EU「サイバーいじめ対策行動計画」と生成AI時代の未成年者保護雑感

0　はじめに

　欧州委員会がサイバーいじめ対策のEU行動計画を準備している。欧州議会調査局（EPRS）の「At a glance」ブリーフィングによれば、2026年2月の欧州議会本会議で議論される予定である。

　未成年者のオンライン被害は、法政策としては古くて新しい。古いのは、いじめが関係の病であり、制度で根治するタイプの問題ではないからである。新しいのは、その関係が、アルゴリズムと生成AIを得て、物理世界の速度制限を失っているからである。推薦・拡散のアルゴリズムは被害を増幅させ、生成AIは偽画像・偽音声・偽動画の量産を可能にした。

　今回は、行動計画そのものの条文解説ではない。そもそも現在の執筆時点で行動計画は未公表である。ここでは、公表されている一次情報、すなわちEPRSブリーフィング、欧州委員会の説明ページ・協議資料、JRC（欧州委員会共同研究センター）の研究成果等を素材として、制度設計上の詰まりどころを先回りで整理することを試みる。

1　問題の所在

1.1　サイバーいじめは定義が割れている

　行動計画が直面する最初の難所は、定義である。EU域内でも、いじめやサイバーいじめに関する法的対応は散在しており、JRCの政策ブリーフは、28か国中26か国にいじめ関連の立法がある一方で、サイバーいじめを特に定義している国は13か国にとどまる旨を指摘する。

　定義が割れると何が困るか。第一に、そもそも、測れない。測れないと、政策が効いているのかを検証できない。第二に、執行が割れる。割れると、越境的に逃げ場が生じる。第三に、民間の設計、すなわちプロダクトやモデレーションも割れる。割れると、結局、一番保守的な国に合わせるか、当局対応を国別に分岐させるかの二択になり、どちらもコストが跳ね上がる。

　さらに、生成AIがこの定義問題に火を注ぐ。JRC政策ブリーフは、生成AIがサイバーいじめの定義を考える上で新たな要素を導入する旨を明示している。ここで重要なのは、生成AIが新しい有害コンテンツを生むだけでなく、反復性と拡散性を極端に安価にする点である。人間が手打ちで嫌がらせ文面を作る世界と、比較にならない。

1.2　違法と有害の隙間、子どもという被害特性

　欧州委員会は、サイバーいじめが増加しているという問題認識のもと、未成年者を中心に、ジェンダー要素や若年層（29歳まで）における特定集団の脆弱性も考慮すると述べている。

　この射程、29歳までというのは、日本の感覚からするとやや広い。しかし、政策側が未成年者に限定しないのは、教育・就労・移民などの移行期にある若年層が、生活世界としてSNSに長く浸かる現実を前提にしているからであろう。ここは価値判断というより、政策対象の切り方の問題である。

　日本法との対比で言えば、青少年インターネット環境整備法などは基本的に18歳未満を対象としており、成人に達した瞬間に保護の網から外れる断絶が存在する。大学生や新社会人が、過去の投稿を掘り起こされて炎上したり、リベンジポルノの被害に遭ったりするケースは後を絶たない。29歳というラインは、若者が経済的・社会的に自立し、デジタル空間での自己防衛能力を完全に獲得するまでの猶予期間を、法が保護すべき対象として再定義したと言えるだろう。

　そして、いじめの法的処理を難しくするのは、違法性が常に明確でないことである。脅迫・強要・名誉毀損・性的画像の無断共有など、刑事・民事で構成しやすい類型もある。しかし、現実の被害は、違法と断言しづらい嘲笑、排除、晒し、匂わせが積み重なることで生じる。法が原則として行為単位で責任を問う構造をとる以上、この積み重なりをどう扱うかがガバナンス設計の核になる。

2　EUの動き

2.1　行動計画の位置づけ

　欧州委員会の説明によれば、行動計画は2026年初頭に公表が見込まれ、未成年者の保護を中核に据えつつ、既存の法的ツールを補完するものとして構想されている。

　同時に、これは単発の施策ではなく、束で進められている。欧州委員会の相談開始ページは、DSA（デジタルサービス法）28条に基づく未成年者保護ガイドラインと執行、年齢確認ソリューションのブループリント、SNSがメンタルヘルスに与える影響に関する調査等を併置している。

　つまり、行動計画は理念だけでは終わらず、プラットフォーム設計、すなわちデフォルト設定、推薦、通報、年齢保証に触れにいく構造になっている。

2.2　相談過程と子どもの参加

　行動計画の準備過程として、欧州委員会は2025年7月から9月にかけて公開協議・エビデンス募集を実施し、並行して子ども参加プラットフォーム等を通じた意見収集も行った。その後に公表された整理ページによれば、2024年11月から2025年10月にかけて多層の協議が行われ、子ども・若者の関与が中心に置かれ、子ども参加プラットフォーム上で6300人超が意見を共有したとされる。

　ここは形式的に見えて、実は重要である。未成年者保護の制度は、往々にして大人が善意で作った、子どもにとって使いづらい制度になりがちである。報告（通報）導線が複雑で、証拠保全が難しく、心理的ハードルが高い。協議結果でも、予防・啓発・エンパワメント、報告の容易化、被害者支援の強化が強調された旨が示されている。

2.3　問題の深刻さ

　欧州委員会は、相談開始ページで被害者が約6人に1人、加害経験が約8人に1人という概数を掲げている。WHO/EuropeのHBSC関連発表も、サイバーいじめ被害が約6人に1人（15%）で増加傾向にあること等を示している。

　これらの統計は、厳密には測定条件が異なるため、単純比較には向かない。しかし、政策の方向指示器としては十分である。少なくとも、放置して自然治癒を待つ類の問題ではない、という合意形成を後押ししている。

3　争点整理

3.1　共通定義を作るなら、技術中立だけでは足りない

　EPRSブリーフィングは、行動計画がサイバーいじめの共通定義の欠如への対応を期待されている旨を述べる。JRC報告書は、定義に関して全体的・多次元な枠組みを提唱し、技術中立であるべきこと、反復性やパワーインバランス等を考慮すべきことを示す。

　ここでの落とし穴は、技術中立イコール抽象化し過ぎる、ということである。技術を名指ししないのは正しい。しかし、オンライン特有の条件、すなわち匿名性、持続性、検索可能性、推薦による増幅、群衆化が、いじめの質を変える以上、それを定義の周辺として書き込まなければ、制度設計が空転する。

　雑に言えば、サイバーいじめは表現の問題ではなく、表現が反復・増幅される環境の問題でもある。ここを切り分けないと、行為者の責任（誰が何をしたか）と、環境設計者の責任（どう拡散し、どう止める設計であったか）が混線する。行動計画が本気で効くなら、この二層構造を前提に、共通定義と測定のパッケージを作る必要がある。定義だけ作って測定枠組みがないと、政治的スローガンで終わる。

3.2　保護の名で何をするか

　2025年7月14日に公表されたDSA未成年者保護ガイドラインは、プラットフォーム設計の具体に踏み込んでいる。例として、アカウントのデフォルト非公開、ブロック・ミュート機能の強化、未成年者のコンテンツに対するスクリーンショットやダウンロード等の制限、レコメンド（推薦）設計の見直し、AIチャットボットを含む追加的な注意義務、などが挙げられている。

　ここには、現代EU規制の特徴がよく表れている。すなわち、表現内容に直接切り込むよりも、摩擦とデフォルトを設計して、被害の発生確率と継続確率を下げにいくアプローチである。

　このアプローチは強力である一方、二つの副作用を持つ。第一に、過剰介入の危険である。デフォルト非公開や推薦抑制は、保護の名で未成年者の情報アクセスや社会参加を狭める方向にも働きうる。第二に、コンプライアンスの空洞化である。設計変更は実装したで終わりやすいが、実際に被害が減ったかは別問題である。行動計画がチェックボックス増殖装置にならないためには、実装から評価、改善へのループを制度的に回す必要がある。

3.3　年齢確認は万能薬ではない

　欧州委員会は、年齢確認のブループリントをプライバシー保護型で、年齢のみを証明する設計として提示している。年齢保証は、未成年者保護の議論では必ず登場するが、万能薬ではない。誤判定、なりすまし、過剰収集、監視インフラ化など、副作用が多いからである。

　にもかかわらず、避けても通れないのは、保護措置の多くが未成年者であることをトリガーに動くからである。未成年者かどうかが分からない世界で未成年者保護の強化を叫ぶと、結局、全員に強い制限を掛けるか＝過剰、何もしないか＝無力、の二択になる。

　ブループリントが掲げる年齢だけを証明するという方向性は、このジレンマに対する一つの正攻法である。ただし、正攻法ほど運用が難しい。誰が認証主体となるか、データはどこに残るか、第三者検証をどうするか、デジタル弱者（IDを持たない・使えない人）をどう扱うか。行動計画が社会的受容まで含めて設計できるかが問われる。

3.4　生成AIは二重の意味で厄介である

　生成AIは、サイバーいじめを二重に難しくする。

　第一に、加害手段の自動化である。偽画像・偽音声・偽動画の量産、ターゲットに合わせた文面生成、匿名アカウント群の運用など、従来は労力が律速だった部分が外れる。JRC政策ブリーフが生成AIが新たな要素を導入すると述べるのは、まさにこの点を含む。

　具体的に言えば、同級生や知人の顔写真をポルノ画像に合成するディープフェイク・ポルノや、音声を合成して詐欺や脅迫に用いるケースが散見される。これらは、従来の言葉による誹謗中傷とは異なり、被害者のアイデンティティそのものを視覚的・聴覚的に歪曲し、永続的なデジタルタトゥーとして残るリスクが高い。

　第二に、モデレーション（検知・削除・抑制）側もAI依存になることである。未成年者保護を強めるほど、プラットフォームは自動検知に寄らざるを得ない。しかし、自動検知は誤爆を生み、誤爆は表現の萎縮を生む。さらに、未成年者のコミュニケーションは文脈依存であり、大人の目には無害に見える言葉が、特定のコミュニティでは強い攻撃になりうる。ここにモデルは文脈を知らないという古典的問題が刺さる。

　したがって、行動計画が実務に落ちると、企業側では検知精度だけでなく、異議申立て、証拠保全、当事者支援、再発防止まで含めた一体設計が要請されるはずである。逆に、ここが抜けると、検知の強化が被害者の沈黙を増やす方向に働く。

　EUのAI法では、ディープフェイクに対する透明性義務（AI生成であることの明示）が課されているが、悪意を持って生成・拡散されるいじめの文脈では、表示義務だけでは不十分であることは明白である。AIによる生成物が、真実性の有無にかかわらず、被害者の人格権を侵害する凶器となり得ることを、法体系の中に明確に組み込む必要がある。

3.5　デジタルサービス法との関係

　デジタルサービス法との関係性も整理しておく必要がある。DSA28条は、未成年者がアクセス可能なオンラインプラットフォームの提供者に対し、高水準のプライバシー、安全、セキュリティを確保するための適切かつ相応の措置を講じることを義務付けている。

　今回の行動計画は、DSAが定める一般的な義務を、サイバーいじめという具体的論点において実質化させるための運用指針あるいは補完的規範としての機能を有すると評価できる。ハードローであるDSAの枠組みの中で、具体的なアクションプランがどのように執行力を伴って展開されるかが、今後の注視点となる。

　欧州議会は、委員会以上に積極的な姿勢を長らく示してきた。2021年の決議以降、議会は一連の決議を通じて、サイバーいじめ、ヘイトスピーチ、メンタルヘルスの関連性を繰り返し強調し、加盟国やEU機関に対して強固で一貫した戦略の策定を促してきた経緯がある。2025年11月の本会議で採択されたオンライン上の未成年者保護に関する自発的報告では、サイバーいじめが若者のメンタルヘルスに与える深刻な影響についても言及されている。

4　日本の実務・研究への示唆

　日本にそのまま転用できる話ではない。しかし、三点だけ拾う。

　第一に、定義と測定をセットで語る重要性である。定義だけ作っても、現場は動かない。測定だけしても、価値判断が混入する。EUの議論は、そこを正面から扱おうとしている。

　第二に、子どもの参加を制度工程に組み込む重要性である。6300人超の子どもの意見収集は、象徴的であると同時に、実装上の知見でもある。被害者が通報しても無駄だと思えば沈黙し、第三者が見ても止め方が分からなければ傍観する。制度設計の段階で当事者の声を聴くことは、制度の実効性を高める。

　第三に、内容ではなく設計へ寄せる発想である。デフォルト設定、摩擦、推薦といった設計変数は、法が最も介入しやすい場所であり、かつ被害の発生確率に効く。日本でも、プロバイダ責任制限法の改正や侮辱罪の厳罰化など、法整備は着実に進められているようではある。しかし、EUのような包括的な行動計画という形での政策パッケージの準備は、未だ十分とは言い難いかもしれない。

5　おわりに

　サイバーいじめ対策は、結局のところ信頼の回復の話である。被害者が通報しても無駄だと思えば沈黙し、第三者が見ても止め方が分からなければ傍観し、加害者がどうせ捕まらないと思えば反復する。制度が変えるべきは、個々の悪意よりも、悪意が得をする環境である。

　EUの行動計画は、未公表ながら、定義の統一、測定、プラットフォーム設計、年齢保証という、いずれも面倒で逃げたくなる論点を正面に据えつつある。ここに、生成AI時代の未成年者保護が道徳ではなくガバナンスの問題になったことが、はっきり表れている。

（参考） AIと教育・こども

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。