顔認識の商業利用をめぐる新たな法整備は、今後の課題を示している

• 新たな顔認識関連法は、より高い明確性と標準化の必要性を示している。

• FRS技術の開発者と利用者はいずれも、今後の基準を定めるために政策論争に参加すべきである。

顔認識は、実務においても、また人々の想像の中でも、強力な生体認証技術として台頭している。公共空間や法執行機関における利用が明らかになったことで、倫理的懸念や、その利用を禁止または制限しようとする立法の動きをめぐる議論が活発化している。

さらに、IBMは最近、「汎用のIBM顔認識または分析ソフトウェアの提供を今後行わない」と発表し、MicrosoftおよびAmazonは、警察による顔認識技術の利用について1年間の一時停止を求めるとともに、倫理基準の策定に議会が取り組むよう求めている。

これらの最新の動きは、技術そのものの状態と、特定の産業や場面において人々がその技術をどのように配備し利用するかの両面から、ユースケースレベルの課題について、適切な利用、制限、および保護措置を見極める時期が来ていることを示している。

新たな法制案の相違点
米国の州レベルで提出された顔認識サービス（FRS）の商業利用に関する法案は、（プライバシーおよび安全保障上の利益を超えて）人権と市民的自由に効果的に対処する法律へ至るまでに、どれほど多くの課題が残されているかを示している。また、そうするための法律が事業者に対してどの程度効果的に指針を示し、その関与を促しているかも示している。

ワシントン州は、提案中のワシントン州プライバシー法（WPA）において進展を見せている。これは、従来のプライバシー要件を超えて、FRSの商業利用に特化して取り組み、無差別性の要件を取り入れた、この種の初の法案である。カリフォルニア州は、ワシントン州に迫る勢いで州議会法案2261を進めた。この法案は特定の商業的FRS活動に制限を課すものだったが、ちょうど阻止された。より大規模な立法努力の一環であり、同様に特定の法執行機関による利用も可能にするはずのものであった。

しかし、こうした新たな提案は、この分野で法制化することの難しさ、明確で一貫性があり効果的な基準を定めるために残された課題、そして（少なくとも短期的・中期的には）事業者が進めていく上で直面する不確実性を浮き彫りにする、多様な基準を示している。

例えば既存の提案は、無差別性の義務に対して異なるアプローチを採用している。WPAは、「異なるサブグループ間における精度および不公正な性能差」を検出するため、第三者による試験を求めている。しかしながら、「不公正な性能」が何を指すのかは定義しておらず、物品およびサービスへのアクセスを超えて、基本的人権の侵害にFRSが用いられることを防ぐ対象に含まれるのかどうかも明確ではない。（カリフォルニア州の選択肢はそのような指針を示していたが、今後他の地域の法律では、これらの問題が考慮されないおそれがあり、埋めるべき隙間が残される可能性がある。）

監督の問題についても相違がある。WPAは、管理者に「意味のある人間によるレビュー」を確保することを求め、特に消費者に法的またはそれに準ずる重大な影響をもたらす決定を行うことを意図したFRSについて、導入前に運用条件下でFRSを試験することを求めている。ただし、FRSの「意味のある人間によるレビュー」が何を構成するのかは定義されていない。カリフォルニア州の措置はこの問題に対処しようとしており、訓練を受けた1名以上の個人によるレビューまたは監督を含め、「FRSの出力に全部または一部基づく決定に対して最終的な責任を負う」ことを求めている。それでも、主要な定義において一致しない措置が存在する場合、定義のばらつきは、遵守しようとする事業者にとって問題を複雑にすることになる。

事業者が今すぐ取り組めること
多くの取り組みが進む中、事業者には政策論争に貢献し、今後の基準を定める機会がある。世界経済フォーラムは、この課題への取り組みとして、その多様なステークホルダーによるアプローチと実行可能なガバナンス枠組みを活用しており、事業者や利害関係者の参加を呼びかけている。現在進行中のプロジェクト「顔認識技術の責任ある制限」は、FRS技術の安全かつ信頼できる利用を確保するためのガバナンス枠組みの策定を支援する。これらの取り組みや他の取り組みが具体化する中、企業が現時点で取り得る有益な対応策がある：

1. 管理者／処理者の枠組みについて考え、その枠組みを超えて考える

管理者と処理者の区別は、EUのGDPRから借用されたもので、WPAおよび現在は失効したカリフォルニア州のAB 2261の中核をなしている。現行の草案では、事業者がどちらか一方（あるいはいずれでもないか）に該当するかどうかによって、そのプライバシーに関する義務、そして重要なことに無差別性に関する義務が決定される。実際、これらの提案は、個人の識別、本人確認、継続的な追跡にFRSを用いる事業者は「管理者」であり、管理者にFRSを開発または提供する事業者は、処理者として位置づけられると想定しているようである。ただし、その条件は、管理者の指示に従い個人データを処理する限りにおいてであり、ここでの処理には収集、利用、保存、分析などの業務が含まれる。

実際には、FRSを利用または提供する事業者が、必ずしも管理者／処理者の枠組みに当てはまるとは限らず、その役割は時間とともに変化する可能性がある。例えば、FRS提供者は当初から管理者である場合もあれば、当初は処理者として活動していても、管理者の指示の範囲外で個人データの処理を開始した場合（例：汎用AIツールを訓練する場合）には管理者となる場合がある。また、当初は個人データを処理していなかったが、ある時点で、FRSの顧客／管理者の特定の顧客データを処理し始める事業者もある（例：そのツールを導入する場合）。

さらに、個人データを処理しないFRS開発者または提供者（継続的な追跡を含む）は、法律の適用範囲外にとどまり、したがってプライバシーおよび無差別性に関する義務のいずれも課されないことになる。このシナリオでは、管理者は、自らの無差別性に関する義務を遵守するため、そのようなFRS開発者に対し、契約上、第三者による試験や軽減計画の実施などの無差別性に関する義務に書面で従うことを求めなければならない。加えて、FRSの開発者または提供者は、FRSの利用者に対しても、適用される連邦法または州法の無差別性に関する法令を遵守することを契約上求めることを望む場合もある。

将来的には、この管理者／処理者の枠組みを超えたFRSの利用について法律が定められる可能性があり、それは明確化につながるだろう。しかし当面は、事業者は次の二点を念頭に置くべきである。a）個人データの取り扱いが新たな義務を次第に規定していること、b）既存の無差別性に関する要件が、デジタル活動にすでに適用される可能性があること。

2. 最も可能性の高い要件を見据え、多様なチームに責任を担わせる

これらの提案の下では、管理者と処理者はいずれも、契約の相互締結、人による監督、試験および監査要件を通じて、広範な無差別性に関する要件の対象となる。ただし、この「ループの末端に人間がいる」を中心としたアプローチは、特に現行の草案においては、FRSの利用をめぐる差別の懸念に対処するには十分でない可能性がある。いずれにしても、これらは出発点である。

FRSの利用を検討する事業者は、これらの提案に共通する点、すなわち人による監督、偏りや有害な影響に対するリリース前の試験、定期的な監査の要求に注目することで、堅牢で信頼できるシステムの構築に着手できる（また、全体的なAI戦略および信頼基準について事前に検討することによっても）。より広くは、信頼できるAIシステムを構築する取り組みは、製品サイクルのあらゆる段階の基本的な部分であるべきであり、FRSシステムの設計と運用、およびそれを運用するチームに基準を組み込むべきである。これを適切に行うためには、事業者は当初から、異なる利用方法を十分に検討し、これらの技術の質と影響、特に管理・監督のレベルにおけるものを考慮し、責任あるチームが多様な生活経験と専門性を備えていることを確保する必要がある。

今後の展望

2つの立法アプローチの間ですら提起された相違点は、事業者が遵守手順を標準化または予測しようとする際に、明確性の欠如をもたらすことになる。

それでもなお、法律と規制は時間の経過とともに避けられない。議会は近く、特定の利用に関する基準と制限を制定する可能性がある。カリフォルニア州は、遅かれ早かれ、この技術の商業利用について再び立法を試みることがほぼ確実である。そしてイリノイ州とテキサス州も、生体認証プライバシー法を改正し、無差別性に関する要件を盛り込むことを試みる可能性がある。同様に、一部の都市（ニューヨーク市やサンフランシスコを含む）は、民間利用に関するFRSの法案の拡大を検討している。同様に、ブルッキングス研究所は、報告書を発表したばかりであり、その中で米国における規制の主要な障害として先取り（連邦法優先）を挙げている。この問題の中には、立法提案間の不整合や、連邦と州の権限の均衡に関する憲法上の問題も埋もれている。

提案が形になるにつれ、これらの技術の開発者と利用者が、今後の基準を定める（そして自らの信頼基準を策定・検証する）ために政策論争に参加することが極めて重要である。そうしなければ、法律がそれについて何かを述べるよりもずっと前に、後段でより長期かつより高コストな市場の停止、事業の中断、評判の毀損を招くおそれがある。