何が変わったのか
Anthropicは6月17日付でプライバシーポリシーを改訂し、7月8日から発効させます。新条項では、不正行為の疑いでアカウントがフラグされたユーザーが、即時BANではなく「異議申し立て(appeal)」のプロセスとして、パスポートや運転免許証のスキャン画像、自撮り写真または動画、デジタル化された顔ジオメトリのテンプレートをアップロードする運用が定められました。検証はサンフランシスコのPersonaが担います。
なぜ「ポリシー明記」が重要か
年齢確認自体はAnthropicが今年初頭に各国・各州法対応として導入済みでしたが、生体情報を含む本人確認の根拠条項がプライバシーポリシーに反映されたのは今回が初めてです。広報のMichael Aciman氏は、対象は「フラグが立ったユーザーのごく一部」とするThariq Shihipar氏のX投稿を共有しましたが、具体的人数は明らかにしていません。
見落とせない3つの論点
第一に、顔ジオメトリはイリノイ州などで「法的に保護される生体情報」に分類される機微データです。第二に、Personaに残るID情報の保持期間をAnthropicが決める建て付けですが、削除タイミングは明示されていません(同じPersona顧客のRobloxは「処理後即時削除」と公表)。第三に、Personaの出資元Founders Fundを率いるPeter Thiel氏はAnthropicにも投資しており、データガバナンス上の利害関係が論点になり得ます。背景には、Trump政権との関係悪化や国防総省による「サプライチェーンリスク」指定など、Anthropicが当局対応で踏むべき手順を増やしている事情も透けます。
💼 事業会社視点：これは自社にどう効くか
日本の事業会社が今やるべきこと
SaaS・受託開発・ECで業務にClaudeを組み込んでいる企業にとって、今回の改訂は「アカウント停止リスクの管理」を委託先選定の論点に格上げするシグナルです。フラグの基準は非公開で、対象は数千万MAUのうちの「ごく一部」とされますが、業務アカウントが巻き込まれた場合、社員に個人のパスポートと顔データの提出を求めることになります。これは多くの日本企業の個人情報取扱規程・労務ポリシーと衝突します。
役員・情シス責任者が今週中に着手すべきは三点です。第一に、Claudeを「業務用Workspaceプラン」と「個人ログイン」のどちらで利用しているか棚卸しし、後者を法人契約に寄せる。第二に、Persona経由で取得される生体データの保持・削除条件をAnthropicに書面で確認し、調達契約のDPAに反映する。第三に、米政権との緊張関係(国防総省のサプライチェーンリスク指定、Fable/Mythos周辺の摩擦)を踏まえ、OpenAI・Google・国産モデルとのマルチベンダー前提で業務フローを設計し直すことです。単一ベンダー依存は、技術リスクではなく地政学リスクとして再評価する局面に入っています。