行動する者はいません。組織が私たちを監視・追跡するのも、常に目的があります。その目的は必ず彼らの利益のためであり、私たちの利益のためではありません。では彼らとは誰なのか。なぜ、どうやって行うのか、そしてどれだけの組織がそれを行っているのでしょうか。単なるプライバシー侵害のように見えるかもしれませんが、事態はそれよりも広範です。収集された情報は、さらなるデータ窃取や重要産業を狙った攻撃、政府機能の妨害にも使われる強力な武器となります。

法執行機関は、私たちに犯罪の傾向がないかを確かめるために監視します。犯罪者は、私たちから奪えるものがないかを探るために監視します。諜報機関は、自国の利益に利用できる秘密を私たちが持っていないかを確認するために監視します。そして企業は、どの商品が私たちの購買意欲をそそるかを見極めるために監視します。

これらすべてが私たちのプライバシーに影響を及ぼし、中には雇用に関わるもの、銀行残高に関わるもの、自由に関わるもの、国益に関わるものもあります。いずれの場合も、実行者たちは自らの行為を正当化しますが、あらゆる形態の監視は今やAIによって強化されつつあります。私たちを守る手段は、規制と自分自身の意識だけです。

以下では、私たちを監視する主体を、それぞれが主に用いる手法とともにグループ分けして見ていきます。ただし、どのグループもあらゆる監視手法を使いうる点には留意してください。あわせて、監視におけるAIの利用や、規制によって監視をコントロールできる可能性についても検討します。

合法企業による監視

企業が私たちを監視する目的は大きく2つあります。販売促進を狙う企業と、従業員を「管理」する目的を持つ雇用主です。

前者について言えば、人々の行動監視の範囲は広大です。昨年、TechCrunchはPerplexityが計画するAI駆動ブラウザについて報じ、それが「ユーザーが自社アプリの外で行うすべての行動に関するデータを収集」できるとし、これによってプレミアム広告を販売できるようにするものだと伝えました。「[CEOのAravind] Srinivas氏は、Perplexityのブラウザ利用者はより自分に関連性の高い広告が表示されるはずだから、こうした追跡を気にしないだろうと考えている」とのことです。

このブラウザ「Comet」は2026年7月に公開されました。Malwarebytesのシニア・プライバシー・アドボケートであるDavid Ruiz氏は次のように述べています。「数年前に暗号学者のBruce Schneier氏と話したとき、彼はAIが実際の会話を精査し、価値があるとみなされるものを何でも見つけ出す能力について警鐘を鳴らしていました。それが法執行目的であれ、単に商品を売るためであれです。それとは別に、私はAI搭載のメンタルヘルスアプリや感情支援チャットボットについても懸念しています。こうしたアプリは機能させるためにユーザーに機密性の高い情報を打ち明けるよう求めているように見えるからです」

英国では、大手スーパーマーケットチェーンがクリスマス前に顔認識カメラをさらに150店舗へ導入する計画であると、The Sun紙が最近報じました。Comparitechのデータ調査責任者Rebecca Moody氏はこう述べています。「プライバシーの観点から見ると、スーパーマーケットにおける顔認識技術の展開は大きな懸念材料です。市民が日常の買い物をする最中に監視下に置かれることは、私たちの自由とプライバシー権に憂慮すべき影響を及ぼします」

「用途が際限なく広がっていくリスクもあります。顔認識は万引き対策などのツールとして導入されるかもしれませんが、いったん設置されてしまえば、時間とともに買い物客の購買習慣や行動の監視に使われないという保証はどこにあるのでしょうか」

また、ウェブサイトを利用する際にログインを強制されるたびに、サイトの運営者はあなたが誰であるか、いつ関心を示したか、そしてどう連絡を取ればよいかを把握することになる点も忘れてはなりません。そのログインプロセスがメールで有効化コードを送信するものであれば、それはあなたが偽のメールアドレスを入力していないことの確認にもなっています。

クッキーも、企業が特定の商品を人々に狙い撃ちで宣伝するために使うツールの一つです。クッキーは、私たちがどのウェブサイトを訪れたかを追跡することで興味・関心をプロファイリングします。ある商品を見たものの購入しなかった場合、システムに設定されたクッキーのおかげで、別の場所でも同じ商品の広告を目にすることになるかもしれません。1つのウェブサイトだけで50個、あるいはそれ以上のクッキーがシステムに設置されようとすることもあります。正確な数はブラウザによって一部のクッキーがブロックされるため変動します。

規制により、ユーザーには「必須ではない」クッキーを拒否する選択肢が用意されていることが多いのですが、実際に必須なクッキーはごく一部です(セッションクッキーのように有用で正当な目的を持つものもありますが)。しかし、何を「必須」と分類するかを決めているのは誰なのでしょうか。

ウェブサイトはクッキーを拒否する選択肢を表向きは用意しつつ、同時にその手続きを複雑で時間のかかる、分かりにくいものにしていることがあります。中には「クッキーに同意するか、有料で閲覧するか」という選択を迫るサイトもあります。多くの場合、私たちは時間的なプレッシャーに屈してクッキーへの同意をあっさり受け入れてしまいます。

結局のところ、自分のシステム上でどんなクッキーが、何個、どんな目的のために有効になっているかを把握している人はほとんどいないでしょう。よくある正当化の理由は「どのみち私たちの広告は表示されるのだから、それをより関連性の高い、煩わしさの少ないものにしましょう」というものです。

[ AIとサイバーセキュリティ──知りたくても聞けなかったすべて ]

ユーザーは自分の勤務先の企業からも監視を受けることがあります。雇用主はしばしば、多くの場合は顔認識システムを通じて、従業員の気分を監視しています。顔認識技術とその利用は複雑なテーマであり、世界的に見ても対応はまちまちです。EUでは、公共の場での利用や職場での感情認識のための利用は禁止されています。

米国には顔認識や気分の監視を禁止する連邦法は存在せず、州や市ごとに個別の制限がパッチワーク状に存在しているに過ぎません。しかし、気分を顔認識で監視するだけの話ではありません。

メール監視も一般的に行われています。EUではこれが規制されており、一定の理由がある場合は許可されますが、「好奇心」や「秘密裏の監視」を目的とする場合は禁止されています。ただし、不正行為の調査、セキュリティ上の理由、規制上のコンプライアンスのためであれば許可されており(そしてこれを通じて、秘密裏の監視は容易に「合理的な」監視へと変わっていきます)。

米国では、雇用関係において優先されるべき「プライバシー権」が存在しないため、メール監視はより容易で広く行われています。ECPA(電子通信プライバシー法)は電子通信の無許可の傍受を禁止していますが、そこには2つの大きな例外があります。幅広い「業務目的」の例外と、「同意」の例外(通信当事者の一方が傍受に同意することを要件とするもの)です。この同意は通常、従業員の雇用契約に自動的に組み込まれています。

SOCRadarのCISO、Ensar Seker氏は警鐘を鳴らします。「職場は今後、最も重大な争いの場の一つになるかもしれません。多くの組織はすでにログイン時刻、入退室記録、エンドポイントの活動、コラボレーションプラットフォーム、生産性指標を監視しています。AIはこれに、行動分析、感情分析、会議参加度のスコアリング、キーストローク解析、ウェブカメラ監視、そして燃え尽き症候群や内部脅威、退職しそうな従業員を特定しようとする予測モデルまでも加えつつあります。

「こうしたツールの一部はセキュリティや業務効率を向上させます。しかし中には、不完全なデータから感情や動機、信頼性を推測しようとすることで、侵襲的な監視に踏み込んでしまうものもあります。組織は、多くの場合必要とされるサイバーセキュリティのための監視システムと、重大な倫理的・法的懸念を伴う人間心理の監視とを区別すべきです」

InnowiseのGRC・サイバーセキュリティ・サステナビリティ責任者、Stanislav Kazanov氏はこう述べます。「職場において、同意というものは弱い保護策にすぎません。従業員は技術的には監視を拒否できます。しかし実際には、拒否すれば職を失う、あるいはそもそも採用されないことを意味しかねません。それはプレッシャーの下での書類仕事であって、本当の意味での選択とは言えません」

「私は、データの収集そのものだけでなく、意思決定に対する説明責任を問うほうが、より強力なアプローチだと考えています」と同氏は続けます。「もし企業が自動化された評価結果を理由に誰かを解雇したり、降格させたり、給与を減らしたり、リスク人物とレッテルを貼ったりするのであれば、その企業はそのシステムが正確で公正であり、検証済みで、説明可能なものであることを証明する義務を負うべきです」

犯罪者による監視

サイバー犯罪者もまた、被害者を見つけ標的にするために一種の監視を利用します。その主要な初期ツールがインフォスティーラーです。インフォスティーラーはひそかにシステムに侵入し、見つけられる限りの関連データを収集・整理(「スティーラーログ」としてまとめ)、外部に流出させます。こうしたスティーラーログは、その後イニシャル・アクセス・ブローカーによって取得され、犯罪組織に転売されます。

インフォスティーラーの侵入手法として最も一般的に想定されているのはソーシャルエンジニアリングです。手法が何であれ、その成功率は驚異的です。昨年、KELAは2024年に430万台のデバイスが感染したと報告しています。

もともとは主にパスワードを収集するツールであったインフォスティーラーは、業務環境全体を丸ごと吸い取る「掃除機」へと進化しました。現代のインフォスティーラーは活動時間こそ短くなっていますが、(特にセッションクッキーを通じて)いつでも戻ってきてさらに情報を盗み出す能力を獲得しています。

総じて、現代のインフォスティーラーはセッションクッキー・トークン、保存された認証情報、SSOやクラウドの認証情報、ブラウザの痕跡やシステムのメタデータ、デジタルウォレット、メッセージングアプリやメールクライアントの情報を盗み出し、さらにクリップボードのハイジャック、キーロギング、スクリーンショットの取得なども行います。

これは現実的には監視というより窃盗と呼ぶべきものかもしれませんが、その効果は悪意ある者による監視と同じです。これは、犯罪者の利益のためにマルウェアが行う監視なのです。

法執行機関による監視

Kazanov氏はこう述べます。「通常、公共の安全がその正当化理由として挙げられますし、公平に言えば、監視が重大な捜査の助けになることもあります。容疑者の特定、パターンの発見、脅威への対応に役立つ可能性があります。問題は、その監視が実際にどれだけ的を絞ったもので、正確で、必要かつ説明責任を伴うものであるかです」

Comparitechの消費者プライバシー・アドボケート、Paul Bischoff氏はこう述べます。「監視は、私たちの言論の自由、プライバシー、移動の自由に萎縮効果をもたらします。少なくとも、監視は対象を絞ったものであるべきで、裁判所の令状を必要とすべきです。何の犯罪の疑いもない人々に対する一括監視が正当化されるとは、私は思いません」

米国で大きな論争の的となっている領域の一つが、Flockカメラの利用です。Flockとは、カメラを製造し、それが捉えた画像の膨大なデータベースを構築・維持・共有する企業の名前です。本来の目的は、車両のナンバープレートを通じて盗難車両を発見・追跡する法執行機関を支援することでした。

しかし、システム設定にコンフィギュレーション・ドリフトが起こるのと同様に、収集されたデータにも「用途のドリフト」が生じます。Adversa AIのCTO兼共同創業者、Alex Polyakov氏はこう述べます。「データ収集は通常、合法的で有用なものとして始まりますが、その後、規模、詳細さ、保存期間、そして最も危険なことに、当初表明されていた目的を超えた利用へと、制御を失って逸脱していきます」

(Flockのようなシステムは、EUでは違法とされるでしょう。英国には独自のANPR〈自動ナンバープレート認識〉システムがありますが、Flockのようなシステムへと発展しないよう厳しく規制されています)

Flockが収集するデータは、運転者や同乗者も含めた車両の完全な「指紋」です。それは(想定通り)警察機関と共有されるだけでなく、住宅所有者組合(HOA、これはやや踏み込みすぎに見えます)とも共有されます。盗難車両の検出に必要な量をはるかに超えるデータが収集され、そのデータは盗難車両を単純に捜索している組織の枠を超えて共有されています。

2026年9月、ACLUオレゴン支部はこう報告しました。「これらの小さく目立たないカメラは、警察がすべての街角、すべての駐車場、すべての地域社会において、24時間365日、まばたきしない目を光らせることを可能にしかねません。Flockのカメラが捉えたデータは、ある人物がどんな会合に出席したか、どの病院や宗教施設を訪れたか、誰と付き合いがあるか、さらには夜どこで眠っているかといった、非常に私的な事柄まで明らかにする可能性があります」

VanishIDの創業者兼CEO、Matt Polak氏はこう付け加えます。「法執行機関、そしてそれよりも目立たない形で諜報コミュニティ(IC)は、こうしたデータを購入し、Palantirのようなプラットフォームを使って政府記録と融合させ、それぞれのデータセット単独では得られない洞察を生み出しています。私が『目立たない形で』とあえて言うのは、国家情報長官室(ODNI)自身が2023年の報告書で、ICが商業的に入手可能な情報を大規模に購入していることを認めているからです。それは、購入という手段を取ることで、収集という手段に伴う監督の目を回避できるからにほかなりません」

Ruiz氏はこう続けます。「全米の法執行機関は、令状を通じてデータを要求するのではなく、単にそれを購入するという方法によって、米国民の憲法修正第4条の権利を回避する手立てを見出しています」

FusionAuthのCIAM戦略担当シニアディレクター、Dan Moore氏は、この不穏でおおむね目に見えない現実をこうまとめます。「法執行機関や政府による利用一般について言えば、『目的による正当化』という理屈が多くを担っており、サードパーティ・ドクトリンはその論理を何十年も野放しにしてきました。しかし顔認識や予測型警察活動はその理屈を破綻させます。なぜなら『公共の安全』はそのツールの用途を制約するものではなく、単にそのツールが次に何をするかを許可する免罪符になってしまうからです。Cathy O’Neil氏が著書『Weapons of Math Destruction』で指摘したのはまさにこの点です。すなわち、いったん導入されたシステムは大規模に稼働し続け、そのフィードバックループは自己増殖していきます(取り締まりが増えれば逮捕データが増え、それがさらなる取り締まりを『正当化』する)。そして、そのシステムが今なお本来の目的通りに機能しているかどうかをチェックする監査の仕組みは存在しないのです」

法執行機関が自らの直接的な監視を通じて収集するデータのほかにも、私たち全員がソーシャルメディアを通じて手放している個人データの量を考えてみてください。これらはすべてスクレイピングされ、巨大なデータベースへとまとめられ、AIによって照会され、潜在的な「反社会的」傾向についての推論が導き出される可能性があります。データベースが存在するならば、法執行機関──そして諜報機関──がそこにアクセスできると考えるのは妥当な推測です。

諜報機関

人々を守るという目的による監視の正当化は、強力な論拠です。Polak氏はこう述べます。「私たちを守る側には、できる限り多くのデータを持っていてほしいと思います。法執行機関や諜報コミュニティは、自分たちが収集する情報について何の法的制約も受けない敵と対峙しているのです。攻撃側が自由に活動できる一方で防御側に足かせをはめることは、一方的な武装解除にほかなりません」

「本当のスキャンダルは、政府がこのデータにアクセスできることではなく、誰もがアクセスできることにあります。ある捜査官が照会するのと同じブローカーの記録が、その捜査官の家族を追跡するカルテルにも、機密取扱者を把握しようとする外国の諜報機関にも、元交際相手を追い回すストーカーにも入手可能なのです。Atlas社がニュージャージー州のDaniel’s Lawに基づいてブローカーを提訴した際、訴状には、ギャングのメンバーがブローカーのサイトを使って自分たちを捜査中の捜査官の自宅住所を突き止め、その後彼女の自宅を監視していたという事例が記されていました。オープンなデータ市場は善良な側に有利には働きません。ルールに縛られているのは、まさに善良な側なのですから」

法執行機関が国内目的のために大規模な監視データ収集を行う一方で、諜報機関はこのプロセスに国際的な色合いを加えます。米国、カナダ、英国、オーストラリア、ニュージーランドの機関から成るファイブ・アイズを考えてみましょう。各機関はそれぞれ、自国の法執行機関が利用できるデータにアクセスできる可能性が高いのです。

このグループは、第二次世界大戦中に英国と米国が(エニグマなどの)ナチス・ドイツの暗号を解読するために協力した取り組みから生まれました。戦後、このグループはカナダ、オーストラリア、ニュージーランドを加えて拡大しました。「ファイブ・アイズ」という名称は、関連文書の機密区分「AUS/CAN/NZ/UK/US Eyes Only」に由来します。

ファイブ・アイズの中心にあるのは、互いに諜報情報を共有するという目的と慣行です。したがって、国内の法執行データから外国の諜報機関へとつながる潜在的な経路が存在します。もし米国のNSAがロンドンを拠点に活動する可能性のあるテロリスト・セルを懸念しているなら、NSAは英国のGCHQに問い合わせることができ、GCHQはNCSCや首都警察から関連データを入手できるのです。

他にも多くの国家諜報機関が、ファイブ・アイズおよび相互間で協力し情報を共有する協定を結んでいます。つまり、地域レベルの監視データが国家の法執行機関に吸い上げられ、それが国の諜報機関によって収集され、さらに外国の諜報機関へと移転される可能性があるということです。

共有元の国家機関が、共有される情報の対象となる人物や集団の所属国の機関である必要は必ずしもありません。KiteworksのチーフストラテジーオフィサーTim Freestone氏はこう説明します。「GCHQのTemporaプログラムは、欧州のインターネットトラフィックの大部分を運ぶ海底光ファイバーケーブルを傍受していましたし、NSAのPRISMプログラムは大手テクノロジープラットフォームのサーバーから直接データにアクセスしていました。ファイブ・アイズの情報共有の枠組みを通じて、1カ国が合法的に収集したものは、実質的に5カ国すべてが保有することになるのです」

Seker氏はこう付け加えます。「諜報機関は昔から高度な秘密主義のもとで活動してきました。しかしAIは、諜報収集の規模と速度の両方を劇的に拡大させています。オープンソース・インテリジェンス、流出したデータセット、ソーシャルメディア、侵害された認証情報、位置情報のメタデータ、財務記録、顔認識、そしてブローカーから購入した商用データ──これらすべてが融合され、極めて詳細なデジタルプロファイルが作られる可能性があります」

諜報機関の活動をしっかりと統制することも、非常に困難です。米国では、NSAの当初の任務は「対外」諜報収集でした。しかし、インターネットの登場により、純粋に対外的な通信だけを分離することは不可能になりました。FISA(外国情報監視法)第702条は最終的に、米国民を含む米国内での通信の収集をNSAに許すことになりました。その結果、FBIが利用できる監視データの新たな「ハブ」がもう一つ生まれ、米国民の通信を検索する際に憲法修正第4条の令状要件を回避するもう一つの手段が生まれたのです。

良いニュースは、第702条が最近失効したことです。あまり良くないニュースは、これがNSAの実務に何らかの影響を及ぼす可能性は低く、少なくとも短期的にはそうだということです。

AIで監視を強化する

Pro CircularのGRC・ISO担当ディレクター、Andrew Chipman氏はこう述べます。「多くの犯罪が画面の向こう側で行われる世界において、監視は法執行活動に必要な一部です。しかし、AIを活用した監視は、極めて慎重に扱われるべきです。AIモデルは、人種、政治思想、宗教など、特定の集団に対する偏見をめぐる無数の問題を露呈してきました。モデルが人命に影響を及ぼす壊滅的な過ちを犯す機会は、あまりにも多く存在するのです」

こうした懸念を抱いているのは彼だけではありません。ImmuniWebの創業者であり、サイバーセキュリティとデータ保護分野の現役弁護士でもあるIlia Kolochenko氏は、監視におけるAIの利用は「問題含み」だと考えています。「多くの法執行部門は、インターネット上で侵襲的な調査を行う民間企業と協力しています。法執行機関(LEA)にはまず令状を取得すること、あるいは少なくとも事後に対象者へ侵襲的な監視について通知することを義務付けるプライバシー保護の仕組みの多くは、実際にその作業を行っている非政府主体には適用されません。これは必ずしも違法ではありませんが、こうした手法が法的・倫理的なグレーゾーンに明確に属していることは間違いありません」

結局のところ、と同氏は付け加えます。「彼らは、当初のインテリジェンスを収集する際に用いた根本的な手法を一切開示することなく、法律や適用手続きに完全に準拠する形で必要なものをすべて手に入れているのです」

Seker氏も同意見です。「歴史的に見れば、捜査は疑惑から始まり、その後データが収集されるという順序でした。AIはこれを逆転させます。まず膨大な量のデータを収集し、その後アルゴリズムに誰が疑わしく見えるかを判断させるのです。この転換は、偽陽性、アルゴリズムの偏り、そして統計モデルが単に異常な行動を検知したというだけで無実の個人が捜査対象になってしまうリスクを高めます。問題は技術そのものではなく、その利用が合法的かつ倫理的であり続けるかどうかを決めるのは、監督、透明性、説明責任なのです」

しかし、AtsignのGo-to-Marketアドバイザー、Mike Silvey氏はこう付け加えます。「AI監視の恐ろしい現実は、数学的な客観性という幻想にあります。アルゴリズムが偏ったトレーニングデータに基づいて市民や従業員を誤ってタグ付けしたとき、その『誤った推論』は反論の余地のない事実として扱われてしまいます。私たちは、ソフトウェアが判事であり陪審員でもあるかのように振る舞い、説明責任がまったく存在しない時代へと突き進んでいるのです」

もちろん、監視データの分析に使われるAIシステム自体も、外国の諜報機関や組織犯罪にとっての攻撃対象になりえます。Polyakov氏はこう述べます。「プロンプトインジェクションやエージェント・ハイジャックのような攻撃を捕捉するには、エージェントのツール呼び出し、人間のオペレーターとの対話、そして多くの場合エージェントの推論の痕跡まで記録する必要があります。こうした痕跡は極めて機密性が高いものです。なぜなら推論ログからは、そのエージェントが触れたものすべてを再構築できてしまうからです。ですから、規律はさらに徹底したものでなければなりません。エージェントが見た環境そのものではなく、エージェントが行った行動を監視し、その活動が無害であることが確認され、規制上求められる保存要件が満たされた時点で記録を消去すべきです」

良いニュースとして同氏はこう付け加えます。「同じAIは、データの最小化を徹底することにも長けています。古くなったデータを刈り込み、過剰な収集や、当初表明された目的から外れた照会にフラグを立てることができます」

悪いニュースは、こうです。「しかし、それをその方向に向けようとする者はほとんどいません。なぜなら、インセンティブはデータの保持を優先する方向に働くからです。技術それ自体はどちらの側にも立ちません。どちらの側に立つかを決めるのは、インセンティブとルールなのです」

Freestone氏はこう述べます。「AIは、本来その目的のために収集されたわけではないデータから、健康状態、政治的立場、忠誠心に関する予測、いわゆる推論を生成することで、この問題をさらに先鋭化させます。GDPRは、個人に対し、自分について保持されている情報を知り、自動化された意思決定に異議を申し立てる権利を与えています」

「しかし実際には、不透明性によって、そうした権利はおおむね理論上のものにとどまっています。答えは、安全なデータ交換から始まります。どのような機微な内容が、どの経路を通じて、誰に対して、どのような統制のもとで移動するのかを正確に管理することです。その基盤なしには、プライバシー保護は執行可能なものではなく、単なる理想にとどまってしまいます」

Integrisのサイバーセキュリティサービス担当VP、Jason Griffin氏はこう警鐘を鳴らします。「AIは監視をより速く、より安価に、そしてはるかに見つけにくいものにしています。膨大な量のデータを処理し、人間には決して見えないようなパターンを結び付け、ほぼ瞬時に判断を下すことができます。これは不正検知やサイバーセキュリティといった分野では非常に価値がありますが、同時に、組織はその力をどう使うかについて、はるかに慎重に考える必要があるということでもあります」

同氏はこう付け加えます。「議論すべきは、監視にAIを使うべきかどうかではありません。それはすでに現実のものだからです。より重要な問いは、そこに明確な歯止めが存在するかどうかです。組織は、何を収集しているのか、なぜ収集しているのか、そしてAIがいつ意思決定に影響を与えているのかについて透明でなければなりません。説明責任は自動化できない以上、人間の判断は依然としてそのプロセスの一部でなければなりません」

規制は野放図な監視をコントロールできるのか

Silvey氏は、規制はうまくいかないと言います。「規制だけでは、制御不能な監視を止めることはできません。私たちにはデータアーキテクチャの根本的な転換が必要です。中央集権的なデータベースが存在する限り、それは必ず悪用されます。AI時代においてプライバシーを本当に守る唯一の方法は、そもそもデータが収集も一元集約もされないようにすることです」

もちろん、現実の世界では、正しいことがそのまま実行されることはめったにありません。規制には一つの大きな欠点があります。インターネットはグローバルであるのに対し、法律は国単位で存在し、しかも国民の意識は世界各地で異なるという点です。EUは、GDPRや、より最近ではEU AI法などを通じて、大企業を定期的に規制しています。両者とも、それぞれの分野における「ゴールドスタンダード」とみなされています。しかし米国は、規制がイノベーションを窒息させるという考え方が根強く、国として規制をしない、あるいは最小限にとどめる傾向があります。

2026年6月2日に署名された大統領令14409号、「先進的な人工知能のイノベーションとセキュリティの促進」と題されたこの命令は、AI開発について自主的で、イノベーションを最優先する枠組みを提案しています。その目的は「世界的なAI覇権」の維持です。この命令はAIの規制そのものを禁止するものではありませんが、規制よりもイノベーションを明確に優先する姿勢を打ち出しています。違法行為については、サイバー攻撃、詐欺、システムへの不正アクセスに対する既存の連邦刑事法規を活用して統制すべきものとされ、新たな法律は不要だという立場です。

Freestone氏はこう述べます。「規制は制約を課すことはできますが、自らが追跡できないものを統治することはめったにできません。GDPRは基本原則を確立しました。必要なものだけを収集し、必要な期間だけ保持し、宣言された目的のためだけに利用するというものです。これらのルールは、他のどのデータとも同様に監視データにも適用されます」

同氏は続けます。「しかし、そのルールには抜け穴があります。法執行機関は英国GDPRの下で広範な適用除外を受けています。諜報機関は、データの流れが一般市民には見えず、司法の監視もほとんど及ばない機密の領域で活動しています。法律だけではこうした抜け穴を塞ぐことはできません。組織は、コンテンツ層においてこそ機微なデータを統治する必要があります。何が収集され、どこに送られ、誰がそれに触れ、どのようなポリシーの下で扱われるのかを正確に把握することです。そうした規律は、後付けで取り付けるのではなく、システムに組み込まれてこそ、説明責任を実効性のあるものにするのです」

説明責任こそが規制の要であるという見方は、広く共有されています。Polak氏はこう述べます。「規制がうまく機能するのは、2つのことを実現したときです。個人に執行可能な権利を与えることと、データを保有する企業に実質的な責任を負わせることです。この両方について証拠があります。イリノイ州の生体情報法BIPAには私人による訴権があり、それは顔認識をめぐる企業の行動をほぼ一夜にして変えました。プライバシー原則に肩をすくめていた企業も、9桁に及ぶ和解金には注意を払わざるを得なかったのです」

「ニュージャージー州では」と同氏は続けます。「Daniel’s Lawがブローカーに対して同じことをもたらしました。保護対象となった人々が、責任を伴う形で自宅住所の削除を要求できるようになった途端、10年間も削除要請を無視し続けてきた業界が、突如としてコンプライアンス体制を構築し始めたのです。ブローカーは法的リスクに反応します。それ以外のものは、彼らを動かしませんでした」

Polyakov氏はこう述べます。「秘密主義の主体であっても、改ざん防止の監査ログや義務的な照会記録を通じて説明責任を果たすことは可能です。ただし、それは法律がその利用を強制する場合に限られます」

しかし、誰が何について説明責任を負うべきなのでしょうか。Kazanov氏はこう述べます。「ある場面で顔認識を禁止しても、同じ発想が『バイオメトリクス分析』として姿を変えて戻ってくるかもしれません。感情検知を制限しても、それは『エンゲージメント・スコアリング』や『行動リスク分析』として再登場するかもしれません。ラベルは変わっても、インセンティブは変わらないのです」

誰かが何かについて説明責任を負うべきであることが明らかな場合でさえ、その「誰か」とは一体誰なのでしょうか。「何か問題が起きたとき、誰もが別の誰かを指差すことができます。雇用主はベンダーのせいにします。ベンダーはモデルのせいにします。当局はデータが合法的な情報源から得られたものだと主張します。影響を受けた本人だけが、機械が作り出した霧のようなものを相手に、一人で議論を続けるほかありません」

まとめ

監視は制御されておらず、制御不能で、大部分が目に見えず、野放図に、そして増加し続けています。

それが制御されておらず制御不能である理由は、動く部品があまりにも多いからです。あまりにも多くの異なる監視者が、あまりにも多くの異なる目的のために、あまりにも多くの異なる法体系の下で情報を収集しているのです。

それが大部分において目に見えない理由は、たとえ監視が行われていると知っていても、その唯一の目的は悪人から私たちを守ることだと言われるからです。自分は悪人ではないのだから、これは自分には関係ない、無視してもいい、というわけです。

それが野放図に増加し続けている理由は、知識は力だからです。もしあなたについてすべてを知っていれば、私はあなたに対して力を持つことになります。その力を使うつもりはないけれど、念のため持っておこう、というわけです。

重要な点は、ほとんどの人が監視について単に肩をすくめて済ませてしまうということです。「自分は何も悪いことをしていないのだから、恐れることは何もない」。これは常に疑わしい主張でしたが、今やそれは単なる危険な考え方になっています。

個人情報の収集を強化し、それを巨大なデータベースへとまとめ上げ、そのデータから結論を推論するというAIの監視分野への進出は、憂慮すべき事態です。AIは信頼できません。アルゴリズムの偏り、操作者の偏り、そして単純に誤った論理に頼ってしまう余地があまりにも大きすぎるのです。もし私がたまたまテロリストがよく訪れるウェブサイトに行き着いてしまえば、AIは私をテロリストだと推論してしまうかもしれません。

そして、法律は私を守ることができない、あるいは守ろうとしないのです。

おそらく今こそ、すべての人が監視の持つ侵襲性と潜在的な危険性を、より真剣に受け止めるべき時なのでしょう。