マンガ原稿をクラウドに上げただけでGoogleアカウントBAN Gmailも道連れ……日本では合法なのになぜ？（1/2 ページ）

　誰にも見せるつもりのない原稿をクラウドに置いただけで、メールも含めたアカウントごと失う──「うわこい」「あきそら」といった青年向け漫画を手掛ける漫画家の糸杉柾宏氏は5月、昔描いた漫画のデータをGoogleドライブにアップロードしている途中で警告を受け、再審査請求も却下されてGoogleアカウントを停止されたという。経緯はXにも投稿し、当時話題になった。

　Googleドライブにアップロードしていたデータは日本では適法なものだったというが、なぜそうしたデータを保管しただけでアカウント停止処分になるのか。そして、同様の事態が懸念されるクリエイターはどう対策すべきか。表現の自由を啓発するNPO法人うぐいすリボンが9月13日に開いたオンライン講演会「漫画等のクラウド保存の規制問題の背景と展望」で、駿河台大学の八田真行教授（経営情報学）が解説した。

　そもそも、まずなぜ今回のような事態が起きたのか。原因はクラウド事業者が定める、児童の性的虐待素材（CSAM）規制と、それを基準にしたファイル検査にある。

　日本の児童買春・児童ポルノ禁止法は実在の児童を要件としており、漫画などの創作物は含まれない。イギリス、カナダ、オーストラリア、ニュージーランドは絵も規制対象にしているが、創作物を明確に対象に含める国は世界的には少数派という。米国も州ごとに基準が異なるものの同様だ。

　しかし、米系クラウド事業者の規制は各国の法規制より広い。Googleドライブのヘルプは、アカウント無効化の理由となる児童の性的虐待素材に「漫画を含む」と明記しており、実在の児童が写っているかどうかは基準になっていない。

　八田教授は「刑事法は国会が定め、裁判所が適用する。利用規約は企業が定め、企業が適用する」と対比した。日本の利用者が日本国内から日本の作品を保存しても、判定基準は米国企業のポリシー。日本の裁判所も省庁も関与しないため、糸杉氏のような事態につながるわけだ。

　その上で、事業者はクラウド上のファイルをスキャンしていると八田教授。多くのクラウドストレージは「暗号化」をうたっているが、その言葉に3つの意味がある。（1）通信路だけを暗号化する方式、（2）データの保管中も暗号化するが、鍵は事業者が持つ方式、（3）利用者だけが鍵を持つエンド・ツー・エンド暗号化（E2EE）──だ。

　このうち（1）と（2）ではスキャンが成立する。GoogleドライブやDropbox、OneDriveは事業者が鍵を管理しており、OneDriveの「個人用Vault」も鍵は運営元のMicrosoftが持つため、検査の対象から外れない。

　検査の中身は、画像の“指紋”の突き合わせだ。違法とされた画像から計算した「知覚ハッシュ」のリストを用意し、預かったファイルのハッシュと照合する。知覚ハッシュは画像を縮小したり圧縮し直したりしても同じ値になるよう作られており、既知の違法画像の変形を拾える。ただし（1）無害な画像に違法画像と同じハッシュ値を持たせる、（2）わずかな加工で検出を逃れる、（3）ハッシュから元画像に近づける──といった攻撃が、実際に動くコードとして学会で示されてもいる。

　スキャンの対象にならない──つまり利用者が鍵を持つE2EEのサービスは「MEGA」「Proton Drive」「Tresorit」といったサービスで、米AppleのiCloudも「高度なデータ保護」を有効にすればこれに相当する。ただしE2EEでも、ファイルのサイズや更新時刻、共有相手といったメタデータは事業者に見えている。

　また、E2EEにも迂回手段はある。八田教授が挙げたのが「クライアントサイド・スキャニング」で、データが暗号化される前に端末上で同じハッシュ照合を行い、一致した画像だけを事業者に送って人が確認する手法だ。暗号化通信そのものを“壊す”わけではないため「E2EEは守られている」ともいえるが、検査の場所が事業者のサーバーから利用者の端末に移っただけだ。Appleは2021年、この方式によるCSAM検出を発表したが、批判を受けて22年に中止した。

　さらに八田教授は、サービス事業者が広告などで示す「暗号化」は3つの方式が区別されておらず、ユーザー側で実態が見えにくい問題点があるとも指摘する。

　自動判定の精度も問題だ。八田教授はAmazonが公表した数字を「違った文脈だが参考になるデータ」と断った上で紹介した。Amazonは2025年、自社の基盤モデルの学習前に公開ウェブ上の画像や動画を走査し、約112万件を疑わしい素材として通報したが、人手で確認すると99.6％が誤検知だった。利用者のファイルを検査した数字ではないものの、同種の分類を大規模に実行したときに起こる誤りの参考になるという。

　大規模な検査を事業者に促しているのは米国法だ。米国法はCSAMを知ったプロバイダーに通報を義務付けているが、探すことまでは命じていない。それでも「知っていたのに放置した」と責められるリスクを避けるため、各社は自主的に探す。児童保護という目的には誰も反対できないため、手段が実際に子どもを守ったかの検証は後回しになるという。

　同様の事態は海外でも起きている。八田教授が挙げたのは、2021年に米国で幼い息子の患部の写真を小児科医に送った父親の例だ。写真はGoogleフォトに自動でバックアップされ、AIが児童の性的虐待素材（CSAM）と判定した。米New York Timesが2022年に報じたところによると、2日後に父親のGoogleアカウントは停止され、警察に通報された。警察は事件性なしと結論したが、Googleはアカウントを復旧せず、父親は電話番号も失った。

　糸杉氏の漫画も、この父親の写真も、一般に広く公開したものではない。自分のために保管していただけのファイルを、Googleが自社の規約に照らして判定し、令状も裁判所も経ずにアカウント全体を止めた。八田教授は、ドライブだけでなくメールや二段階認証まで一度に失われたこと、何がどう違反したのか本人に説明されないことが両者に共通点と指摘する。

　では、同様の事態を防ぐために、ユーザーは何ができるのか。八田教授が挙げた選択肢は3つ。（1）既存のクラウドをそのまま使い、いつ消えてもいいものだけを置く、（2）既存のクラウドに、手元で暗号化してから預ける、（3）サーバを自分で用意し、自分のクラウドを動かす──だ。

　例えば（2）なら、サーバを立てる必要はない。暗号化ソフトも、既存のクラウドの中に暗号化された領域を作る「Cryptomator」、ほぼどのクラウドでも暗号化して使える「rclone」、サーバを置かずに機械同士を直接同期する「Syncthing」などがあり、いずれもオープンソースだ。ただし共有リンクの発行やブラウザからの編集は使えなくなる。

　八田教授自身は（3）を採用している。同氏が使っているのはオープンソースのファイル同期・共有ソフトウェア「Nextcloud」だ。自分が用意したサーバに入れると、端末との自動同期や共有リンクの発行、スマートフォンからの写真の自動バックアップまでGoogleドライブとほぼ同じことができるという。サーバの管理者が自分なので、規約違反を判定して停止する第三者がそもそも存在しない。

　置き場所は自宅のNASでも、借りたVPSでもよく、家庭用NAS製品には最初からNextcloudが入っているものもある。借りたサーバに置く場合はサーバ側の暗号化を有効にする。鍵を持つのは自分のサーバなので、レンタル事業者には暗号文しか見えない。八田教授はVPSを年1万円ほどで借りていると明かした。

　ただし手間もかかる。八田教授の場合、初期設定に半日から数日かかり、その後も更新作業が必要になっているという。自宅サーバは停電や回線障害で止まり、インターネットに出すサーバは自分で守る責任を負う。更新を怠れば大手に預けるより危険で、鍵を失えば復旧してくれる相手はいない。漫画家であれば、技術に詳しい人に頼んで設置してもらうのが現実的だと八田教授は述べた。

　講演に参加した漫画研究者からは、自分でサーバを立てるのは考えられないので、公開するつもりのないものはクラウドに上げず、PCと外付けHDDだけでデータを持つ案も出た。八田教授は、PCと外付けHDDを定期的に同期する道具はrcloneなどいくらでもあると答えた上で、アシスタントと共有するには不便だと私見を述べた。外付けHDDで足りる人はそれで良いとしつつ、共有が必要なときにHDDを家に置き忘れた経験から、現在の手法を採用しているという。

　うぐいすリボンによれば、糸杉氏本人はアカウント停止後、スイスのサービスを使うことで再発防止を試みているという。八田教授は講演の最後、糸杉氏の一件も踏まえつつ、いわゆる「デジタル主権」の議論がデータの置き場所に偏っていると指摘し。鍵を誰が持つかという「暗号的主権」と、誰が違反と判定し誰が救済するかという「モデレーション主権」についても議論が必要と唱えた。