EU助成のHerta、EU域内で禁止対象の顔認識技術をインド約4000台のカメラで運用
2026年7月20日 12:28
EUから多額の研究助成金を受け取ったスペイン企業の顔認識技術が、インドの公共監視システムに大規模に導入されていることが共同調査で明らかになった。この技術はインドの鉄道駅や刑務所などに設置された推定約4000台のカメラで稼働している。専門家によると、少なくとも一部の導入方法は、EU域内で運用すればEU AI法に違反する。EUの規制が、域外への輸出や導入を制限できていない現状も浮き彫りになっている。
■インドの公共スペースで稼働するEU助成企業の顔認識システム
コルカタのハウラー駅では、毎日100万人以上の利用者が行き交う。フードコートやホーム、改札口の上方に設置された約100台のカメラが、群衆の中を移動する人々の顔をスキャンし、インド鉄道当局が要注意人物として登録した約100万人のデータベースと照合している。Investigate Europe、インドのReporters' Collective、Tech Policy Pressが共同で発表した調査によると、一致が検出されると、対象者の正確な位置情報とともに武装した鉄道警察へアラートが送信される。ほとんどの利用者は、このシステムの存在はおろか、誰が構築したのかも知らない。
このソフトウェアを提供するのは、2009年にバルセロナで設立され、2020年以降にEUから330万ユーロ以上の研究助成金を受け取っているHerta Security（以下、Herta）だ。2026年7月15日に公開された調査によると、Hertaの顔認識技術は、インドの鉄道駅、刑務所、巡礼地、都市監視システムなどに設置された推定約4000台のカメラで稼働している。EUのAIおよび生体認証に関する法律を専門とする4人の法学者は調査チームに対し、これらの導入のうち少なくとも2件は、EU域内で運用された場合、欧州法に違反すると述べた。
学者たちが指摘する禁止規定は、この調査が発表される17か月前の2025年2月2日から施行されている。EU AI法は、法執行目的で、一般の人が利用できる場所においてリアルタイムの遠隔生体識別を行うことを、3つの限定的な例外を除いて禁止している。ハウラー駅で稼働しているシステムは、そのいずれにも該当しない。
■EU AI法が域内で禁じる利用方法を輸出できる「規制の空白」
Hertaが受け取った最大のEU助成金は、2022年から2024年にかけて「FUTURE」と呼ばれるプロジェクトに提供された236万ユーロで、群衆の行動を分析し、「大規模な集まり、公共イベント、交通量の多いエリア」で人を特定することを目的としていた。現在は削除されているもののウェブアーカイブに保存されているプロジェクトページでは、顔認識機能について、法執行機関が「容疑者やテロリストを迅速かつ正確に特定する」ためのツールと説明していた。これは、EU AI法が欧州域内で禁止した利用方法そのものである。
調査によると、Hertaは調査チームに対し、EUの研究資金は「インドやその他の地域における特定の商業的導入に資金を提供したり、その運用や補助を行ったりするものではない」と説明した。また、研究によって得られた知見は「当社の専門知識、手法、製品ロードマップの全般的な発展に寄与する可能性がある」と回答した。欧州委員会は、調査が公開されるまでにコメント要請へ応じなかった。
このような状況を許した背景には、構造的な規制の空白がある。EU AI法は、EU市場に投入されるか、EU域内で使用が開始されるシステムを規制するものであり、EU企業が、域内なら違法となるシステムを輸出することまでは禁止していない。EUの二重用途品規則（Dual-Use Regulation）は一部の監視技術の輸出を管理しているが、2025年12月のCDT Europeの報告書によると、顔認識ソフトウェアというカテゴリー自体は現在、二重用途品の規制対象リストに含まれていない。2026年5月に公開されたヒューマン・ライツ・ウォッチの報告書も、EU企業が人権侵害を行う管轄区域に監視ツールを輸出している一方、規制枠組みが追いついていないという、より広範な傾向を記録している。
■リアルタイム照合の仕組みと誤認、バイアスの懸念
Hertaの主力製品「BioSurveillance NEXT」は、現在の多くのAIシステムを動かしているものと同種のグラフィックス・プロセッシング・ユニット（GPU）上で動作し、最大1億人のデータベースとリアルタイムで顔を照合できる。調査によると、このシステムはライブ映像から個々の顔を抽出し、畳み込みニューラルネットワーク（CNN）モデルを使って数値表現である埋め込みに変換したうえで、数ミリ秒以内に監視対象者リストのデータベースと比較する。
Hertaのインドにおける事業パートナーの1人は、混雑した駅での処理能力について、1台のカメラで5分間に1万人を処理できると説明している。
ここで重要になるのが、照合精度のしきい値だ。デリー警察は2022年、顔認識の類似度が80％に達した照合結果を本人との一致と扱っていると説明した。これが武装警察を派遣する契機となる。毎日数百万人の利用者を約100万人の監視対象者リストと照合すれば、誤検知率が比較的小さくても、多数の人が誤認によって警察から呼び止められる可能性がある。しかも、こうした事案についての公的な記録はなく、誤認された人が救済を求める法的手段もない。
さらに別の問題もある。Hertaの元上級研究者が匿名で調査チームに語ったところによると、2014年頃に始まった初期のインドでの導入を通じて取得されたデータが、非白人の顔に対するアルゴリズムの低い性能を克服するうえで中心的な役割を果たしたという。長年にわたる研究では、主に肌の色が明るい人々のデータで訓練された顔認識システムは、肌の色が濃い人に対するエラー率が最大7倍高くなることが示されている。毎日数百万人の南アジア系の顔を処理するインドの導入環境が、肌の色が濃い人々に対するシステムの世界的な性能を実用化するための訓練データとして機能した可能性がある。Hertaは、アルゴリズムを改善するために顧客の運用データを「標準的な仕組み」として使用していることは否定したが、「明確な法的根拠」がある場合に使用する可能性までは否定しなかったと、調査は報じている。
■女性の安全対策基金で整備された監視システム
東部鉄道の契約は、2022年にデリーを拠点とするパートナー企業が1150万ユーロで獲得した。顔認識機能は、より広範な映像監視システムの上に構築されており、Hertaのソフトウェアが人物の識別を担っている。東部鉄道は2025年初頭、143駅で540の顔認識システムが稼働しており、プログラム全体では392駅を対象としていると発表した。Hertaの現地パートナーの1社は調査チームに対し、最終的には1500台を超えるカメラに拡張される可能性があると語った。
調査によると、Hertaのシステムは、デリーにあるティハール、マンドリ、ロヒニの3つの刑務所複合施設でも運用されている。政府との契約金額は、報道によれば3億5200万ルピー、約320万ユーロに相当する。アヨーディヤのラーム寺院の巡礼地でも同様のシステムが稼働している。また、Hertaのマーケティング資料には、アーメダバードのセーフシティ・プログラムの一環として、140台の顔認識カメラが導入されたと記載されている。
このインフラの一部は、「ニルバヤ基金（Nirbhaya Fund）」の資金で構築された。同基金は、デリーのバス車内で若い女性が集団強姦され、殺害された事件を受けて大規模な抗議活動が起きた後、2013年に設立された公的基金である。2025年3月までに約580億ルピー、約5億3200万ユーロが同基金から支出された。調査が確認した2024年2月公表のインド政府データによると、支出額の約50％が監視や警察活動に充てられた一方、被害者への直接支援サービスと緊急ヘルプラインへの支出は31％だった。
監視への投資が、女性に対する暴力を測定可能な形で減少させたとはいえない。インド国家犯罪記録局（NCRB）によると、基金設立の翌年に当たる2014年、インドでは女性に対する犯罪が34万件記録された。データを利用できる最新年の2023年には、約45万件に増加していた。
40年のキャリアで約10万件の女性に対する暴力事件を扱ってきたとするムンバイの弁護士、フラビア・アグネス氏は、調査チームに対し、鉄道型の監視システムが加害者の特定に役立った事例には一度も遭遇したことがないと語った。「レイプ事件の約95％は知人によるものだ」と同氏は述べた。こうした事件は主に家庭内で発生するため、公共の場所に設置されたカメラは役に立たないという。ムンバイで暴力被害者のための法律扶助センターを運営するオードリー・ドメロ氏は、より冷ややかな見方を示した。「女性のためという名目なら、物事を押し通しやすいことにも気づいたのだ」
■インドのデータ保護法が対象外とする法執行機関の監視
インドは2023年8月に「デジタル個人データ保護法（DPDPA）」を成立させ、その施行規則は2025年11月に発効した。同法は、インド初の包括的なデータ保護の枠組みである。しかし、問題となっている監視システムの導入には適用されない。
DPDPA第17条は、「犯罪の防止、探知、捜査または訴追」のために行われるデータ処理について、同法の中核となる同意や通知の要件を明示的に免除している。犯罪者の監視対象者リストと照合する鉄道監視や、刑務所複合施設での監視は、この免除規定に該当する。法執行機関による生体情報の大量収集を規制する独立した法律はなく、司法令状の要件、ログ記録の義務、データ保存期間の制限もない。監視対象者リストへの登録基準は公開されておらず、登録に異議を申し立てる正式な仕組みも存在しない。
「インドは間違いなく、何の保護措置もないまま顔認識技術を導入している世界有数の国だ」と、Internet Freedom Foundationの創設ディレクターで、デリーを拠点とするデジタル権利分野の弁護士、アパール・グプタ氏は語った。「インドと他国を分ける中核的な違いとして挙げられるのは、これを規制する法律が何かという点だ」
EU法との対比は明確だ。AI法第5条が規定する、公共スペースでのリアルタイム生体識別の禁止には、法執行機関向けの3つの限定的な例外がある。人身売買の被害者や行方不明者を対象とした捜索、具体的かつ差し迫ったテロの脅威の防止、テロや殺人など限定列挙された重大犯罪の容疑者の特定である。これらの例外に該当する場合でも、個別の使用ごとに事前の司法許可を得て、EUのデータベースに記録することが義務付けられる。スペインは、これらの例外の適用を認める国内法を制定していない。このためHertaは、インドのシステムに相当するものをスペインの鉄道駅で合法的に稼働させることはできない。
■EUのルール輸出と「危険な二重基準」への批判
ベルギーのルーヴェン・カトリック大学（KU Leuven）の法学研究者、キャサリン・ジャセランド氏は、東部鉄道とアーメダバードのシステムを検討し、どちらもEUの禁止規定に設けられた「いずれかの例外に該当するには範囲が広すぎる」と判断した。マッコーリー法科大学院のリタ・マトゥリョニテ氏も同様の結論に達し、EU加盟国で同様のシステムを導入すれば、AI法に「極めて明白に違反する」と述べた。
この結論は、最新時点のEU法の解釈でも変わらない。2026年7月8日に署名され、現在EU官報への掲載を待っているAI法の修正パッケージ「AIに関するデジタル・オムニバス（Digital Omnibus on AI）」は、ほとんどのシステムについて、ハイリスクAIに関する適合義務の適用を2027年12月まで延期する。しかし、第5条は変更していない。公共スペースにおける大規模な生体監視の禁止は変更されず、引き続き全面的に施行されている。
この事例は例外的なものではない。Investigate Europeは2026年3月、別のEU企業であるスロバキアのInnovatricsが、ブラジルのパラナ州にある1000校を超える学校へ顔認識技術を導入し、子どもの出席状況を監視しているとする別の調査を発表した。パラナ州は、法的な異議申し立てが相次ぐなかでも、契約を2026年9月まで延長した。調査の公開から4日後、ブラジルの国会議員が、この調査を明示的に引用した法案を提出した。しかし、今回のインドに関する調査を受けた同様の対応は、EUではまだ確認されていない。
Hertaは調査チームに対し、法的な懸念を「真剣に」受け止めており、同社の製品は「導入される市場にかかわらず、欧州のデータ保護原則に沿って開発されている」と述べた。また、「公的機関やシステムインテグレーターが、特定の環境で技術をどのように実装するかを管理することはできない」と付け加えた。
Hertaは2026年6月、スペインのEU AI法規制サンドボックスへの参加を完了した。同社はその結果について、EU AI法が認める条件の下で、公共スペースのプロジェクトに取り組む準備が整った欧州初の顔認識専門企業になったと説明している。ただし、この法令順守の態勢が適用されるのは、EU AI法の管轄が及ぶ場合に限られる。
AI法をめぐる欧州議会の交渉を主導したイタリアのブランド・ベニフェイ欧州議会議員（MEP）は、今回の調査結果を「危険な二重基準」と呼んだ。欧州市民には危険すぎると判断したツールから欧州企業が利益を得ることを認めながら、EUがデジタル権利の世界的な擁護者だと主張しても、信頼を得ることはできないと述べた。
ベニフェイ氏は調査チームに対し、「域内では認めないシステムについて、輸出や海外での使用も認めないための仕組みを見つけるべきだ」と語った。
現在、そのような仕組みは存在しない。EU AI法には輸出管理の仕組みが含まれていない。一部の監視技術の輸出を規制する二重用途品規則は2021年、国内での弾圧に使用される可能性があるツールを対象とする包括的な規定を追加した。しかし、顔認識AIシステムは規制対象品目として明示的に記載されておらず、この包括規定も顔認識AIには適用されていない。
EUは、AIガバナンスの世界的な基準策定者になるという目標を掲げている。しかしHertaのインドでの導入事例が示すのは、EUが域内の市民に対しては特定の利用方法を禁止し、その技術を商業的に成立させる研究へ資金を提供しながら、同等の保護がない管轄区域で自由に運用されるのを見過ごしているという構図だ。汎用AI（GPAI）に関する罰則権限とチャットボットの情報開示義務が発効する2026年8月2日の施行上の節目を受け、欧州委員会が輸出規制の空白を再検討するかどうかは、まだ分からない。
ハウラー駅を通過する利用者にとって、それはすでに意味を失った議論だ。彼らの顔は、すでにスキャンされている。
■注目ポイントQ&A
●EU AI法は、欧州で禁止されている顔認識技術の輸出を規制していますか？
いいえ。EU AI法は、EU市場に投入されるか、EU域内で使用が開始されるシステムを対象としています。EU域内なら違法となるシステムを、EU企業が海外で販売または導入することまでは禁止していません。一部の監視技術の輸出を規制するEUの二重用途品規則でも、顔認識AIは現在、規制対象となる輸出品目として明示的に記載されていません。この規制の空白によって、Hertaは、スペインの鉄道駅なら違法となるシステムをインドに構築できました。
●インドの鉄道に導入された顔認識システムは、なぜEU法下では違法とされるのですか？
2025年2月2日に施行されたEU AI法第5条は、法執行目的で、一般の人が利用できる場所においてリアルタイムの遠隔生体識別を行うことを原則として禁止しています。東部鉄道のシステムは、個別の使用について司法の許可を得ることなく、登録基準が公開されていない約100万人の要注意人物リストとライブ映像を継続的に照合しています。EUのAI法を専門とする4人の研究者は、この運用はEU法が認める3つの限定的な例外よりもはるかに広範だと指摘しています。スペインには、それらの例外の適用を認める国内法もありません。
●監視カメラに捉えられたインドの住民や旅行者が、法的手段を講じることはできますか？
実際にできることは、ほとんどありません。インドでは2023年にデジタル個人データ保護法が成立し、その施行規則が2025年11月に発効しましたが、犯罪の防止や捜査など、法執行目的のデータ処理には広範な適用除外があります。このため、鉄道や刑務所での監視は同法の主要な保護の対象外です。監視対象者リストへの登録基準は公開されておらず、登録や誤照合に異議を申し立てる正式な仕組みもありません。2026年7月にInternational Journal of Law and Legal Researchへ掲載された法的分析は、顔認識の誤りによって不当に呼び止められたり拘束されたりした人を「アルゴリズムの被害者」と表現していますが、現在のインド法にはこのカテゴリーの法的な位置付けも、補償を求める法律上の手段もないと論じています。
●インドの鉄道駅で使用されている顔認識システムの精度はどの程度ですか？
東部鉄道に導入されたHertaの「BioSurveillance NEXT」について、現在の具体的な精度は独立機関による検証が行われておらず、公表もされていません。デリー警察は2022年、顔認識の類似度が80％に達した結果を本人との一致として扱っていると説明しました。これは、管理された環境で使われる本人確認システムの97％超というしきい値より大幅に低い水準です。また、より広範な研究では、主に肌の色が明るい人々のデータで訓練されたシステムは、肌の色が濃い人に対するエラー率が最大7倍高くなることが示されています。Hertaの元研究者も、同社の初期のインド導入で、この問題が確認されていたと述べています。
元記事: EU-Funded Herta Security Runs Banned Facial Recognition on 4,000 Indian Cameras