欧州委員会が「ProtectEU戦略」の名のもと、暗号化バックドア導入を再び推し進めている。テロや児童搾取の摘発が名目だが、経営者にとってこれは通信インフラの前提が崩れる話だ。EU域内で事業を展開する日本企業は、通信ツール選定とデータ保管地域の見直しを、四半期単位ではなく今週単位で始める局面に入った。
何が起きたか
欧州委員会は「ProtectEU戦略」の枠組みで、SignalやWhatsAppに代表されるエンドツーエンド暗号化通信に、法執行機関がアクセスできる仕組み――いわゆるバックドア――の導入議論を再点火させた。名目はテロ対策と児童搾取犯罪の摘発だ。しかし技術者コミュニティからは「暗号は部分的に壊せない。穴を開ければ、犯罪者だけでなく全国民、全企業の通信が同時に脆弱化する」との反発が噴出している。過去にも同種の議論は浮上しては消えてきたが、今回はProtectEUという上位戦略に組み込まれた点で重みが違う。加えて、主要メッセージングアプリ側からは「暗号化を壊すよう強制する国からは撤退するしかない」という、いわゆる核オプションの示唆まで出始めている。制度と技術が正面衝突している構図だ。
AI EU規制の中で暗号化議論が持つ意味
AI EU規制の議論というと、これまではAI Actや汎用モデルの透明性義務ばかりが注目されてきた。しかし経営者が本当に警戒すべきは、AI規制と通信・データ規制が同時に締め付けられ、コンプライアンス負荷が指数関数的に増える点にある。ProtectEUの暗号化議論は、その象徴だ。
ROIの観点で見れば、影響は三層に及ぶ。第一に、社内コミュニケーション基盤の再設計コストだ。SignalやWhatsApp、あるいはそれらを内包するSaaSを業務利用している企業は、EU域内で「実質的に平文化される可能性のあるツール」を業務標準にしていることになる。第二に、顧客データの信頼性コストだ。B2Cで「エンドツーエンド暗号化で守っています」と謳ってきた企業は、その約束を維持できない可能性を織り込む必要がある。第三に、機密情報のリークリスクだ。バックドアは設計上、必ず悪用される。国家が持つ鍵は、遅かれ早かれ流出する。これは技術者の総意である。つまり、EUの立法が通れば、EU経由の通信を使うすべての企業のセキュリティ前提が一段下がる、と理解すべきだ。
経営判断への含意
私の見立ては明確だ。これは「EU域内の暗号化がどうなるか」の話ではなく、「グローバル企業が通信インフラの主権をどこに置くか」の話である。
考えてみてほしい。EUがバックドアを制度化すれば、追随する国は必ず出る。過去の英国オンライン安全法、豪州のTOLA法の系譜を見れば、democratic westと呼ばれる陣営でこの流れは加速する。すると、経営者は二者択一を迫られる。ひとつは、法執行アクセス可の通信を受け入れ、機密情報の扱いを紙とオフラインに戻す道。もうひとつは、暗号化が維持される司法管轄区にデータと通信の重心を移す道だ。中庸はない。
ここで蛙田として言いたいのは、この判断は情シス案件ではなく、CEO案件だという点だ。M&A情報、人事情報、未公開の技術情報――これらがEU域内のクラウドと通信を経由している限り、「合法的に第三者が読める前提」で戦略を立てざるを得なくなる。競合が同じEU圏の当局アクセス下にあるなら条件は対等だが、非EU企業と競争する場面では、情報の非対称が明確に不利に働く。暗号化は単なるセキュリティ機能ではなく、経営情報の競争力そのものだと再定義すべき時期に来た。
経営者として次に取るべき動き
第一に、自社が「絶対に外に漏らせない通信」を棚卸しすることだ。役員間チャット、法務相談、M&A交渉、内部通報――これらが現在どのアプリ・どのリージョンを経由しているかを、今週中に一枚のマップにまとめさせる。担当はCISOではなくCFOかCOOに置くべきだ。ITの問題ではなく事業継続の問題だからである。
第二に、EU域内拠点の通信・データ保管を、非EUリージョン、または自社オンプレへ段階的にシフトする選択肢の予算試算を始めることだ。推定で、中堅企業でも数千万円規模の投資が必要だが、情報リーク一件の損失より確実に安い。
第三に、主要ベンダー――Signal、Meta、Microsoft、Google――の公式スタンスと撤退シナリオを、契約書ベースでレビューすることだ。「EU撤退時に自社データはどう扱われるか」を書面で握っておく企業が、次の一年で優位に立つ。