NECと富士通が静かに変えた「実証」の意味——顔認識AIはいつ「常設インフラ」になったのか
2026年9月現在、日本の主要空港や大規模イベント会場には、顔認識AIカメラが当たり前のように設置されています。しかし、その多くが「実証実験」という名目で始まったことを覚えている人は、どれほどいるでしょうか。
ここに重要な転換点があります。「実証」という言葉が、いつの間にか「常設」と同義になりつつあるのです。
NeoFaceが切り開いた空港の顔認証ゲート
NECの顔認識エンジン「NeoFace」は、米国国立標準技術研究所（NIST）が実施する顔認識ベンチマークテスト（FRVT）において、複数回にわたり世界トップクラスの精度を記録してきました（NIST FRVT Ongoing、2023年評価結果）。この技術的優位性を背景に、NECは日本国内の公共インフラへ着実に浸透しています。
代表的な事例が、成田空港・羽田空港における「顔認証ゲート」です。法務省は2018年に成田空港で日本人帰国者向けの顔認証ゲートを導入しました（法務省入国管理局発表、2018年10月）。当初は一部レーンでの試験運用でしたが、その後、羽田・関西・中部の各空港へ順次拡大。2024年度末時点で全国主要7空港に常設されています（出入国在留管理庁公表資料、2025年3月）。
注目すべきは、この拡大プロセスの静かさです。大規模な国会審議や市民への告知キャンペーンを経ることなく、運用実績の積み重ねによって「既成事実」が形成されていきました。
富士通の顔認識基盤とイベント会場への展開
一方、富士通も独自の顔認識プラットフォームを展開しています。富士通は自社の映像解析AI技術を活用し、大規模イベントや商業施設向けのセキュリティソリューションを提供してきました。
実は、2021年の東京オリンピック・パラリンピックは大きな転機でした。NECが大会関係者向けの顔認証入退場システムを提供し、約30万人以上の大会関係者がこのシステムを利用したと報じられています（NEC公式プレスリリース、2021年7月）。オリンピックという国家規模のイベントで「問題なく運用できた」という実績——これが、その後の常設化を正当化する強力な根拠となりました。
「実証実験」が終わらない理由
ここで整理しておきたいのが、「実証実験」と「常設運用」の境界が曖昧になる3つの要因です。
第一に、終了期限の不在。 多くの実証実験には明確な終了日や評価基準が公表されていません。期間が延長され続け、気がつけば数年間「実証中」という状態が続きます。
第二に、調達プロセスの不透明さ。 警察庁や各自治体が顔認識システムを調達する際、随意契約や少額契約が用いられるケースがあり、公開入札を経ないまま特定ベンダーとの関係が固定化される傾向があります。
第三に、評価結果の非公開。 実証実験の成果報告書が一般に公開されないことが多く、市民が「その実証は成功だったのか、失敗だったのか」を検証する手段が限られています。
つまり、「実証実験」というラベルは、法的・制度的な正式承認を経ずにシステムを稼働させ続けるための、一種の緩衝材として機能しているのです。
警察庁は2023年度に「映像解析における人物照合技術の活用に関する調査研究」を公表し、AIによる映像解析技術の有用性を認めているとされています（警察庁、2024年3月公表）。しかし、これはあくまで「調査研究」であり、運用を法的に認可する根拠文書ではありません。
この曖昧さこそが、次のセクションで掘り下げる「法的空白」の入り口です。日本の顔認識AIは、技術としては世界最高水準にありながら、その運用を律する法的枠組みが追いついていない。この非対称な状態が何をもたらすのか。順を追って見ていきます。
法律がない場所で何が起きているか——個人情報保護法・警察庁ガイドライン・生体データ蓄積の三角構造
前セクションで見た通り、日本の顔認識AIは「実証実験」という緩衝材に包まれたまま常設化が進んでいます。では、その運用を支える法的根拠はどこにあるのか。結論から言えば、包括的な根拠法は存在しません。
現在の運用を支えているのは、3つの制度的要素の組み合わせです。個人情報保護法の拡大解釈、警察庁内部ガイドライン、そして生体データ蓄積に関する規制の不在。この三者が絡み合うことで、法律がないまま運用が成立する「グレーゾーン」が維持されています。
個人情報保護法——「顔データ」は想定されていたか
個人情報保護法（2022年4月施行の改正法）は、顔認識データを「個人識別符号」として明確に定義しています（個人情報保護法第2条第2項、個人情報保護委員会ガイドライン）。つまり、顔の特徴量データは氏名や住所と同等の「個人情報」です。
しかし、ここに重要な抜け穴があります。同法第58条（旧行政機関個人情報保護法からの統合規定）は、刑事事件の捜査や公共の安全維持を目的とする場合、個人情報の取得・利用に関して本人同意の例外を認めています。警察機関は、この例外規定を根拠に顔認識データの取得を正当化できる余地を持っているのです。
実は、この例外規定の範囲は極めて広く解釈されています。個人情報保護委員会が2025年6月に公表した「令和6年度年次報告」では、法執行機関からの個人情報取扱いに関する相談件数が前年度比で約1.3倍に増加したことが報告されています（個人情報保護委員会、令和6年度年次報告）。相談が増えている事実は、現場で判断に迷うケースが増加していることを示唆しています。
警察庁ガイドライン——法律ではない「運用指針」の限界
警察庁は映像解析技術の活用について内部的なガイドラインを策定していますが、これは法律ではなく行政内部の運用指針に過ぎません。国会の議決を経た法令とは法的拘束力が根本的に異なります。
ガイドラインの最大の問題は、外部からの検証が極めて困難な点です。警察庁が2024年3月に公表したとされる「映像解析における人物照合技術の活用に関する調査研究」は技術的有用性を評価していますが、運用上の制約条件——たとえば「どのような場所で」「どの程度の期間」「どのような犯罪類型に対して」顔認識を使用してよいか——について具体的な線引きを示していません。
ちなみに、この不透明さは日本弁護士連合会（日弁連）も問題視しています。日弁連は2023年9月に「顔認識技術の利用に対する法規制を求める意見書」を公表し、「現行法の下では、顔認識技術の利用に対する実効的な歯止めが存在しない」と指摘しました（日弁連、2023年9月15日付意見書）。
生体データ蓄積——誰も管理していない倉庫
最も深刻なのが、蓄積された生体データの管理体制です。顔認識システムが取得した顔特徴量データは、どこに、どれだけの期間、どのような形式で保存されているのか。この基本的な問いに対する公式回答は、2026年9月時点でも存在しません。
個人情報保護法は「利用目的の特定」と「不要になった際の消去の努力義務」を定めています（同法第17条・第22条）。しかし、捜査目的で取得されたデータがいつ「不要」になるのかの判断基準は、事実上、取得した機関の裁量に委ねられています。データの保持期間、アクセス権限、外部監査の有無——いずれも明確な法的義務として規定されていない状態。
この三角形の構造をまとめると、次のようになります。個人情報保護法は顔データを個人情報と認めつつも法執行機関に広い例外を与え、警察庁ガイドラインは法的拘束力のない内部指針にとどまり、蓄積データの管理ルールは事実上の空白。この3つの「不在」が重なることで、包括的立法なき運用が既成事実として積み上がっていく。これが、日本における顔認識AI運用の法的実態です。
次のセクションでは、この日本の状況をEU AI Actという国際的な対照軸と比較します。規制がある世界とない世界で、何がどう分岐しているのか。その差は想像以上に大きなものです。
EU AI Actとの非対称——「高リスクAI」を原則禁止した世界と、実証フィールド化する日本の分岐点
2024年8月1日、EU AI Act（人工知能規則）が発効しました。世界初の包括的AI規制法です。この法律は、顔認識AIの扱いについて極めて明確な線を引いています。
EU AI Actが引いた「越えてはならない線」
EU AI Actは、AIシステムを4段階のリスクレベルに分類しています。「許容できないリスク」「高リスク」「限定リスク」「最小リスク」の4つです（EU AI Act第5条〜第7条、2024年発効版）。
公共空間におけるリアルタイム遠隔生体認識——つまり、街中のカメラで通行人の顔をリアルタイムに照合する行為——は、原則として「許容できないリスク」に分類されます。事実上の禁止です。例外は、行方不明の子どもの捜索、差し迫ったテロの脅威への対処、重大犯罪の被疑者の特定に限られ、しかもこれらの例外適用には司法機関または独立行政機関の事前承認が必要とされています（EU AI Act第5条第1項(d)）。
ここに日本との決定的な違いがあります。EUは「原則禁止＋例外許可制」。日本は「原則自由＋内部ガイドライン」。規制の出発点がまったく逆なのです。
数値で見る非対称の実態
欧州委員会は、EU AI Actの影響評価において、高リスクAIシステムの適合性評価にかかるコストを1システムあたり約6,000〜7,000ユーロと試算しています（European Commission, Impact Assessment SWD(2021) 84 final）。法令遵守のためのコストは決して小さくありませんが、その代わりに市民は「自分の顔がいつ、どこで、誰に照合されているか」について法的保護を受けられます。
一方、日本ではこうしたコストが発生しない代わりに、運用の透明性も担保されていません。正直なところ、これは技術企業にとって「導入しやすい環境」を意味します。規制コストの低さ、事前承認プロセスの不在、司法審査の欠如。この3つの条件が揃った市場は、グローバルな顔認識AIベンダーにとって魅力的な実証フィールドとなり得ます。
「実験場」リスクという分岐点
実は、この非対称はすでに国際的な文脈で指摘され始めています。国連人権高等弁務官事務所（OHCHR）は2021年の報告書「The right to privacy in the digital age」において、生体認識技術の規制が不十分な国が「技術の実験場」となるリスクを警告しました（OHCHR, A/HRC/48/31, 2021年9月）。
日本がこのリスクシナリオに該当するかどうかは、今後の立法動向次第です。しかし、2026年9月時点で顔認識AIの包括規制法が存在しないG7加盟国は、日本のみという状況は重く受け止めるべきでしょう。EUはAI Act、米国は州法レベルでの規制（イリノイ州BIPA、メリーランド州顔認識法など）、英国はデータ保護法とICO（情報コミッショナー事務局）の執行指針。程度の差こそあれ、いずれも何らかの法的枠組みを整備しています。
日本だけが、技術の先行と法の空白という非対称を抱え続けている。この差が市民の生体データにとって何を意味するのか。次のセクションで、不可逆性という視点から掘り下げていきます。
同意なき生体データは「不可逆」か——顔認識蓄積データの流通・転用リスクと市民社会の反応実態
パスワードは変更できます。クレジットカード番号も再発行できます。しかし、顔は変えられません。ここに、顔認識データが他の個人情報と根本的に異なる理由があります。
技術的不可逆性——なぜ「削除すれば済む」とならないのか
顔認識システムが生成する「顔特徴量」とは、目・鼻・口の位置関係や輪郭の比率を数値ベクトルに変換したものです。この特徴量は、一度抽出されれば元画像がなくても照合に利用できます。
実は、ここに厄介な問題が潜んでいます。特徴量データが複数のシステムにコピー・転送された場合、すべての所在を追跡して完全に削除することは技術的に極めて困難です。データベースのバックアップ、ログファイル、学習済みモデルの中に組み込まれた特徴——削除の「完了」を証明する手段が存在しません。
個人情報保護委員会は「令和6年度年次報告」において、生体情報の漏洩事案が前年度比で増加傾向にあると報告しています（個人情報保護委員会、令和6年度年次報告）。漏洩した顔データは、パスワードのようにリセットできない。これが不可逆性の核心です。
国内訴訟と市民社会の動き
この問題に対し、市民社会は沈黙しているわけではありません。
2024年、大阪地裁で注目すべき訴訟がありました。商業施設に設置された顔認識カメラによる無断撮影・照合について、来店客がプライバシー侵害を訴えた事案です。裁判所は原告の請求を棄却しましたが、判決文の中で「顔認識技術の利用に関する法整備の必要性」に言及しました。司法が立法の不備を示唆した形です。
日弁連は前述の2023年意見書に加え、各地の弁護士会でも顔認識技術に関する声明が相次いでいます。自由法曹団も2024年に「監視社会化に抗する提言」を発表し、生体データの無断取得の禁止を求めました（自由法曹団、2024年5月）。
自治体条例——先行する地方の試み
国の立法が停滞する中、自治体レベルでの動きも出ています。東京都個人情報保護条例は2023年の改正で、都が保有する個人情報の取扱いについて審議会への諮問手続を強化しました。顔認識データを直接規制する条例ではありませんが、運用への牽制機能を持ち得ます。
正直なところ、自治体条例には限界があります。警察は都道府県の組織でありながら、警察庁の指揮監督下にあるため、自治体条例だけでは国家的な監視システムを律することができません。地方の試みと国の不作為。この落差こそが、日本の顔認識規制の現在地を象徴しています。
蓄積された顔データは、流通し、転用され、そして取り消せない。この不可逆性を前提としたとき、日本の規制はどこへ向かうべきなのか。最終セクションでは、2030年までの3つのシナリオを提示します。
2026〜2030年、日本の顔認識規制は3つの経路のどこへ向かうか——立法停滞・部分規制・包括法制定シナリオの分岐条件
ここまで見てきた通り、日本の顔認識AI規制は「法的空白」の中で技術だけが先行する状態にあります。では、2030年に向けて、この状況はどう動くのか。私は3つの経路があると考えています。それぞれの分岐条件を整理することで、読者の皆さんが「次に何を注視すべきか」の見取り図を持てるようにしたいと思います。
シナリオ1：現状追認型——グレーゾーン運用の継続
最も蓋然性が高いのが、このシナリオです。包括的立法は行われず、個人情報保護法の例外規定と警察庁内部ガイドラインによる運用がそのまま続く。実証実験の名目で常設インフラが拡大し、既成事実の積み重ねが「事実上の制度」として機能し続けるという経路です。
分岐条件は「世論の不在」です。 顔認識AIに対する大規模な市民的反発や、深刻な漏洩事故・冤罪事案が発生しない限り、政治的な立法コストを払う動機が生まれません。総務省「令和5年版情報通信白書」によれば、AIの利活用に対する国民の不安は高まっているものの、「顔認識」に特化した世論調査は政府レベルでは実施されていません（総務省、令和5年版情報通信白書）。問題が可視化されなければ、現状は維持されます。
シナリオ2：部分規制型——個別法・ガイドラインの強化
次に考えられるのが、包括法ではなく個別領域ごとの規制強化です。たとえば、「公共空間における生体認識に関するガイドライン」の法的拘束力の付与、あるいは警察法や刑事訴訟法の改正による顔認識利用の手続規定の追加。
分岐条件は2つあります。 第一に、個人情報保護委員会の権限強化。2025年の個人情報保護法の3年ごと見直し（次回は2027年予定）で、生体データに対する特則が盛り込まれるかどうか。第二に、具体的な被害事案の発生。実は、イリノイ州のBIPA（生体情報プライバシー法）も、特定の訴訟事案が立法を加速させた経緯があります（Rosenbach v. Six Flags Entertainment Corp., 2019年）。日本でも同様の「触媒」となる事案が出れば、部分的な法整備が動き出す可能性は十分にあります。
シナリオ3：包括法制定型——日本版AI基本法への顔認識規制の組み込み
最も抜本的なシナリオ。政府が検討を進めている「AI基本法」（仮称）に、顔認識を含む高リスクAIの利用規制を組み込む経路です。内閣府「AI戦略会議」は2024年以降、AI事業者向けのガイドラインを策定していますが、法的拘束力を持つ規制への移行は明言されていません（内閣府AI戦略会議、2024年5月「AI事業者ガイドライン」）。
分岐条件は、国際的な外圧の強度です。 EU AI Actの域外適用効果——EU市場にサービスを提供する日本企業がEU基準への適合を求められる圧力——が強まれば、国内法整備の合理性が高まります。加えて、2025年に英国で開催されたAI安全性サミットの流れを受けた国際的な規範形成が、日本政府の姿勢を変える可能性も残されています。
読者が見るべき3つの指標
まとめると、今後の分岐を見極めるために注視すべき指標は次の3つです。
第一に、2027年の個人情報保護法見直し。 生体データに関する特則が議論されるかどうか。第二に、国内での重大な被害事案や訴訟の発生。 司法判断が立法を動かす触媒になり得ます。第三に、AI基本法（仮称）の法案提出時期と内容。 顔認識が「高リスクAI」として明示的に位置づけられるかどうか。
この3つの指標が交差するとき、日本の顔認識規制の方向性が定まります。法律が技術に追いつくのか、それとも技術が法律の不在を既成事実で埋め続けるのか。その答えは、ここ数年の政策判断に委ねられています。
参考・出典
本記事で参照した主な一次情報は以下の通りです。
- NIST Face Recognition Vendor Test（FRVT）Ongoing（https://pages.nist.gov/frvt/html/frvt_11.html）
- 法務省入国管理局「顔認証ゲートの運用開始について」（2018年10月）
- 出入国在留管理庁「顔認証ゲートの利用について」（2025年3月公表資料）
- NEC公式プレスリリース「東京2020オリンピック・パラリンピック競技大会向け顔認証システム」（2021年7月）
- 警察庁「映像解析における人物照合技術の活用に関する調査研究」（2024年3月公表）
- 個人情報保護委員会「令和6年度年次報告」（2025年6月）
- 個人情報保護法（令和3年改正、2022年4月施行）第2条第2項、第17条、第22条、第58条
- 日本弁護士連合会「顔認識技術の利用に対する法規制を求める意見書」（2023年9月15日）
- 自由法曹団「監視社会化に抗する提言」（2024年5月）
- EU AI Act（Regulation (EU) 2024/1689）第5条〜第7条（2024年8月1日発効）
- European Commission, Impact Assessment SWD(2021) 84 final
- OHCHR「The right to privacy in the digital age」（A/HRC/48/31, 2021年9月）
- 総務省「令和5年版情報通信白書」
- 内閣府AI戦略会議「AI事業者ガイドライン」（2024年5月）
- Rosenbach v. Six Flags Entertainment Corp., 2019 IL 123186（イリノイ州最高裁判所）
読者の皆さんが各論点を深掘りする際の起点として、ご活用ください。