ノート

AI写真アプリと個人情報保護法：BIPA・CUBI・GDPR・EU AI法

最終更新: 2026年8月22日

イリノイ州、テキサス州、ワシントン州、GDPR、そしてEU AI法は、顔に触れるアプリに対してそれぞれ異なるルールを課しており、違反したときの結果もそれぞれ異なる。

顔を撮影して何かを描き込むアプリには、五つの法律が関わってくる。イリノイ州は収集前に書面での同意書を要求する。テキサス州とワシントン州は通知を求めるが、執行は州当局に委ねられる。GDPRは顔のテンプレートを特別カテゴリのデータとして扱う。EU AI法は、2026年8月2日以降、完成した画像に機械可読な表示を付けることを義務付けている。

これらはどれもメイクアプリを想定して書かれたものではない。だが今、そのすべてがメイクアプリにも当てはまる。

どの法律が自分に関係するか

これらの法律は、何か問題が起きたときにどうなるかという点で異なる。被害の立証なしに受け取れる定額の賠償金、立証してはじめて受け取れる賠償金、規制当局しか動けない案件、あるいは個人の請求権が一切ない場合の四通りだ。

イリノイ州BIPAは顔認識アプリの起動前に書面での同意書を要求するのか

要求する。しかも用語は「同意」ではなく「release（同意書）」だ。第15条(b)は、民間事業者に対し、何を収集し、どれだけ保持するかを書面で通知したうえで、生体識別情報または生体情報を収集する前に書面での同意書を取得することを求めている。誰も読まない利用規約の奥に埋め込まれた同意チェックボックスは、この条文が想定するものではない。第10条は生体識別情報を、網膜または虹彩のスキャン、指紋、声紋、手や顔の形状のスキャンと定義し、写真そのものは対象外としている。ただし、その写真から抽出した顔の形状データは別物であり、これがこの法律が実際に対象とするものだ。

保持についても独自のルールがある。第15条(a)は、収集目的が達成された時点、または本人との最後のやり取りから3年以内のいずれか早い時点で生体データを破棄する、公開された書面のポリシーを求めている。第15条(c)はさらに、生体識別情報の売却、貸与、取引、あるいはそれによる利益の獲得を、同意の有無にかかわらず禁じている。

イリノイ州は、規制当局ではなく個人自身が請求を起こせる唯一の管轄でもあり、被害の立証なしに定額が認められる唯一の管轄でもある。第20条は、被害を受けた者に州裁判所または連邦裁判所での訴権を与えている。過失による違反には1,000ドル（実損害がそれを上回る場合は実損害額）、故意または無謀な違反には5,000ドル（同様に実損害がそれを上回る場合は実損害額）、加えて弁護士費用だ。2024年8月2日発効の改正はこの損害額の積算方法を絞り込んだ。同一の生体データを同一の受領者に繰り返し収集・開示しても、収集ごとに1件ではなく全体で1件の違反として数えることになり、実際の被害をはるかに超える賠償額を生んでいたスキャン単位の解釈は塞がれた。

テキサス州CUBIはBIPAとどう違い、その違いが何を意味するか

同意の要件自体はよく似ている。第503.001条は、商業目的で生体識別情報を取得する前に本人へ通知し同意を得ることを求め、四つの狭い例外を除き売却、貸与、開示を禁じている。四つの例外とは、行方不明者や死者を特定するための同意、依頼された取引の完了、法律上の要求、そして法執行機関の令状だ。取得した識別情報は、収集目的が終了してから1年以内など、合理的な期間内に破棄しなければならない。

テキサス州が与えないのは、自分自身で執行する手段だ。CUBIには個人の訴権がない。訴えを起こせるのはテキサス州司法長官だけで、罰則は違反1件あたり最大25,000ドルの民事制裁金であり、これは顔を撮影された本人ではなく州に支払われる。BIPAに違反した会社は違反した相手本人に対して責任を負うが、CUBIに違反した会社が責任を負う相手は、司法長官が動くと決めた場合の司法長官だけだ。この違いが、BIPAが集団訴訟を数多く生む一方でCUBIがほとんど生まない理由になっている。

ワシントン州では自分の顔データについて訴訟を起こせるのか

起こせない。RCW 19.375.020は、商業目的で生体識別情報をデータベースに登録する前に通知を行い、同意を得るか、その後のデータ利用を止める手段を提供することを企業に求めている。これはBIPAの書面同意書よりも緩い基準だ。似たような例外を除いて売却と開示を制限し、保持も必要な範囲に限定する。しかしRCW 19.375.030は、この章は「州司法長官のみが執行できる」と定めている。ワシントン州は「その法律が自分の持つ権利なのか、それとも州がいつか執行するかもしれないルールにすぎないのか」という軸で見ると、イリノイ州よりもテキサス州に近い位置にある。

GDPRのもとでセルフィーは生体データに当たるのか

場合によって当たる。文言はかなり具体的だ。第4条(14)は生体データを、身体的特徴を対象とする特定の技術的処理によって生じ、個人の一意な識別を可能または確認する個人データと定義しており、その例として顔画像を挙げている。カメラロールにただ置かれている手つかずの写真は、識別可能な個人に関わるものである以上、いずれにせよ第4条(1)のもとで個人データに当たる。それが生体データになるのは、その写真が、たとえば毎回正しい顔にルックをレンダリングするために作られた顔の形状テンプレートのような、その人を識別できる形へと何かによって処理された時点だ。

第9条は、一意な識別に使われる生体データを特別カテゴリとして扱う。例外に該当しない限り処理は禁止されており、消費者向けアプリに合う例外は第9条(2)(a)の明示的同意で、これは第6条のもとで他の大半の個人データに適用される通常の同意よりも高いハードルだ。GDPRはEUの国境で止まらない。第3条(2)は、所在地を問わず、EU域内の人々に商品やサービスを提供するあらゆる企業にこれを適用する。EUに拠点を持たない米国企業であっても、EU居住者がそのプロダクトを使った瞬間に対象になる。

GDPRはテキサス州やワシントン州と違って訴える道を用意しているが、条件はBIPAとは異なる。第82条は、データ主体に対し、違反による物質的または非物質的な損害への賠償を求める権利を与えており、これは第79条のもとで裁判所を通じて行使される。BIPAの1,000ドルや5,000ドルのような定額はない。手続き上の不備を示すだけでなく、請求者は実際の損害を示さなければならない。

EU AI法はAI写真に「AI製である」と表示することを求めるのか

2026年8月2日以降は、モデルを運用する提供者に対して求める。第50条(2)は、合成音声、画像、動画、テキストを生成するAIシステムの提供者に対し、出力物を、人工的に生成・改変されたものと検知できる機械可読な形式で表示することを求めている。この義務はモデル提供者の出力そのものに課されるものであり、消費者向けアプリが自らのインターフェースで何を開示するかとは別の話だ。この法律は第113条でこの日付を定めており、欧州委員会自身による段階的施行のまとめも、第50条を含む透明性義務が2026年8月2日から適用されたことを確認している。これは生体認証システムの高リスク用途に関する2027年12月2日の別の期限より前の話だ。

これとは別に、モデルを作る側ではなく実際に運用する側に課される義務もある。第50条(4)は、ディープフェイクに該当する画像・音声・動画コンテンツを生成または改変するAIシステムのデプロイヤーに対し、それが人工的に生成・改変されたものであることを開示するよう求めている。特定のレンダリング画像がこの法律のディープフェイクの定義に当てはまるかどうかは、このページで結論を出せる問題ではない。確かなのは、モデル提供者に課される表示義務が任意ではないということ、そして2026年8月2日はもう未来の日付ではないということだ。

Looksmithが自社について述べていること

このページが説明しているのは、顔を撮影するあらゆるアプリに対して五つの法律条文が求めることであり、Looksmithがそれを満たしているかどうかについての主張ではない。LooksmithはMirable Labs, Inc.によるiOSアプリで、近日公開予定であり、まだ提供されていない。同意、保持、開示、学習利用についてMirable Labsが述べていることはプライバシーポリシーに、アカウントを規律する規約は/termsに記載されている。このページによる法律の要約を会社についての要約だと受け取るのではなく、これらの文書自体を直接読んでほしい。不明な点があれば/helpで質問でき、Mirable Labsの背後にいる人たちについては/aboutに記載がある。

五つの異なる法律に共通するパターン

これらの条文はすべて、同じ問いに対して、規制対象となる企業への信頼度が異なる形で答えている。イリノイ州は、証明可能な被害の有無にかかわらず定額で、顔を撮られた本人に救済を直接手渡す。テキサス州とワシントン州は同じ救済を、動くかどうかを自ら選ぶ州の機関を経由させる。GDPRは通常の同意より高い水準を求め、実際の被害を示せてはじめて訴えることを認める。EU AI法は被害が下流、つまり誰かが画像を見てそれが作られたものだと見分けられなかった時点で生じると考えており、だから取引そのものではなくファイルを規制する。

アプリが何をしなければならないかという観点で読めば、これらの法律はどれも似たように聞こえる。本人に伝え、本人から何かを得て、データを永遠には保持しない。だが、アプリがそれをしなかったときに何が起きるかという観点で読むと、まったく似ていなくなる。写真をアップロードする前にすべきなのは、後者の読み方だ。

これらの法律のうち、アプリに顔を悪用されたとき実際に自分を守ってくれるのはどれか

イリノイ州のBIPAが最も守ってくれる。被害の立証なしに支払われる、ここに挙げた中で唯一の法律だからだ。GDPRも第79条と第82条を通じて訴えることはできるが、損害を示せてはじめてのことだ。テキサス州とワシントン州は執行を丸ごと州司法長官に委ねており、執行されない規則は保護ではなく約束にすぎない。EU AI法が守るのはもっと狭い範囲、つまり合成画像を本物と見分けられるかどうかであって、あなたのデータそのものではなく、これに個人の請求権は付随しない。生体情報に関する独自の法律を持たない州に住んでいるなら、何も与えられない。これは知っておく価値がある。