2026年9月17日、欧州委員会はEU KIDS Actの提案を採択しました。要点を言えば、EU域内の未成年者が利用する可能性のあるあらゆるデジタルサービス——ソーシャルネットワーク、動画プラットフォーム、ゲーム、アプリストア、AIチャットボット——は、苦情を待つのではなく、設計段階から安全であることを示さなければなりません。13歳未満は独立したアカウントを一切持てません。13歳から14歳までは、保護者による管理のもとで監督されたミニアカウントとなります。独立したアカウントは15歳からです。AIチャットボットとAIコンパニオンは未成年者に対してデフォルトでオフになります。違反には、全世界の年間総売上高の最大6%の制裁金が科されます。

この提案はまだ法律ではなく、今後欧州議会および加盟国との交渉が必要です。しかし規制の方向性は、あなたが今日プロダクトで下している技術的な判断に影響を与えるほど明確になっています。

ルールで実際に何が変わったのか

これまでのルールが問うていたのはひとつだけでした。有害なコンテンツが報告された後、それを削除したか？ KIDS Actはこれを逆転させ、代わりにこう問います。利用するには若すぎる人がそもそも入れないようにサービスを設計したか？ 欧州委員会自身の説明によれば、この提案は立証責任を逆転させ、それをサービス提供者に負わせるものです。

対象範囲は多くの人が思っているより広くなっています。大手ソーシャルプラットフォームだけの話ではありません。リスクが実証された機能を持つゲーム、アプリストア、動画共有サービスを対象とし、AIチャットボットとAIコンパニオンも明示的に対象としています。言い換えれば、あなたのプロダクトにユーザーと会話するアシスタントがあるなら、ソーシャルメディア企業でなくても対象範囲に入るということです。

AIアシスタントを追加したすべての人にとって重要な条項

ここ二年の間にストアやアプリにチャットボットを後付けしたあらゆる企業にとって、これが最も重要な部分です。提案は、AIコンパニオンが感情的な依存を生み出すおそれのある方法で人間関係を模倣してはならないと定めています。実務的には、これは異なるデフォルト動作につながります。会話はデフォルトではセッション間で記憶を引き継がず、13歳未満のアクセスは保護者による管理を通じてのみ行われます。

さらに、インターフェースとは無関係の義務も加わります。チャットボットはリリース前に子どもの安全に関するリスクのテストを受け、リリース後もモニタリングされなければなりません。レビュー可能な会話ログも、その挙動を測定する手段もないままAIアシスタントを運用している企業は、求められたときに何ひとつ証明できないことに気づくでしょう。

年齢保証は身分証の写真を集めることではない

最もよくある誤解は、年齢確認とはユーザーから身分証明書を集めることだというものです。それは自社のデータベースに対してできる最悪のことです。欧州委員会の条文は逆の方向を向いています。確認は、無料のEU年齢確認アプリや欧州デジタルIDウォレットなど、プラットフォームから独立した認証済みソリューションを通じて行われ、ゼロ知識証明の技術を使うため、プラットフォームはユーザーが誰か、どこにいるかを知ることなく、年齢しきい値について「はい」か「いいえ」の答えを受け取ります。

この設計は欧州以外でも大いに見習う価値があります。一般原則はこうです。必要な答えを受け取り、その答えを生み出すデータは受け取らない。判断が許可か拒否かであれば、必要なのはブール値ひとつです。生年月日と身分証番号を保持し、永遠にセキュリティ上の責任となるレコードではありません。

多くの人が見落とす運用上の細部があります。既存のアカウントです。提案は、ルールの施行から六か月以内に既存の未成年アカウントを無効化することを提供者に義務づけています。つまり作業は新しい登録画面だけにとどまらず、現在のユーザーベースと、それについて実際に把握していることにまで及びます。

かつては成長の知恵とされ、今は違反となるデザインパターン

提案の大部分はコンテンツについてではなく、セッションを引き延ばすために作られたインターフェースの仕組みに関するものです。未成年者に対する禁止リストには次のものが含まれます。

  • 本当の区切りのない、終わりのない自動再生と無限スクロール。
  • ユーザーを呼び戻すために設計された、ユーザーが実際に行ったこととは無関係な通知。
  • 大勢の閲覧者に向けた投稿への報酬。
  • 一日休んだユーザーにペナルティを与える連続記録の仕組み。
  • トラッキングに基づくレコメンドフィード、見知らぬ人からのメッセージ、デフォルトで公開のプロフィール。

ソーシャル以外のプロダクトにとっての教訓：同じパターンは、多くのロイヤルティアプリ、ストア、教育アプリの中にも存在しています。成長モデルの一部が毎日の連続記録と夜の通知に依存しているなら、そのモデルが規制の圧力の高まりにさらされていることを理解してください。それは欧州に限った話ではありません。

サウジアラビアの企業として、これはあなたに及ぶのか

明確な三つのケースで及びます。第一に、EU域内にユーザーがいる場合です。欧州のルールは企業の本社ではなくユーザーに従うため、両ストアでグローバルに公開されているサウジアラビアのゲームや教育アプリは該当します。第二に、欧州の事業体のサプライヤーである場合で、義務は契約と監査要件を通じてあなたに及びます。第三に、実務上最も影響が大きいものとして、二つのアプリストアがこうしたルールを公開条件に置き換えることです。欧州の規制として始まったものは、たいていApp StoreとGoogle Playの審査において全員に適用される条項になります。

国内では、サウジアラビアの個人データ保護法（PDPL）がすでに完全な法的能力を持たない人のデータを扱っており、そうした場合には後見人の同意を求め、データ最小化を義務づけています。違いは、欧州の提案がデータ保護のレイヤーの上にプロダクト設計のレイヤーを加えている点です。良いニュースは、一方に備えることがもう一方に備えることとほぼ同じだということです。

技術チームが今四半期にやるべきこと

今すぐ大規模なコンプライアンスプログラムは必要ありません。数週間に収まる四つのステップで十分です。

  • 年齢を把握する。そもそもあなたのシステムは、どのユーザーが未成年者である可能性があるかを知っていますか？ ほとんどのプロダクトはこれに答えられず、それが最初のギャップです。
  • コード上で未成年向け設定と成人向け設定を分ける。UI全体に散らばった条件ではなく、権限レイヤーで切り替え可能なフラグにしてください。
  • デフォルトを修正する。AIアシスタントはオフ、プロフィールは非公開、見知らぬ人からのメッセージなし、夜間通知なし。デフォルトを変えるほうが、後で機能を作り直すよりはるかに安上がりです。
  • テストを文書化する。チャットボットを運用しているなら、リリースごとに安全性テストの記録を残してください。その文書自体があなたの証拠になります。

Origamiで私たちが従っているルールはシンプルです。ユーザーの年齢を知らない設計はユーザーを守れず、あなたのことも守れません。上記のすべては、適切に構築されたプロダクトであれば作り直すことなく実装できます。

出典