Ofcom（英国の通信規制機関）は、TikTokの年齢推定システムがオンライン安全法（OSA）に基づいて求められる基準を満たしていない可能性があるとして、正式な調査を開始した。調査の中心となっているのは、TikTokの生体認証による年齢確認技術、特に顔スキャンやその他の信号からユーザーの年齢を推定する手法が、子どもを成人向けのコンテンツや機能から遠ざける上で十分に効果的かどうかという点だ。

調査はまだ初期段階にあるが、英国の規制当局が大手プラットフォームの生体認証による年齢推定ソフトウェアの信頼性を直接疑問視した初期の事例の一つとなる。オンライン安全規制に関心のある読者にとっては、これはOfcomが以前からTikTokのコンプライアンス慣行を精査してきた流れを汲むものであり、当メディアがOfcom TikTok年齢確認調査で詳報したように、英国における未成年アカウントの扱いに関する懸念が初めて表面化したものだ。

OfcomのTikTok調査の対象範囲

Ofcomの調査は、TikTokが「効果的な」生体認証年齢保証ツールを導入しているかどうかに狭く焦点を当てている。これは、未成年者に有害となりうるコンテンツをホストするプラットフォームに対しOSAが課す要件である。規制当局は、TikTokの英国事業が法的義務を果たしているか、あるいは導入されている年齢推定システムが未成年ユーザーを見逃したり、成人を誤分類したりしていないかを精査している。

これは単にTikTokが年齢確認システムを持っているかどうかの問題ではない。実際に存在する。問題は、そのシステムが意図通りに機能しているか、そしてTikTokがそれを実証できるかどうかだ。Ofcomは、TikTokに対して内部データ、テスト記録、技術文書の提出を要求する権限を持っており、調査の結果、不備が見つかった場合には強制措置につながる可能性もある。

年齢推定システムが生体データを収集・処理する仕組み

調査対象となっているような年齢推定ツールは、通常、自撮り写真や短い動画クリップを分析し、年齢が既知の大規模な顔データセットで訓練された機械学習モデルを用いて、顔の特徴に基づいてユーザーの年齢を推定する。システムは通常、正確な年齢ではなく確率スコアを出力し、プラットフォームはそのスコアに基づいて未成年の可能性があるアカウントにフラグを立て、追加審査や制限を行う。

このプロセスには、英国およびEUのデータ保護法の下で最も機微性の高い個人情報カテゴリーの一つである生体データの処理が含まれる。たとえプラットフォームが、推定値の生成後すぐに画像が削除されると明言していても、その根底にあるスキャンでは、依然としてライブの顔画像をキャプチャし、それを独自ソフトウェアで実行する必要がある。ユーザーは通常、そのデータがどの程度保持されるのか、モデルがどのように訓練されたのか、また年齢、肌の色、照明条件が異なる場合に実際の精度がどの程度なのかについて、限られた可視性しか持たない。

オンライン安全法に基づく年齢確認のプライバシー上のトレードオフ

OSAは子どもをオンラインで保護するために設計されており、その目的に異論を唱える人は少ないだろう。しかし、同法の施行はプラットフォームを生体認証による確認手法へと向かわせており、それ自体がプライバシー上の代償を伴う。顔スキャンやIDのアップロード、その他の保証手法は、未成年者だけでなく成人も、単にソーシャルメディアアプリにアクセスするためだけに、機微な個人データを提供しなければならない可能性を意味する。

これは真のトレードオフを生み出す。効果的な年齢保証は子どもが不適切なコンテンツに触れる機会を減らすことができる一方で、プラットフォームや、場合によっては第三者の確認ベンダーが収集・保存する生体データや身元データの量も拡大する。そのデータが不適切に扱われたり、侵害されたり、必要以上に長く保持されたりした場合、その結果は本来の安全目標をはるかに超える影響を及ぼす可能性がある。OfcomによるTikTokの調査は、規制当局が単に年齢確認システムを導入しているかどうかだけでなく、データ最小化の原則を尊重しつつ確実に機能するシステムを構築しているかどうかについて、プラットフォームに説明責任を負わせることができるかを試す一面もある。

これがあなたにとって意味すること

英国でTikTokを利用している場合、すでに年齢確認のプロンプトに遭遇したことがあるかもしれない。あるいは、この調査の展開次第で、近いうちに目にすることになるかもしれない。VPNは生体認証による年齢確認を回避したり迂回したりする助けにはならないことを理解しておくべきだ。これらの確認はTikTokのアカウントシステムに組み込まれており、アカウントとデバイスに紐づいているため、ネットワークの場所ではない。したがって、トラフィックを別のサーバー経由で転送しても、アプリから要求される内容は変わらない。

VPNができることは、プラットフォーム利用中の他の形態の追跡を制限することだ。たとえば、広告主からIPアドレスを隠したり、公衆Wi-Fiでの露出を減らしたりすることである。これは年齢保証要件の回避策ではなく、別個のプライバシー保護層である。

実践的なポイント

生体データをアプリに送信する前には、プラットフォームのプライバシーポリシーで保持期間と削除時期に関する記載を確認しよう。年齢確認が社内で行われているのか、第三者ベンダーによって行われているのかを確認すること。それによって、あなたのデータに誰がアクセスできるかが変わるからだ。保護者であれば、子どものアカウント設定を確認し、TikTokがどの確認手法を要求しているかを理解しよう。そして、OfcomによるTikTokの調査の進展に注目しよう。その結果は、今後の英国において、あらゆる主要プラットフォームが生体認証による年齢確認をどのように扱うかを左右する可能性があるからだ。