何が起きたか
Elizabeth Warren上院議員（D-MA）とMary Gay Scanlon下院議員（D-PA）は、2022年6月に提出されたHealth and Location Data Protection Actの改訂版を近く再提出します。Ron Wyden、Bernie Sanders両上院議員も共同提案者に名を連ねます。
原案はデータブローカーによる健康・位置情報の収集と売買を禁じる内容でしたが、改訂版では「ブローカーにデータを売る他の企業」、そして「AIシステムに入力されたデータ」を明確に規制対象に含めました。法案は施行180日以内にFTCに規則制定を求め、FTC・州司法長官・被害を受けた個人による提訴を可能とし、今後10年でFTCに10億ドルの執行予算を割り当てます。
なぜ今、AIが対象になったのか
背景には、AIラボの医療領域への急速な進出があります。今年1月、Elon Musk氏はMRIスキャンなどの医療記録をxAIのGrokにアップロードするよう公に呼びかけました。同月、OpenAIはChatGPT内に隔離タブとして「ChatGPT Health」を導入し、医療提供者向けの「ChatGPT for Healthcare」も発表。数日後にはAnthropicも「HIPAA-ready」を掲げる「Claude for Healthcare」を投入しています。
規制の空白という構造問題
イリノイ大学アーバナ・シャンペーン校のSara Gerke氏はThe Vergeに対し、OpenAIやAnthropicのツールにおけるデータ保護は「企業がプライバシーポリシーや利用規約で約束する内容に大きく依存している」と指摘しています。米国には包括的な連邦データプライバシー法が存在せず、AIへの入力データは法的グレーゾーンに置かれてきました。今回の法案は、その空白を「医療・位置情報」という最も機微な領域から埋めようとする動きです。
💼 事業会社視点：これは自社にどう効くか
日本企業にとって、これは「対岸の火事」ではありません。
第一に、米国市場で医療・ヘルスケア関連SaaSを展開する日本企業は、法案成立時に自社プロダクトがAI事業者にデータを「販売」する立場とみなされないか、契約構造の精査が必要です。LLM APIへの入力データの取り扱いは、Business Associate Agreement（BAA）の有無だけでは不十分になる可能性があります。
第二に、国内のSI・受託開発企業は、顧客から「ChatGPTやClaudeに医療データを投入する社内ツールを作りたい」という要望が今後増えますが、米国の規制動向は日本の個人情報保護委員会の議論にも波及します。今のうちに「LLMにアップロードしない設計（RAGでもベクトル化前にマスキング）」をデフォルト提案に組み込むべきです。
第三に、事業会社の経営者は、従業員が業務でMRI画像や健康診断結果を生成AIに投げる行為を黙認していないか、利用ガイドラインを今すぐ点検すべきです。米国で訴訟リスクが顕在化すれば、ベンダーの利用規約は一斉に厳格化し、既存ワークフローが突然動かなくなる事態が起こり得ます。