米連邦取引委員会（FTC）はこの1年、データブローカー業界に対する実効性のある執行実績を積み上げてきた。かつて同委員会は事後的な罰金による和解にとどまっていたが、いまはデータブローカーが収集・販売できるデータの境界線を引き直す、先手を打った措置へと軸足を移している。
FTCによるGravy Analyticsとその子会社Venntelへの措置は、その戦術転換を示している。同委員会は、医療施設、宗教施設、家庭内暴力シェルターへの個人の訪問を追跡できるほど精密な位置情報データの収集・販売を同社に禁じた。これは前例のない取り締まりである。Mobilewallaに対する別の措置では、リアルタイム広告入札取引所から消費者データを収集することを、同委員会として初めて禁止した。2月には、データブローカーに対し、外国敵対者から米国人のデータを保護する法律に基づく義務を正式に再通知した。
規制当局は、消費者がすでに痛感している問題に追いつきつつある。消費者の過半数は現在、自分の個人データを扱う相手として、他の人間よりもAIを信頼していない。1年前の48%から上昇しており、Usercentricsの「State of Digital Trust 2026」レポートにおいて、前年比で最大の変化となった。KPMGによる別のグローバル調査では、47カ国の4万8000人超を対象に調べたところ、66%がすでにAIを日常的に使っている一方で、実際にAIを信頼する意思がある人は46%にとどまった。また、70%がAIには現状よりも強い規制が必要だと回答している。
信頼は取り戻さなければならないという前提に立つビジネス
デル・アンドゥハル（Del Andujar）氏は、信頼の問題はAI企業が広報で言い抜けられる課題ではないという見立てに賭け、TrueData Solutionsを創業した。「AI経済はデータの上に成り立っているが、最終的に勝つ企業は、最も多くの情報を集める企業ではない。顧客から最も信頼される企業だ」とアンドゥハル氏はインタビューで語る。
TrueDataは、データブローカーからのオプトアウトを支援する中核ツールを無料で提供している。これは、ほとんどのプライバシー関連サービスやデータ削除サービスが採用する標準的なサブスクリプションモデルに逆行する構造的な選択である。このサブスクリプションモデルには構造的な理由がある。カテゴリー別の価格比較によれば、ほとんどのデータ削除サービスは年39〜199ドル（約3万円）で、中価格帯のプランは年77〜130ドル（約2万円）前後に収まる。継続課金は恣意的なものではない。ブローカーは削除から最短90日後には公的記録から情報を再収集することが認められているため、ほとんどのサービスは60〜90日ごとに再スキャンし、削除要求を再提出する。削除は一度限りの出来事ではない。だからこそ、持続的なサブスクリプション事業になり得るのである。
「すべてのAI企業が自問すべき最も大きな問いの1つは、自社のビジネスモデルが顧客の最善の利益と一致しているかどうかだ」とアンドゥハル氏は言う。「プライバシー問題を解決することで継続収益が減るなら、そこには精査に値する本質的な緊張関係がある」。中核製品を無料にすれば、当然ながら次の問いが生じる。同社はどのように事業を維持するのか。TrueDataは自己資金で運営されており、ベンチャー投資を受けたプライバシー関連スタートアップに求められる予測可能な継続収益を迫る外部投資家はいない。これにより、サブスクリプションへ向かう構造的圧力の1つは取り除かれている。ただし、それだけでは、無償提供されるツールの背後にあるエンジニアリング費用を何が賄っているのかの説明にはならない。
FTCの最近の執行実績に照らせば、この緊張関係は抽象的な話ではない。同委員会が措置を講じた複数の企業は、TrueDataがそもそも消費者にブローカーデータベースから削除させようとしている位置情報や行動データと同じものを基盤に、事業モデル全体を築いていた。
中小企業は、より少ない保護策でより多くの顧客データを集めている
中小企業は、AIの利用ルールを整備するよりも速くAIを導入してきた。そのギャップは、顧客データの扱われ方に直接影響する。AIチャットボット、メールツール、スケジュール管理アシスタントを使う中小企業は、顧客の氏名、連絡先、購入履歴をサードパーティーのAIシステムに入力することが多いが、そのデータがその後どこへ行くのかを正式に確認していない場合が少なくない。そうしたAIツールの背後にいるベンダーは、FTCがこの1年訴追してきたデータブローカーに似た存在である可能性がある。
KPMGの調査では、大多数の人がAIにはより強い規制が必要だと考えていることが明らかになった。これは、現在の緩やかな規制環境が永続すると見込む中小企業への警告である。その規制はすでに到来しており、標的は明確にブローカーへ向けられている。カリフォルニア州のDelete Act（削除法）は、データブローカーに対し、1月31日までに同州のプライバシー保護局へ登録することを義務づけた。8月1日時点で、登録ブローカーは同州の削除要求・オプトアウトプラットフォームを少なくとも45日に1回確認し、削除要求を受け取ってから45日以内に応じなければならない。同局のシステム要件によるものだ。カリフォルニア州はこの執行のため、データブローカー対策部隊も立ち上げている。登録義務の基準は、企業が直接の関係を持たない消費者についての個人情報を販売しているかどうかにかかっている。ほとんどの中小企業はこの線の外側にいる。だが、彼らが顧客データを渡しているベンダーの多くはそうではない。
アンドゥハル氏は、ベンダー側からも同じパターンを見ている。「プライバシーはもはや、単なるサイバーセキュリティの問題ではない。ビジネス戦略になりつつある」と彼は言う。「プライバシーを機能の1つとして扱う企業は、常に差別化に苦労するだろう」
顧客が実際に期待しているのは「すべてのリスク排除」よりも狭い
KPMGのグローバル調査では、54%がAIシステムを信頼することに警戒感を抱いていることがわかった。またUsercentricsのデータでは、消費者の52%がAIの透明性に対してより多く支払うと答えている。
顧客はリスクゼロを期待しているわけではない。存在するリスクについて正直であることを期待している。その期待に基づく行動はすでに、収益に届く形で表れている。Usercentricsのレポートによると、過去6カ月間に、企業がAIで自分のデータをどう使ったかを理由に、消費者のほぼ半数にあたる47%が少なくとも1つの行動を取った。同レポートはSapio Researchが7市場の消費者1万1000人を対象に実施したものだ。そうした行動の内訳は、24%がサブスクリプションを解約し、20%が競合他社へ乗り換え、20%が支出を減らした。透明性に対してより多く支払う意思のある消費者は、平均7%のプレミアムを支払っている。100万人の顧客を抱える企業にとって、それは感情スコアではなく、購買判断における6桁規模の変動として測られるものだ。
「消費者は、企業が一夜にしてすべてのプライバシーリスクをなくすことを必ずしも期待していない。だが透明性、誠実さ、そして自分自身の情報に対する意味のあるコントロールを期待している」とアンドゥハル氏は言う。
中小企業がいま実際に確認できること
まず、顧客データに触れるすべてのAIツールを棚卸しすることから始めるべきだ。チャットボットのようなわかりやすいものだけではない。スケジュール管理ツール、メールマーケティングプラットフォーム、過去1年でひそかにAI機能を追加したCRM（顧客関係管理）アドオンにも目を向ける必要がある。
それぞれについて、顧客データがベンダーのモデルの訓練に使われているか、その利用がオプトアウト方式なのか、オプトイン方式なのか、あるいはまったく開示されていないのかを確認する。その問いに直接答えられないベンダーは、それ自体が1つの答えである。FTCの最近の執行措置は、規制当局が今や「明確に開示していなかった」ことを実質的な違反として扱う意思があることを示している。
次に、顧客が情報を渡す前に実際に見つけられる場所に、平易な言葉で書かれたデータに関する説明を置くべきだ。弁護士向けに書かれたプライバシーポリシーの中に埋もれさせてはならない。これに法的な文言やコンプライアンス部門は必要ない。顧客が理解できる一文で、自分の情報に何が起こり、他に誰がアクセスできるのかを伝えるだけでよい。
最後に、同じ監査の一環として、データブローカーへの露出も考慮すべきだ。中小企業のシステム群に触れるあらゆるAIツールは今や、顧客データや事業データが、FTCが今年訴追してきたようなブローカーによって集約され、再販売される新たな経路になり得る。ほとんどの中小企業経営者は、自分自身の情報がそうした場所に掲載されているかどうかさえ確認したことがない。まして顧客の情報についてはなおさらだ。
「AIの未来は、単により賢いアルゴリズムを構築することではない」とアンドゥハル氏は言う。「そもそも人々のデータにアクセスするに値する組織を構築することなのだ」
