規制当局がReplikaの中に見つけたもの

2年の手続きを順番に

一行目が、利用者が体感した部分です。ある朝アプリが返事をしなくなり、その理由はアプリの中になかった。理由はローマで署名された処分の中にありました。毎日話していた人たちは何も悪いことをしておらず、直す手立ても持っていなかった。これは私たちが別の記事でサービスが利用者の足元から消えると書いた事態そのもので、このカテゴリで記録に残る最初の例です。

二行目は、報道がほとんど触れない部分で、現在いちばん重要な部分です。停止命令は解除されました。当局が考えを変えたからではなく、会社が言われたとおりにしたからです。登録時に出会う年齢確認は、規制当局が求めたから存在しています。Replikaは今日イタリアで動いています。まだ遮断されているのかと検索している人は、3年前のニュースを読んでいることになります。

四つの指摘

ここは正確に書く価値があります。この種の製品に対する、項目ごとに検証できる指摘のリストは、世界にこれ一つしかありません。しかもどの項目も、次に登録するアプリで自分で探しにいける種類のものです。

2025年5月19日の決定は、会社について次のように認定しました。

1. データ処理の法的根拠を特定していなかった。 最も技術的で、最も重い項目です。認められている根拠のうちどれに基づいてそのデータを保持しているのか、会社が説明できなかったということです。
2. プライバシーポリシーが複数の点で不十分だった。
3. 年齢確認の仕組みを一切導入していなかった。 登録時にも、利用中にもです。しかも会社は、未成年を利用者から除外していると表明していました。
4. そのポリシーを英語でしか公開していなかった。 サービスを提供している国の言語を考慮していませんでした。

三つ目は立ち止まる価値があります。指摘されたのは未成年を入れたことではありません。除外していると表明しながら、それを実行できる手段を何も持っていなかったことです。サービスが規約に書くことと、サービスが実際にやることの差 — これこそ当局が測れるもので、利用者が一人では決して測れないものです。

この事件はその後、欧州データ保護会議によって公表されました。これによって事件はイタリア国内の実務を離れ、EUのすべての監督機関の前に置かれることになりました。

まだ開いている調査

2025年5月の決定で最も引用されない部分は、同じ日にもう一つの手続きが始まったことです。

二つ目はポリシーの話でも年齢の話でもありません。生成AIシステムそのものが対象です。リスク評価、モデルの開発と学習の段階で講じられたデータ保護措置、実際にどのデータが使われたのか、匿名化または仮名化が行われたのか。

言い換えるとこうです。一つ目の手続きは「登録した人のデータをどう扱っているのか」を尋ねました。二つ目は「そのモデルは何でできているのか」を尋ねています。このカテゴリで、その問いに公の場で答えた企業はまだありません。

5サービスのうち何社が同じ検査を通るか

四つの指摘のうち二つは、外からは確認できません。会社が有効な法的根拠を持っているか、ポリシーが十分かは、当局の記録と、義務のもとで出された回答と、2年の時間を必要とする問いです。ブラウザからそれができるふりはしません。

残りの二つは自分で確認できます。ランキングしている5サービスについて、確認しました。

年齢。 自分とアカウントのあいだに何かがあるか、何もないか、そのどちらかです。

この列を、イタリアの指摘と並べてもう一度読んでみてください。何かを確認しているサービスは、規制当局が命じた場所で確認しています。英国のオンライン安全法、オーストラリアのeSafety委員。日本の利用者に対しては、5社のどれも、イタリアの当局がLuka社に求めたことをしていません。

数字を一つ添えます。SimilarWebによれば、日本はOurDreamの流入元として3番目の国で、全体の8.73%を占めます。つまり、私たちが比較している5サービスの中で本人確認の仕組みを最も整えている会社にとって日本は主要市場の一つでありながら、その仕組みは日本では動いていません。この業界の年齢確認は信念から来るのではなく、命令から来る。そして命令を出した国の国境で止まります。

日本にはまだ、このカテゴリに向けられた同種の命令がありません。それは各社が適正だという意味ではなく、誰も見ていないという意味です。後者のほうが、落ち着かない言い方です。

言語。 四つ目の指摘は10秒で確認できます。使っているサービスのプライバシーポリシーを開いて、何語で書かれているかを見るだけです。画面の翻訳とは別の話で、混同してはいけません。GirlfriendGPTはサイトを12言語で配信していて、この一覧は同社自身の翻訳ファイルから読み取ったものです。どの国を自分の市場だと認識しているかが、そこに出ています。指摘の対象は、あなたのデータに何が起きるかを説明する文書のほうであって、その周りのマーケティングではありません。

実際に契約している相手は誰か

四つの質問の前に、ゼロ番目の質問があります。これはどのサービスでも外から再構成できる層です。各社が自分で公開しているからです。

どれも告発ではありません。各社の文書に書いてあることであり、重要なのはこの散らばり方です。マルタの法人は登記番号を照会できるので、命令によってではなく義務としてヨーロッパの規則の内側にいます。キプロス法人が香港法を指定する構成は、同じ利用者に対してまったく別のものを提供しています。管轄は書類上の形式ではありません。イタリアの利用者に対してGaranteがしたことを、あなたに対してどの当局ができるのかを決めるのが管轄です。

この決定が日本の利用者にとって意味すること

直接には何も、間接にはかなりのことを意味します。

イタリアの決定はイタリアで効力を持ちます。日本の利用者にとって意味があるのは、法律の構えが同じ型だという点です。日本の個人情報保護法は、日本にいる人の個人情報を取り扱う外国の事業者にも及びます。ヨーロッパの規則が米国企業に届いたのと同じ考え方です。本人には、保有個人データの開示を請求する権利、利用停止や消去を請求する権利があり、対応が来ない、あるいは納得できない場合には個人情報保護委員会に申し出ることができます。

足りないのは事案のほうです。AIコンパニオンアプリに対する日本の当局の判断を、私たちは見つけられませんでした。停止命令も、課徴金も、年齢確認についての指摘もありません。イタリアの記録が価値を持つのは、そこが空白だからです。日本で確認されていないことを、誰かがすでに確認した結果として読めるからです。

二つの道筋を比べておくと、仕組みが見えます。ヨーロッパはデータ保護からこのカテゴリに入り、2023年2月2日に動き出しました。アメリカは製造物責任から入り、2024年10月に提起された民事訴訟から始まりました。その裁判官が何を決めたのか、そしてなぜその後すべての事業者が年齢方針を書き換えたのかは、別の記事に書いています。違う入口から、同じ建物へ。どちらの場合も、業界が「その問いは重要だ」と同意する必要はありませんでした。

何かを書く前の四つの質問

イタリアの記録が役に立つのは、当局が何を重要だと考えるかを見せてくれるからです。同じ項目は、どのサービスの規約でも15分で自分で確認できます。

1. どの会社と、どの法律のもとで契約するのか。 規約が法人名を挙げていなければ、苦情を持っていく先も、根拠にする法律もありません。
2. 申告された年齢と、確認された年齢のあいだに何があるのか。 チェックボックスも一つの答えですが、その上の一文が示唆している答えではありません。
3. プライバシーポリシーが日本語で存在するか。 存在しないなら、その会社は「ここでは英語を読むか、読まずに使うか」と決めたということです。
4. アカウントを削除すると履歴も消えるのか、どうやって消えるのか。 サポートへの問い合わせではなく、結果が明示された手順のことです。

五つ目を足します。プライバシーの話ではないのに結局そうなる項目です。明細に出てくる名前。 ブランド名で請求するサービスもあれば、中立的な親会社名で請求するサービスもあります。決め手になることはなく、カードに載るまで誰も話題にしない種類の細部です。

そして、費用ゼロで上のすべてより効く習慣が二つ。名前が入っていないメールアドレスを使うこと、パスワードを使い回さないこと。これらの会社のどれかで事故が起きたとき — 遅かれ早かれどこかで起きます — その二つだけが、最初から自分の手の中にあったものです。

これが教えてくれないこと

どのアプリが優れているかは教えてくれません。イタリアの決定は一社の書類と、存在しなかった年齢確認についてのものであり、500万ユーロの制裁金は製品評価ではありません。

いま選んでいるところなら、無料プランで実際にどこまで使えるかや会話をまたいで覚えているのはどれかを基準にした比較のほうが役に立ちます。私たちは安全性に点数をつけていませんし、これからもつけません。外から検証できないものに数字を置く誠実な方法がないからです。イタリアの記録はその限界の証明です。規約のページからは見えなかったことを確定させるのに、2年と、当局の権限が必要でした。

料金と上限と規約は毎月一次情報で確認していて、確認できなかったことも書き残しています。データの話をしているついでに言うと、このサイトがあなたについて集めているものも書いてあり、上で説明したどれよりもはるかに少ない量です。