LASSIC Media らしくメディア
英国オンライン安全法、域外適用と年齢確認のリスク
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 対象は拠点で決まらない：第4条は「英国とのつながり」で規制対象を定めており、英国に法人がなくても及びます*1。
- 義務はすでに始まっている：違法コンテンツは2025年3月17日、子どもの保護は2025年7月25日から適用されています*2。
- システムの勘どころ：年齢確認は「高い実効性」が条件。生年月日の自己申告では足りません*1。
※ 本記事は2026年8月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
英国にサービスを出しているつもりがなくても、対象になり得る法律があります。オンライン安全法（Online Safety Act 2023）は、規制対象を事業者の所在地ではなくサービスと英国とのつながりで定めているためです*1。
この法律は2023年10月26日に国王の裁可を受け、社会的なつながりを持つサービスと検索サービスに対して、違法なコンテンツと子どもにとって有害なコンテンツから利用者を守る義務を課すものです*2。義務は段階的に始まり、違法コンテンツについては2025年3月17日から、子どもの保護については2025年7月25日から適用されています*2。
本記事では、利用者投稿を扱うサービスや検索機能を持つサービスを運営する企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、対象の判定と、年齢確認・リスク評価で求められることを整理します。制度の解釈が要る部分は条文と専門家の確認を経て進めてください。
目次
「英国とのつながり」という対象の決め方
まず、自社が対象になるかどうかです*1。
第4条第2項は、利用者間サービス（user-to-user service）または検索サービスが、英国とのつながりを持つ場合に規制対象になるとしています（附則1で免除されるもの等を除く）*1。
「英国とのつながりを持つ」の定義は第5項にあります*1。英国の利用者が相当数いる場合、または英国の利用者がそのサービスのターゲット市場のひとつ（あるいは英国のみがターゲット市場）である場合です*1。
さらに第6項が別の入口を置いています*1。サービスが英国において個人によって利用され得るものであり、かつ、そのサービス上の利用者生成コンテンツまたは検索コンテンツによって英国の個人に重大な危害が生じる実質的なリスクがあると信じるに足る合理的な理由がある場合も、つながりを持つとされます*1。
読み取れることを整理します。
拠点の所在地は判定に出てきません。日本法人が日本のサーバーで運営していても、英国の利用者が相当数いれば対象になり得ます。
「相当数」の数値は条文に書かれていません。自社で判断することになります。判断した以上、その根拠を残しておくことが後の説明につながります。
ターゲット市場という基準があります。利用者数が少なくても、英国向けの言語対応や決済、広告出稿があれば、ターゲット市場と見られる可能性があります。
まず必要なのは、国別の利用者数を出せることです。地域別の集計を持っていない場合、対象かどうかの判断そのものができません。データカタログとガバナンスで扱うような、集計の定義を揃える作業が先に来ます。
なお、英国のデータ保護の枠組みは別の法律です。英国データ保護法（DUAA）で扱う内容と、この法律は目的も所管も異なります。両方を並べて確認することになります。
年齢確認は「高い実効性」が条件
子どもの保護の義務は、第12条に定められています*1。
子どもがアクセスする可能性が高い規制対象サービスについて、次の義務が課されます*1。直近の子どもリスク評価で特定された、異なる年齢層の子どもへの危害のリスクを軽減し管理するため、サービスの設計や運用に関する比例的な措置をとること。そして、あらゆる年齢の子どもが最優先の有害コンテンツ（primary priority content）に遭遇することを防ぎ、危害のリスクがあると判断された年齢層の子どもを、その他の有害コンテンツから守るための、比例的なシステムとプロセスによってサービスを運用することです*1。
ここで年齢確認が出てきます*1。第4項は、最優先の有害コンテンツに子どもが遭遇することを防ぐ義務について、事業者が年齢確認（age verification）または年齢推定（age estimation）、あるいはその両方を用いることを求めています*1。
そして第6項が水準を定めています*1。用いる年齢確認または年齢推定は、特定の利用者が子どもであるか否かを正しく判定するうえで高い実効性を持つ（highly effective）種類のものであり、そのように用いられなければならないとされています*1。
この「高い実効性」という条件が実装を左右します。生年月日を入力させるだけの自己申告は、正しく判定する仕組みとしては弱いと見られる可能性があります。
例外も置かれています*1。第5項は、利用規約がその種類の最優先の有害コンテンツの存在を禁じており、かつその方針がすべての利用者に適用される場合には、第4項の要求が適用されないとしています*1。つまり、そもそも扱わないと決めて規約で明示し、実際にすべての利用者へ適用しているなら、年齢確認の要求はかからないという構図です。
| 条文が挙げる領域 | 具体的に問われること | システム側で持つ対象 |
|---|---|---|
| 規制対応とリスク管理の体制 | リスク評価の実施と更新の記録 | 評価の版と実施日 |
| 機能・アルゴリズム等の設計 | 推薦や検索が有害コンテンツを広げていないか | 配信ロジックと年齢の連動 |
| 利用規約の方針 | 禁止するコンテンツの明示と適用範囲 | 規約の版と適用の記録 |
| アクセスの方針 | 利用者やコンテンツへのアクセスの遮断 | ブロックの実行と履歴 |
| コンテンツのモデレーション | 削除を含む対応 | 通報から対応までの記録 |
| 利用者の支援 | 報告と相談の経路 | 問い合わせの受付と追跡 |
第9項は、利用規約にどのように防ぐのかを記載することも求めています*1。あらゆる年齢の子どもが最優先の有害コンテンツに遭遇するのをどう防ぐか、その種類ごとに個別に扱うこととされています*1。実装の説明が、規約という外向きの文書に出てくる形です。
子どもリスク評価は「機能」まで見る
第11条は、子どもリスク評価の義務を定めています*1。
求められるのは、附則3が定める時点で適切かつ十分な子どもリスク評価を実施すること、それを最新に保つこと（Ofcomがそのサービスの種類に関するリスクプロファイルへ重要な変更を加えたときを含む）、そしてサービスの設計や運用のいずれかの側面に重要な変更を加える前に、その変更の影響に関する評価をあらためて行うことです*1。
評価の中身も列挙されています*1。利用者基盤（異なる年齢層の子どもの人数を含む）、各種の有害コンテンツに遭遇するリスクの水準（サービスが用いるアルゴリズムと、コンテンツがどれだけ容易に・速く・広く拡散し得るかを特に考慮する）、有害コンテンツが子どもにもたらす危害の水準、特定の属性や集団に特に影響する有害コンテンツの危害、そしてサービスの設計、とくにその機能が危害の水準に与える影響です*1。
機能について、条文は例を挙げています*1。大人が他の利用者（子どもを含む）を検索できる機能、および大人が他の利用者（子どもを含む）に連絡できる機能です*1。これらは高いリスクを持つ機能として特定し評価することとされています*1。
加えて、サービスの使われ方の違い（子どもの利用時間に影響する機能や特徴を含む）も評価の対象に挙げられています*1。
指定されていない有害コンテンツが評価で見つかった場合には、その種類とサービス上の発生状況をOfcomへ通知する義務も置かれています*1。
この条文から読める実務の要点を挙げます。
評価が機能単位で求められることです。「サービス全体として問題ありません」という説明では足りません。ユーザー検索、DM、コメント。機能ごとにリスクを評価する形になります。
変更のたびに評価が要ることです。設計や運用に重要な変更を加える前に、あらためて評価するとされています*1。リリースの手順に評価の工程を組み込まないと、後追いになります。
年齢層の内訳が必要なことです。子どもの人数を年齢層ごとに把握することが評価の項目に入っています*1。年齢を持っていない、あるいは推定していないサービスでは、この項目に答えられません。
リスク評価を継続的な作業として回す設計は、AIガバナンス体制の構築で扱う考え方と共通します。誰が、どの単位で、いつ評価するのか。仕組みより先に体制の話になります。
執行の権限は収益の10パーセントまで
規制するのはOfcom（英国の情報通信庁）です*2。
Ofcomはオンライン安全の独立した規制当局として、事業者が安全の義務を果たすためにとり得る手順を実務規範（codes of practice）として示し、遵守の状況を評価し執行する幅広い権限を持つとされています*2。
執行の権限として挙げられているのは、不遵守の調査、全世界の適格収益（qualifying worldwide revenue）の10パーセントまでの制裁金、そしてもっとも重大な不遵守の場合には裁判所へ申し立ててサービスを遮断させることです*2。
金額の基準が英国内の売上ではなく全世界の収益である点は押さえておきたいところです。英国の利用者が少数でも、制裁金の算定の基礎は事業全体に及び得るという建て付けです。
義務の開始時期も整理しておきます*2。2025年3月17日から、プラットフォームには利用者を違法なコンテンツから守る法的義務が生じており、Ofcomは遵守を監視するための執行プログラムを複数開始しているとされています*2。
2025年7月25日からは、子どもを守る法的義務が生じています*2。プラットフォームは、子どもがポルノや、自傷・自殺・摂食障害を助長するコンテンツにアクセスすることを防ぐために、高い実効性を持つ年齢確認を用いることが求められます*2。いじめ、憎悪的なコンテンツ、危険なスタントや危険な物質の摂取を助長するコンテンツといった、その他の有害で年齢に適さないコンテンツへのアクセスも防ぐこととされています*2。
あわせて、保護者と子どもに対して、問題が起きたときに報告できる明確で利用しやすい手段を提供することも求められています*2。通報の窓口が、法律上の要求として明示されている形です。
通報から対応までの流れを記録として残す設計は、インシデント対応とオンコールで扱う考え方が土台になります。受け付けた事実だけでなく、どう判断しどう処理したかまで残ることが問われます。
着手の順序と、受託で進めるときの要点
優先順位をつけるなら、次の順になります。
第一に、対象かどうかの判定です。英国の利用者数と、ターゲット市場としての位置づけ*1。まずここを数字で示せる状態にします。
第二に、子どもの利用の把握です。年齢層ごとの人数が評価の項目に入っています*1。持っていなければ、どう推定するかから決めます。
第三に、高リスク機能の洗い出しです。大人が子どもを検索できる、連絡できる。条文が名指ししている機能から確認します*1。
第四に、通報の経路です。保護者と子どもが使える明確な手段が求められています*2。
受託で進める場合の要点も挙げます。
年齢確認の方式を早めに決めることです。「高い実効性」が条件です*1。自己申告で足りるという前提で画面を作ると、方式を変えるときに登録の導線ごと作り直しになります。
規約と実装を突き合わせられるようにすることです。どのように防ぐかを利用規約に記載することが求められています*1。規約は法務、実装は開発と分かれていると、記載と実態がずれます。
リリース手順に評価を組み込むことです。設計や運用の重要な変更の前に評価が要ります*1。後から遡って評価を作ると、変更の前に行ったことを示せません。
年齢の情報を持ちすぎないことです。年齢確認は必要ですが、確認のために取得した情報を保持し続ける必要があるかは別の論点です。ブラジルの年齢確認で扱うように、プライバシーとの両立が各国で問われています。
体制としては、プロダクトの設計と法務の実務の双方に触れられる要員が入れるかが分かれ目になります。利用者の地域別の内訳、機能の実際の使われ方、規約の記載。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。
まとめ：オンライン安全法で押さえる3つの視点
英国のオンライン安全法（Online Safety Act 2023）は2023年10月26日に国王の裁可を受け、違法なコンテンツと子どもにとって有害なコンテンツから利用者を守る義務を、社会的なつながりを持つサービスと検索サービスに課しています。押さえたい視点は三つです。第一に、対象が事業者の所在地ではなく「英国とのつながり」で決まること。第4条は、英国の利用者が相当数いる場合、英国の利用者がターゲット市場のひとつである場合、さらに英国で利用でき英国の個人に重大な危害が生じる実質的なリスクがあると信じるに足る合理的な理由がある場合を挙げています。第二に、義務がすでに始まっていること。違法コンテンツについては2025年3月17日から、子どもの保護については2025年7月25日から適用されています。第三に、年齢確認の水準が定められていること。第12条は、最優先の有害コンテンツに子どもが遭遇するのを防ぐために年齢確認または年齢推定を用いることを求め、それが子どもか否かを正しく判定するうえで高い実効性を持つ種類のものでなければならないとしています。子どもリスク評価では、アルゴリズムや、大人が子どもを検索・連絡できる機能まで評価の対象に挙げられています。Ofcomは全世界の適格収益の10パーセントまでの制裁金と、重大な場合にはサービス遮断の申立てまでの権限を持つとされています。
よくある質問
英国に法人がなくても対象になりますか。
なり得ます。第4条は、利用者間サービスまたは検索サービスが「英国とのつながり」を持つ場合に規制対象になるとしており、つながりの定義は英国の利用者が相当数いること、または英国の利用者がターゲット市場のひとつ（あるいは英国のみがターゲット市場）であることです。加えて、英国で利用でき、英国の個人に重大な危害が生じる実質的なリスクがあると信じるに足る合理的な理由がある場合も含まれます。
義務はいつから始まっていますか。
段階的に始まっています。違法なコンテンツから利用者を守る法的義務は2025年3月17日から適用されており、Ofcomは遵守を監視する執行プログラムを複数開始しているとされています。子どもを守る法的義務は2025年7月25日から適用されています。法律そのものは2023年10月26日に国王の裁可を受けました。
年齢確認は生年月日の入力で足りますか。
条文は水準を定めています。第12条第6項は、用いる年齢確認または年齢推定が、特定の利用者が子どもであるか否かを正しく判定するうえで高い実効性を持つ種類のものであり、そのように用いられなければならないとしています。方式の選択にあたっては、この水準を満たすと説明できるかが判断の軸になります。
子どもリスク評価では何を見るのですか。
第11条は評価の項目を列挙しています。利用者基盤（異なる年齢層の子どもの人数を含む）、各種の有害コンテンツに遭遇するリスクの水準（アルゴリズムと拡散のしやすさを特に考慮）、危害の水準、特定の属性や集団への影響、そしてサービスの設計とくに機能が危害の水準に与える影響です。機能の例として、大人が他の利用者を検索できる機能と、大人が他の利用者に連絡できる機能が挙げられています。
違反するとどうなりますか。
Ofcomは不遵守を調査する権限を持ち、全世界の適格収益の10パーセントまでの制裁金を科すことができるとされています。もっとも重大な不遵守の場合には、裁判所へ申し立ててサービスを遮断させることもあり得るとされています。制裁金の基礎が英国内の売上ではなく全世界の収益である点には注意が要ります。
対象判定と年齢確認の実装はLASSICへ
元請（プライムベンダー）として、地域別の集計づくりから年齢の扱いを抑えた設計、機能単位のリスク評価の記録、通報経路の実装までご提案します。まずはお気軽にご相談ください。
出典
- *1 参考：legislation.gov.uk「Online Safety Act 2023（2023 c. 50）」条文（https://www.legislation.gov.uk/ukpga/2023/50/contents）。第4条（規制対象サービスの定義と「英国とのつながり」＝英国の利用者が相当数いること／英国がターゲット市場のひとつであること／英国で利用でき重大な危害の実質的リスクがあると信じる合理的理由があること）、第11条（子どもリスク評価の義務、附則3が定める時点での実施、最新への更新、重要な変更の前の再評価、評価項目としての年齢層別の利用者数・アルゴリズムと拡散のしやすさ・機能の影響・大人が利用者を検索／連絡できる機能、指定外の有害コンテンツのOfcomへの通知）、第12条（子どもの保護の義務、比例的な措置、最優先の有害コンテンツからの遮断、年齢確認または年齢推定の使用と「高い実効性」の水準、利用規約で禁止している場合の例外、措置の対象領域の列挙、利用規約への記載）の一次情報として（2026年8月確認）
- *2 参考：GOV.UK（科学・イノベーション・技術省）「Online Safety Act」コレクション（https://www.gov.uk/government/collections/online-safety-act）。2023年10月26日の国王裁可、2025年3月17日からの違法コンテンツに関する法的義務とOfcomによる執行プログラムの開始、2025年7月25日からの子どもの保護に関する法的義務と高い実効性を持つ年齢確認の要求、防ぐべきコンテンツの例（ポルノ、自傷・自殺・摂食障害を助長するもの、いじめ、憎悪的なコンテンツ、危険なスタントや危険な物質の摂取を助長するもの）、保護者と子どもへの明確で利用しやすい報告手段の提供、Ofcomの役割と執行権限（不遵守の調査、全世界の適格収益の10パーセントまでの制裁金、重大な場合の裁判所へのサービス遮断の申立て）の一次情報として（2026年8月確認）
