AIツールが会議に参加する。会話を録音し、文字起こしを作成し、誰が話しているかを特定する。いまや、そのワークフローは日常的なものとなった。多くの組織が、ドキュメンテーション、コラボレーション、効率性の向上のためにこれに依存している。しかし、同じツールがイリノイ州の生体情報プライバシー法（BIPA）に基づく法的リスクを生み出しているのかどうかを、訴訟の増加が問い始めている。
問題の中心にあるのは、単純でありながら含意が複雑な問いである。AIシステムが音声に基づいて話者を特定する場合、それは生体識別子を作成したことになるのか。
新たな事実関係が浮上している
イリノイ州で最近提起された訴状が、この問いを鮮明にした。この訴訟では、AI会議アシスタントがバーチャル会議を録音し、参加者の音声を分析し、発言を個々の話者に帰属させたとされる。訴状によれば、同システムは、固有の音声特性に基づいて参加者を区別する「話者認識」機能を実行し、それらの話者に紐づく文字起こしを生成したという。
原告は、このプロセスにより、通知や書面による同意なしにボイスプリント（音声の特徴量に基づく識別データ）が作成・保存されたと主張した。さらに、会議参加者の一部はプラットフォームの利用者ではなく、提供者との直接の関係もなく、利用規約に同意したこともない点が、申し立てでは強調された。
この訴訟は早期の段階で任意に取り下げられ、裁判所は本案に踏み込まなかった。しかし、その基礎となる事実関係は示唆に富む。AIシステムが他者と区別するために人の音声を分析する場合、それは単に文字起こしを生成している以上のことを行っている可能性がある。すなわち、法がすでに規制している何かを作り出しているのかもしれない。
ここでBIPAが焦点となる。
BIPAが求めるもの
BIPAは、国内でも最も厳格な生体情報プライバシー法の1つであり続けている。
BIPAは生体情報を広く定義する。生体識別子に基づき個人の特定に用いられる限り、「どのように取得、変換、保存、共有されたかにかかわらず」あらゆる情報を含む。
この定義は、従来型の生体認証システムにとどまらない。多くのAI会議ツールは、従来の意味で生の識別子を保存しない。代わりに入力を処理し、個人間の差異を識別する出力を生成する。
BIPAの下で焦点となるのは処理方法ではない。システムが生体的特徴に依拠して人物を特定するなら、結果として得られる情報は依然として同法の適用範囲に入り得る。
生体識別子を収集する前に、民間事業者は次を行わなければならない。
- 生体データが収集または保存されることを書面で本人に通知する
- 収集の具体的目的と期間を開示する
- 書面による同意（リリース）を取得する
同法はまた、保持および破棄に関する方針を一般に公開することを求めている。
ボイスプリントは、BIPAにおける生体識別子の定義に明確に含まれる。音声特性に基づいて個人を特定または区別できるツールは、より広範なワークフローの背後で技術が動作している場合であっても、これらの要件を発動させ得る。
裁判所は重要な境界線を引いている
新たな訴訟が事実関係のパターンを広げる一方で、近時の判例は責任の限界を定義し始めている。
Salinas v. Arthur Schuman Midwest, LLCでは、イリノイ州の控訴裁判所が、生体認証による勤怠管理システムへの関与を理由に、人材派遣会社がBIPAの下で責任を負い得るかを検討した。同裁判所は、第15条（b）に基づく責任は、被告が実際に生体データを収集または取得したかどうかにかかっていると判断した。
人材派遣会社は、労働者をシステムに登録し、その利用方法を指導していた。しかし、生体データそのものを保有せず、アクセスもせず、管理もしていなかった。この区別が決定的だった。裁判所は、第15条（b）は生体情報の支配を得た事業体に適用され、他の事業体による収集を単に助長する行為にとどまる者には適用されないと結論づけた。
この解釈をAIの文脈に当てはめるのは、常に容易ではない。現代の多くのツールは、ベンダー、雇用主、プラットフォーム提供者など複数当事者にまたがって動作する。雇用主にとっては、問いはより直接的になる。実際にデータを管理しているのは誰か。
AIツールが分析を変えている
AI対応のワークフローは、BIPAが当初想定していなかった複数の複雑性を持ち込む。データ収集は受動的に行われる可能性があり、会議参加者は音声を収集または分析するツールと直接やり取りしない場合がある。同時に、機能とデータ処理の境界は曖昧になっている。文字起こし精度を高めるための機能が、話者を区別するための生体分析に依存することがあるからだ。責任も分散しており、雇用主がツールを有効化し、ベンダーが技術を提供し、第三者プラットフォームがやり取りの場をホストしている。
こうした力学は、実務でBIPAをどう適用するかを難しくする。ベンダーがツールを提供し、雇用主がそれを有効化し、プラットフォームがやり取りをホストする場合、誰が生体データを実際に収集しているのかの特定が不明確になる。同様に、機能を有効化することが収集に当たるのか、また参加者が直接の利用者ではない場合に同意をどのように取得すべきかの判断も難しくなる。
既存の判例は、支配とアクセスが引き続き分析の中核になることを示唆する。しかしAIシステムは、これらの概念が実務でどう適用されるのかを試している。
イリノイ州は採用におけるAI主導の分析をすでに規制している
イリノイ州法はすでに、データ収集と自動分析の区別を反映している。
イリノイ州AIビデオ面接法（AIVIA）は、ビデオ面接をAIで分析することの利用を規律する。録画された動画に基づいて候補者を評価するためにAIに依拠する雇用主は、通知を行い、同意を取得し、それらの録画の共有方法を制限しなければならない。
AIVIAは、BIPAと同じ形で生体識別子に焦点を当てているわけではない。代わりに、採用プロセスにおいてAIシステムが個人をどのように評価するかを規制している。
この違いは重要な点を浮かび上がらせる。法的リスクは、ツールが人工知能とラベル付けされているかどうかにはかかっていない。システムが何をしているかで決まる。
最近提出されたイリノイ州の訴状における主張は、音声に基づく識別に焦点を当てており、BIPAの下で疑義を生じさせる。類似のツールが録画面接の中で、表情、発話パターン、その他の特徴を分析しているのであれば、分析はAIVIAおよび関連する雇用法へと移る可能性がある。
雇用主にとっての示唆は明確である。同じ技術プラットフォームでも、設定と利用方法によって、異なる法的枠組みが関係し得る。
イリノイ州は生体情報を超えて焦点を拡大している
同時にイリノイ州は、従来の生体情報規制を超え、より広範なAI主導の意思決定の監督へと向かっている。
近時の立法動向は、自動化システムが結果にどう影響するかへの関心の高まりを反映している。例えば、イリノイ州人権法の改正は、郵便番号のような代理変数（プロキシー）をAIモデルで用いることに触れており、それらの代理変数が保護特性と相関し得る場合を対象としている。
この変化は、より広範な規制の方向性を示す。焦点は、どのデータが収集されるかに限定されなくなった。システムがそのデータをどのように用いるか、そしてその利用が差別的または不透明な結果を生み出すのかにまで及ぶ。
雇用主にとっては、これらの枠組みが重なり始める可能性がある。音声データの処理方法によりBIPAの下で疑義を生じさせるツールは、その出力が採用や雇用上の意思決定に用いられる場合、別個の考慮事項も生じさせ得る。
雇用主が注視すべきこと
雇用主にとっての当面のリスクは、新法の登場に限られない。既存の生体情報要件と進化するテクノロジーが交差する地点にある。
組織は、次のようなツールをより精査すべきである。
- 音声または映像データを録音または分析する
- 固有の特徴に基づいて個人を区別する
- 会議や面接のような共有環境で動作する
それらのツールが技術的にどのように機能するかを理解することは、ますます重要になっている。誰がデータを管理しているのか、そしてどこで同意が取得されるのかを特定することも同様である。
AIツールは、運用上の課題を解決するために導入されることが多い。しかし、これらの訴訟や法律が示すように、導入時点では見えにくい新たなコンプライアンス上の論点を持ち込むこともある。
法的枠組みはなお追いついている最中である。その間にも、BIPA、形成されつつある判例、そして拡大するAI規制が組み合わさることで、職場でなじみのあるツールでさえ改めて見直す価値がある状況が生まれている。
