AppleとGoogleのヌード画像ブロック、英国の法的義務に直面
AppleとGoogleは、閣僚が求める子どもの安全対策を3か月間の協議で実現できなかったことを受け、英国で法的義務に直面している。
提案されているAppleとGoogleのヌード画像ブロック規則では、18歳未満の利用者がヌード画像を撮影、閲覧、送信できないようにする。保護は一部のサービスに限られず、カメラ、メッセージングサービス、サードパーティ製アプリにまたがって機能することになる。
これは、すでにiPhoneやAndroid端末に組み込まれている警告よりはるかに大きな介入だ。こうしたシステムは一般に、端末上でヌードの疑いがある画像を検出し、ぼかしをかけたうえで、一部のユーザーには先へ進む選択肢を残している。英国が求めているのは、認証済みの成人だけが無効化できるデフォルトのブロックである。
したがって争点は、技術がヌードを認識できるかどうかではない。AppleとGoogleはすでにこの目的で端末上の分類技術を利用している。問題となっているのは、OS提供者が保護のための警告を、端末全体に及ぶ必須の制御へと変えるべきかどうかだ。
政府は、オンライン上のグルーミング、強要、性的恐喝の規模に対して自主的な提案では対応できなかったため、法制化が必要になったとしている。これに対しプライバシー擁護派は、普遍的な年齢確認とコンテンツ分類は、それ自体がリスクを生みかねないと反論する。
英国の義務化はアプリ単位の警告を超える
政府は、子どもの保護を保護者や個々のアプリに委ねず、OSによって強制したい考えだ。
リサ・ナンディ文化相は9月8日、端末レベルの保護を対象とする一次立法を導入すると議会で述べた。9月9日には公式発表が続いた。
政府は当初、6月8日にテクノロジー企業へ3か月の期限を提示した。その後、文化省と内務省の当局者がAppleとGoogleとともに技術ロードマップに取り組んだ。
ナンディ氏は、両社が重要な約束を行ったことを認めた。また、一部の画像をぼかす対応から、未成年者の端末で画像をブロックする方向へ移行するOSレベルの変更を開発したとも述べた。
それでも閣僚らは、提案は目標を満たしていないと結論づけた。政府の端末保護計画は、3つの原則に基づく。
第一に、18歳未満の利用者はヌード画像を撮影、閲覧、送信できないようにすべきだ。この制限は端末のカメラ、組み込み機能、サードパーティ製アプリを対象とする。
第二に、保護はデフォルトで有効でなければならない。保護者や養育者が設定を探したり、別のアプリケーションをインストールしたり、各サービスを個別に設定したりする必要はない。
第三に、利用者は制限を無効化する前に、政府が堅牢な年齢保証と呼ぶ仕組みによって成人であることを証明する必要がある。この区別を行う責任は、子どもや保護者ではなく提供者が負うことになる。
これらの原則は、一般的なペアレンタルコントロール機能をインフラ上の要件へと変える。アプリ開発者は自社サービス内の画像をモデレーションできる。OS提供者は、カメラが画像を撮影したとき、ソフトウェアが画像を開いたとき、別のアプリが共有しようとしたときに介入できる。
政府は、子どもが利用するアプリに対する義務も検討している。これはAppleとGoogleだけでなく、メッセージングやソーシャルプラットフォームなどのサービスにも責任を広げるものとなる。
ただし、方針発表時点で最終法案は公表されていなかった。政府は実施時期、技術標準、執行モデル、禁止対象となるヌードの完全な定義を公表していない。
政府の発表では、この問題の複雑さを認めつつ、可能な限り早く法案を提出するとした。企業が独自に十分な保護策を導入した場合には、法律を再評価する可能性も残した。
この留保は重要だ。今回の発表は、即時の全国的な切り替えではなく、立法プロセスの開始を意味する。議会による審査、技術協議、執行規則、実施期間など、方針と機能するブロックの間には依然として多くの段階がある。
中心的な変化は依然として明確だ。英国は、選ばれたアプリ内での任意の警告を、画像を利用した児童搾取への十分な対応とはもはや見なしていない。
AppleとGoogleが直接的な圧力を受ける理由
AppleとGoogleは、政府が保護をあらゆるアプリで子どもに追随させられると考えるレイヤーを管理している。
オンライン安全規制は従来、コンテンツをホスト、推薦、または送信するサービスに焦点を当ててきた。今回の提案は、技術スタックのさらに深い層へと踏み込む。
ソーシャルネットワークはアカウントをブロックしたり投稿を削除したりできる。メッセージングサービスは見知らぬ連絡先を制限できる。しかし、どちらの措置も、子どもがカメラで画像を作成したり、別のアプリケーションを通じて移動させたりすることを止めるものではない。
AppleとGoogleは異なる立場にある。両社のOSは、カメラ、画面、ストレージ、共有メニュー、アカウント、アプリケーション権限へのアクセスを仲介している。
この支配力が、両社を政府にとって主要な圧力の対象にしている。同時に、技術的なミスが一つのソーシャルプラットフォーム内の誤りよりもはるかに広範な活動に影響し得ることも意味する。
政府の主張は、合意のある成人向けコンテンツではなく、強要から始まる。ナンディ氏は、子どもたちがオンラインサービスを通じて、親しく誘導され、操られ、親密な画像の作成を強要され、脅迫されていると述べた。
同氏の下院での声明では、Internet Watch Foundationによる推計として、関連画像の91％が自己生成されたものだと引用された。この用語は、子どもが身体的には一人でいる際に作成された素材を指すが、その作成の背景には強要やグルーミングがある可能性がある。
ナンディ氏はまた、毎年およそ9,000件の児童性的虐待犯罪にオンライン要素が含まれると述べた。同氏が提示した数値によれば、オンライン恐喝の対象者のほぼ4分の1は18歳未満だという。
こうした事実は、政府が画像がプラットフォームに届く前に介入したい理由を説明している。強要された画像が一度送信されると、加害者はそれを複製、再配布、あるいは性的恐喝に利用できる。
端末レベルのブロックは、その連鎖をより早い段階で断とうとするものだ。素材が子どもの管理下を離れる前に、撮影、表示、送信を中断できる可能性がある。
政府はまた、完璧なペアレンタル設定に依存しないルールを求めている。家族向け端末管理では、正しいアカウント種別、最新のソフトウェア、有効なファミリーグループ、継続して有効な設定が必要になることが多い。
子どもが誤って設定されたアカウントを使う場合もある。家族が端末を共有することもある。ティーンエイジャーが、OSの既存の安全インターフェースを使わないアプリ経由で画像を受け取る可能性もある。
法的なデフォルトは、こうした設定上の失敗の責任をテクノロジー提供者へ移す。AppleとGoogleは、特定された子どもの利用者に対して保護が一貫して機能することを示す必要がある。
この圧力は、年齢を認識するサービスへと向かう英国の幅広い動きとも一致する。オンライン安全法はすでに、対象プラットフォームに対してポルノを含む有害コンテンツから子どもを守ることを求めている。
Ofcomは、年齢証明を求められた際に非常に効果的な確認を受ける子どもの割合が、2025年7月から2026年1月にかけて25％から43％へ上昇したと報告した。同機関の年齢確認に関する調査結果では、検索、出会い系サービス、ソーシャルメディアの年齢推定における不足も指摘された。
規制当局は、OS、アプリストア、端末がより大きな役割を担うことを期待している。2027年1月までにアプリストアの保護策について報告する計画だ。
したがってAppleとGoogleが直面しているのは、単発の機能要望以上のものだ。英国は、認証済みの年齢がサービスや端末機能全体の体験に影響を与えるモデルを構築している。
AppleとGoogleのヌード画像ブロックが安全モデルを変える
中心的なトレードオフは、早期に作用するより強固なブロックと、利用者の選択を残しシステム全体への介入を抑える警告システムの間にある。
Appleはすでに、対応端末では18歳未満の子どもを対象にCommunication Safetyをデフォルトで有効にしている。この機能は端末上の機械学習を使い、ヌードを含むように見える写真や動画を識別する。
端末上での処理は、検査のために各画像をアップロードするのではなく、分類をローカルで行うことを意味する。Appleは、画像そのものも、ヌードが検出されたという情報も受け取らないとしている。
AppleのCommunication Safetyは、Messages、AirDrop、FaceTime機能、共有アルバム、Contact Posters、および一部のサードパーティ共有フローを対象とする。対象範囲は端末によって異なる。
システムがヌードの疑いを検出すると、コンテンツをぼかし、案内を表示する。子どもは会話から退出したり、連絡先をブロックしたり、助けを求めたり、信頼できる成人に連絡したりできる。
13歳未満の子どもが検出されたコンテンツを閲覧するには、Screen Timeのパスコードが必要となる。年長の子どもは通常、追加の警告を経た後に介入を通過できる。
GoogleはGoogle Messagesで同様の警告ベースの方式を採用している。監督対象の利用者には、センシティブコンテンツ警告がデフォルトで有効になっている。
システムはヌードの疑いがある画像をぼかし、Googleがスピードバンプと呼ぶ表示を出す。安全に関する情報とブロックの選択肢を提供するが、監督対象の利用者がコンテンツを閲覧、送信、転送できる場合もある。
Googleは、センシティブコンテンツ制御がSafetyCoreを使って画像をローカルで分類すると説明している。識別可能なデータ、コンテンツ、分類結果はGoogleのサーバーへ送信されない。
SafetyCoreが画像を処理するのは、統合されたアプリが分類を要求した場合に限られる。文書化されているGoogle Messagesの実装では、すべてのAndroidアプリが扱うすべての画像を継続的に検査するわけではない。
英国の提案は異なる結果を求めている。警告は利用者に再考を促す。ブロックは、子どもと分類されたすべての人から選択肢を取り除く。
また、より広い範囲も求めている。現在の制御は、定義されたアプリケーションと共有経路の中で機能する。政府は、端末全体でカメラとサードパーティ製アプリを対象とする保護を望んでいる。
この違いは難しいエンジニアリング上の問題を生む。AppleとGoogleは、18歳未満の利用者を特定し、ヌードを正確に検出し、アプリケーションが結果を回避するのを防ぎ、私的なメディアを中央サービスへ送らないようにしなければならない。
また、どこで介入するかも決める必要がある。システムは、保存前にカメラ出力を分類したり、アプリがアクセスを要求した際にファイルを検査したり、画面に表示されるピクセルを分析したり、複数のチェックポイントを組み合わせたりできる。
それぞれの手法には限界がある。カメラレベルの制御ではインポートされたファイルを見逃す可能性がある。共有シートの制御では独自の転送システムを使うアプリを見逃す可能性がある。画面分析は広範なカバレッジを得られる一方で、プライバシーへの影響も大きくなる。
暗号化されたメッセージングは、さらに別の層を加える。エンドツーエンド暗号化は参加者間の移動中にコンテンツを保護するが、端末は受信者に復号された画像を表示しなければならない。
ローカル分類は、転送中のサービスに読み取り可能なコピーを渡すことなく、暗号化前または復号後に動作できる。この設計によって暗号化が自動的に破られるわけではない。
しかし批判派は、暗号化とエンドポイントのプライバシーを区別している。メッセージは送信中に暗号化されたままでも、スマートフォン上のソフトウェアがその内容を評価することはあり得る。
英国は、どの設計を要求するかを確定するのに十分な技術的詳細をまだ公表していない。この提案によって必然的にすべての写真が政府サーバーへ送られるという主張は、裏付けられていない。
逆の主張もまた、時期尚早だ。端末上での処理はデータ露出を減らすが、どのデータが保持されるのか、検知結果が報告されるのか、モデルがどのように更新を受けるのかは、実装の詳細によって決まる。
完全なブロックには、厳しい精度基準も必要となる。偽陽性は、家族写真、健康情報、芸術作品、教材、あるいは誰かが保存する必要のある証拠を妨げかねない。
偽陰性は、対象となる素材を通過させてしまう可能性がある。加害者は、分類器を回避するために画像をトリミング、歪曲、覆い隠し、変形することもあり得る。
したがってAppleとGoogleの子ども向け安全機能は、露出した肌を認識する以上に広範な課題を解決しなければならない。年齢、体格、照明条件、医療上の文脈、文化的背景、合成メディアをまたいで、信頼できる判断を下す必要がある。
政府が望む結果は、説明するだけなら簡単だ。過度な副作用なしにそれを実現する仕組みは、そうではない。
年齢保証とプライバシーが最も難しい試金石
成人かどうかを判断せずにはデフォルトのブロックは機能しないため、ヌード検知はシステムの半分にすぎない。
政府の原則では、成人は無制限のデバイス機能にアクセスする前に年齢を確認しなければならない。これにより、画像分類と並行して第2の技術システムが必要になる。
年齢保証は、ある人が年齢基準を満たすかどうかを確認または推定する手法を広く含む概念だ。選択肢には、身分証明書、決済データ、顔による年齢推定、信頼できるアカウント記録、別のプロバイダーによる確認などがある。
最終的な選択は、この政策がプライバシーに与える影響を左右する。身分証明書を保存する方法は、18歳以上であることだけを確認する再利用可能な証明とは異なるリスクを伴う。
Appleはすでに、申告された年齢、子ども用アカウント、ファミリー設定を使い、保護機能を調整している。Googleは、文書化されたMessagesの管理機能に監督対象アカウントとFamily Linkを利用している。
これらのシステムは多くの子どもを識別できるが、すべてのデバイス利用者の年齢を証明するものではない。アカウントの生年月日が誤っている場合もあり、デバイスは家族間で使い回されることもある。
政府は、成人性を確立する負担をプロバイダーに負わせたい考えだ。これは、ペアレンタルコントロールを一切使わない成人も含め、企業により多くの利用者を確認するよう圧力をかける可能性がある。
Open Rights Groupをはじめとする市民社会団体は、年齢ゲートの拡大には広範な本人確認が必要になり得ると警告している。同団体のプライバシーに関する警告は、このような仕組みがセンシティブな個人データを露出させ、通常のアクセスを制限しかねないと主張している。
こうした懸念は、閣僚が対処しようとしている被害をなくすものではない。だからこそ法制では、データ最小化、保存期間の制限、セキュリティ要件、不服申立ての経路、独立したテストを明記する必要があることを示している。
最もプライバシーを保護する設計は、必要な事実だけを明らかにするものだ。サービスが知る必要があるのは、利用者が基準を満たすことだけであり、必ずしも氏名、住所、生年月日ではない。
その限定的なシグナルであっても、共有デバイス上で正確でなければならない。確認済みの成人が子ども用アカウントを恒久的に無制限のままにできてはならず、同時に子どもも救済手段なしに正当な素材から締め出されるべきではない。
分類エラーは、別の説明責任上の問題を生む。現在の警告システムが回避手段を残しているのは、機械が誤る可能性があるためだ。
法的な完全ブロックには、その判断に異議を申し立てる手段が必要になる。しかし、子どもがすべての結果を即座に回避できる異議申立ての仕組みは、政策を損なうことになる。
法制は、悪用者にとって容易な抜け道を作らずに、例外や審査手続きを定める必要がある。また、親がブロックを上書きできるか、その場合の条件も説明しなければならない。
適用範囲もさらなる不確実性を生む。「ヌード画像」は、違法な児童性的虐待素材より広い概念だ。この表現には、合法的な成人向けコンテンツや、性的文脈をまったく持たない無害な画像も含まれ得る。
政府の目標は、画像の受信だけでなく撮影も対象にしている。これにより、医療写真、保護のための証拠、授乳、家族写真、教育用資料について疑問が生じる。
立法者が法律の中で機械学習モデルを公開する必要はない。しかし、プロバイダー、規制当局、裁判所、利用者が理解できるほど明確に、期待される結果を定義する必要はある。
独立した性能テストは不可欠となる。精度に関する主張は、厳選されたテストセットだけでなく、現実的なデバイスやコンテンツにおける偽陽性と偽陰性を対象にすべきだ。
テストでは、検知を回避する試みも調べるべきである。通常の写真で機能するモデルでも、スクリーンショット、コラージュ、絵、生成画像、大幅に編集されたファイルでは異なる性能を示す可能性がある。
政府は、年齢を確認した成人は影響を受けないとしている。技術的・法的な安全策が公表されるまで、その約束は実証された結果ではなく目標にとどまる。
AppleとGoogleは、ローカル処理がすでに基盤を提供していると主張する可能性が高い。プライバシー擁護派は、その基盤が継続的なエンドポイント検査へと拡大するかどうかに注目するだろう。
どちらの問いも、同じ評価の中で扱うべきだ。子どもの安全システムは、過剰な本人確認データを収集したり、審査なしに正当な素材をブロックしたりすれば、重大な被害を一つ減らす一方で別の被害を生み出しかねない。
法律の真意を示す三つのシグナル
法案、プラットフォームによる実装、独立テストの結果が、これが対象を絞った子ども保護になるのか、それとも広範なデバイス統制の前例となるのかを決める。
最初のシグナルは、一次法令の文言だ。読者は対象企業、ヌードの定義、執行権限、スケジュールに注目すべきである。
最も重要な詳細は適用範囲となる。特定された子ども用アカウント上のOSに限定される義務と、英国のあらゆるデバイス上のすべての画面、ファイル、アプリケーションに影響する要件とでは、大きく異なる。
法案は規制当局とコンプライアンス基準も定めるべきだ。これらがなければ、企業は精度、プライバシー、回避耐性をどのように判断されるのか分からない。
明確な安全策は政府の主張を強める。スキャン対象カテゴリーの拡大や本人確認データの収集を可能にする曖昧な権限は、批判者の懸念を強めるだろう。
二つ目のシグナルは、AppleとGoogleが示す実装ロードマップだ。Nandy氏は両社が意義ある約束をしたと述べたが、政府は両社の完全な提案を公表していない。
AppleがCommunication Safetyを真のデバイス全体に及ぶブロックへ拡張するかに注目したい。同社の既存システムはすでに複数のファーストパーティサービスと、一部のサードパーティ共有操作に及んでいる。
Googleについての論点は、SafetyCoreがGoogle Messagesを超えて拡張されるかどうかだ。Androidのアプリケーションモデルは、Googleのサービス、メーカー製ソフトウェア、代替メッセージングアプリ、多様なハードウェアにまたがる。
したがって、Androidで一貫したルールを実現するには、デバイスメーカーによる新しいOSインターフェースとコンプライアンス対応が必要になる可能性がある。また、アプリ開発者が標準的な分類またはポリシーレイヤーを利用することも必要になるかもしれない。
企業のプライバシーアーキテクチャは、機能の対象範囲と同じくらい重要だ。ローカル分類、限定的なテレメトリー、透明性の高いモデル更新、狭く限定された年齢証明は、いくつかのリスクを減らすだろう。
サーバー側での検査、広範なイベント報告、永続的な本人確認情報の保存は、評価を変えることになる。発表時点で利用可能な資料では、どちらの企業もそのような設計を公に約束していない。
三つ目のシグナルは、実環境での性能に関する独立した証拠だ。政府の発表や企業のデモンストレーションは、通常の家族利用を横断するテストの代わりにはならない。
評価者は、組み込みアプリとサードパーティアプリの両方において、コントロールが撮影、表示、共有を止めるかどうかを測定すべきだ。偽陽性率と偽陰性率は個別に報告すべきである。
テストには、正当な文脈にある画像と敵対的な改変を含めるべきだ。また、アカウント設定が誤っている場合やデバイスが共有される場合に何が起こるかも検証すべきである。
利用者の行動も、その証拠の一部となる。子どもが管理されていないデバイス、ブラウザベースのツール、代替的な転送手段へ移れば、この政策はリスクをなくすのではなく移し替えるだけになる可能性がある。
だからといって、予防が無意味になるわけではない。デバイスのコントロールは、被害者支援、プラットフォームのモデレーション、加害者捜査、より安全な連絡先のデフォルト設定、強要に関する教育と並行して導入されなければならないということだ。
Ofcomの6月の規則はすでに、メッセージングおよびソーシャルサービスに対し、サイバーフラッシングやグルーミングのリスクへ対応するよう求めている。ダイレクトメッセージ機能を持ち、グルーミングの危険にさらされるサービスは、デフォルトで子どもと見知らぬ人との接触を制限することが期待されている。
デバイスレベルの保護は、これらのサービス間の隙間を埋められる可能性がある。しかし、加害者が子どもを見つけ、接触し、操作するプラットフォームの義務を置き換えることはできない。
国際的な反応も重要になる。英国が実行可能な基準を作れば、他国政府も年齢保証とローカルコンテンツ制御の組み合わせを模倣するかもしれない。
実装が過剰ブロック、データ漏えい、広範な回避を生めば、この政策は絶対的な結果を通じて複雑なシステムを規制することへの警鐘になる可能性がある。
したがって、AppleとGoogleによるヌード画像ブロックは、単なるペアレンタルコントロールの更新以上の意味を持つ。これは二つのOSプロバイダーに対し、人々が所有する最も個人的なコンピューターの内部で法的な区別を執行するよう求めるものだ。
子ども保護の論拠は直接的であり、緊急性も高い。強要のもとで作成された画像は、繰り返される虐待、恐喝、拡散の道具になり得る。
未解決の問題は、立法者がこの緊急性を精密な技術的義務に変えられるかどうかだ。今後の法案は、誰が対象となるのか、何がブロックされるのか、成人性をどのように確立するのか、エラーをどのように訂正するのかを定義しなければならない。
読者は、安全性や監視をめぐるスローガンではなく、こうした具体的な詳細を通じて政策を判断すべきだ。公表された基準、独立テスト、本人確認データへの厳格な制限を求めるべきである。
英国が、分類をローカルに保ちつつ実効的な異議申立てを可能にし、効果的な安全策を求められるなら、注目すべき子ども安全モデルを確立することになる。こうした保護策が曖昧なままであれば、同じ法律が私的デバイスに対するはるかに広範な統制を常態化させる可能性がある。
