7月、フランスでDoctolib（ドクトリブ）を使う人たちのもとに、一通のメールが届いた。オンライン医療予約サービスとして病院や診療所の予約に使われているこのプラットフォームが、利用者の人口統計データと健康データを使ってAIの研究を始める、という内容だった。反対したい人はウェブサイトのフォームに氏名と生年月日を書き込み、「情報処理・自由法第56条に基づき、再利用に反対します」という項目にチェックを入れればいい。それだけだ。時期は夏の真っただ中、多くの人が休暇に出ているタイミングだった。

このメール一通に、いま欧州で問われている問題が凝縮されている。便利なサービスを使い続けるために、私たちはどこまで自分のデータと判断を他人に委ねているのか、そしてその委譲は本当に「選んだ」と言えるものなのか、という問題だ。

Doctolibの計画自体は、2026年8月1日から始まる。国立デジタル科学技術研究所（Inria）や国立保健医学研究所（Inserm）、パリ・シテ大学と共同で「臨床AI」の研究所を立ち上げ、患者の診療履歴をもとに、病気の進行予測や検査・専門医紹介の推奨などに使えるAIツールの研究を、3年かけて行うという。使われるのは既往歴、薬剤、健康状態、診断、治療経過、処方箋、画像診断や血液検査の結果まで含む、成人利用者のほぼすべての医療データだ。データは仮名化・暗号化され、研究者だけがアクセスできる安全な環境で最長5年間保存される、とDoctolibは説明している。データを売ったり、AIモデルの訓練そのものに使ったりはしないという。

ここで注目すべきは、この研究が「公益性がある」とみなされているため、Doctolibには利用者への事前の許可を求める義務がない、という点だ。同意を取るのではなく、拒否したい人だけがフォームを埋めて手を挙げる。これはオプトアウト方式と呼ばれる仕組みで、法的には適法かもしれないが、実際に何人の利用者がこのメールを読み、内容を理解し、9月に始まる「技術的訓練段階」の前に行動できたかは、別の話だ。

人権連盟（LDH）は、機微な健康データが流出すれば「スティグマ化、差別、そして不当なプロファイリングという無視できないリスク」が生じると警告し、仮名化は再特定の可能性がある以上、安全性の保証にはならないと指摘している。医師や研究者の集まりInterhopの弁護士ジュリエット・アリベール氏は、情報が「夏の真っただ中」に短い期限つきで送られたことを問題視し、「患者が十分な情報を得た状態にあるといえるのか、与えられた同意は自由なものといえるのか」と疑問を投げかけた。さらにDoctolibは米国企業Amazonにデータを保管しており、LDHは、米国法の下では刑事捜査の際に当局がデータにアクセスできる可能性がある点も懸念材料として挙げている。

この「理解した上で選べるか」という論点は、Doctolibだけの話ではない。同じ8月2日、欧州連合ではAI規制法（AI Act）の新たな義務が施行された。AIが生成・改変したコンテンツやAIとのやり取りには、EUが定めたアイコンによる表示が義務づけられる。ディープフェイクや、人間の確認を経ていないAI生成ニュースなどが対象だ。違反企業には年間世界売上高の7％、または3,500万ユーロという、企業の規模次第では致命的になりうる制裁が科される。欧州委員会内のAI事務局には、大規模モデルを調査し、市場投入前でもアクセスを求める権限まで与えられた。

つまりEUがここで一貫して打ち出しているのは、「利用規約に同意ボタンを押したかどうか」ではなく、「利用者が実際に何を使わされているのか理解し、拒否する手段を持っているか」を基準にする、という発想だ。Doctolibの仕組みへの批判も、この物差しで測られている。

この物差しは、医療の現場でも同時に問われている。フランスでは今夏、資格を持たない人物による違法な美容注射で、若い女性2人がこの4か月のうちに死亡した。全国形成・再建・美容外科組合はソーシャルメディア上で施術者が宣伝を広げていると批判し、5,000人の医師がステファニー・リスト保健相への公開書簡で「あと何人の死者が必要なのか」と訴えた。声明によれば、フランスで美容注射を受ける人のうち、現在では40％が医師ではない施術者のもとを訪れているという。医師たちは、こうした施術者を「死の商人」と呼び、ソーシャルメディア事業者や当局の対応の鈍さを名指しで批判している。同じ組合は2022年にも同様の警告を発していたが、状況は改善していないと医師は述べている。

一見、AIの透明性義務やDoctolibのデータ利用とはかけ離れた話に見えるかもしれない。しかし共通しているのは、危険や不利益が「表示」や「説明」の欠如の中に隠れて広がる、という構図だ。SNS上の施術宣伝は、資格の有無や危険性についての説明がないまま拡散する。Doctolibの通知は、法的には要件を満たしていても、多くの利用者が内容を咀嚼できないまま既成事実になっていく。AIが生成したニュースも、表示がなければ本物との区別がつかない。フランス発のこの一連のニュースが示しているのは、「同意した」という形式と、「理解して選んだ」という実質のあいだに、埋めがたい溝があるという事実だ。

日本ではどうだろうか。一般に、個別の業界法や事業者の自主的なガイドラインで対応する傾向が強いとされ、医療データやAI利用に横断的な説明義務を課す枠組みは、欧州ほど整備が進んでいないと言われることが多い。事業者ごとの自主対応に委ねられる部分が大きい分、利用者が「拒否できる」実効性は事業者の姿勢次第になりやすい、という指摘も聞かれる。

一方、米国では一般に、市場の革新性や企業の表現の自由を重視する立場が強く、EUのような包括的な規制には政治的にも法的にも抵抗が生じやすいとされる。Doctolibの一件でAmazonの米国法適用が懸念材料として挙がったのも、データがどの国の法律の傘の下に置かれるかという、国境を越えたガバナンスの問題を映し出している。

EUの高リスクAIに関する追加規則は2027年、2028年と段階的に施行が予定されており、医療分野のAI利用はまさにその射程に入ってくる。Doctolibのようなサービスが今後どこまで独立した監督のもとに置かれるのか、そして「拒否する権利」がどこまで実効的なものになるのかは、これからの数年で試されることになるだろう。

便利なデジタルサービスやAIを使い続けるために、私たちはどこまで自分のデータと判断を委ねてよいのだろうか。そして、その判断を「委ねた」と言えるためには、いったいどれだけの理解が必要なのだろうか。