[No.81]米国で顔認識技術の販売が禁止される、欧州ではEU 一般データ保護規則(GDPR)違反で2億ユーロの制裁金を科せられる
gdep世界で最も高精度といわれる顔認識技術「Clearview AI」の販売が米国で禁止された。
また、欧州では、イギリスやフランスなどが、EU 一般データ保護規則(GDPR)に違反したとして、Clearview AIに制裁金を科した。
Clearview AIはネット上の顔写真をスクレ―ピングする手法で、世界最大規模の顔データセットを構築したが、これが違法であると判断された。
Clearview AIとは
Clearview AIはニューヨークに拠点を置く新興企業で、高精度な顔認識技術を開発した。
Clearview AIは、サイトに公開されている顔写真をダウンロードする手法で、顔のデータセットを構築した。顔写真の数は100億枚で、世界最大規模の顔写真データセットとなる。
ここには日本人の顔写真も数多く含まれており、消費者が気付かない中、製品に組み込まれ利用されている。
全世界の人物を特定
Clearview AIは顔写真の数を増やし、1000億枚のイメージを格納する顔データセットを開発している。
この規模のデータセットを使うと、AIは顔写真から、世界のほぼすべての人物の身元を正確に特定できる。具体的には、世界の人口の98％を、99.5％の精度で判定することが可能となる。
世界のほぼ全ての人物を特定できる、極めて高機能な顔認識AIが生まれることになる。
顔写真を収集する手法
Clearview AIは、世界のウェブページから顔写真を収集する手法で、データセットを開発した(下のグラフィックス)。
実際に、FacebookやLinkedInなどソーシャルメディアに掲載されている顔写真を、本人の許可なくダウンロードし、これをデータセットに格納した。
これは、スクレ―ピングといわれる手法で、個人のプライバシーを侵害するとして、FacebookやLinkedInはClearview AIに、顔写真の収集を停止し、データを消去するよう求めている。
米国での利用実態
多くの問題を抱えながら、Clearview AIの技術は米国主要都市の警察に提供され、容疑者の身元を特定するために使われている。
シカゴ市警察は犯罪捜査で容疑者を特定するためにClearview AIを使っている。犯罪者データベースに格納されている容疑者の顔写真をClearview AIに入力することで、身元を特定する。
Clearview AIの判定精度は極めて高く、それが口コミで広がり、今では600を超える警察がClearview AIを使っている。
非営利団体による訴訟
一方、非営利団体「アメリカ自由人権協会(American Civil Liberties Union, ACLU)」は、顔写真を収集する方法に関し、Clearview AIを提訴した(下の写真)。
ACLUは個人の自由や権利を守ることを目的とした非営利団体で、個人の許可を得ないで顔写真を収集することはプライバシーの侵害であ るとして、Clearview AIに運用の停止を求めていた。
この訴訟で、2022年5月、両者で和解が成立し、Clearview AIは米国において顔データセットを民間企業に販売することが禁じられた。
個人情報保護法
この裁判はイリノイ州において、同州の個人情報保護法「Illinois Biometric Information Privacy Act (BIPA)」を根拠に争われた。
BIPAとは、企業が個人の生体情報を収集する際には、個人の許諾を求めるもので、虹彩や顔イメージなどがこの対象となる。
この裁判は「ACLU V. Clearview AI」と呼ばれ、イリノイ州の個人情報保護法の解釈が焦点となった。
和解ではイリノイ州における販売の制限に加え、州を超え、全米において顔データセットの販売が禁じられた。
和解の内容
これにより、Clearview AIは、全米で、企業や個人に顔データセットを販売することが禁じられた。
一方、政府機関への提供は制限されておらず、連邦捜査局(FBI)や、入国管理を司る米国国土安全保障省(United States Department of Homeland Security)へ、継続して顔認識技術を提供できる。
また、警察など地方政府へ顔認識技術を供給できる。一方、イリノイ州内では、州政府や地方政府への製品供給を5年間禁止された。
EU 一般データ保護規則
欧州においては、フランス政府は2022年10月、「EU 一般データ保護規則(General Data Protection Regulation 、GDPR)」の規定に違反しているとして、Clearview AIに制裁金を科した。
政府の独立機関「Commission nationale de l’informatique et des libertés(CNIL)」は、Clearview AIが提供する顔認識技術は、GDPRに定める個人情報保護の規定に違反しているとして、制裁金2億ユーロを科した。
また、Clearview AIに対し、フランス国内での顔イメージの収集を停止し、顔データセットからフランス人の顔情報を消去することを求めた。
GDPRの規定によると、制裁金の額は、企業の全世界での売り上げの4％か、2憶ユーロのうち、高い金額としており、Clearview AIは最大額の制裁金を科された。
Clearview AIのポジション
これに先立ち、Clearview AIはイギリスやイタリアやギリシャで制裁金を科せられており、欧州で事業を展開することができなくなった。
これに対して、Clearview AIは、公開されているデータをダウンロードすることは、米国憲法で保障された権利で、実際に、Googleなどはこの手法で検索エンジンを構築している、と主張している。
また、Clearview AIは、欧州では事業を展開しておらず、EUが米国企業に制裁を科すことはできない、とのポジションを取っており、制裁金の支払いなどには応じていない。
顔データセットの法的解釈
米国では連邦政府による顔認識技術を規制する法令は無いが、イリノイ州の個人情報保護法が州を跨り、全米に効果を及ぼしている。
この和解で、顔認識AIで使う顔写真データは個人の生体情報との解釈が示され、顔データの収集や管理を法令に準拠して進める必要があることが認識された。
また、欧州は米国より規制が厳しく、顔写真の収集は違法であり、顔認識技術の開発手法を見直す必要がある。
