米国の42州司法長官がOpenAIへの調査に入り、ニューヨーク州が同社へ召喚状を送達した。召喚状は広告、利用者の関与と定着、消費者・健康データ、未成年者と高齢者への対応、深層学習モデル、社内方針に関する文書を求めている。2026年6月に明らかになったこの動きは、OpenAIが新規株式公開（Initial Public Offering、IPO）に向けた書類を米当局へ出した直後と重なった。

調査の開始と違法認定は同じではない。AP通信は、OpenAIが州司法長官の懸念を重く受け止め、調査に建設的に対応すると表明したと報じた。召喚状そのものは公開されておらず、各州がどの法令違反を視野に入れ、どの期間の記録を求めたのかは確認できない。現段階で確かなのは、消費者保護当局が一つの対話画面をめぐる広告、データ、安全設計をまとめて調べ始めたことだ。

法律文書を確認する担当者と机上のノートパソコン（イメージ）

調査対象──広告から健康データまで

要求された文書の幅は、問題を広告表示だけに絞れないことを示す。利用時間や再訪を促す仕組み、入力された情報の扱い、未成年者や高齢者への保護策、モデルの応答傾向、事故時の社内対応は相互に関係する。利用を長引かせる設計が広告収入と結びつく一方、同じ画面に健康状態や心理面の悩みが入力されれば、データ利用と安全管理の境界が曖昧になる。

米国の州司法長官は今回が初めてAI企業の児童対応を問題にしたわけではない。全米司法長官協会によると、2025年8月には超党派の44州・地域の司法長官が主要AI企業へ書簡を送り、子どもと対話する製品の設計で安全を優先するよう求めた。当時は特定の執行措置を示さない警告だった。今回の召喚状は、OpenAIに記録の提出を求める段階へ進んだ点が異なる。

暗い室内でスマートフォンの対話画面を見る若者（イメージ）

健康情報はHIPAAだけでは捉えきれない

米国の医療プライバシーを考える際、医療保険の相互運用性と説明責任に関する法律（Health Insurance Portability and Accountability Act、HIPAA）が基準になる。ただし、HIPAAが直接規律するのは医療機関、医療保険者、医療情報交換機関と、その業務提携先などだ。一般向けサービスに利用者が自ら入力した情報が、常にHIPAAの保護対象になるわけではない。

対象外なら法規制が消えるわけでもない。米連邦取引委員会（FTC）は、HIPAAの対象外で健康情報を集める企業にも、不公正・欺瞞的な行為を禁じるFTC法や、一定の健康アプリなどに漏えい時の通知を求める健康情報漏えい通知規則が関わると説明している。今回の召喚状が健康データを独立した項目として挙げた意味は、病院の電子カルテとは異なる経路で集まる情報を、消費者保護の側から検証する点にある。

画面上の医療データと鍵の記号を確認する人物（イメージ）

IPOで問われるのは調査の重要性

OpenAIは2026年6月8日、IPOに向けた登録届出書案を米証券取引委員会（SEC）へ非公開で提出したと公表した。同社は上場時期を決めておらず、非公開提出された書類の中身も外部からは見えない。したがって、今回の調査がすでに届出書へ記載されたと断定する材料はない。

それでも、上場準備と調査の時期が重なったことは重要だ。SECの手続きでは、非公開で審査を受けた登録届出書案とその修正版は、ロードショーの少なくとも15日前までに公開提出する必要がある。公開書類のリスク要因には投資判断に重要な事項が記載される。42州の調査をどの程度のリスクとして扱うかはOpenAIが重要性を評価し、SECの審査を受ける論点になる。

株価チャートが映る画面と金融街の建物（イメージ）

日本での接点──入力前の確認を求めた個人情報保護委員会

日本では、病歴や健康診断の結果などが個人情報保護法上の要配慮個人情報に含まれる。個人情報保護委員会のガイドラインは、要配慮個人情報の取得と第三者提供には原則として本人の同意が必要で、オプトアウトによる第三者提供は認められないと説明する。もっとも、入力内容が要配慮個人情報に当たるか、誰が取得・利用するのかは、サービスの機能と利用場面に沿って判断する必要がある。

同委員会は生成AIに絞った注意喚起も出している。2023年6月の公表資料は、一般利用者に対し、入力した個人情報が機械学習に使われたり、正確または不正確な形で出力されたりするリスクを踏まえ、利用規約とプライバシーポリシーを確認するよう求めた。同時にOpenAIへ、要配慮個人情報の取得と利用目的の通知について注意喚起した。

米国の召喚状を日本の制度へそのまま当てはめることはできない。州司法長官が担う消費者保護の執行と、日本の個人情報保護委員会による監督は権限も手続きも異なる。日本で同じ範囲の調査がOpenAIに対して始まったことを示す公的資料は、本稿の執筆時点で確認できていない。一方、健康や心理に関する情報を対話型AIへ入力する場面が、医療機関内のデータ処理とは別の規律を要するという論点は共通する。

データを囲む盾と鍵を表したプライバシー保護の図（イメージ）

よくある質問

42州の召喚状でOpenAIの違法行為が確定したのか
確定していない。召喚状は調査に必要な文書の提出を求める手段で、判決や行政処分ではない。参加州の全一覧と召喚状の全文も公表資料では確認できていない。

ChatGPTに入力した健康情報は米国でHIPAAに守られるのか
一律には当てはまらない。HIPAAは対象となる医療機関、医療保険者、その業務提携先などが扱う保護対象医療情報を規律する。一般向けサービスがHIPAAの対象外でも、FTC法や州法、健康情報漏えい通知規則が関わる場合がある。

調査はOpenAIのIPOを止めるのか
調査が始まっただけでIPOが停止するわけではない。OpenAIは上場時期を決めておらず、登録届出書案も非公開だ。今後の公開書類で調査をどう開示し、投資家がそのリスクをどう評価するかが焦点になる。