米カリフォルニア州、ブラウザへの年齢確認義務化を断念 OSレベルの監視は2027年導入へ
2026年7月19日 14:45
米カリフォルニア州議会で審議中の法案「AB 1856」から、ブラウザやウェブサイトに対してユーザーの年齢確認を義務付ける条項が削除された。これにより、一般的なウェブ閲覧時に身分証明書の提示を求められる事態は回避される見通しだ。しかし、2027年1月1日に施行予定の法案「AB 1043」に基づく、OSセットアップ時の年齢データ収集義務は依然として維持されており、実質的な本人確認の義務化につながるとの懸念が残っている。
■削除された条項：ブラウザレベルの監視がもたらすはずだった影響
カリフォルニア州上院は、法案「AB 1856」から最も広範な影響を及ぼす条項を削除した。この条項は、州内のすべてのブラウザ提供業者とウェブサイト運営者に対し、通常のインターネットアクセスを許可する前にユーザーの年齢を収集することを義務付けるものだった。上院の審議段階でこの条項が削除されたことにより、一般的なウェブ空間が「身分証明が必要な場所」になる事態は免れた。
しかし、2027年1月1日から施行予定の、クローズドソースのオペレーティングシステム（OS）に対してデバイスのセットアップ時にユーザーの生年月日を収集し、そのデータをアプリ開発者に送信することを義務付ける基本法（AB 1043）はそのまま維持されている。市民社会団体は、維持された枠組みが、法律の文言にかかわらず事実上の本人確認（ID確認）義務をもたらすと警告している。法律に定められた罰則が非常に高額であるため、OS提供業者はユーザーが自己申告した年齢を信用するのではなく、確認を行わざるを得ないのが実情だという。
スマートフォンやPCで主要なOSを利用している約3900万人のカリフォルニア州民にとって、この違いは極めて重要である。ブラウザでの義務化が回避されたことで、通常のウェブ閲覧に身分証明書は不要となる。しかし、2027年1月1日以降にカリフォルニア州でiOSやAndroidデバイスをセットアップする際には、AppleやGoogleに生年月日または年齢を送信する必要がある。両社は、ユーザーを「13歳未満」「13〜15歳」「16〜17歳」「18歳以上」の4つの区分に分類し、そのシグナルを要求のあったアプリ開発者に送信することになる。
■残された課題：実質的なID確認義務化という問題
削除された条項は、カリフォルニア州の既存の年齢区分制度を質的に拡大するものだった。削除された文言では、対象となるすべてのウェブブラウザ提供業者とウェブサイト運営者がユーザーの年齢データを要求し、ウェブサーバーに送信することが義務付けられていた。これは、AB 1043がすでに規定している「OSからアプリへの送信経路」とは別のチャネルである。実際には、ウェブサイトにアクセスするだけで本人確認のプロンプトが表示される可能性があり、対象ブラウザを使用するすべてのカリフォルニア州民にとって、通常のインターネット利用が身分証明を必要とする行為に変わる恐れがあった。
このブラウザ拡張条項を理由にAB 1856に反対していた電子フロンティア財団（EFF）は、削除前の同条項について「一般のインターネットユーザーがAB 1043の年齢制限（年齢ゲート）を回避することをほぼ不可能にするものだ」と指摘していた。同団体は現在、同法案への反対を撤回し、これらの弊害を認識してこの文言を進めなかった法案起草者と委員会スタッフの姿勢を評価している。
AB 1856は、元の年齢区分法であるAB 1043を執筆したバフィー・ウィックス州下院議員によって起草され、その枠組みを修正・改善するために設計された。AB 1043は、Google、Meta、OpenAI、Snap、Pinterestなどの支持を得て、2025年にカリフォルニア州下院を76対0、上院を38対0で通過し、2025年10月13日にギャビン・ニューサム知事の署名を経て成立した。AB 1856は2026年5月28日に下院を68対1で通過した後、上院に送られ、そこでブラウザおよびウェブサイトへの拡張条項が最終的に削除された。
なお、すべてのLinuxディストリビューション、FreeBSD、その他のボランティアが維持するプロジェクトを含むオープンソースOSについては、開発者からの強い反発を受けて、以前のAB 1856の修正段階でOSレベルの義務付けから除外されている。開発者らは、ボランティア運営のプロジェクトにとって、法的な期限内に州が義務付ける商業的な確認用APIを構築することは技術的に不可能であると主張していた。
■OSレベルでの年齢確認はどのように機能するのか
EFFがAB 1856への反対を撤回したことは、その根底にある法的な状況を支持したことを意味しない。同団体は、AB 1856が何を追加しようとしまいと、AB 1043自体が違憲であるとの見解を明確にしている。
この憲法上の異議申し立ては、AB 1043が直接行うこと（OS提供業者やアプリストアにユーザーの年齢収集を義務付け、未成年者が制限されたサービスにアクセスするのをブロックすること）と、その罰則構造を通じて事実上強制されることの双方に基づいている。この法律は明示的に年齢確認を求めてはいないが、違反した場合は影響を受けた子ども1人につき最大7,500ドル（約121万5,000円、1ドル＝162円換算）の罰金をOS提供業者に科すとしている。独立系プライバシー研究機関の「Privacy Guides」は、この罰則構造が、OS提供業者に対して法的義務である最小限の年齢シグナルを超えたデータ収集を行うインセンティブを与え、法律自体のデータ最小化の文言と衝突しているという、法的な矛盾を指摘している。
また、この仕組み自体には技術的な欠陥も指摘されている。AB 1043は、デバイスのセットアップ時にユーザーが入力する自己申告の生年月日に依存している。15歳のユーザーが虚偽の生年月日を入力した場合、そのデバイス上のすべてのアプリに「成人」の区分シグナルが送信されてしまう。この欠陥により、同法は子どもを保護するという本来の目的を果たせない一方で、州内のすべての成人ユーザーに対して業界全体のコンプライアンスコストと、確認への圧力を強いることになるとみられている。
EFFの立場は明確である。同団体は、インターネットにアクセスするために年齢を提示したり確認したりする必要は誰にもないとし、一度収集された個人データは漏洩、ハッキング、または悪用されるリスクが常にあると主張している。EFFの枠組みでは、すべての年齢確認システムは、人々に対してオフラインのアイデンティティとオンラインの活動を結びつけるために、機微で変更不可能な個人情報の提供を要求するものとされている。
■全米および世界的な年齢確認義務化への圧力
AB 1043の技術的アーキテクチャは、従来の年齢確認要件とは異なる。成人向けウェブサイトやソーシャルメディアプラットフォームを対象とした従来の法律では、アクセスする瞬間にユーザーを確認する義務をコンテンツ提供側に課していた。カリフォルニア州の法律は、そのチェックポイントを、コンテンツにアクセスする前のOSレイヤーに移動させている。
この法律の設計では、対象となるOS提供業者（iOS/iPadOSのApple、一部構成のWindowsのMicrosoftなど）がアカウント設定時にユーザーの生年月日を収集する。この日付は、アカウントレベルで保存される4つの区分のいずれかのシグナルを生成するために使用される。その後、アプリ開発者は専用のAPIを介してOSに問い合わせを行う。Appleの「Declared Age Range API」とGoogleの「Play Age Signals API」は、この義務化がカリフォルニア州以外にも広がることで単一州向けの技術的解決策が現実的ではなくなるため、いずれもこのアーキテクチャをグローバルに展開している。また、現在裁判が進行中のテキサス州のアプリストアに関する別の訴訟も、両社がこれらのシステムをどのように展開するかに影響を与えている。
「13歳未満」「13〜15歳」「16〜17歳」「18歳以上」の区分カテゴリは、ユーザーがアプリをインストールまたは起動した際に、問い合わせを行った開発者に送信される。AB 1856의 絞り込み修正により、受信したシグナルが法的責任を引き起こすのは、そのシグナルが送信された特定のデバイスに対してのみであり、ユーザーがアクセスするすべてのプラットフォームに及ぶわけではない。これは、AB 1043の当初のクロスプラットフォームにおける「実際の認知（actual knowledge）」規定と比較して、プライバシー面での改善とされている。
プライバシーを保護する代替手段も存在するが、法律では義務付けられていない。ゼロ知識証明（ZKP）を使用すれば、プラットフォームや確認機関にユーザーの身元を明かすことなく、ユーザーが特定の年齢層に属していることを証明できる。これは属性ベースの資格情報に関する研究で実証されている技術的に堅牢なアプローチである。同法はゼロ知識証明に基づくコンプライアンスを禁止していないが、義務付けてもいないため、大規模な法的責任を管理するOS提供業者にとって最も抵抗の少ない経路は、依然として従来のID確認や生体認証確認になるとみられる。
「Internet Society」が指摘しているように、現在、展開規模で完全にプライバシーを保護する年齢確認方法は存在しない。年齢確認は実際の身元を明かすことなくユーザーの年齢を確認すべきであり、ゼロ知識証明は有望なアプローチであるものの、技術はまだ開発段階にあり、広く普及してはいないのが現状である。
■カリフォルニア州における今後の展開
カリフォルニア州の法的な後退は、インターネットのインフラに年齢確認を組み込もうとする世界的な動きが強まる中で起きている。この動きにおいて、裁判所と立法府は大きく異なるスピードで動いている。
テキサス州では、アプリストアの年齢制限をめぐる並行した争いが、憲法レベルでリアルタイムに繰り広げられている。2026年7月6日、連邦最高裁判所は、緊急申し立てとして持ち込まれた初のアプリストア年齢確認法であるテキサス州法「SB 2420」の執行差し止めを、コメントや反対意見を付すことなく却下した。最高裁は憲法修正第1条（表現の自由）の判断を下さずに緊急申し立てを処理したため、AppleとGoogleは現在、憲法上の異議申し立てが続く間、テキサス州のすべての新規アプリストアアカウントに対して身元に関連付けられた年齢確認を強制している。8月上旬に予定されている第5巡回区控訴裁判所の迅速審理が、全米の同様の法律の方向性を決定づけることになるとみられる。
この訴訟は、2025年6月の「Free Speech Coalition対Paxton」判決とは手続き上区別される。同判決では、最高裁が6対3の多数派で、成人向けコンテンツウェブサイトにユーザーの年齢確認を義務付けるテキサス州法「H.B. 1181」を支持した。この判決は、同法が成人の保護された表現活動に付随的な負担を与えるにすぎないと判断した。しかし、SB 2420訴訟の原告らは、この狭い判断は、電卓や天気予報ツールを含むあらゆるアプリをダウンロードする前の義務的な確認には適用されないと主張している。「New America Open Technology Institute」の分析によると、各州はこの判決を、アプリストアレベルの広範な年齢要件を支持するものとしてではなく、性的に露骨なコンテンツに限定して狭く解釈すべきだと指摘している。
大西洋の向こう側では、欧州委員会のウルズラ・フォン・デア・ライエン委員長が2026年7月13日、子どものオンライン安全に関する特別パネルが同日に報告書を提出したことを受け、子ども向けのソーシャルメディアアクセスに対する段階的な年齢制限を検討していることを示唆した。同パネルは、13歳未満の子どものソーシャルメディアアクセスに対するEU共通の最低年齢制限を推奨しており、フォン・デア・ライエン氏は、異なる年齢層に対する段階的なアクセス制限の必要性について、説得力が増していると述べた。法案の提案は夏以降に予定されている。オーストラリア、英国、トルコ、インドネシア、その他複数の国々では、すでにソーシャルメディアアクセスに対する最低年齢要件が制定されている。AP通信は、フォン・デア・ライエン氏が加盟国に提案を提示する前に、さらなる指針の策定を指示したことを確認している。
AB 1856は、オープンソースOSの除外規定を含むその条項が法律として成立する前に、カリフォルニア州上院を通過し、知事の署名を得る必要がある。ただし、基本法であるAB 1043は、AB 1856の行方にかかわらず、2027年1月1日に施行される予定である。
ブラウザへの義務付けが削除されたことで、同法案の残りの適用範囲は狭まった。クローズドソースのOS提供業者とアプリストアがコンプライアンスの負担を負い、ブラウザ、ウェブサイト、およびオープンソースOSプロジェクトは除外される。EFFは、AB 1043の核心的な憲法上の問題に対処するよう、議会への圧力を維持する姿勢を示している。
ブラウザレベルの年齢制限からカリフォルニア州が自主的に後退したことは、市民社会からの圧力によって監視の拡大を撤回した、立法府としては珍しい事例である。これは、執行を優先するテキサス州の姿勢や、欧州で高まる動きとは対照的である。この抑制が持続的な政治的意思を反映しているのか、それとも戦術的な一時停止にすぎないのかは、2027年の施行日が近づき、8月の第5巡回区控訴裁判所の判決がこれらの法律の憲法上の基盤を形作るにつれて明らかになるだろう。
現時点での実質的な影響は二者択一である。カリフォルニア州でウェブを閲覧するユーザーは身元確認のチェックポイントに直面することはない。しかし、2027年1月1日以降に新しいiPhone、Androidデバイス、またはWindowsマシンをセットアップするユーザーは、そのチェックを避けることはできない。ブラウザでの義務化回避は重要だが、その背後に残された課題もまた同様に重要である。
■注目ポイントQ&A
●AB 1856が成立すると、ブラウザを使用したりウェブサイトを訪問したりするたびに身分証明書を提示する必要がありますか？
いいえ、その必要はありません。その義務を課すはずだったブラウザ拡張条項は、上院の審議でAB 1856から削除されました。ブラウザ提供業者やウェブサイト運営者は、現在の法案の対象から除外されています。年齢データの収集義務はクローズドソースのOS提供業者とアプリストアのみに適用されるため、確認はデバイスのセットアップ時に行われ、ブラウザを開いたりサイトにアクセスしたりするたびに行われるわけではありません。
●カリフォルニア州でiPhoneやAndroidスマートフォンを利用するだけで、身分証明書を提示しなければならなくなりますか？
法律の文言上、明示的に身分証明書の提示が求められているわけではありませんが、実務上は多くのユーザーにとってその結果になる可能性が高いとみされています。AB 1043は、OS提供業者に対してアカウント設定時にユーザーの年齢または生年月日を収集することを義務付けています。法律自体は政府発行の身分証明書や生体認証による確認を求めておらず、自己申告の生年月日でも技術的には要件を満たします。しかし、未成年者に制限コンテンツへのアクセスを許した場合、影響を受けた子ども1人につき最大7,500ドル（約121万5,000円、1ドル＝162円換算）の罰金が科されるため、OS提供業者は自己申告を信用するよりも、厳格に確認を行う強い圧力を受けることになります。
●個人データを収集せずに年齢を確認する方法はありますか？
技術的には可能です。ゼロ知識証明（ZKP）を使用すれば、プラットフォームや確認機関に身元を明かすことなく、特定の年齢層に属していることだけを証明できます。しかし、現在広く使われている消費者向けの年齢確認システムで、この技術を大規模に導入しているものはありません。AB 1043はゼロ知識証明による対応を禁止していませんが、義務付けてもいないため、OS提供業者はより簡単でデータ収集量の多い従来の方法を採用する可能性が高いとみされています。
●未成年者がデバイスのセットアップ時に年齢を偽った場合はどうなりますか？
法律上、それを防ぐ手立てはなく、ユーザーが虚偽の年齢情報を入力しても開発者が罰せられることはありません。10代のユーザーが成人の生年月日を入力した場合、デバイス上のすべてのアプリに「成人」の区分シグナルが送信されます。つまり、この法律が機能するかどうかは、制限対象であるユーザー自身の自発的な誠実さに依存しており、プライバシー研究者やEFFは、この自己申告アプローチの根本的な構造的弱点として指摘しています。
元記事: California Senate Drops Browser Age-ID Mandate, but OS Checks Remain on Track