カリフォルニア州で、年齢確認を義務づける新しい法律の例外として、オープンソースのLinux系ソフトウェアを外す修正案が全会一致で通過しました。対象になるのは、GPL、MIT、BSD、Apache licensesで配布されるソフトウェアです。いわば、子どもの利用を想定した年齢確認の仕組みを広げる一方で、配布の形そのものが違うLinuxやオープンソースには、その義務をそのまま乗せないという判断です。
この話が面白いのは、単に「Linuxが守られた」というだけではないからです。オープンソースは、誰が作って誰が配るのかが商用ソフトと違うため、同じ規制を当てはめると現場が回らなくなることがあります。今回の修正は、その摩擦を州議会がどう扱ったかを示す材料でもあります。
Tom's Hardwareが伝えたのは、カリフォルニア州議会がAB 1856を全会一致で可決し、まもなく施行予定のDigital Age Assurance Actからオープンソースのオペレーティングシステムを除外した、というニュースだ。元の記事によれば、この修正でGPL、MIT、BSD、Apache licensesのもとで配布されるソフトウェアは年齢確認義務の対象外になる。言い換えると、LinuxのようなオープンソースOSを配る側に、年齢を確かめる仕組みを義務づけないという整理である。
背景にあるDigital Age Assurance Actは、名前の通り、デジタル環境で年齢をどう確かめるかを定める法律だ。こうした規制は、子どもの保護を理由に導入されることが多い。アプリやサービスの提供者に、利用者が一定年齢に達しているかを確認させることで、未成年向けにふさわしくない体験やコンテンツへのアクセスを抑えようとする考え方だ。だが、オープンソースの世界では、ソフトウェアが特定企業のサービスとして配られているとは限らない。誰でもソースコードを取得でき、複数の配布元が存在し、改変版も日常的に流通する。そこへ一律の年齢確認を持ち込むと、実務上かなり扱いづらい。
元記事は、今回の法改正がその問題に対する解答だと伝えている。州議会は、オープンソースOSを例外として明示的に外した。しかも可決は全会一致だった。これは、少なくともこの点については政治的な対立よりも、制度設計上の無理を避ける方が優先されたことを示している。Tom's Hardwareの見出しが強調しているように、対象はLinuxに限らず、GPL、MIT、BSD、Apacheといった主要なオープンソースライセンスで配布されるソフトウェア全般に及ぶ。つまり、個別のディストリビューション名を守ったのではなく、オープンソース流通の仕組みそのものを外した形だ。
この修正は、AB 1856がそのまま「年齢確認強化の法律」で終わらないことも意味する。規制を広げるとき、どこまでを対象に含め、どこを除くかは制度の実効性を左右する。今回のケースでは、オープンソースを巻き込むと、保護の名目より先に配布の自由や開発の慣行が壊れると判断した、と読める。Tom's Hardwareは、AB 1856がOpen-source operating systemsをDigital Age Assurance Actから外すものだと説明している。そこにあるのは、Linuxを特別扱いしたというより、オープンソースの成り立ちに合わせて法律を切り分けた、という話だ。
私がまず気になるのは、今回の「例外」がかなり筋のいい現実解に見えることだ。オープンソースOSに年齢確認を課す、という発想自体は、机の上では均等に見えるかもしれない。だが実際には、配布元が一つではなく、改変版やミラーが際限なく生まれる。年齢確認の責任主体をどこに置くのかが曖昧なままでは、法律は現場で空回りしやすい。だからこそ、州議会が全会一致で外したのは、理念の勝ち負けというより、制度の設計として無理を認めた結果だと思う。こういう修正は地味だが、法が技術の構造を読み違えないためには必要だ。
見出しだけ読むと、Linuxだけが救済されたように見える。でも実際の射程はもっと広い。対象になっているのはLinuxカーネルそのものというより、GPL、MIT、BSD、Apacheで配布されるソフトウェアだ。つまり、オープンソースのライセンス体系ごと守ったと考える方が近い。ここは重要で、規制が個別製品ではなく配布モデルにぶつかっているからだ。もしここで例外を設けずに進めていたら、Linuxディストリビューションだけでなく、オープンソースを再配布する多くのプロジェクトが説明責任の負担を抱えたはずだ。そうなると、善意で回っているエコシステムに、商用サービス向けの前提をそのまま当てはめたことになる。
この種の法律は、しばしば「未成年を守るためなら多少の不便は仕方ない」という形で受け止められる。けれど、オープンソースを含めると話は変わる。年齢確認はたしかに、アプリやサービスの利用制限としては分かりやすい。だが、ソフトウェアの入手や再配布まで視野に入れると、本人確認に近い重い仕組みが要る場面が出てくる。そうなると、匿名でコードを受け取り、改変し、共有するというオープンソースの前提とぶつかる。私はここに、規制がいかに「使う側」だけを見て作られがちかが表れていると思う。今回の例外は、そのズレをかなり早い段階で補正したものだろう。
今回の話はLinuxだけの小ネタで終わらない気がする。オープンソースに対して一律の義務を課しにくい、という論点は、今後ほかの技術規制でも何度も出てくるはずだ。たとえば年齢確認、セキュリティ監査、データ管理の責任、あるいはAIモデルの公開をめぐる規制でも、配布主体が曖昧なソフトウェアをどう扱うかは避けて通れない。今回カリフォルニア州が選んだのは、まずオープンソースを制度の外に逃がすやり方だった。これをどう評価するかは立場で分かれるが、少なくとも「技術の流通形態を無視した規制は長持ちしない」という教訓ははっきりしていると思う。
