フォーラムで質問すると、自信たっぷりの答えが二つ返ってきます。「当然、全部売っている」と「そんなことをしたら違法だ」です。どちらも間違っていて、その二つのあいだにこそ、役に立つ情報があります。
「売る」には三つの違う意味がある
チャットの内容を売る。 会話ログを金銭と引き換えに第三者へ渡すことは、まれで、多くの市場で法的リスクが高く、流出した日に見出しになる話です。運営側は強く否定しており、主流のコンパニオンアプリがそうしている公的な証拠はありません。
利用データを広告主と共有する。 よくあるのはこちらです。アプリやウェブサイトに組み込まれた広告・分析用のコード(ソフトウェア開発キット、略して「SDK」)が、あなたが何を、いつ、どの端末でしているかを報告します。米国カリフォルニア州の法律では、行動ターゲティング広告のために個人情報を他者へ渡すことは「共有」にあたり、価値のあるものと引き換えに渡せば「販売」にあたりえます。つまりアプリは、会話は売っていないと正直に言いながら、法的な意味ではあなたを売っていることがありえます。
サービス提供者へデータを渡す。 サーバーを運用する会社、返信を生成するモデルの提供元、カードに請求する決済事業者です。これらの受け渡しは製品が動くために必要で、販売ではありませんが、あなたのデータのコピーが他人のシステムに置かれることに変わりはありません。
見落とされがちな第四の経路があります。持ち主の交代です。ほぼすべてのポリシーに、事業が売却されたらデータは買い手に移ると書かれています。コンパニオンアプリのSoulmateは、2023年に終了する直前に持ち主が変わりました。詳しくはAIコンパニオンが突然変わるときをご覧ください。
唯一の体系的な調査で分かったこと
2024年2月、Mozilla Foundationは「Privacy Not Included」ガイドのために、Replika、Chai、EVA AIを含む11の恋愛系AIチャットボットを調べました。合計でGoogle Playでの推定ダウンロード数は1億件です。11件すべてが、Mozillaのプライバシー警告ラベルを受けました。
2024年2月にMozillaが調査した11アプリのうち、各項目に当てはまった割合。出典: Mozilla Foundation、Privacy Not Included。
最も衝撃的だったのはトラッカーの数です。Mozillaは、使い始めの最初の1分間で、アプリ全体の平均2,663個のトラッカーを数えました。この平均を大きく押し上げたのはRomantic AIの1本で、1分間に24,354個を作動させました。次に多かったEVA AIは955個でした。
結論を出す前に、二つの断り書きがあります。これは2024年初めの断面にすぎず、ポリシーは変わります。また、今このカテゴリを占めるアプリのいくつかは調査対象に入っていません。この調査の価値は、個々のアプリへの判定よりも、このカテゴリの初期設定が何を示しているかにあります。
プライバシーポリシーから答えを読み取る
全文を読む必要はありません。いくつかの語句で検索し、その前後の段落を読んでください。
| ポリシーにこう書いてある | たいてい意味すること | 気にするべきか |
|---|---|---|
| 「個人情報を販売しません」 | 狭い意味での販売はない。「共有」は別に確認 | 「共有」も出てくる場合のみ |
| 「広告パートナー」「ターゲティング広告」 | トラッカーが利用状況から広告用プロファイルを作る | はい。可能ならオプトアウト |
| 「関連会社」 | 同じ持ち主の下の他社。ときに多数のアプリ | 持ち主しだい |
| 「サービス改善のため」「学習」 | 会話がモデルの学習に使われる可能性 | はい。オプトアウトを探す |
| 「合併、買収、資産の売却」 | 会社が売られれば買い手にデータが渡る | 標準的だが、覚えておく |
| 「開示が必要と判断した場合」 | 裁判所の命令なしに当局へ開示 | もっと限定した書き方がなければ、はい |
フッターにある「Do Not Sell or Share My Personal Information」や「Your Privacy Choices」というリンクは、それ自体が手がかりになります。これは米国カリフォルニア州の法律に基づく表示で、個人情報を販売・共有する事業者に求められるものです。つまり、あるということは何らかの共有があるという自白であり、同時に、それを止めるボタンでもあります。
今夜できる5分のチェック
- ポリシーを検索する。 sell、share、advertis、train、affiliate、日本語版なら「販売」「第三者」「広告」「学習」「提携」。5回の検索で、5つの段落が出てきます。
- ストアの表示を見る。 AppleのApp Privacy(データのトラッキング)の表示と、Google Playの「データセーフティ」は、開発者が自分で記入するものなので、監査ではなく申告です。それでも、そこでトラッキングを認めているアプリが、実際にはましだということはありません。
- ブラウザのトラッキング対策を有効にする。 ウェブ版を使うなら、ブラウザのプライバシー設定でクロスサイトトラッキングの防止をオンにします。Global Privacy Controlに対応したブラウザや拡張機能もありますが、日本の事業者に対応を義務づけるものとして確認した資料はありません。
- トラッキングの確認ダイアログは拒否する。 iPhoneでは拒否し、Androidでは広告IDをリセットします。
- アプリが広告を表示するか確かめる。 表示するなら、あなたの注意とデータが、運営費の一部になっています。詳しくはAIコンパニオンアプリの収益の仕組みをご覧ください。
法律が助けてくれる範囲と、その限界
日本では、個人情報保護法に基づき、事業者が持つあなたの保有個人データについて、開示、訂正、利用停止・消去を請求できます。事業者は遅滞なく対応する必要があり、断る場合は理由を示すことになっています。請求の手順はデータ開示請求のガイドにまとめています。事業者の個人データの扱いについて困ったときは、規制当局の個人情報保護委員会の個人情報保護法相談ダイヤル(03-6457-9849、平日9:30から17:30、日本語のみ)に相談できます。EUと英国ではGDPRがさらに多くの権利を与え、規制当局も実際に使っています。イタリアの当局は2025年、Replikaの運営会社に500万ユーロの制裁金を科しました。理由の一つは、ユーザーのデータをどう扱っているかを説明していないプライバシーポリシーでした。
日本のAIコンパニオンをめぐる法律の全体像は日本のAIコンパニオン関連法で扱っています。海外のアプリには、こうした権利を行使しにくい場面もありえます。
正直な答え
ほとんどのコンパニオンアプリは、あなたの会話を売っていません。多くは、広告・分析の会社があなたの使い方を観察することを許していて、ほぼすべてが、現在していることより多くのことをする権利を手元に残しています。慎重なアプリと無頓着なアプリの違いは、ポリシーと設定に表れ、見つけるのに5分しかかかりません。他人のデータベースに残したくないことを入力する前の5分は、よい投資です。残りは、当サイトの4つのプライバシー確認でカバーしています。