カナダBill C-22のSAAIA条項が示す監視インフラの二段構え構造 (2026-03-16)
カナダBill C-22：批判吸収と監視インフラ拡張の二段構え
Bill C-22の構造は「前半で批判を吸収し、後半で本来の目的を通す」という二段構えになっている。
2年前、Bill C-2は「憲法上の根拠が極めて薄い」として即座に批判を受け廃案になった。Bill C-22はその反省を表面的に取り込んでいる。令状なしの情報開示要求の対象を「すべてのサービスプロバイダー」から「通信事業者」に絞り、加入者情報へのアクセスには裁判官の審査を必要とする制度を導入した。これは確かに前進だ。
だが問題はSAAIA（Supporting Authorized Access to Information Act）の側にある。
「電子サービス」の定義が極めて広い。「情報の作成・記録・保存・処理・送信・受信・発信、または電子的・デジタル的・磁気的・光学的・生体認証的・音響的その他の技術的手段による情報の利用可能化を伴うサービス、またはその機能」とある。
（この定義はGmailもWhatsAppもクラウドストレージも、場合によってはAPIサービスも射程に収める。）
さらに深刻なのはメタデータ保持義務だ。Bill C-2にはなかった規定として、「コアプロバイダー」は最長1年間の伝送データを含むメタデータを保持しなければならない。コンテンツや閲覧履歴は除外されているが、誰がいつどこと通信したかを示すメタデータは、それだけで行動パターンの再構成を可能にする。
加えて、この義務はSecret（秘密保持義務付き）で課される。プロバイダーは要請を受けたことを公開できない。監視インフラの整備が公衆の目から隠れたまま進む構造になっている。
「reasonable grounds to suspect」という低い疎明基準が生産命令に適用される点も重要だ。
【補足】カナダ刑事法における疎明基準の階層を整理すると、最も低い「reasonable grounds to suspect」（合理的疑念）→「reasonable grounds to believe」（合理的信念）→令状取得に通常必要な「probable cause」相当の基準、という順に確信度の要求が高くなる。SAAIAが生産命令に「suspect」基準を採用することは、通常の令状より低いハードルで大量のメタデータへのアクセスが可能になることを意味する。 この基準は「合理的に疑う根拠」があれば足りるもので、「合理的に信じる根拠」（より高い確信度が必要）を要求する「reasonable grounds to believe」より低い。「reasonable grounds to believe」より低いこの基準は、令状取得のハードルを実質的に下げる。司法審査が形式的に存在しても、基準が低ければ抑止力にならない。
2APプロトコル（ブダペスト条約第二追加議定書）とCLOUD Actへの準拠が明示されていることも見逃せない。
【補足】ブダペスト条約第二追加議定書（2APプロトコル）は、サイバー犯罪に関する証拠の越境アクセスを締約国間で相互に認める枠組みだ。2022年に採択され、一方の国の当局が他国のサーバー上のデータに直接アクセスする手続きを標準化する。CLOUD Act（米国、2018年）は米国企業に対し、米国当局の要請があれば海外サーバーのデータも提供する義務を課す法律で、両者が組み合わさることで「データの物理的所在地」による保護が実質的に弱体化する。英国のInvestigatory Powers Act、オーストラリアのASIO法改正、米国のCLOUD Actが相次いで強化された文脈でBill C-22が登場している。カナダがSAAIAを通過させれば、「民主主義国家でも同様の立法が可能」という先例が生まれ、Five Eyes諸国の類似立法を後押しする。
【補足】Five Eyes（ファイブアイズ）は米国・英国・カナダ・オーストラリア・ニュージーランドの5か国による情報共有同盟で、通信傍受・諜報活動の成果を相互に共有する取り決めを持つ。各国の監視立法が相互参照されやすい背景には、この同盟の枠組みがある。
開発者への示唆
カナダにユーザーを持つSaaSやAPIサービスを運営しているなら、自社が「電子サービスプロバイダー」の定義に該当するかを今すぐ法務と確認すべきだ。定義の広さから見て、Webアプリケーションの多くが対象になり得る。
メタデータのログ設計を見直す必要がある。保持義務が課された場合、何を「伝送データ」として扱うかの解釈次第でコンプライアンスコストが大きく変わる。今のうちにログの粒度と保持ポリシーを整理しておかないと、後から設計を変えるコストが跳ね上がる。
CLOUD Act準拠が明示されている以上、カナダサーバーに置いたデータが米国当局からも到達可能になる経路が法的に整備されつつある。データ主権を重視するユーザーに対して、どの管轄にデータを置くかを説明できる状態にしておくことが、今後の差別化要因になる。
エージェントAIのガバナンス：AB 316施行とゾンビエージェント問題
ノーコードのエージェントツールが複数ベンダーから相次いで登場し、エージェントの「製造者」が専門エンジニアだけでなくなった。
従来のガバナンスは「人間がループの中にいる」前提で設計されていた。チャットボット形式で人間がプロンプトを投げ、出力を確認してから次のアクションに進む。このサイクルがあったから、モデルの出力リスクを事後的にチェックする静的なガバナンスが機能していた。
自律エージェントはこの前提を壊す。複数の企業システムをまたいでアクションをチェーンするエージェントは、単一の人間ユーザーに付与されるはずの権限を超えてドリフトする可能性がある。サービスアカウントの永続的な認証情報、長期有効なAPIトークン、コアファイルシステムへの書き込み権限——これらをエージェントが保持したまま無人で動き続ける。
カリフォルニア州法AB 316が施行された。「AIがやった、私は承認していない」という言い訳が法的に通用しなくなった。
【補足】AB 316はカリフォルニア州の自動意思決定システム（ADMT）に関する法律で、企業が自律的なAIシステムを業務に使用する場合、そのシステムが引き起こした損害について企業と担当者が民事責任を負うことを明確化している。適用範囲は雇用・住宅・金融サービス等の高リスク領域が中心だが、エージェントが複数システムをまたいで動作する場合の責任帰属の解釈はまだ判例が少ない。エージェントが引き起こした損害の責任は、エージェントを動かしている企業と人間が負う。
もう一つ見落とされがちなリスクが「ゾンビエージェント」だ。従業員が部門を異動したり退職したりすると、その従業員IDと権限に紐づいたエージェントが孤立して動き続ける。GPUクラウドインスタンス上で放置されたAIパイロットを特定・停止することで数十万ドルを節約できた事例が紹介されているが、これは氷山の一角だ。
（OpenClawのような個人エージェントがGitHub経由で普及するという動きは、かつてのシャドーITの再来だが、スケールと権限の深さが桁違いだ。シャドーITは「勝手に入れたSaaSツール」だったが、エージェントは「勝手に動いてAPIを叩き、データを書き換えるプログラム」だ。）
コストの現実も厳しい。IDC調査によれば、エージェントAIを実装した組織の多くがコスト超過を報告している。このコスト超過には、インフラコストだけでなく、ゾンビエージェントの後始末や権限管理の工数が含まれていると推測できる。ROIの計算式に「ガバナンス維持コスト」を最初から入れていない組織が多い。
開発者への示唆
エージェントに付与する権限は「最小権限の原則」を最初から強制するべきだ。チェーンアクションが複数システムをまたぐ場合、各ステップで必要な権限スコープを明示的に宣言し、それ以外へのアクセスをコードレベルでブロックする。「とりあえず広い権限を渡しておく」設計は、AB 316相当の法的責任に直結する。
エージェントのライフサイクル管理をIDaaSと連動させるべきだ。エージェントの作成時に作成者の従業員IDをメタデータとして必ず紐づけ、その従業員IDが無効化されたタイミングで自動的にエージェントを停止またはレビューキューに入れる。ガバナンスを静的なポリシー文書として整備するアプローチは、自律エージェントの速度には追いつかない。
Eon Systemsの「ハエ脳アップロード」：コネクトームと同一性の定義問題
Eon Systemsが「ハエの脳をコンピュータにアップロードした」と主張する動画が拡散した。専門家の評価は厳しい。カーネギーメロン大学のAran Nayebi教授は「脳全体を捉えることにすら全く近づいていない」と言い切った。神経伝達物質の情報がなく、シナプスの結合強度も欠けている。Eonが公開したのは2本の動画と後から出てきたブログ記事だけで、論文もなく、コードもなく、独立した検証もない。
だが、この騒動の核心は技術的な誤魔化しではない。
仮にEonが本当にハエの脳を完全にコピーしたとして、それは「ハエ」なのかという問いに、誰も答えられない。さらに難しい事実がある。画面上の「ハエ」は複数の異なる個体から取得したデータを継ぎ合わせた合成物だ。特定の一匹のハエの脳ではない。
「脳のアップロード」という言葉は、連続性と同一性を暗黙に前提にしている。「この個体の意識がデジタルに移行した」というイメージだ。だが今回の手法は、複数の個体の配線図を統合し、既存の物理シミュレーター（MuJoCo）と既存の神経モデル（Philip Shiu, Nature 2024）を組み合わせただけだ。ハエの行動を再現するシステムを作ったのであって、特定のハエを移したわけではない。
FlyWireプロジェクトが公開したコネクトーム（ハエの脳の配線地図）は本物の科学的成果だ。
【補足】FlyWireはプリンストン大学とグーグル・リサーチが主導するプロジェクトで、キイロショウジョウバエ（Drosophila melanogaster）の脳全体の約13万8千ニューロンと5000万以上のシナプス結合を電子顕微鏡画像から再構成し、2023年にNature誌で公開した。このデータセットはオープンアクセスで提供されており、Eonを含む複数の研究グループが利用している。だがコネクトームは「配線図」であって「脳」ではない。電気回路の配線図を持っていても、それを動かす電気の性質や部品の物理特性を無視したら、回路は動かない。神経科学でいえば、シナプスの重みや神経伝達物質の種類がそれに当たる。Eonがやったことは、配線図に単純な発火モデルを当てはめてシミュレーターを動かしたことだ。これ自体は悪い研究ではない。問題は「リアルアップロード」という言葉で包んだことだ。
ハーバードのAlexander Bates研究員が「強いフレーミングとハイプは資金調達に効く」と言及しているのが全てを物語っている。科学的な正確さよりも、投資家向けのナラティブが優先された。
開発者への示唆
コネクトームや神経モデルのオープンデータを使って何かを作るなら、「既存データの組み合わせ」と「新規の発見」を明確に区別して発信すべきだ。FlyWire・MuJoCo・Shiu 2024という全て既存のリソースを繋いでいることを正確に伝えれば、むしろ再現性の高さが強みになる。
Eonが主張する「91%の行動精度」のような数値を出すなら、ベースライン・評価対象・測定方法をセットで公開しなければ意味をなさない。数値だけ先行させると、専門家から即座に信頼を失う。今回のケースがその典型だ。
ハイプが先行したリリース発表を見たとき、論文リンクとコードリポジトリの有無を最初に確認する習慣が防衛策になる。この案件では両方なかった。それだけで判断の保留理由として十分だ。
総括
カナダBill C-22のSAAIA条項は、裁判官審査の導入というBill C-2への応答を政治的カバーとして使いながら、「電子サービス」の広義定義と最長1年のメタデータ保持義務を通過させる構造になっている。CLOUD ActとブダペストCondition 2APへの準拠が明示されている以上、これはカナダ国内の問題にとどまらず、Five Eyes諸国の監視立法の相互参照サイクルに組み込まれる。
AB 316施行とIDC調査が示すのは、ガバナンスコストが後から顕在化する構造だ。ノーコードエージェントが普及するほど、ゾンビエージェントと権限ドリフトの問題は組織規模に関係なく発生する。
Eon SystemsのハエシミュレーターはFlyWire・MuJoCo・Shiu 2024という既存リソースの組み合わせだったが、「リアルアップロード」というフレーミングで拡散した。Nayebi教授の批判とBates研究員の「ハイプは資金調達に効く」という発言が並ぶとき、科学的検証の不在がどのように投資家向けナラティブに転換されるかの構造が見える。論文とコードリポジトリの不在を確認するだけで、この種の主張の大半は保留できる。