{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
米国の法規制に関する最新動向を把握する上で、先進的な取り組みを続けるカリフォルニア州とニューヨーク州の動きは重要な指標となります。とりわけ、両州で導入された規制が他州や連邦レベルへ波及する傾向があることから、その影響力は無視できません。本稿ではプライバシー、サイバーセキュリティ、AIといった分野での両州の法整備の現状を取り上げ、具体的な制度内容とその背景を解説します。
カリフォルニア州のプライバシー規制
CPRAで強化された個人情報保護の新基準
最初にカリフォルニア州のプライバシー規制について解説します。2024年、同州では「カリフォルニア州プライバシー権法（California Privacy Rights Act：以下、CPRA）」が施行されました。これは2020年に施行された「カリフォルニア消費者プライバシー法（California Consumer Privacy Act：以下、CCPA）」を土台とし、さらに厳格な義務と権利を加えた制度です。
下表（図表1）はCPRAの主な変更点を示したものです。上段から解説していきましょう。
図表1：カリフォルニア州プライバシー権法（CPRA）
まず、規制の対象範囲です。CCPAと同様に、カリフォルニア州に居住する個人のデータを取り扱う事業者が対象となります。ただし、CPRAではその適用基準が引き上げられ、CCPAでは5万人以上の消費者情報を保有する事業者が対象とされていたところ、CPRAでは10万人以上に拡大されました。
次に、個人に保障される権利です。従来の「知る権利」「削除請求権」「オプトアウトの権利」に加え、CPRAでは新たに「不正確な個人情報の訂正を求める権利」や「機微な個人情報の使用・開示の制限を求める権利」も明示され、より詳細なコントロールが可能となっています。
なお、この「機微な個人情報」には健康情報やセキュリティ情報だけでなく、従業員データも新たに包含されています。個人情報の範囲は拡大しており、企業側の管理負担も一段と増しているのです。
中でも注目すべきは、事業者に課される義務の強化です。従来の情報収集や取り扱いに関する基本的な責任に加え、CPRAでは新たに以下の3点が義務付けられています。
- データの最小化原則……収集・保存を必要最小限にとどめる
- 第三者との契約義務……個人データ取り扱いに関する明確な契約内容を定義
- 合理的なセキュリティ対策の実施
リスク評価も、CPRAでは要件が厳格化されました。企業は定期的にリスクアセスメントを実施し、その結果を基に第三者機関による年次監査を受けることが義務付けられています。これにより情報管理体制の透明性と信頼性が一層重視されるようになりました。
また消費者からの情報開示請求やオプトアウトの申請手続きに対しては、わかりやすい案内と確実な対応体制を整備することが求められます。これには実際にその機能が正しく動作しているかを確認するテストの実施も含まれます。
カリフォルニア州のAI規制動向
廃案の「SB 1047」が示したAI規制の方向性
次に、カリフォルニア州のAI（人工知能）規制動向を取り上げます。
最初にお断りしますと、ここで取り上げる法案は、最終的に廃案となりました。しかし、その内容が公表された際、AI業界には大きな衝撃が走りました。このため、たとえ廃案となったものであっても、今後の規制動向を考える上で示唆に富む内容であることから、あえて紹介します。
その法案とは、カリフォルニア州上院に提出された上院法案「Senate Bill 1047：以下、SB 1047」です。AI技術の提供者や利用者、特にクラウドインフラを提供するプロバイダーに対し、サイバーセキュリティ上の新たな義務を課すものでした。
図表2：カリフォルニア州「最先端人工知能モデルのための安全で安心な技術革新法案（SB1047）」と欧州AI法との比較
同法案で注目されたのが、AIに「シャットダウン機能」の実装を義務付ける条項が含まれていたことです。これはAIが誤作動を起こしたり、危険な出力をしたりした場合に、外部から強制的に停止できる緊急措置機能の実装を求めていました。
SB 1047は、すでに可決・施行されている欧州の「欧州データ法：Data Act（以下、データ法）」としばしば比較されます。両者には共通点も見られますが、その根幹にある規制アプローチは大きく異なります。その違いを見ていきましょう（図表2）。
まず、データ法は「リスクベースアプローチ」を採用しています。これはAIシステムをリスクの度合いに応じて分類し、生体認証や重要インフラ管理など、特に高リスクとされる用途に対してのみ、厳格な要件を課すという考え方です。このアプローチは、技術の活用と規制のバランスを取りやすく、柔軟な制度設計が可能であることが特徴です。
一方、SB 1047では用途ベースのリスク分類ではなく、AIの「計算処理能力（コンピュテーショナルコスト）」に基づいて適用対象を定めていました。つまり、用途に関係なく、一定以上の計算能力を持つAIシステムを、一律に規制の枠内に含める設計だったのです。この点が、用途ベースで線引きするデータ法との決定的な違いです。
もう一つ注目すべき特徴は、SB 1047がAI開発者だけでなく、クラウド事業者にも義務を課していた点です。具体的には、AIモデルをクラウド上で提供・ホスティングするプロバイダーに対しても、以下のような対応が求められる仕組みでした。
- セキュリティ対応の透明性確保
- 緊急時におけるAI停止措置の実装
つまり、AI自体を開発していなくても、その運用インフラを担う事業者に対しても、規制の矛先が向けられていたのです。このような包括的な規制設計は、AIの影響範囲が広がる現代において、今後の制度設計にも影響を与える可能性があります。
SB 1047は適用範囲が広く、技術的要件が具体的であったため、シリコンバレーを中心とする技術系企業から強い反対意見が表明されました。最終的にカリフォルニア州知事によって拒否権が発動され、廃案となりました。拒否権行使の主な理由は、厳格な規制がAI開発・イノベーションを萎縮させる懸念があったためです。
ただし、法案自体は廃案となったものの、法案の内容はAI規制のあり方についてさまざまな議論を引き起こし、今後のAI法規制の方向性に影響を与える先例となっています。特に、技術的要件の具体化と開発イノベーションのバランスをどう取るかという課題は、今後の規制フレームワーク構築において中心的な論点となるでしょう。
なお、同じ時期にカリフォルニア州ではAIに関するもう一つの法案「AB 2013」も提出されていました。AB 2013は、AIの開発や利用における透明性の確保を目的とし、事業者に対して一定の情報開示を義務付ける内容です。SB 1047のような強制的な技術的要件を伴わないこともあり、大きな反対もなく可決・成立しました。
同時期に提出された2つのAI規制法案が対照的な結末を迎えたことは、カリフォルニア州がイノベーションの継続と利用者保護のバランスを慎重に模索していることの表れです。州知事による拒否権の行使も、過度な技術介入による成長阻害を避けつつ、社会的責任を果たすという観点からの判断と言えるでしょう。
一方、米国連邦政府レベルでは、依然として包括的なAI規制法は存在していません。2023年にはバイデン政権下で、連邦機関におけるAI開発と利用を統制する大統領令が発令されました。しかし、2025年に発足した第二次トランプ政権によって早期に撤回されています。こうした政権交代による方針転換は、連邦レベルでの規制の不安定さを浮き彫りにしています。
このように、米国のAI規制は今後も州主導での制度設計が進む可能性が高く、州ごとの対応方針の違いにも注目が集まります。AI規制の行方を読み解く上では、州レベルと連邦レベルの両面から、制度の継続性・実効性・バランス感覚を見極めていくことが求められます。
経営責任を明文化したニューヨーク州の先進的サイバー規制
全社的対応を求める実務志向の規制枠組み
次に取り上げるのは、ニューヨーク州の代表的なサイバーセキュリティ規制「23 NYCRR Part 500」です（図表3）。同規制は2017年に施行され、主に金融機関や保険業などの金融サービス事業者を対象としています。しかし、その特徴である経営レベルの説明責任とガバナンス強化を重視した構造は、他業種の企業にとっても参考価値が高いものとなっています。
図表3：ニューヨーク州「サイバーセキュリティ規制（通称23 NYCRR Part 500）」概要
出所：Department of Financial Services, Cybersecurity Resource Center, 2023
https://www.dfs.ny.gov/industry_guidance/cybersecurity
同規制の対象はニューヨーク州の銀行法・保険法・金融サービス法の下で認可を受けた事業者で、これらには金融サービス局（NYDFS）に対して「準拠証明書」の提出が義務付けられています。違反時の罰則は1件あたり最大1,000米ドルと単体では高額ではありませんが、関連法に基づく追加制裁の可能性もあり、重大な経済的影響を及ぼすリスクがあります。
2023年改定で注目すべきは「ガバナンス要件」の強化です。サイバーセキュリティポリシーとガバナンス体制に関する要件が大幅に拡充されました。改定では脆弱性管理や監査要件も含まれていますが、最も重視されているのは「経営レベルでの説明責任」です。改定に伴う主な変更点は以下のとおりです。
- 対象企業の区分化
事業規模・内容に応じて3クラスに分類し、それぞれに最適な要件を適用 - ガバナンス体制の強化
サイバーセキュリティの管理責任が取締役会や役員クラスにあることを法的に明確化し、問題発生時には監督当局への説明と報告を義務化 - 要求事項と義務
「ゼロトラスト」の考え方に基づく出口対策など、侵入前提のセキュリティ対策の義務化 - レジリエンス強化
定期的なリスク評価、インシデントレスポンス計画、BCP・DRPの整備を通じた回復力向上 - 教育・訓練の強化
従業員向け定期的サイバーセキュリティトレーニングと意識向上プログラムの義務化
この改定は特に重要な転換点と言えます。サイバーセキュリティを単なる技術的問題から経営課題へと位置付け、取締役会や役員クラスの責任を法的に明確化しました。同時に、企業全体のレジリエンス向上を図る多層的な対策も導入されています。サイバーセキュリティ管理責任が経営層にあることを明文化した点は、多くの企業にとってガバナンス体制を見直す重要な契機となるでしょう。
23 NYCRR Part 500に学ぶ
サイバーセキュリティガバナンスの構造と責任体制
前述したとおり23 NYCRR Part 500は組織構成と責任体制を詳細に規定しているため、金融業界に限らず多業種で応用可能なモデルとなっています。ここでは責任体制を詳しく紹介しましょう（図表4）。
図表4：ニューヨーク州「サイバーセキュリティ規制（通称23 NYCRR Part 500）」ガバナンスに関するポイント
出所：23 NYCRR Part 500（https://www.dfs.ny.gov/industry_guidance/cybersecurity）からPwCコンサルティングが作成
組織の最上位には「上級統治機関」が位置付けられます。同機関は取締役会や上級役員で構成され、金融サービス局に対して最終的な説明責任を負います。サイバーインシデント発生時には迅速な報告が求められ、特にランサムウェア攻撃による身代金支払いの可能性がある場合は、遅滞なく対応する必要があります。
上級統治機関の下にはCISO（Chief Information Security Officer：最高情報セキュリティ責任者）が配置されます。CISOは現場レベルのセキュリティ管理を統括し、経営層に必要情報を提供して意思決定を支援します。現場と経営層をつなぐ橋渡し役として、ガバナンス全体の要となります。
CISO配下には日常的なセキュリティ業務やインシデント対応を担当する現場担当者が配置され、CISOへの報告を通じて組織全体のセキュリティ状況を共有します。また、必要に応じて上級統治機関が現場担当者と直接連絡を取ることも想定されています。
23 NYCRR Part 500のユニークな点は、経営層の責任を抽象的な概念ではなく、具体的な業務要件として定めている点です。上級統治機関（取締役会・経営層）が「どのようなセキュリティ情報を」「どのような頻度で」把握し、「どのように対応すべきか」という実務レベルの監督要件まで明文化されています。
こうした具体的な責任定義と階層的なガバナンス構造は、金融業界に限らず多くの産業で応用できる普遍的価値を持っています。技術部門だけでなく経営層が主体的にセキュリティ体制を構築・監督する枠組みは、デジタル時代における組織ガバナンスの新しいスタンダードを提示していると言えるでしょう。
進化するサイバー・AI政策から学ぶ
法規制は「経営課題」であること
本稿では、米国におけるセキュリティ関連法規制の最新動向として、カリフォルニア州とニューヨーク州の事例を中心に紹介しました。
現在のサイバーセキュリティ政策には、共通する重要な潮流があります。それは「経営レベルのガバナンス強化」と「説明責任の明確化」です。
具体例として、NIST（米国国立標準技術研究所）が2024年に公開した「サイバーセキュリティフレームワーク2.0」があります。この改定版では、組織のガバナンス構造に関する要件が大幅に強化されました。同時に、サプライチェーン保護など、より具体的で実践的な対策要素も追加されています。
また、重要インフラ事業者向けの「CIRCIA（重要インフラサイバーインシデント報告法）」も法制化が進められており、インシデント発生時の報告義務とともに、組織全体でのリスク管理体制構築が求められています。
一方、AI規制については、連邦レベルでの包括的法制度はまだ整備されていません。大統領令を通じて政府調達・透明性・セーフガードに関する方針が徐々に示されていますが、政権交代によって政策が大きく変動する可能性があります。そのため企業は州法の制定動向を常に監視する必要があります。
今後の法規制は技術要件の遵守だけでなく、経営層主導のリスク管理と説明責任を重視する方向へ進むでしょう。米国では州ごとに規制が異なるため、企業は最も厳しい基準に合わせた柔軟な対応戦略が求められます。法規制を単なる制約ではなく、むしろ組織の競争力を高めるチャンスとして捉える視点が、これからの時代には不可欠です。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
