ある日突然｢サービス遮断｣､クラウドの落とし穴

2024年7月23日 8時0分

東洋経済オンライン

みんなの感想は？

日々の仕事やプライベートでも、当たり前に使われているクラウドサービス。しかしサービス運用にAIが積極活用されている近年、ある日思わぬアクシデントに遭遇する可能性もある（写真：Gettyimages）

“クラウド活用”という言葉が、仕事術の1つとして注目されたのは昔の話だ。今や誰もが、まるで水道の蛇口をひねるようにクラウド上のサービスを情報の泉として活用している。

しかし、あまりに当たり前であるがゆえにそのサービスに依存しすぎていると、思わぬ落とし穴にはまってしまう。とくにサービス運用にAIが積極活用されている近年、一度落とし穴にはまると、なかなか抜け出すことができない厄介な事態となりかねない。

今回取り上げる事例は、身近な人物に起きた、身近なクラウドストレージサービスにおけるアクシデントだ。サービスを提供するプラットフォーマーの幹部に直接訴えたうえでも、解決までに実に2カ月もの時間を要した。

細かくこのケースを追っていくと、問題の“根っこ”と言えるテーマがいくつか浮かび上がってきた。その背景にあるリスクはさまざまなクラウド型サービスに内在しているもので、同様のアクシデントはいつ誰にでも降りかかる可能性があるのだ。

突然遮断されたファイルへのアクセス

今年1月30日のこと。筆者は知人である大学教授から、助けを求めるメッセージを受け取った。教授はテクノロジ業界にも造詣が深い人物だ。

教授は10年以上、仕事で扱うデータを複数のコンピュータから利用できるよう、アメリカ系のクラウドストレージサービスで管理してきた。ごく一般的なクラウドストレージのユースケースと言えるだろう。なお、この教授はクラウドサービスをあくまで個人的に利用していたのであって、大学のシステム部門とは直接関係ない。そのため大学名などを伏せることをご容赦いただきたい。

ところが1月28日に突然このクラウドサービスが同期しなくなり、いっさいのデータにアクセスできなくなったという。授業に使う資料やプレゼンデータ、学生の提出物、蓄積していた重要な動画や写真などにもアクセスできなくなった。

端末内に同期してあるローカルストレージのファイルにもアクセスできない。再ログインを試みてもパスワードを拒否され、「このアカウントは非アクティブとしてマークされています」と表示されるのみ。アカウント乗っ取りではないかと疑いつつ、パスワードの再設定を試すも、その要求も拒否された。

業務に支障が出始める中、2日にわたってサービス事業者のサポートチームに何度も連絡を取ってみるものの、返信がなかったという。

途方に暮れた教授が筆者に連絡したのは、筆者がこのクラウドサービスの日本法人とつながりがあることを知っていたからだ。一縷の望みを託して“直接話せば、何かがわかるかもしれない”と考えたわけだ。すぐに筆者は幹部に連絡を取り、問題解決へ向けての快諾をもらった。

しかしそこから問題解決に至るまでには、2カ月という長い道のりが残っていた。

判明したアカウント停止の理由

最初にわかったのは、日本における個人向けサービスはアメリカ本社が担っており、日本法人は関わっていないということだった。日本法人は企業向けの事業開発、営業、サポートに特化しており、個人向けグローバルサービスは本社が一括している。クラウドを通じた個人向けのグローバルサービスでは一般的な体制と言える。

そこで本社のサポート部門に確認してもらったところ、教授の問い合わせに対してサポート部門からすぐに返信がなかった理由が判明した。教授のアカウントに同社の倫理規定に抵触するコンテンツが含まれていたことが、アカウント停止の原因だったからだ。

単なる倫理規定違反ならば、まだ交渉の余地はあったかもしれない。しかし抵触していたのは、「CSAM（Child Sexual Abuse Material：児童性的虐待コンテンツ）」と呼ばれる未成年を扱った露骨な性的コンテンツだった。

アメリカではCSAMに該当する写真、動画、コンピュータ生成による画像などのあらゆる映像描写に対する流通防止の義務があり、これは通信事業者においても同じだ。

通信品位法の下、送受信されるコンテンツ内容に関して通信プロバイダの責任が免除されることは広く知られているが、そこには例外的な事例もある。通信プロバイダはCSAMの拡散を防止するため、児童ポルノの流通防止措置を講じることを義務付けられている。

この法律に対応するため、アップルはiCloudに預けられた写真にCSAMが存在しないかをスキャンする機能を開発して話題となった。グーグルは同社のストレージやGmailなどで扱う写真が不適切と判断した場合、予告なくアカウントを凍結することがある。CSAMをサーバーにアップロードしたと判断した場合、無条件でアカウントを凍結するのは、アメリカに拠点を置くすべてのプラットフォームに共通したものと想定すべきだろう。

サポート部門からの応答がなかったのは、明らかにCSAMに違反するコンテンツを取り扱っていたからにほかならなかった。

では教授がCSAMコンテンツを収集、あるいは製作していたのかと言えばそうではない。問題となったのは、彼が大学で関わっていた研究資料の中に含まれていた、半世紀以上前に撮影された日本映画作品だった。

この映像は子どもたちによる大人社会への反乱をスキャンダラスな表現で描いたもので、子どもが無邪気に動物虐待や人種差別、レイプなどを含む強い性的表現を演じるシーンがある。過激表現を含む芸術作品として知られているが、現代的には極めて不適切な表現が多く、CSAMと判断されることは想像に難くない。

コンテンツ内容はAIが日常的に審査

通信内容や保存された文書を監視することはプライバシー保護の観点から適切ではないが、ご存じの通り昨今は属人的な監視を行わずとも、AIによってコンテンツの内容を判別可能だ。現在ではクラウドサービス事業者を含めた多くのプラットフォーマーが、AIを活用したコンテンツ内容のチェックを日常的に行っている。前述したように、CSAMにおいては通信品位法による免責を受けられない可能性もあるためだ。

実際にアメリカでは、ドクターにリモート診断を依頼するため、上半身をはだけた自分の子どもの写真をGmailで送ったところ、CSAMに該当するとAIが誤審してアカウント停止となった事例などが報道されている。

この教授のケースにおいても、AIによる審査で前述の映像がCSAMに該当すると判別され、アカウント停止となったことは間違いないだろう。

むろん、ユーザーはそれがCSAMではないと申し立てることもできるが、日本語の“過激芸術作品”への理解をアメリカ本社の法務部門に求めるハードルは高い。このことが、今回のケースでは復旧の遅れへとつながったことは否定できない。

実は、CSAMが含まれていたことが問題だと知らされるまでにも、かなりの時間を要した。

本件はシステム上の誤動作ではなく運用ポリシーや法律に関わる問題であることが明らかだったため、ガバナンスの観点から筆者がコンタクトしていた幹部は主体的に関わることができなくなった。本当に教授に問題がないのか、判断へのバイアスを極力排除する必要があるからだ。

CSAMに該当するのであれば、ユーザーの主張をそのまま鵜呑みにできないプラットフォーマー側の事情もある。あの手この手で、自分の責任ではないと主張を繰り返す可能性もある。最終的に、「CSAMに該当する」との連絡があったのは2月下旬のことだった。

教授に課せられた厳しい“復旧条件”

教授には2月28日に、一定の条件の下でアカウント復旧の可能性が示されたが、その条件は以下の通り厳しいものだった。

・アカウントで使われているメールアドレスの所有者であること
・教授自身の職業、役職、職務内容の詳細、および職務上児童の性的虐待資料（CSAM）に接する可能性があった経緯についての簡潔な説明
・CSAMがアップロードされたと考えられる経緯
・サービスの利用規約で、CSAMやその他の違法コンテンツの保存が禁止されていると理解していること
・今後、同様の資料を保存しないようにする明確な措置について言及すること

これらを文書にしたうえで、宣誓供述書（行政書士による書類作成と公証人による認証を受けたもの）を用意して送信することが求められた。

サービス事業者側の立場に立てば、連邦法を守ることが極めて重要であることは理解できる。法的なリスクを排除するには、こうした条件を出すほかなかったのだろう。

これらの条件をすべて満たしたうえで、アカウントの復元が行われたのは3月13日、その後、いくつかの端末に残っていたCSAM該当ファイルが自動同期され、アカウント再凍結などに至るトラブルもあり、完全復旧できたのは3月17日だった。

今回のケースでは、教授が教育機関で過激芸術作品を取り扱う立場であることが当初より明らかであったため、復旧対応も可能だったと言える。ただ一般論で言えば、アメリカを拠点とするクラウドサービス事業者は、個別の判断でアカウント復旧を行うことが難しいと推察される。

アカウントを復旧させることでCSAMに該当するコンテンツが再びアップロードされ、第三者に共有されるリスクもゼロではない。どのコンテンツが正しく研究・教育目的であるかを事業者が客観的に判断できない限り、安易にアカウント復旧させることで連邦法に違反した状況を作ってしまうことにもなりかねない。

対応に時間を要した理由は明らかでないが、保管されていた（明らかにCSAMである）動画の確認というよりも、CSAMの撲滅が強くインターネット事業者に求められているアメリカ社会において、リスクを残すことなく対処するための条件を、法律家とともに検討して対応手順を慎重に決めていたためではないだろうか。

“予見できるリスク”だったのか

一連の経緯に関し、この教授が知らなかったとはいえ、CSAMに該当するファイルをアップロードしていたことが問題という指摘もあるかもしれない。しかし、筆者は今回の件を“当然予見できるリスク”だったとは思わない。

居住地域での慣習に慣れたユーザーが、社会通念上、問題視されない範囲で動画資料を保管していたことで、いっさいの通告なしにサービスが停止される。そしてサポートチームへの問い合わせにもなかなか応じない。これはいくらCSAM撲滅が叫ばれている業界事情があるとはいえ、行き過ぎではないか。

また、英語で宣誓供述書を作らせ、公証人等による認証を得ろという指示も、致し方ない事情はあったにせよ、必ずしも適切とは思えない。アメリカの会社とはいえ、営業区域は日本であり、日本の法律や慣習に基づく対応が本来は求められるべきではないだろうか。

アカウント復旧に当たっての要求は、ユーザーのプライバシーに踏み込むものでもあった。職務上CSAMを取り扱うことになった詳細な経緯の説明を求めることは必要なことだったのだろうが、本来守られるべき通信内容のプライバシーはもちろん、利用者の職務や組織内での立場なども証明せねばならないなど、一般ユーザーへの要求としては過度な負担ではないだろうか。

とはいえ、クラウドサービス事業者側を批判するのも的外れだ。アメリカだけでなく、ヨーロッパにおいてもCSAM拡散を防止するネット事業者向けの規制検討が進められている。アメリカでは、規制をさらに強化してプラットフォーマーにより大きな責任を持たせようという動きもある。

“お役所仕事”という言葉がある。ルール通りに粛々と業務を執行するだけで、個別事案における事情に関して判断を行わないことを意味するならば、AIによるコンテンツのスクリーニングは“お役所仕事”の典型例とも言える。

お役所仕事を打破するには、どこかで判断を行う責任あるポジションが必要となる。同様の指摘はプラットフォーマーにも可能だろう。

プラットフォーマーが属人的なコンテンツの判断を避ける傾向が強いのは、“判断すること”に責任が伴うからにほかならない。これはFacebookなどの掲載広告、Amazonのマーケットプレイス出品などの審査にも共通する課題だ。