カリフォルニア州のAIコンテンツ表示義務が施行——コンパニオンアプリへの影響

8月2日に施行されたもの

カリフォルニア州は2024年にSB 942としてこの法律を成立させ、遵守期限を2026年1月1日と定めていた。その期限は動いた。2025年10月13日に署名されたAB 853が条文を書き換え、施行日を2026年8月2日へと後ろにずらした。EU AI法の透明性条項が適用開始となったのと同じ日で、複数の法律事務所はこれを意図的な足並みの揃え方だと読んでいる。先週、その中核的な義務が動き出した。

義務は三つあり、いずれも生成システムを作った側にかかる。

前の二つの非対称性に注意したい。見えない印は義務であり常に付くが、目に見える表示は事業者が選択肢として用意するものだ。つまりこの法律が既定でもたらすのは、すべてのAI画像に透かしが載る世界ではなく、メタデータの中に静かな痕跡が残り、それを読み戻せる公開ツールがある世界である。

実際に対象になるのは誰か

義務を負うのは「対象事業者（covered provider）」、すなわち月間の訪問者または利用者が100万人を超える生成AIシステムを作成・実装・製造し、それがカリフォルニア州内で一般に利用できる者である。ここから、このカテゴリにとって重要な二点が出てくる。

第一に、しきい値は企業全体の利用者数ではなく生成システム単位で判断される。第二に、コンパニオンアプリの多くは画像や音声のモデルを自社で作っていない——他社のものを呼び出している。その構図では表示義務を抱えるのはモデル提供側であり、アプリは来歴データを付ける（あるいは付けない）システムの顧客だ。したがってアプリ運営者にとっての実務的な問いは「自分は対象事業者か」よりも、「使っている画像生成の事業者は出力に印を付けているか、そして自分のパイプラインはリサイズ・再エンコード・スクリーンショットの過程でそのデータを保持しているか」になる。

条文も現在出ている解説も、特定のアプリを対象だと名指ししてはいない。私たちも、確認できない月間利用者数を推測して書くつもりはない。

テキストは対象外——EU規則との最大の違い

開示義務は「画像、動画、もしくは音声のコンテンツ、またはそれらの組み合わせ」に向けて書かれている。テキストだけを生成するシステムは、規模がどれだけ大きくても対象外だ。チャットが中心のコンパニオンアプリにとっては、会話そのものはこの法律に触れられないが、生成された自撮り画像やボイスメッセージ、短い動画はそうではない。

これは欧州との実質的な違いだ。EU AI法50条が適用開始になったときに扱ったように、EUの表示義務は生成テキストにも及び、さらに「相手はAIである」と利用者に知らせる別の義務も加わる。カリフォルニア州のこの法律はどちらも求めていない。

そして、同じ文脈で語られがちな安全性・年齢確認のルールとも混同すべきではない。2026年1月1日から適用されているカリフォルニア州SB 243はコンパニオンチャットボットそのものを対象とする法律で、会話中のAI開示、未成年と分かっている利用者への休憩通知、自傷対応の手順、そして被害を受けた本人が請求できる1違反1,000ドルの損害賠償を定めている。透明性法が扱うのは、ファイルがどこから来たかだ。一方を満たしていることは、他方について何も語らない。

キャラクターアプリの内側からはどう見えるか

チャット体験そのものを変える必要はない。静かに変わりうるのは次のあたりだ。

• 生成画像のメタデータ。AI自撮り画像をダウンロードしてファイルを調べると、生成システムの名称・バージョン・タイムスタンプを含む署名付きの記録（コンテンツ・クレデンシャル、またはそれに相当するもの）が入っている。ここでよく挙げられる仕様は、署名付きメタデータとしてのC2PAコンテンツ・クレデンシャルと、画素レベルの層としての不可視の電子透かしだ。メタデータだけではスクリーンショットを越えて残らないためである。
• 書き出し時の表示オプション。共有や保存の画面に「AI生成として表示する」スイッチを出すアプリも現れるだろう。対象事業者にとってこの選択肢の用意は義務だが、既定でオンにするかどうかは各社の判断だ。
• おそらく一度も開かない検出ページ。役に立つ場面は限られる——誰かが画像を送ってきて、それが実写だと主張しているときだ。無料ツールはそのためにある。
• 対象は画像だけでなく音声も。音声は明確に対象に含まれる。通話や生成ボイスメモを備えたコンパニオンアプリは画像生成と同じ義務の下にあり、ここは見落としやすい。

この法律が生成できる内容そのものを制限することはない。来歴に関する規則であって内容に関する規則ではなく、フィルターや成人向けコンテンツ、年齢確認には関係しない。

これから控える期日

後続の二段階はすでに条文に書き込まれている。2027年1月1日からは「大規模オンラインプラットフォーム」——利用者自身が作っていないコンテンツを配信する一般公開のSNS、ファイル共有、大量メッセージング、単独の検索サービスで、直前12か月間に固有の月間利用者が200万人を超えたもの——が、広く採用された標準に適合する来歴データを検出し、それがある場合は利用者に示し、内容を確認できるようにし、意図的に取り除かないことを求められる。この段階こそが、この仕組みがインターネットの実運用に耐えるかを決める。アップロード時に消される来歴データは、誰も確認できない来歴データだからだ。

2028年1月1日からは、カメラやスマートフォンといった撮影機器のメーカーが、撮影したコンテンツへの来歴データの埋め込みを選べるようにし、技術的に可能な範囲で既定で有効にしなければならない。これはもう半分の絵を描く作業だ——「モデルが生成した」ではなく「レンズが記録した」と告げる印である。

レビューで確認していること

私たちは法的な適合性を認証する立場にはなく、法律家でもない。記録できるのは観察できる挙動で、ベンダーの自己申告で済ませられる事柄をレビュー方法がどう扱うかはそこに書いてある。今月から、画像または音声を生成するアプリについては、ダウンロードしたファイルに来歴メタデータが少しでも入っているか、書き出し時に目に見えるAI表示の選択肢があるか、そしてアプリ自身の共有経路を通したときにそのメタデータが残るか（途中で削られないか）を記録している。

いずれも範囲の狭い、確認可能な事実だ。そして、ストアの掲載情報では見分けがつかない二つのアプリの間で、最も差が出やすい部分でもある。アプリストアの年齢レーティングで行き当たったのと同じ構図で、バッジよりも実際の挙動のほうがずっと多くを語る。

よくある質問