Grokに米イリノイ州で集団訴訟、顔写真から生体情報を取得したと主張　生体情報保護法BIPAの要点

米イリノイ州で、対話型AI「Grok」が利用者の顔写真から生体情報を取得したとして、同州のBIPA（生体情報プライバシー法）違反を主張する集団訴訟が起こされました。集団訴訟とは、同じ被害を受けたとする多数の人を代表して少数の原告が起こす訴訟です。いずれも原告側の主張で、裁判所の判断はまだ出ていません。

訴えの内容

報道によると、イリノイ州のGrok利用者が2026年10月7日、イリノイ州北部地区連邦地裁に集団訴訟を起こしました。原告は自撮り写真をアップロードしてビジネス用の顔写真などの作成を頼んだところ、Grokが顔の位置を特定し、目・鼻・口・あごなどの位置関係から顔の形状データを取り出したと主張しています。こうした収集に同意しておらず、知らされてもいなかったとして、損害賠償、イリノイ州民の生体情報の収集差し止め、収集済みデータの破棄を求めています（MediaPost（外部サイトが新しいタブで開きます））。10月12日にも同様の集団訴訟が起こされたと報じられています（Cryptopolitan（外部サイトが新しいタブで開きます））。

被告名は報道では「SpaceXAI」とされています。GrokはxAIが開発したAIで、xAIは2026年2月にSpaceXに買収され、7月にSpaceXAIへ名称を変えたと報じられています（Free Press Journal（外部サイトが新しいタブで開きます））。会社側のコメントは確認できていません。

BIPAとは

BIPAは2008年に制定されたイリノイ州法です。対象となる「生体識別子」には、網膜・虹彩のスキャン、指紋、声紋、手や顔の形状のスキャンが含まれます（イリノイ州控訴裁判所の判決（外部サイトが新しいタブで開きます））。企業が守るべき主な義務は次のとおりです（連邦地裁の決定（外部サイトが新しいタブで開きます））。

• 収集する前に、収集すること、目的、保存・利用期間を書面で知らせ、本人から署名入りの書面による同意（written release）を得る
• 生体情報の保存期間と、恒久的に破棄するための方針を公開する
• 生体情報の販売や、同意のない第三者への開示を行わない

違反があれば個人が直接訴えることができ、過失による違反は1件1,000ドル、故意または重大な不注意による違反は1件5,000ドル（実損がこれを上回れば実損）を請求できます。2024年の法改正で、同じ人から同じ方法で繰り返し収集しても違反は1回と数えることになり、連邦控訴裁判所は2026年4月、この改正が改正前に起こされた訴訟にも適用されると判断しました（第7巡回区控訴裁判所の判決（外部サイトが新しいタブで開きます））。

日本企業への示唆

画像生成や写真加工のAIが、写真から顔の特徴を読み取る処理をしている場合、それがBIPAの「顔の形状のスキャン」にあたるかが今回の争点になるとみられます。米国の利用者に顔写真を扱うサービスを提供する企業は、処理の中身を把握し、同意の取り方や保存・破棄の方針を見直しておくことが求められます。