C2PAと法 / Content Credentialsという出所のインフラ / 透明性のための雑感

0　はじめに

　年越しに書き溜めたAIに関して役立つ資料について雑感を付して7点掲載する。今年も皆さんにとっていい年であることを心より祈念する。

　生成AI時代の情報空間は、単に「嘘が増えた」というよりも、「本物のコストが上がった」世界である。画像も動画も音声も、それらしいものを作る技術は民主化した。一方で、それがいつ、誰により、どの工程を経て作られたのかを確かめる作業は、専門技能と時間を要求する。生成AIは「生成した瞬間」よりも、「流通した後」に事故を起こす。

　法律は事故の後始末を引き受ける。名誉毀損、著作権侵害、消費者欺罔、選挙妨害、労務トラブル、そして訴訟における証拠の真正。だが、法が得意なのは規範の設計であり、ビット列の来歴の追跡ではない。そこで、技術的な「来歴（provenance）」の標準を法の側から眺め直す必要がある。今回は、C2PA（Coalition for Content Provenance and Authenticity）と、その中核概念であるContent Credentials（コンテンツ・クレデンシャル）を素材として、透明性インフラの法的意味を整理する。

1　問題の所在――「真正性」は二値ではない

　議論の出発点は単純である。デジタルコンテンツはコピーが容易であり、編集履歴は容易に失われる。さらに、生成AIは「編集」を「生成」に拡張し、痕跡を判別困難にした。ここでよく登場するのが、いわゆるdeepfake検知（detection）である。だが、検知は軍拡競争であり、モデル更新と攻撃のいたちごっこに終始しがちである。しかも、検知結果は確率であり、裁判の世界が好む「真正／偽造」という二値に適合しない。

　他方で、法が本当に必要としているのは、形而上学的な「真実」ではなく、説明可能な「来歴の手続」である。誰が、いつ、どのツールで、何を主張し、その主張が改ざんされていないことを、どのように示すのか。要するに、証拠のチェーン・オブ・カストディ（chain of custody）のデジタル版が求められているのである。この観点から、provenanceは「真偽判定」ではなく、「主張と改ざん耐性の記録」として位置づけ直される。

2　C2PAという技術的処方箋――「栄養成分表示」の中身

　C2PAは、出版社・クリエイター・消費者がデジタルコンテンツの出所と編集を示すためのオープンな技術標準を提供する枠組みである（注1）。運営面では、Joint Development Foundationのプロジェクトとして設計され、Content Authenticity Initiative（CAI）やProject Origin等の取組を接合しつつ、グローバルな技術仕様の策定と普及を目的としている（注2）。要するに、「プラットフォームごとに分断された真正性表示」をやめ、互換性（interoperability）を先行して構築する発想である。

　C2PAが提示する中心概念がContent Credentialsである。これは、コンテンツに付随する来歴の台帳であり、しばしば「デジタルコンテンツの栄養成分表示（nutrition label）」に喩えられる（注3）。技術的には、作成・編集・公開等の出来事に関する主張（assertions）を束ね、それを電子署名で保護した構造体（Manifest）として扱う（注4）。重要なのは、署名が担保するのは「内容の真偽」ではなく、「誰が何を主張したか」と「改ざんの有無」である、という点である。C2PA自身も、provenanceデータが『良い／悪い』といった価値判断をするのではなく、基礎となる資産に紐づく形で、正しく形成され、改ざんされていないかを検証するにとどめる、という立場を明示している（注4）。

　そして、標準は「付与する」だけでは足りない。配信過程でメタデータが削除されれば意味がない。そこでContent Credentialsは、埋め込み型のprovenanceに加え、ウォーターマーキングやフィンガープリンティングとの互換性を前提に「耐久性（durability）」を高める方針を取る（注3）。さらに、コンテンツからManifestが切り離された場合でも、ウォーターマーク等により識別子を保持し、Manifestリポジトリへ照会するためのSoft Binding Resolution APIを含む仕様群が整備されている（注5）。ここは、法務的にいえば「逸失しやすい証拠の再接続」という発想であり、地味ではあるが実効性は高い。

　なお、C2PAは生成AIとも無関係ではない。仕様にはAI/ML向けガイダンスが置かれ、学習データセットやモデル、推論出力に対してもContent Credentialsを付与し、データ・ソフトウェア・モデルの改ざん（poisoning）に備える用途が議論されている（注6）。つまり、コンテンツの真正性だけでなく、AIパイプライン全体の監査可能性（auditability）の部品としても扱える余地がある。

3　法的含意――「真正性」を誰が語るのか

　第一に、証拠法の視点である。Content Credentialsは、裁判所がそのまま採用する「真正性の証明」ではない。しかし、少なくとも「誰が署名者（signer）で、どの時点でどの主張をし、それが改ざんされていない」というログを提供する（注4）。これは、紙の世界でいえば、押印や公証に近いが、実態は「検証可能なメタデータ」である。したがって、争点は二段階に分かれる。①Credentials自体の検証（署名・証明書・信頼リスト）、②その上で、署名者の主張内容をどこまで信用するか、である。法律家が好む言い方をすれば、「証拠能力」と「証明力」を切り分けることで、技術が空転するのを防ぐことができる。

　第二に、ガバナンスの視点である。C2PAの信頼モデルは、署名鍵に紐づく署名者の同一性と、信頼できるリスト（trust lists）に依拠する（注4）。この瞬間、「真正性」は純技術ではなく、制度設計になる。誰が信頼リストを管理し、どの認証局（CA）を受け入れ、失効・更新をどう扱うのか。標準の普及は、プラットフォームのUI（どこに表示するか）と、鍵管理の政治（誰が参加できるか）に左右される。標準は中立に見えるが、信頼リストは中立ではない。

　第三に、規制との接合である。EU AI Actは、合成音声・画像・動画・テキストを生成するAIシステムについて、出力を機械可読な形式で「人工的に生成・操作されたものとして検知可能」になるよう標識する義務を掲げる（注7）。同義務は、技術的に実現可能な範囲で、有効性・相互運用性・頑健性等を考慮すべきともする（注7）。ここでContent Credentialsは、少なくとも一つの実装候補になり得る。ただし、注意点がある。法が求めるのは表示ないし標識であり、C2PAが提供するのは来歴である。両者の距離は、政策決定（何をどこまで必須にするか）で埋める必要がある。

　第四に、人権・プライバシーの視点である。provenanceは透明性をもたらすが、同時に追跡可能性を増幅する。誰が撮影したか、どこで撮影したか、どの組織が最初に配布したか。これらは、ジャーナリズムや人権活動において、保護されるべき情報でもある。C2PA自身も、プライバシーやデータ懸念、アクセシビリティへの配慮をガバナンス課題として掲げる（注2）（注4）。法の側からは、透明性の義務を、常に匿名性の利益と同じ天秤に載せる必要がある。

4　断片化という問題とインセンティブの設計

　provenance標準の難しさは、技術の優劣よりも、採用の経済学にある。署名する側（生成者・編集者）はコストを負担し、検証する側（プラットフォーム・閲覧者）が便益を得る。典型的な外部性である。したがって、普及には、(1)大手プラットフォームが表示UIを実装する、(2)カメラ・編集ソフト・生成AIがデフォルトで付与する、(3)調達・契約で「付与」を要件化する、といった経路が必要になる。

　企業実務に引き寄せれば、コンプライアンスの演劇（compliance theatre）を避けつつ、証拠の生産工程としてのprovenanceを設計することが肝になる。例えば、生成AIの利用ポリシーに「外部公開物にはCredentialsを付す」を置く。サプライヤー契約で「生成物には機械可読な標識と来歴情報を含める」条項を入れる。監査部門が検証ログを保管し、インシデント時に提出できるようにする。地味であるが、これが「信頼を作る」最短経路であるように思える。

5　雑感

　結局、C2PAは万能薬ではない。C2PA自身も、misinformation対策の特効薬（cure-all）ではなく、メディアリテラシーやファクトチェック等を補完するインフラであると位置づける（注8）。また、Credentialsが付いていないことは偽造の証拠ではないし、付いていることは真実の証明でもない。だが、それでも、議論の重心を検知の軍拡から来歴の記録に移す効果は大きい。

　法は、真実を直接に生成できない。できるのは、真実が発見されやすい手続を設計し、嘘がコスト高になる環境を整えることである。Content Credentialsは、その手続をデジタルに移植する試みと読める。透明性の標準化は、規制か自主か、中央集権か分散か、という政治問題を不可避的に伴う。だからこそ、技術仕様を「技術だけの話」にしないことが重要である。標準とは、コードで書かれた憲法のようなものだからである。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。