カリフォルニア州の 16 歳未満ソーシャルメディア法が確認するのは所在地ではなくスマートフォン：AB 1709 と AB 1856 が VPN ユーザーに意味すること

9 月 10 日、Gavin Newsom 知事は一度の署名式で 13 本の子ども安全法案に署名しました。あらゆる見出しに登場するのは AB 1709 で、ソーシャルメディアプラットフォームがカリフォルニア州の 16 歳未満のユーザーに「中毒性のある機能」を提供することを禁じるものです。ほとんど誰も書かなかったのは AB 1856 で、これこそがプラットフォームがそもそもユーザーの年齢をどうやって知るのかを決める法案です。

その二つ目の問いこそ、この話が VPN ユーザーに関わる場所です。この 3 年間、インターネットはある流れを予期するよう慣らされてきました。議会が年齢確認法を可決し、ウェブサイトが書類や顔スキャンを要求し始め、VPN 需要が数時間のうちに急増する、という流れです。2023 年のユタ州、2025 年 6 月のフランス、同年 7 月の英国、そして 12 月のオーストラリアで、それは起きました。ですから木曜日の夜の反射的な反応は予想どおりでした。カリフォルニア州の禁止が来る、VPN を用意する時だ、と。

カリフォルニア州の仕組みはそのようには働きません。その年齢確認は書類を求めず、あなたがどこにいるかにも関心を持ちません。スマートフォンに尋ねるのです。以下では、二つの法案が何をするのか、年齢シグナルがどう作られるのか、なぜ VPN はその入力のどれも変えないのか、そしてすでに VPN を使っている人にとってこの法律が何を意味するのかを説明します。

カリフォルニア州は 2026 年 9 月 10 日に何に署名したのか？

知事室はその日 Marin 郡で署名された 13 本の法案を列挙しています。子ども向けコンパニオンチャットボットの規制（SB 1119、「Adam’s Law」）から玩具へのチャットボット搭載の禁止（SB 867）までです。「私たちの子どもの安全は、テクノロジーをめぐるあらゆる議論の中心に置かれるべきです」と Newsom 氏はプレスリリースで述べました。

13 本のうち二つがここで重要です。

AB 1709 は Long Beach 選出の Josh Lowenthal 州下院議員によるもので、題名は「Covered platforms: age restriction: e-Safety Advisory Commission（対象プラットフォーム：年齢制限：e-Safety 諮問委員会）」です。これが 16 歳未満ルールであり、8 月 31 日に両院を通過しました。

AB 1856 は Oakland 選出の Buffy Wicks 州下院議員によるもので、題名は「Age verification signals: software applications（年齢確認シグナル：ソフトウェアアプリケーション）」です。これは Digital Age Assurance Act（デジタル年齢保証法）を改正するもので、同法は Wicks 議員が昨年書いた法律（AB 1043、2025 年 10 月 13 日署名）であり、スマートフォンの OS をユーザーの年齢に関する信頼できる情報源にするものです。AB 1709 はこの法律に名指しで依拠しているため、二つの法案は併せて読む必要があります。

AB 1709 は何を禁じるのか？

成立法文における実効的な一文は短いものです。「対象プラットフォームは、16 歳未満のユーザーに中毒性のある機能を提供してはならない。」

中毒性のある機能とは、「エンゲージメントを最大化することを意図し、予見可能な形で強迫的な利用につながる心理的に搾取的な機能」のいずれかと定義され、法案は二つを名指ししています。中毒性のあるフィードと自動再生です。司法長官は規則でさらに追加できます。対象プラットフォームとは、「サービスの重要な部分として中毒性のある機能をユーザーに提示または提供する」あらゆるサイト、サービス、アプリで、コマースサイトとクラウドストレージは除外されます。

これは文面上、アカウントの禁止ではありません。プラットフォームは未成年者に中毒性のある機能を除いたバージョンを提供し続けてもかまいません。法案の牙が現れるのは、そうしない場合です。そのバージョンを提供できない、または提供しないプラットフォームは、「16 歳未満のユーザーのアカウントおよびそのユーザーに関連するあらゆる個人情報を削除」しなければなりません。Newsom 氏に拒否権の行使を求めた電子フロンティア財団は、その結果を「16 歳未満の人々にとってのソーシャルメディア利用の事実上の禁止」と呼んでいます。Newsom 氏は署名当日、これを別の形で位置づけ、Los Angeles Times に対し「これは機能そのものの問題です。問題に実際に取り組むということ、スクロール、アルゴリズムの問題です」と語りました。

罰則はプラットフォームに課されます。故意の違反は影響を受けた未成年者 1 人につき最大 50,000 ドル、過失による違反は最大 25,000 ドルです。訴訟を提起できるのは司法長官または地方検察官のみで、裁判所は「対象プラットフォームの規模、違反の重大性と期間」および誠実な遵守努力を「考慮しなければならない」とされています。法案はまた、司法省内に 7 名からなる e-Safety 諮問委員会を設置し、毎年 1 月に州議会へ報告させます。

法文は独自の発効日を定めていません。通常会期で可決された法律に関するカリフォルニア州の原則により、それは 2027 年 1 月 1 日を意味し、その日はまさに法案が依拠する年齢シグナルが作動し始める日でもあります。

プラットフォームはユーザーが 16 歳未満だとどうやって知るのか？

カリフォルニア州を現在施行中の他のあらゆる年齢確認法から分ける一文があります。「対象プラットフォームは、ユーザーに中毒性のある機能を提供する前に、Digital Age Assurance Act に従ってユーザーの年齢を確認しなければならない。」

ID をスキャンするのではありません。自撮り写真から年齢を推定するのでもありません。IP アドレスを読み取るのでもありません。OS に尋ねるのです。

州下院プライバシー委員会による AB 1856 の分析は、同法にすでに含まれている仕組みを説明しています。OS プロバイダー、実際には Apple、Google、Microsoft は、アカウント設定時に「アカウント保有者がそのデバイスの利用者の生年月日、年齢、またはその両方を示すことを求める」インターフェースを提示しなければなりません。その入力から OS は「年齢区分データ」、すなわち「ユーザーの生年月日または年齢から導かれる、個人を特定しないデータ」を、13 歳未満、13 歳から 16 歳、16 歳から 18 歳、18 歳以上の 4 つの帯域で導き出します。アプリはダウンロードされ起動されるとシグナルを要求しなければならず、シグナルは「合理的に一貫したリアルタイムのアプリケーションプログラミングインターフェースを通じて」届きます。シグナルを受け取った開発者は「ユーザーの年齢範囲を実際に知っているものとみなされ」、明確かつ説得力のある反対の情報を持たない限り、それを年齢の主たる指標として扱わなければなりません。

委員会は、カリフォルニア州がなぜこの道を選んだのかについて、異例なほど率直です。書類による確認は、「ユーザーが機微な身分証明書類を潜在的に数十のプラットフォームに送信することを要求し、深刻なプライバシーおよびデータセキュリティ上のリスクを生む」と委員会は書き、生体認証や行動に基づく手法は「広範なデータ収集を要求」し、「最も重要な年齢の境界でまさに信頼性を欠く」としています。設定時に申告される年齢区分はその妥協案です。スマートフォンを設定した大人が一度だけ行う一つの入力を、日付ではなく範囲として共有するのです。

AB 1856 はその配管を締め直します。州議会法制顧問の要旨によれば、「ユーザー」をデバイスの主たる利用者である子どもに限定していた定義を削除し、インターフェースの義務を「OS がデバイス上で動作し、アカウント設定機能を持つ場合」に限って適用し、シグナルがアプリストアと開発者の双方に届くことを求め、さらにこれまで存在しなかった禁止規定を追加します。「何人も、本編または他の適用法により要求されない限り、OS プロバイダーまたは対象アプリストアに対し、特定のユーザーに関するシグナルを要求してはならない。」オープンソース OS の配布者は除外されていますが、これは GrapheneOS などのプロジェクトがインターフェースを構築しないと公言した後のことです。スケジュールは変わりません。OS は 2027 年 1 月 1 日からシグナルを提供しなければならず、それ以前に設定されたデバイスは 2027 年 7 月 1 日までにインターフェースを得て、開発者は同じ 7 月の期限までにシグナルを要求していなければなりません。

Apple と Google は法律の先を行っています。2025 年 9 月に iOS 26 とともに出荷された Apple の Declared Age Range API は、「地域の法的要件に応じて、年齢帯または年齢カテゴリー」を返し、あわせてその年齢がどのように確定されたか、つまり本人申告、保護者による申告、政府発行 ID との照合、決済カードとの照合を返します。Google の Play Age Signals API は0-12、13-15、16-17、18+ を返し、「本人申告」から「政府発行 ID と自撮り」までのソース階層を伴います。Google は 2026 年 7 月 29 日、これを世界中のすべての Play 開発者に開放すると発表しました。

この後の話に関わる条項がもう一つあります。プラットフォームが同法を通じて「ユーザーの年齢を確認できない」場合、AB 1709 はそれを 2024 年の Protecting Our Kids from Social Media Addiction Act（SB 976）の年齢判定方法へ送ります。同法の年齢保証規定もやはり 2027 年 1 月 1 日に効力を持ち、その方法は司法長官が規則で定めます。OS シグナルのないデスクトップブラウザのセッションが明らかな例です。このフォールバックこそ、書類や推定が入り込み得る唯一の場所であり、そこで何が求められるかはまだ書かれていません。

ユタ州はあなたがどこにいるかを尋ねる。カリフォルニア州はあなたが何歳かを尋ねる。

VPN が年齢確認の議論に入り込んだのは、別種の法律のせいです。ユタ州の SB 73 は、「9 月 3 日に施行」という見出しが誤りだと判明した際に取り上げましたが、所在地の上に築かれています。その所在地みなし条項は、個人が「実際に本州内に所在する場合、その個人が仮想プライベートネットワーク、プロキシサーバー、またはその他の手段を用いて自らの地理的所在地を偽装もしくは虚偽表示しているか否かにかかわらず、本州からウェブサイトにアクセスしているものとみなす……」と定めています。ウェブサイトはその訪問者の年齢を確認しなければなりません。この仕組み全体はあなたがどこにいるかを知ることに依存しています。それこそ VPN が変える唯一のものであり、だからこそユタ州の規則案には今や「ジオロケーションの難読化」に関する節があり、だからこそ Aylo が提訴したのです。

カリフォルニア州の二つの法案には、それに相当する条項はありません。AB 1709 は所在地、IP アドレス、VPN に言及していません。AB 1856 も同様です。米国法には今や三つの異なるモデルがあり、それぞれ VPN の扱いが大きく異なります。

覚えておく価値のある一行：年齢シグナルはスマートフォンを設定したのが誰かについての表明です。VPN はスマートフォンがどこにあるように見えるかについての表明です。この二つは決して交わりません。

VPN でカリフォルニア州の 16 歳未満ルールを回避できるのか？

いいえ。そしてそのために作られてもいません。

VPN がすることは二つです。ウェブサイトやアプリが見る IP アドレスを VPN サーバーのアドレスに置き換え、相手側にはあなたの自宅回線ではなくパリやフランクフルトが見えるようにします。そして、あなたのデバイスとそのサーバーの間のすべてを暗号化し、カフェのルーターやインターネットプロバイダーにはあなたの通信ではなく暗号化されたトンネルが見えるようにします。どちらも有用です。しかしどちらも、デバイス上の Apple または Google アカウントに登録された年齢区分にも、その区分をアプリに渡すデバイス上の API にも届きません。設定時に親が 2011 年の生年月日を入力した 15 歳は、ロサンゼルスの Wi-Fi ネットワークでもアムステルダムの VPN サーバーでも同じように 13 歳から 16 歳の区分を携えています。

所在地が入り込む場所が一つだけあり、それがどこかを正確に述べる価値があります。AB 1709 はカリフォルニア州内のユーザーを保護しますが、その法文はプラットフォームがユーザーをそう判断する方法を定めていません。実務上、ベンダーは州固有の挙動をその時々のネットワークではなくアカウントに紐づけています。Apple はテキサス州の要件を 2026 年 1 月 1 日から「テキサス州の新規 Apple アカウント」に適用し、Google は 2026 年 5 月 28 日以降に作成されたテキサス州のアカウントに適用しました。未成年者の生年月日でカリフォルニア州で設定されたアカウントは、スマートフォンがどこから接続しようと、カリフォルニア州の未成年者のアカウントとして扱われます。

注意点が二つあります。上の整った説明はそれを隠しているからです。フォールバック経路は存在し、司法長官が SB 976 の規則を書くまでは、シグナルを受け取れないプラットフォームが何を求めるかは誰にも言えません。そして、カリフォルニア州のものを含め上の表のあらゆるモデルは、設定時に入力された内容の真実性に依存しています。大人の生年月日で設定されたデバイスは大人の区分を携え、委員会の分析も、生年月日を尋ねるだけでは誰にも負担をかけない一方で、答えるつもりのない未成年者について何かを検証することにはならないと認めています。カリフォルニア州の賭けは、設定時に日付を入力するのが子どもではなく親であるということです。

表のどのモデルもしないのは、ユーザーを罰することです。AB 1709 にも AB 1856 にも、目的を問わず VPN を使ったことで個人に罰金を科す規定はありません。それは見出しにもかかわらずユタ州の法律にも当てはまり、ここでも当てはまります。VPN が合法な場所に関する 2026 年版ガイドでは、答えが異なる少数の国を取り上げています。

英国、オーストラリア、フランスでは年齢確認の到来時に何が起きたのか？

カリフォルニア州はこの点で後発です。先行した三つの法域はそれぞれ異なる設計を試し、それぞれ数字を生み出しました。

英国はウェブサイトモデルを選びました。2025 年 7 月 25 日から、Online Safety Act はアダルトコンテンツやその他の年齢制限コンテンツを掲載するサイトに対し、サイト上で「高度に効果的な年齢保証」、つまり写真付き ID の照合、顔による年齢推定などを実施するよう求めました。Top10VPN の需要トラッカーは、英国の VPN 需要が直前 28 日間の平均を 7 月 25 日に 1,327%、7 月 26 日に 1,712%、7 月 27 日に 1,987% 上回ったと記録しました。1 年後、2026 年 7 月中旬に公表されたOfcom の年齢保証に関する初の法定報告書は、2025 年下半期にサンプル 32 サービスで 6,900 万件超の年齢確認を数え、これはその前の 6 か月の 23 倍であり、高度に効果的な確認に遭遇した子どもの割合は 2025 年 7 月から 2026 年 1 月の間に 25% から 43% に上昇したとしました。確認は機能します。確認はまた人々を VPN へ向かわせます。どちらも真実であり、英国の VPN 市場はそれ以来様変わりしています。

オーストラリアは方法を義務付けないプラットフォーム義務を選びました。その 16 歳未満の最低年齢は 2025 年 12 月 10 日に発効し、プラットフォームに 16 歳未満を締め出す「合理的な措置」を講じるよう求め、罰金は最大 4,950 万豪ドル、子どもや親への罰則はありません。2026 年 1 月 16 日、eSafety は、プラットフォームが 12 月中旬までに 470 万件の 16 歳未満アカウントのアクセスを停止したと報告しました。Meta は自社だけで 2026 年 6 月 30 日までに 75 万件超の Facebook および Instagram アカウントのアクセスを停止したとしています。Top10VPN は 12 月 7 日に 103% の需要急増を記録しました。Los Angeles Times によれば、オーストラリアのアプローチに対する Newsom 氏の評価は、若者は「皆、その仕組みを出し抜く方法を見つけ出している」というもので、これがアカウントではなく機能を標的にする論拠です。

フランスは 15 歳未満の禁止を選び、最高裁判所がそれを違憲としました。2026 年 8 月 14 日、憲法院（Conseil constitutionnel）の決定 2026-911 DC は、9 月 1 日から 15 歳未満をソーシャルネットワークから締め出すはずだった法律の第 1 条を違憲と判断しました。この禁止は表現の自由に対する不均衡な制限であり、法律が「それ自体で、すべての人に、成人であっても、年齢を証明することを求める」にもかかわらず立法府がその条件と限界を定めていないため、プライバシーを侵害する、と憲法院は判示しました。政府は現在、2027 年春までに法文を書き直すことを目指しています。フランスはすでに、サイトレベルの確認が VPN 需要に何をもたらすかを目にしていました。Top10VPN は、アダルトサイトに年齢確認が導入された 2025 年 6 月 5 日に、通常時を 570% 上回る需要を計測しました。EFF は、カリフォルニア州が署名した当日に発表した声明の中でこのフランスの判決を取り上げました。

このパターンは三つすべてに当てはまります。VPN の急増は、ウェブサイトに書類を確認させる法律の後に続きます。カリフォルニア州の設計は書類を避けており、これはフランスの裁判所が挙げたのと同じ異議です。そして所在地を避けており、それこそがユタ州で VPN を関係あるものにしているものです。それが急増をも避けるのかどうかは、2026 年 9 月ではなく 2027 年 1 月の問いです。

これらはいつ始まるのか？

• 2026 年 9 月 10 日：AB 1709 と AB 1856 に署名。
• 2026 年 10 月 22 日：ユタ州の Aylo に対する執行差し控え期間が終了。ただし判事が先に仮差止命令について判断を下した場合を除く。
• 2027 年 1 月 1 日：AB 1709 が発効。OS プロバイダーは Digital Age Assurance Act に基づく年齢シグナルの提供を開始しなければならない。SB 976 の年齢保証規定が効力を持つ。
• 2027 年 7 月 1 日：2027 年より前に設定されたデバイスの年齢インターフェースの期限、および 2026 年 1 月以降に更新されたアプリの開発者がシグナルを要求している期限。
• 2027 年春：フランス政府が 15 歳未満法の書き直しを目指す時期。
• 裁判の日程：まだなし。署名に対する NetChoice の反応、「州は単に言論を中毒性があると表現し、それへのアクセスを規制する権利を主張することはできない」は、訴状の草案のように読めます。第九巡回区控訴裁判所は 2025 年 9 月に SB 976 の大部分を存続させました。テキサス州のアプリストア法は最高裁が介入を拒否するまで生き残りました。訴訟を予期してください。そして上記の発効日が、その最初の標的になると予期してください。

カリフォルニア州で VPN を使っている人にとっての意味

大人にとっては、何も変わりません。あなたのアカウントは大人の区分を携えており、アプリは 1 月からそれを読み取り、今日と同じようにあなたを扱います。あなたの VPN は、あなたが購入した目的のために働き続けます。IP アドレスをあらゆるサイトのログから遠ざけ、ホテルや空港のネットワークで通信を暗号化し、旅行中に自宅のサービスに届くようにすることです。そのどれかが初めてなら、米国で VPN を使うためのガイドが出発点です。Le VPN のプランは同時に 10 台のデバイスをカバーし、30 日間の返金保証が付いています。

あなたが親なら、この法律によるお子さんの保護は今や一つの入力にかかっています。お子さんのスマートフォンを設定するときに入力する生年月日です。あなた自身のものを入力すれば、デバイスはあらゆるアプリに、それは大人のものだと伝えます。お子さんのものを入力すれば、年齢区分がスマートフォンについて回ります。どのアプリの設定画面でもなく、その一つの欄こそがカリフォルニア州のルールの始まる場所です。1 月までに子どものデバイスの設定方法をより広く見ておく価値があります。