IABが求めるのは成果であり、年齢確認の門番ではない

要約

• IABは子どものオンライン保護という目的を共有しつつ、サービス、第三者保証、ネットワーク遮断に年齢確認を置く設計が、機微データの集中、プライバシー低下、暗号化への圧力、危険な迂回、インターネットの分断を招き得ると述べた。
• 求める性質は狭い。用途限定の最小シグナル、行動を報告しないこと、サイト間で結合できないこと、年齢を確立した主体が訪問先を知らないこと、集中型の機微データ保管庫を作らないこと、開放的で相互運用可能な接続面である。
• 端末方式は「最も有望」とされたが、プロトコルも製品も採択されていない。IAB自身が端末・OS事業者の強いレバーと、共用端末における堅牢な複数利用者対応の必要を指摘した。
• この声明はアーキテクチャ上の助言であり、法律、認証、配備命令、IETF標準ではない。RFC 9998は別のワークショップ報告で、参加者の意見がそのままIABやW3Cの立場になるわけではない。
• Daniel Kadeは、交換時に残る証拠を提案する。端末、OS、ブラウザー、保証手法、供給者を替えても、最小シグナル、救済、プライバシー境界、安全成果が失われないことを実地で確かめる。

端末へ移す前に、権限の所在を記録する

年齢保証は精度の議論から始まりがちだ。ある人が閾値以上か未満かを正しく判定できるか。それは欠かせない問いだが、最初の問いではない。判定を返す前に、設計はすでに、誰が問い合わせられるか、どの証拠を要求できるか、結果をどこに置くか、活動を誰が見られるか、故障時に誰がアクセスを止められるかを決めている。

サイトごとに確認すれば、サイトまたは委託先が収集者になる。ネットワークに置けば、接続事業者は対象サービスを識別し、通信経路上で遮断を判断する必要がある。端末に置けば訪問先ごとの本人情報提示を減らせる一方、端末・OS層が重要なシグナルを仲介する。これは同じ中立スイッチの設置場所を変えただけではない。制御、責任、漏えい面、交渉力を別の主体へ割り当てる行為である。

IABの現行声明 は完成済みプロトコルを示さない。「今すぐ要件を満たす業者はどこか」ではなく、「技術が変わっても残すべき性質は何か」と問い直す。

通過件数と安全を混同しない

IETFアナウンス・リストの全文 は声明を8月24日付で記録する。IABは子どもの保護という目的を否定していない。目的を達成したように見えながら、インターネット全体を弱くする仕組みを問題にしている。

第三者の年齢保証サービスは、本人確認資料と適格性情報を集めた魅力的な攻撃対象になり得る。サイトごとに年齢を確立させれば、収集点が増え、利用者は通常の閲覧で本人確認を求められることに慣らされる。受信側が生年月日ではなく分類結果だけを得ても、発行者が訪問先を知るのか、サイト間で照合できるのか、ログが残るのか、別目的に使われるのかという問題は残る。

ネットワーク遮断では、権力が経路に移る。接続事業者はどの対象をどの粒度で止めるか判断する。そのために通信を識別し、暗号化された環境で執行し、誤りに対する説明と救済を用意しなければならない。声明が参照する RFC 7754 は、遮断位置、暗号化、巻き添え、透明性、救済を付随事項ではなく技術設計の一部として扱う。

迂回も成功指標の外へ追い出せない。若者が未知の無料VPN、借用・偽造された資格、非正規アプリへ移れば、一つの関門は避けられても、より危険な仲介者へ近づく。挑戦を表示した回数、遮断した要求数、完了率だけでは、安全を測れない。

国ごとに異なる開示項目、認定供給者、執行位置を求めれば、サービスは全変種を実装せず市場から退くことがある。その結果は政策図の色分けではない。欠けたサービス、互換性のないクライアント、同じインターネット上の不平等な経路となって現れる。

七つの性質は役割分離を求める

IABが挙げる性質は七つある。用途限定の年齢シグナルを超えて開示しない。利用者の活動を報告しない。複数サイトのシグナルを結び付けられない。年齢を確立した当事者が訪問先を知れない。機微データを集中保管しない。全年齢の利用者へ他の重大な害や負担を課さない。そして、多様な利害関係者の過程で作る開かれた相互運用接続面を用いる。

これは新しい巨大本人確認サービスの要件ではなく、分離の要件である。発行者は属性を確立するための情報を持っても閲覧日誌を得ない。サービスは一つの規則を適用するための結果を得ても法的本人情報を自動取得しない。二つのサービスはシグナルを恒久的な横断識別子へ結合できない。結果を運ぶ機構が、発行者、観察者、規則解釈者、普遍的門番を一つの台帳に兼ねてはならない。

「最小」にはスキーマが必要だ。一つの機能について閾値を返すだけなら、生年月日、正確な年齢、証明書種別、家族関係、過去の確認履歴まで渡す理由はない。目的限定をフィールド、保持期間、プロトコル動作で検査できなければ、過剰なペイロードの上に理念を貼っただけになる。

「開放」も、一社のクライアントがソースコードを公開すれば満たされるものではない。要求・応答の共通意味、版の交渉、失敗時の動作、プライバシー性質、適合試験、独立実装の進入路が要る。サービスが推論できる範囲と、発行者・端末・中間者が知ってはならない情報も定義しなければならない。

七項目は政策そのものの賢明さや、子どもの安全への実効性を証明しない。年齢ルールを選ぶ法域に対して技術的な外縁を示す。技術助言は集中や漏えいを説明できるが、何を制限する正当性があるかを立法に代わって決めることはできない。

端末方式の可能性とレバーは同じ場所にある

IABは現在の技術成熟度を前提に端末方式を最も有望とみる。この限定は重要である。「有望」は選定でも実証でもない。声明はOS、ブラウザー、認証発行者、製品、供給者を承認していない。

利点は理解しやすい。利用者が端末内で年齢属性を一度確立し、その後は各サービスへ狭いシグナルだけを示す。サービスは完全な身元を持たず、発行者は訪問先を逐一知らず、反復する確認が同じ中央履歴を作らない。利用者が持つ機器が交換を仲介し、各取引を見る第三者サーバーを必須にしない。

ただし支配がなくなるのではなく、配置が変わる。端末プラットフォームは認める保証手法、家庭内役割の表現、代替ブラウザーの接続条件、誤りへの異議、対応法域を決められる。版を更新し、古い接続面を終了できる。サービスは返答の重みを決め、発行者は認められた証拠を持たない人を除外し得る。

共用端末は理念と暮らしの距離を示す。一台のタブレットを成人、十代、子どもが使う家庭で、機器と一人の年齢を同一視できない。プロファイル切替が難しい、存在しない、容易に回避できるなら、プライバシー設計は日常で崩れる。IABが堅牢な複数利用者対応を明記したのは、これが製品の飾りではないからだ。

開かれた接続面は、端末による仲介を端末主権にしない条件である。適合する端末、OS、ブラウザーは同じ交換を実装できなければならない。サイトが求めるのは定義済みシグナルであり、一社のアカウント、ウォレット、専用儀式ではない。API図ではわずかな違いでも、市場では実装競争と流通支配を分ける。

RFC番号だけで権威を上積みしない

IABとW3Cは2025年10月にワークショップを開いた。AGEWSの公式記録 は、技術・アーキテクチャ上の選択肢を調べ、共有理解を作ることが目的で、単一候補の選定を必ずしも目指さないと説明する。プライバシー、公平、市場集中、迂回、費用、精度、法域、検閲が検討要素に含まれた。

論文募集 は規制上どのコンテンツを制限すべきかを範囲外とし、制限とInternet/Webアーキテクチャの相互作用に焦点を絞った。参加は招待制で、修正版チャタムハウス・ルールを採用し、成果物は報告書とされた。

報告書は2026年6月に RFC 9998 となった。IABストリームのInformational文書で、Internet Standards Trackの仕様ではない。本文は、記載された見解が参加者のもので、IABやW3Cの立場を必ずしも反映せず、ワークショップの合意を示そうとしたものでもないと明記する。

この境界は権威の借用を防ぐ。ワークショップが重要な論点を見つけても、機関決定にはならない。IABは後の声明で一部を採用し、別の分析を退け、枠組みを変えられる。8月24日文書が新しい出来事なのは、IAB自身の現在位置を示したからだ。RFC 9998は背景証拠であり、全参加者の発言をその位置へ昇格させる近道ではない。

RFC 7841 が示すように、RFCには複数のストリームとカテゴリーがあり、すべてが標準関連ではない。公的記録では、ワークショップ観察、IAB声明、候補仕様、承認標準、認証実装、法的義務、実運用を別々の状態として残す必要がある。

IABの助言権と法的命令権は別である

RFC 2850 はIABをIETFの委員会でInternet Societyの助言機関と位置付ける。長期的アーキテクチャ監督、標準過程の監督と不服申立て、連絡、助言の役割を与える。

RFC 9281 も更新された役割図の中で同じ分配を保つ。IABはアーキテクチャと過程を見渡し、技術的、構造的、手続的、政策的助言を与える。国家立法府でも、個別サービスの法的義務を執行する規制者でもない。

この限界は声明を弱めない。依存が固まる前に設計を変える助言には力がある。IABは、技術を名指しした義務が暗号化を圧迫し、本人情報を集中させる過程を示せる。しかし義務を制定・撤回する権限までは主張しない。規制者は公共成果を指定し、合法性、範囲、救済、効果に責任を負う。標準団体は相互運用面を定義し、事業者が実装し、サービスが合法なルールを適用し、利用者が誤りを争う。

各主体は自分の行為だけを証明する別の受領証を要する。IAB声明はアーキテクチャ上の位置、標準文書は仕様の状態、認証は所定試験の通過、法律は法域での制定、運用データは測定条件下の作動を証明する。一つのラベルで残りを代用してはならない。

RFC 3935 は、IETF標準が適合を名乗る際の方法を記述する一方、利用を義務付けず執行もしないと説明する。将来、年齢シグナル標準ができても、それだけで法的権限、政策の妥当性、配備成功が成立するわけではない。

交換できることを受領証にする

IABは、急いだ配備が経済的動機と広い依存を生むと取り除きにくくなると警告し、それをオシフィケーションと呼ぶ。技術名ではなく成果を義務に書き、相互運用接続面を求めるのは、よりよい仕組みが成熟したときに置換する余地を守るためである。

置換を実演しなければ、その原則は運用可能にならない。Daniel Kadeの提案は五段階で確認する。第一に、供給者から独立して成果を記述する。対象となる利用者、サービス、法域、アクセス結果、安全改善、許容誤差、異議申立てを定める。「X社を使う」は成果ではない。

第二に、シグナル契約の指紋を残す。最小フィールド、閾値の意味、拘束文脈、有効期間、再送防止、非連結性、版、失敗状態を記す。後継実装は私有本人データベースを複製せず、同じ公開契約を実装できなければならない。

第三に、独立した実装を試す。制御主体の異なる少なくとも二つの端末、OS、ブラウザーが適合シグナルを作るか運べるかを確認する。サービスは実装ごとに専用統合を強いられず、代替実装は現任者のアカウント体系を持たないだけで法的承認を失ってはならない。

第四に、移行を訓練する。保証供給者、端末、ブラウザーを別々に交換し、本人情報開示が広がらないか、家庭状態が安全に移るか、サービスが解釈を続けられるか、救済が残るか、古い横断識別子が無効になるかを見る。最初の供給者交代までしか動かない標準は、構文を記録しただけで相互運用を証明していない。

第五に、再審査の発火条件を決める。高い誤拒否、漏えい集中、差別的排除、安全効果の欠如、暗号化への圧力、サービス撤退、供給者集中は実装選択を開き直す理由になる。再審査は子どもの保護を捨てる約束ではない。同じ成果を害の少ない方法で実現する能力を守る。

この受領証を満たしても、全利用者の安全、全法域の一致、迂回の消滅までは証明しない。より狭く不可欠な事実、つまり公共成果が一つの技術的支配者の人質になっていないことを示す。

出典

1. IETF Datatracker：年齢に基づく制限とオンライン安全に関するIAB声明
2. IETFアナウンス・リストのIAB声明全文
3. IABアナウンス一覧
4. IETF Datatracker：IAB声明一覧
5. RFC 9998：年齢制限に関するIAB/W3Cワークショップ報告
6. RFC 9998ステータスページ
7. IABによるRFC 9998公開告知
8. IETF Datatracker：AGEWSワークショップ記録
9. AGEWSワークショップ論文募集
10. RFC 7754：インターネットサービス遮断・フィルタリングの技術的考慮
11. RFC 7754ステータスページ
12. RFC 2850：Internet Architecture Board憲章
13. RFC 9281：IETF標準過程に関わる組織
14. RFC 3935：IETFの使命声明
15. RFC 7841：RFCストリーム、ヘッダー、定型文