Zoomは、AIモデルのトレーニングに顧客データを使用することをめぐって法的な問題に巻き込まれている

テッククランチイベント

これまでePrivacyは従来の通信サービスに焦点を当てていましたが、2020年末に欧州電子通信法（EECC）により法改正が行われ、Zoomなどのいわゆるオーバー・ザ・トップ（OTT）サービスにも守秘義務が拡大されました。そのため、指令第5条（「当該ユーザーの同意を得ることなく、ユーザー以外の者が通信および関連するトラフィックデータを盗聴、盗聴、保存、その他の方法で傍受または監視すること」を禁止）は、本件において非常に重要な意味を持つと考えられます。

同意の主張

少し話を戻すと、Zoomは利用規約をめぐる論争の高まりを受けてアップデートを発表した。そのアップデートには、上のスクリーンショットで太字で示されている同意に関する注記も含まれている。また、付随するブログ投稿では、「お客様の同意なしに、音声、動画、チャットの顧客コンテンツを人工知能モデルのトレーニングに使用しないことを確認するものです」と主張している。

同社のブログ記事は、いつもの支離滅裂な社交辞令で書かれており、透明性への取り組みを謳い文句にしているものの、データ利用に関する顧客の懸念には明確に対応していない。危機対応の広報活動は、自己中心的な余談や製品用語が散りばめられており、見通しがぼやけてしまうほどだ。結果として、一般読者は何が起こっているのか分からず頭を悩ませるほど、内容が曖昧な記事となってしまった。これは、明らかに矛盾した発言によって反発を招いている状況で、「自滅する」行為と言えるだろう。また、企業が何かを隠しているという印象を与えかねない。

TechCrunchがEU法の文脈におけるAI用データ処理についてZoomに質問したときも、Zoomは明確な回答をしなかった。地域ユーザーのデータでAIモデルをトレーニングするための処理に依拠している法的根拠についての質問に対して明確な回答を得られなかった。また、当初は、自動化された会議要約ツールなど、Zoomが提供する生成AI機能へのアクセスが、データがAIトレーニングの材料として使用されることに同意するかどうかに依存しているかどうかさえ確認しなかった。

この時点で、同社の広報担当者は次のように繰り返した。「更新されたブログと利用規約で明確にされている通り、当社は利用規約（セクション10.4）をさらに更新し、音声、動画、チャットの顧客コンテンツを顧客の同意なしに人工知能モデルのトレーニングに使用しないことを明確化/確認しました。」[強調は筆者]

Zoom の最高製品責任者であるスミタ・ハシム氏によるブログ記事では、同社がどのように「同意」を収集しているかについて、いくつかの例を挙げて説明している。アカウント所有者や管理者に表示される可能性のある一連のメニューや、前述の (AI を利用した) 会議概要機能が管理者によって有効にされたときに会議参加者に表示されるポップアップなどが紹介されている。

最初のグループ（管理者／アカウント所有者）の場合、Hashim氏の投稿では文字通り「同意を提供する」と述べられています。この文言と、次のセクション（管理者が有効にした／同意した内容について会議参加者が「通知」を受け取る）に記載されている内容を合わせると、Zoomは同意を得るプロセスを、グループを代表して管理者に委任できるものとして扱っているように思われます。つまり、残りのグループ（つまり会議参加者）は、管理者がAIによる会議概要の有効化と、入力内容に基づいてAIをトレーニングする許可を与えるという決定について「通知」を受け取るだけなのです。

しかし、EUにおける同意に関する法律は（仮にそれがZoomがこの処理の法的根拠であるとすれば）、そのようには機能しません。GDPRでは、個人データ処理の法的根拠として同意を主張しているかどうかを、個人ごとに確認することが義務付けられています。

上で述べたように、ePrivacy では、ユーザーが傍受に同意しない限り (または監視に国家安全保障上の理由がある場合を除き) 電子通信を機密に保つことが明示的に要求されています (ただし、Zoom のトレーニング生成 AI 機能はそれに該当しそうにありません)。

Zoomのブログ記事に戻ります。記事では、会議参加者に表示されるポップアップを「通知」または「お知らせ」と呼んでおり、Zoomは簡潔な説明として「ZoomのAI生成サービスが使用されている場合は、お客様と会議参加者にお知らせします。会議中の通知の提供方法の例（下図）は、こちらです。」と述べています。

しかし、AIのためのデータ利用をめぐる論争への回答において、Zoomは顧客の同意なしにAIの学習のために顧客のコンテンツを処理していないと繰り返し主張しています。では、このポップアップは、AIを活用した機能が有効になったという単なる「通知」なのでしょうか、それともZoomがデータ共有について顧客から同意を得ていると主張する、真摯な問い合わせなのでしょうか？率直に言って、その説明は全く明確ではありません。

記録のために、通知ポップアップに表示されるテキストは次のとおりです*。タイトルで過去形が使用されていることに注意してください（これは、データ共有がすでに行われていることを示唆しています）。

会議の概要が有効になりました。

アカウント所有者は、Zoomが機能の提供およびZoom IQ製品の改善（モデルのトレーニングを含む）を目的として、お客様の入力情報およびAI生成コンテンツにアクセスし、使用することを許可できます。データはZoomのみが使用し、第三者が製品の改善のために使用することはありません。詳細はこちら

会議終了後、会議の設定に基づいて招待者に会議の概要が送信されます。会議の概要を受け取った人は誰でも保存し、アプリや他のユーザーと共有できます。

AI生成コンテンツは不正確または誤解を招く可能性があります。常に正確性をご確認ください。

この通知を見た会議参加者には、2つの選択肢が提示されます。1つは「了解しました！」というボタン（明るい青色でハイライト表示されているため、既に選択されているようです）。もう1つは「会議を退出する」というボタン（灰色で表示されているため、デフォルトで選択されているわけではありません）です。また、埋め込まれたテキストにはハイパーリンクがあり、ユーザーはクリックして「詳細を見る」ことができます（ただし、入力内容の処理に関する追加オプションはおそらく表示されません）。

自由選択 vs 自由に離れること…

欧州連合（EU）のデータ保護法に詳しい方なら、同意が個人のデータ処理の有効な法的根拠となるためには、一定の基準を満たす必要があることをご存知でしょう。具体的には、明確な情報提供に基づき、自由に与えられ、目的が限定されている（特定の目的に絞られ、束ねられていない）ことが必要です。また、自己都合による事前の選択によって同意を強制することも認められません。

これらの人々は、Zoomが会議参加者にAI生成機能の有効化を通知しても、参加者がAIのトレーニングデータとしてデータを使用することへの同意を拒否する自由な選択肢を与えていないと指摘するかもしれない。（実際、使用されている時制から判断すると、参加者がこの通知を見る時点で既に情報を処理しているようだ。）

会議参加者は、ZoomによるAIトレーニングなどの用途での自分のデータの使用に同意するか、会議自体を退席するかのどちらかを選ばなければならないため、この点は明白です。他に選択肢はありません。そして言うまでもなく、「退席していただいて構いません」とユーザーに伝えるだけでは、データの取り扱いについて自由に選択できるとは言えません。（例えば、Meta/Facebookによる強制的な同意に対する欧州司法裁判所の最近の判決をご覧ください。）

Zoomは、この不必要なデータマイニングを回避するためにユーザーに料金を支払う選択肢すら提供していません。これは、一部の地域ニュース出版社がトラッキング同意ペイウォール（読者はジャーナリズムへのアクセスに料金を支払うか、トラッキングに同意して無料アクセスを得るかを選択できる）という形で採用している手法と同じです。しかし、GDPRの公平性の観点からは、このアプローチさえも疑問視されています。そして、このアプローチは依然として法的に争われています。

しかし、ここで重要な点は、EU で個人データを処理するための法的根拠として同意が主張される場合、実際に自由な選択が可能でなければならないということです。

会議に参加するかしないかという選択肢は、そうではありません。（さらに、単なる会議参加者、つまり管理者やアカウント所有者ではない人物は、仮想ルーム内で最上位の人物である可能性は低く、データ倫理上の理由で自分が主催・手配していない会議から退席することは、多くの従業員にとって容易ではないかもしれません。コミュニケーションサービスを提供するプラットフォームであるZoomと、コミュニケーションのためにプラットフォームを利用する必要があるZoomユーザーの間に力の不均衡があるように、会議の管理者／主催者と参加者の間にも力の不均衡が存在する可能性があります。）

それだけでは不十分であるかのように、Zoomは生成AI機能の提供に必要なデータ処理を、製品の改善やモデルのトレーニングといった他の必須ではない目的と明確に組み合わせています。これは、同意の有効性にも適用されるGDPRの目的限定原則に明らかに違反しているように見えます。

しかし、これらすべての分析は、論争に対する同社の広報対応で主張されているように、Zoom が実際に処理の法的根拠として同意に依存している場合にのみ関連します。あるいは、少なくともAI モデルのトレーニングのために顧客のコンテンツを処理することに関してはそうです 。

もちろん、ZoomにEUにおけるAIトレーニング処理の法的根拠を確認するよう求めましたが、同社は明確な回答を避けました。おかしな話ですね！

EU法の同意基準に反して、このような処理について同意を得ているという主張を正当化するよう迫られた同社の広報担当者は、次のような（無関係かつ/または誤解を招く）箇条書きを私たちに送ってきました（強調は筆者によるものです）。

• ZoomのジェネレーティブAI機能はデフォルトでオフになっており、お客様が個別に有効化できます。詳細は6月5日のプレスリリースをご覧ください。
• 顧客は、自分のアカウントでこれらのAI機能を有効にするかどうかを制御でき、有効化時にモデルトレーニングのためにZoomにコンテンツを提供しないことを選択できます。
• 顧客はいつでもアカウントのデータ共有の選択を変更できます
• さらに、Zoom IQのミーティングサマリー機能では、ミーティングサマリーがオンになっていると、参加者にポップアップで通知が表示されます。参加者はいつでもミーティングから退出できます。ミーティング主催者はいつでもサマリーを開始または停止できます。詳細はこちらをご覧ください。

つまり、Zoomが主張する同意の弁明は、文字通り、ユーザーにサービスを利用しない選択肢を与えているということになる。（欧州最高裁判所において、Metaにとってこの種の主張がどれほど通用したのか、Zoomは真摯に問うべきだろう。）

Zoomが提供する管理者/アカウント所有者の同意フローにも問題があります。同社のブログ記事では、これを同意フローとして明確に説明しておらず、「顧客の管理者が当社の新しい生成AI機能の1つにオプトインするためのUI」という例を挙げているだけで、生成AIへのオプトインと、AIトレーニングなどのためのデータ共有への同意を言語的に結びつけているのです。 

Zoomがブログ記事に掲載しているスクリーンショット（下記に埋め込みました）では、AIによるミーティングサマリー生成機能がデフォルトでオフになっていることが注釈付きテキストで記載されており、管理者またはアカウント所有者が明示的に有効にする必要があるようです。また、管理者にはデータ共有に関する明確な選択肢が提示されているようです。（2つ目のメニューにある小さな青いチェックボックスに注目してください。）

しかし、同意が法的根拠であると主張される場合、別の問題があります。このデータ共有のチェックボックスはデフォルトで事前にチェックされているため、データを共有しないようにするには、管理者が積極的にチェックを外す必要があります。言い換えれば、Zoomは管理者から同意を強制するためにダークパターンを展開したと非難される可能性があります。EU法では、選択はオプトアウトではなく、能動的なオプトインでなければならないのです。

EU法では、ユーザーに同意を求める目的を明確に伝える義務もあります。しかし、今回のケースでは、Zoomの細則（AIモデルのトレーニングなどに入力データを使用したくない場合はデータ共有機能のチェックを外すことができると明記されている箇所）を会議管理者が注意深く読んでいないと、うっかり（つまりチェックボックスのチェックを外し忘れて）「同意」してしまう可能性があります。特に多忙な管理者は、会議の要約を他の参加者と共有するためには「データ共有」のチェックボックスにチェックを入れる必要があると思い込んでしまう可能性があり、参加者もおそらくそうしたいと思うでしょう。

そのため、Zoom が会議管理者に提示している「選択肢」の質さえも、同意に基づく処理を認可するための EU 基準に照らして問題があるように見えます。

さらに、Zoomの管理者が目にするUIのイラストには、さらに小さな文字で「製品画面は変更される可能性があります」という注意書きが添えられています。つまり、AIトレーニングでデータ収集を最大化するために、データ共有に関するユーザー入力に対して、ほぼ肯定的な反応が得られるようにするために、Zoomは他にどのような言語やデザインを採用したのか、誰にも分かりません。

でも、ちょっと待ってください！ダブリンに拠点を置く法律事務所McGarr Solicitorsのサイモン・マッカー弁護士によると、Zoomは実際にはユーザーの同意をAIデータマイニングの法的根拠として利用しているわけではないそうです。マッカー氏は、上述の同意に関する駆け引きは、EU法の観点からすれば本質的に「おとり捜査」に過ぎないと示唆しています。なぜなら、ZoomはAIデータマイニングの法的根拠として、契約の履行という別の法的根拠に依拠しているからです。

「同意は無関係であり、処理の法的根拠として契約に依存しているため、本題から逸れています」と彼は、法的根拠の問題とZoomのより一般的なアプローチについての意見を尋ねられたときにTechCrunchに語った。

米国の法律用語とEU法の融合

マッカー氏の分析によると、ズームは法律用語に米国の草案を適用しており、欧州の（独自の）データ保護の枠組みが考慮されていない。

「Zoomは個人データの所有権という観点からこの問題に取り組んでいます」と彼は主張する。「非個人データと個人データがありますが、彼らはその二つを区別していません。その代わりに、コンテンツデータ（「顧客コンテンツデータ」）と彼らがテレメトリデータと呼ぶもの、つまりメタデータを区別しています。そのため、彼らはEU法に適合しない枠組みでこの問題に取り組んでいます。そして、これが彼らがデータの所有権に関して主張するに至った理由です。個人データを所有することはできない。管理者か処理者のいずれかしかなれないのです。なぜなら、個人はデータ主体として引き続き権利を有するからです。」

メタデータを自由に扱えるという主張は、個人データとは何かを定義したGDPR第4条に反する。そして具体的には、Digital Rights Ireland事件の判決や、メタデータが個人データになり得ること、そして実際に個人データであることが多いことを確認したその後の一連の判例にも反する。メタデータは関係性（例えば、労働組合の加入状況、弁護士、ジャーナリストの情報源など）を明らかにする可能性があるため、機密性の高い個人データとなることもある。

マッカー氏は、ズームがこの種の処理（AIモデルのトレーニングに使用されるメタデータと顧客コンテンツデータの両方）をEUで合法とするには同意が必要であり、明らかに必須でない処理については契約の履行に実際に依存することはできないと主張している。

したがって、オプトインするには同意が必要であり、オプトアウトは不要です。つまり、管理者だけがチェックを外せるチェックボックスは基本的に存在せず、他のユーザーには漠然とした「通知」だけが送られ、事後的に同意するかアプリを終了させるかのどちらかしか強制されないという状況です。これはEU法の下では自由かつ独立した選択肢とは言えません。

「これはアメリカ的なアプローチです」と彼はZoomのやり方について付け加えた。「通知アプローチです。つまり、人々に何かを伝え、そして『Xについて通知しました』と言うのです。しかし、ご存知の通り、EU法ではそういう仕組みになっていません」

さらに、Zoomは「サービス生成データ」に関しても、機密性の高い個人データの処理を行っている可能性が高いため、明示的な同意のハードルはさらに高くなります。しかし、EU法の観点から見ると、利用規約をめぐる論争に対して同社がこれまで提示してきた対応は、曖昧な表現や的外れな言い訳ばかりです。

法的根拠に基づいて回答を迫られ、処理について契約の履行に依存しているかどうかを直接尋ねられたが、ズームの広報担当者は回答を拒否し、「ご質問は記録しており、他に共有できる情報があればお知らせします」とだけ述べた。

Zoomの広報担当者は、管理者のみが選択できるデータ共有オプションにおける顧客の「入力」の定義について質問したが、回答しなかった。そのため、「入力」が顧客のコミュニケーションコンテンツのみを指すのかどうかは依然として完全には明らかではない。しかし、契約書に太字で記載されている「音声、動画、またはチャットの顧客コンテンツを、お客様の同意なしに当社の人工知能モデルのトレーニングに使用しない」という記述から、そのように推測されるようだ（ただし、ZoomがAIモデルのトレーニングに顧客のメタデータを使用しないという太字の記述はない）。

Zoomが「サービス生成データ」（メタデータ）をオプトアウト同意の対象から除外しているということは、顧客コンテンツに対して提供している法的に意味のない同意という芝居がかりさえも適用せずに、これらのシグナルを利用できると考えているように思われます。しかし、McGarr氏が指摘するように、「サービス生成データ」はEUデータ保護法の例外規定に該当せず、個人データとして分類される可能性があり、実際にそう分類されるケースも少なくありません。つまり、実際には、Zoomはユーザーのメタデータを処理するためにも、同意（つまり、オプトイン、情報提供済み、具体的、かつ自由意志による真の同意）を必要としているのです。

また、ePrivacyはGDPRよりも法的根拠が少なく、傍受には明示的に同意が必要であることも忘れてはなりません。そのため、法律専門家は、ZoomがAIの学習に人々のデータを利用する法的根拠として、（オプトインによる）同意のみに依拠できると確信しています。

イタリアのデータ保護当局がOpenAIの生成AIチャットボットサービスChatGPTに対して最近介入した際、AIモデルの学習におけるデータ利用に関して同様の見解を示したようだ。当局は、OpenAIが個人データ処理のために契約の履行を頼りにすることはできないと規定した。AI大手は、モデルの学習のために人々のデータを処理するにあたり、同意か正当な利益のどちらかを選択しなければならないと当局は述べた。OpenAIはその後、正当な利益を主張する立場に切り替え、イタリアでのサービスを再開した。正当な利益とは、ユーザーに処理をオプトアウトする方法を提供することを義務付けるものだ（このオプトアウト方法もOpenAIは追加していた）。

AI チャットボットに関しては、モデルトレーニングの法的根拠に関する疑問は EU 規制当局によって依然として調査中です。

しかし、Zoom の場合、通信サービスには GDPR だけでなく ePrivacy も適用されるという重要な違いがあり、後者では LI を追跡に使用することは許可されていません。

追いつくためにズーム

生成AIサービスの比較的目新しい点、そしてデータ駆動型自動化機能への大きな期待を考えると、Zoomは自社のAIデータマイニングが国際的な規制当局の監視をかいくぐり、静かに進むことを期待しているのかもしれません。あるいは、Zoomは単に別の分野に注力しているだけかもしれません。

同社が競争上のプレッシャーを感じているのは間違いない。近年、バーチャル会議への世界的な需要が急増していたが、新型コロナウイルス感染症のピークを過ぎて対面での握手に戻ると、需要は急激に減少したからだ。

さらに、OpenAIのような生成AIの巨人たちの台頭は、AI機能の新たなレイヤーへのアクセスを大幅に拡大し、生産性向上ツールの競争を明らかに激化させています。Zoomは、2018年以来初の第4四半期純損失を計上した後（そして15%の人員削減を発表した直後）、2月に投資を増やすと発表し、生成AI競争への参入を模索し始めたのは比較的最近のことです。

また、ビデオ会議分野ではすでに競争が激化しており、GoogleやMicrosoftなどのテクノロジー大手は、ビデオチャット機能を組み込んだ独自の通信ツールスイートを提供しています。さらに、スタートアップ企業が生成型AI APIを活用して、ビデオ会議などの標準ツールに追加機能を追加するにつれて、AIを活用した競争がさらに激化しています。これにより、Zoomのビジネスの基盤となるコアプラットフォームコンポーネントのさらなる商品化が進んでいます。

つまり、Zoomはプレッシャーを感じている可能性が高い。そして、おそらくは、データ共有条件の拡大に関する詳細を国際的な法的審査に提出するよりも、自社のAIモデルをトレーニングして競争に勝ち抜くことに急いでいるのだろう。

欧州のプライバシー規制当局も、新興技術への対応に必ずしも迅速に対応できるわけではない（ただし、イタリアのOpenAIへの介入は対応可能であることを示している）。そのため、Zoomはリスクを負っても構わないと考えているのかもしれない。

しかし、Zoom はどの EU 加盟国にも導入されていないため、リスクを増大させる規制上のカーブボールがあります。

ZoomはオランダにEMEA（欧州・中東・アフリカ）の現地事務所を置いていますが、オランダのデータ保護局（DPA）は、Zoomの主たる監督機関ではないと述べています。アイルランドのデータ保護局（DPA）も同様です（Zoomはダブリンに第27条に基づく代表者がいると主張していますが）。

「我々の知る限り、Zoomは欧州経済地域（EEA）において主導的な監督機関を有していません」と、オランダDPAの広報担当者はTechCrunchに語った。「Zoomのプライバシーステートメントによると、管理者は米国に拠点を置くZoom Video Communications, Incです。Zoomはオランダにオフィスを構えていますが、同オフィスには意思決定権がないため、オランダDPAは主導的な監督機関ではありません。」

もしそれが正しく、ZoomのEUユーザーデータに関する意思決定が海を越えてのみ行われるのであれば、EU​​域内のどのデータ保護当局も、GDPR遵守状況を調査する権限を持つ可能性があり、地域からの苦情や懸念を単一の主導機関に持ち込む必要がなくなります。これは、ユーザーデータが危険にさらされていると判断した場合、EUのデータ保護当局が介入する可能性があるため、Zoomがデータ保護問題でさらされる規制リスクを最大化します。

それに加えて、ePrivacy には GDPR のような規制監視を効率化するワンストップ メカニズムが含まれていないため、あらゆる当局が Zoom の同指令への準拠を調査できる状況になっています。

GDPRでは、世界全体の年間売上高の最大4%に相当する罰金が科せられる可能性があります。一方、ePrivacyでは、当局が適切な抑止力となる罰金を設定することが認められています（フランスのCNILのケースでは、近年、クッキートラッキング違反に関連して、複数のテクノロジー大手企業に数百万ドルに上る巨額の罰金が科せられています）。

そのため、AI 用データに関する広範な利用規約に怒ったユーザーによる世間の反発は、Zoom にとって予想以上に大きな頭痛の種となる可能性がある。

*注: Zoomのブログ記事のグラフィックの品質は悪く、テキストはかなりピクセル化されており、他の場所でクロスチェックしないと単語を拾い出すのが困難です（私たちはそうしました）

このレポートは更新され、引用したHacker Newsの記事の出典であるZoomの利用規約変更に関するStack Diaryの記事へのリンクが追加されました。また、誤字を修正しました。CNILは最近、ePrivacyを利用してCookieトラッキングを取り締まったのであって、クッキートラッキングの不正利用ではない、という誤植を修正しました。