プライバシーをどう守るか：VRAIO

VRAIO（Verifiable Record of AI Output、AI出力の検証可能な記録）は、プライバシーを守る考え方を転換します。計測を制限するのではなく、情報の出力を統治する。

本当に恐れているものは何か

暗号化などのセキュリティ技術は、外部からの攻撃に対しては大きく進歩しました。しかし、正規の権限を持つ内部の人が情報を悪用することは、依然として根本的な問題です。

プライバシーへの懸念の多くは、「撮られること」そのものよりも、「撮られた情報が、知らないうちに、不当な目的で使われること」への恐れです。であれば、守るべき急所は、情報が外へ出ていく出口です。

VRAIOのしくみ

ルールを定める：誰が、どの情報を、何の目的で、どの対象・時間範囲について取り出し、誰に渡せるか。ルールは社会が決めます。
申告する：情報を取り出したい者は、目的、内容、ルールへの適合、根拠を、共通の形式（GLO：Guide to the Expression of Legitimacy of Output）で申告します。
記録する：独立した記録者（Recorder）が、申告をルールと照合し、申告と開示の判断を改ざん困難な形で記録します。記録者は映像の中身を見る必要も、復号の鍵を持つ必要もありません。
監査する：開示の後、抜き取り監査で申告と実際に取り出された情報を照らし合わせ、不正を発見し、責任者を特定します。
制裁する：不正には実効的な制裁を科します。不正によって得られる利益よりも、発見され制裁される不利益の方が大きくなるように設計します。

FMPSでの具体的な形

運用と鍵の管理：自治体が担います。機器メーカーや通信事業者は、映像を自由に見ることができません。
申請者：警察（捜査）や自治体の担当部署（行方不明者の捜索など）。
警察による取得：一つの考え方として、通常は裁判所の令状を必要とし、緊急時は事後に令状を得る運用が考えられます。
緊急時：申告・記録・監査は、緊急時も通常と同じ手続きで行います。
記録の細かさ：閲覧された画像を1枚単位で記録します。

図：FMPS＋VRAIOの構成。映像は各街路灯に暗号化して保存され、記録者を経た開示手続きによってのみ取り出される。

「善意」ではなく「仕組み」で

これまでの監視カメラの運用は、運用者の善意や、ガイドラインの遵守に頼ってきました。VRAIOは、不正が発見可能であり、制裁を受ける状態を仕組みとして作ります。正直な運用者にとっては、自らの正当性を示す手段にもなります。

この考え方の原型は、すでに実際のシステムとして動かしています。桐生市のe自警ネットカメラの実証実験では、記録サーバの許可なしに映像を見ることはできず、閲覧行為はすべて一般公開されました（11章、デモ3：市役所職員によるストーキング（PDF））。

ルールは社会が決める

VRAIOは、具体的なルールを決めるものではありません。誰が何を取り出してよいか、令状を要するか、閲覧された本人に通知するか、利用統計をどう公開するか。これらは、法律や条例を通じて社会が決めることです。VRAIOは、決められたルールが実際に守られていることを、後から検証できるようにする仕組みです。

画質を落として守る、のではない

「顔が映らない低画質のカメラなら安心」という考え方もあります。しかしFMPSでは、画質は追跡と同定に必要かどうかで決めます。要所では、顔や車のナンバーも鮮明に記録します。プライバシーは、計測能力を削ることではなく、出力の統治によって守ります。これがVRAIOの考え方の核心です。

← 前へ：5. 数字で見るFMPS ｜次へ：7. 政府が悪用しようとしたら →