目次
- なぜ「ボットの嘘」が企業責任になるのか
- Air Canada v. Moffatt 判決の構造
- 法的リスク 5 類型の整理
- Microsoft Tay から Air Canada までの 8 年間で変わったもの
- PoC 段階で組み込むべき契約・運用上の防御策
- 日本企業が今すぐ点検すべき 6 項目
- まとめ
なぜ「ボットの嘘」が企業責任になるのか
生成AIチャットボットを顧客接点に導入する動きが加速している。Gartnerは2022年7月の予測で、2027年までに組織の4分の1程度でチャットボット（対話型AI）が顧客サービスの主要チャネルになるとしており、対象は生成AI以前からのルールベース型も含む広い意味での対話型AIである点に留意が必要だ。またSalesforceの「State of Service」第6版（サービス従事者5,500人超対象の調査）では、意思決定者の83%が今後1年でAI投資を増やす計画と回答し、投資計画が「まったくない」と答えたのは6%にとどまった。一方で、編集部の取材によると、国内大企業のDX推進部門が最も警戒しているのは「ボットが誤回答した場合、誰が責任を負うのか」という法的論点である。
この論点に最初の明確な答えを示したのが、カナダ・ブリティッシュコロンビア州民事解決裁判所（BC Civil Resolution Tribunal、以下BC CRT）が2024年2月14日に下した Moffatt v. Air Canada, 2024 BCCRT 149 判決である。Air Canadaのウェブサイトに設置されたチャットボットが、利用者に対して存在しない「事後申請可能な遺族割引（Bereavement Fare）」を案内し、同社が812.02カナダドル＋利息＋訴訟費用の支払いを命じられた。
判決文でTribunal MemberのChristopher C. Rivers氏は「Air Canadaは、なぜMoffatt氏がチャットボットの提供する情報を信頼すべきでなかったのかを説明していない」と述べ、企業のサイト上のチャットボットによる回答は当該企業の表示と同等に扱われると判断した。これは「AIの回答は別人格である」という抗弁を真正面から否定した初の公的判断として、世界中の法務部門に衝撃を与えた。
Air Canada v. Moffatt 判決の構造
事案の経緯
Jake Moffatt氏は2022年11月、祖母の葬儀のためにバンクーバー発トロント行きの航空券を購入する必要があった。Air Canadaのサイト上のチャットボットに遺族割引について質問したところ、ボットは「フル料金で予約し、90日以内に事後申請すれば差額が返金される」と回答した。Moffatt氏はその案内に従いCAD 1,640.36（往復）を支払い、後日返金を請求したが、Air Canadaは「Bereavement Fareは事前申請のみが対象であり、ボットの回答は誤りだった」として返金を拒否した。
Air Canadaの主張と判決
Air Canada側の抗弁で特に注目されたのは「チャットボットは独立した法的主体（separate legal entity）であり、その回答に同社は責任を負わない」という主張である。判決はこれを明確に退け、「チャットボットがインタラクティブな要素を持っていたとしても、それはなおAir Canadaのウェブサイトの一部である。Air Canadaは自社サイト上のすべての情報について責任を負うことは明らかである」と判示した。
結果として認められた損害賠償はCAD 650.88（フル運賃と遺族割引の差額相当）、加えてBC CRT手数料CAD 125、訴訟前利息CAD 36.14、合計CAD 812.02である。金額自体は決して大きくない。しかし、英Reuters、Washington Post、BBCなど主要メディアが一斉に報じ、BBCの解説記事 では「企業が自社AIの『幻覚（hallucination）』に法的責任を負うことを明示した先例」と位置づけられた。
判決の射程
この判決は小額訴訟であるため英米法の正式な判例拘束力は限定的だが、編集部が確認した限り、2024年以降の北米法律事務所のクライアントアラート（Norton Rose Fulbright、Osler、DLA Piperなど）はいずれもAir Canada判決を「Negligent Misrepresentation（過失による不実表示）」の現代的応用例として引用している。日本法上も、事業者ウェブサイトの記載は民法第709条の不法行為または消費者契約法第4条の不実告知の構成要件に該当しうるため、構造的に同じリスクが存在する。
法的リスク 5 類型の整理
編集部はAir Canada判決および国内外のAIガバナンス文献を踏まえ、企業がチャットボット導入時に直面する法的リスクを以下の5類型に整理した。
類型1：不実表示・誤情報責任（Negligent Misrepresentation）
Air Canada事案そのものである。ボットが事実と異なる規約・価格・スペックを案内し、利用者が信頼して経済的損害を被った場合に発生する。McKinseyの「The state of AI in early 2024」では、回答企業の63%が生成AIの関連リスクとして「不正確性（inaccuracy）」を挙げており、これは前年調査（The state of AI in 2023）の56%から増加している。
類型2：個人情報・機密情報の漏洩
利用者がプロンプトに入力した個人情報や、社内ナレッジに含まれる機密情報が、モデルの学習や他ユーザーへの応答に流出するリスク。サムスン電子では2023年4月の20日間で3件、エンジニアが半導体関連のソースコードや会議録をChatGPTに入力する事案が発覚し、同年5月に生成AIツールの社内利用を一時禁止した（Forbes、TechCrunch等が報道）。GDPR上は違反の程度に応じ最大で全世界年間売上高の4%（または2,000万ユーロのいずれか高い方）、日本の個人情報保護法上も報告義務違反等で法人に最大1億円以下の罰金規定がある。
類型3：差別・バイアス・名誉毀損
学習データに含まれる偏見が応答に反映され、特定属性に対する差別的回答や、実在人物への名誉毀損的言及が出力されるリスク。2023年4月にはオーストラリアのBrian Hood市長がChatGPTを名誉毀損で提訴する意向を表明し、世界初のAI名誉毀損訴訟として注目された（その後正式提訴には至らず）。
類型4：著作権・知的財産権侵害
ボットが回答中に第三者の著作物を実質的に複製したり、出力されたコンテンツが既存著作物に依拠していた場合のリスク。2023年12月にNew York TimesがOpenAIおよびMicrosoftを提訴した訴訟は2026年6月時点でも係属中であり、損害賠償請求額は数十億ドル規模とされる。
類型5：規制違反（業法・消費者保護法）
金融、医療、法律など規制業種では、AIの回答が無資格営業や誇大広告に該当しうる。EU AI Actは2024年8月1日に発効した。制裁金は違反類型ごとに3段階あり、最も重い「禁止された慣行」（社会的スコアリング等）は最大3,500万ユーロまたは全世界売上高の7%、高リスクAIシステムの義務違反は最大1,500万ユーロまたは3%、当局への虚偽情報提供は最大750万ユーロまたは1%である（第99条）。なお高リスクAIシステム（附属書III）に対する義務の適用開始は当初2026年8月2日とされていたが、2026年7月27日に発効したデジタル・オムニバス改正により2027年12月2日に延期されている。詳細は European Commissionの公式ページ を参照されたい。
Microsoft Tay から Air Canada までの 8 年間で変わったもの
AIチャットボットの暴走事案として最も古典的な例は、Microsoftが2016年3月23日に公開したTwitter上の対話ボット「Tay」である。公開からわずか16時間以内にユーザーからの悪意ある入力を学習し、人種差別的・性的・陰謀論的な投稿を繰り返したため、24時間以内に停止された。Microsoftの当時のコーポレートVP Peter Lee氏は同社ブログで公式に謝罪したが、法的賠償責任が問われることはなかった。
Tay事案からAir Canada判決までの8年間で構造的に変わったのは次の3点である。
第一に、ボットの設置場所である。Tayは実験的なTwitterアカウントだったが、Air Canadaのチャットボットは顧客が運賃情報を得るための「公式窓口」だった。利用者の合理的信頼の度合いがまったく異なる。
第二に、生成AIの普及度である。OpenAIは2024年8月29日、週次アクティブユーザーが2億人を超えたと公表した（前年11月から倍増）。利用者は日常的に「AIが答えてくれた」情報を意思決定の基礎に使うようになった。「AIだから間違うのは仕方ない」という社会通念は既に崩壊している。
第三に、企業側のガバナンス成熟度への期待である。NIST AI Risk Management Framework（2023年1月公開）、ISO/IEC 42001（2023年12月発行）、EU AI Act（2024年発効）と国際的なリスク管理基準が整備されたことで、「リスクを認識せずにデプロイした」という抗弁は通用しなくなった。NIST公式の AI RMF Playbook は実務適用の出発点となる。
PoC 段階で組み込むべき契約・運用上の防御策
編集部の取材で複数の国内大手法律事務所のテクノロジー法務パートナーが共通して指摘したのは、「リスク管理は本番化フェーズではなくPoCの契約書から始めるべき」という点である。具体的には次の対策が挙げられる。
ベンダー契約上の手当て：ベンダーが提供する基盤モデル（LLM）の出力に関する責任分界点を契約書に明記する。具体的には①幻覚・誤情報による第三者損害が発生した場合の補償（indemnification）条項、②学習データの権利クリアランス保証、③個人情報の取扱範囲、④モデル更新時の事前通知義務、の4点を最低限カバーする。
利用規約（Terms of Use）の整備：エンドユーザー向けの利用規約に、ボット回答の「参考情報性」「最終確定は人間オペレーターによる」旨を明示する。ただしAir Canada判決は「サイト内の他ページに正しい情報があった」だけでは免責されないとしているため、ボットUI内に注意書きを表示する必要がある。
Human-in-the-Loop（HITL）設計：返金・解約・医療相談・法律相談など利用者の権利義務に直接影響する応答については、AIが単独で確定回答を出さず、人間オペレーターのレビューを挟む。人間のレビューを挟む運用は、Air Canada判決が問題視した「ボットの回答をそのまま確定情報として扱う」設計を回避する直接的な対策になる。
ログ保管と監査：プロンプトと応答の完全ログを最低2年間保管し、定期的に幻覚率・差別的応答率・規約逸脱率をモニタリングする。NIST AI RMFの「Measure」機能に該当する活動である。
日本企業が今すぐ点検すべき 6 項目
最後に、国内大企業のDX推進部門・法務部門が短期間で点検すべき項目を編集部の見解として整理する。
- 既存ボットの応答ログ抽出：直近6か月分の応答を抽出し、規約と矛盾する回答が含まれていないかをサンプリング監査する。
- 免責表示の位置と文言：ボットウィンドウ内に注意書きが表示されているか。ヘルプページの片隅に書かれているだけでは不十分である。
- ベンダー契約の補償条項：誤回答による第三者損害について、ベンダーが補償するのか自社が引き受けるのか契約上明確になっているか。
- 個人情報の入出力範囲：プロンプトに個人情報が混入する可能性があるか。混入した場合のフィルタリング・ログ消去のフローが定義されているか。
- エスカレーションフロー：返金・解約・苦情など権利義務に関わる質問が来た際、人間オペレーターに自動転送される設計になっているか。
- EU AI Act対象判定：EU域内のユーザーに提供している場合、自社ボットが「限定的リスク」か「高リスク」かを判定済みか。高リスクAIシステムの義務適用は2027年12月2日（延期後）に間に合うスケジュールか。
経済産業省と総務省が2024年4月に公表した 「AI事業者ガイドライン（第1.0版）」 も、ガバナンス設計の指針として参照価値が高い。
まとめ
Air Canada判決は賠償額812.02カナダドルという小規模な事案だが、「AIの回答は企業の表示である」という原則を明文化した点で歴史的である。生成AIの幻覚（事実と異なる出力）は2026年現在も解消されておらず、Stanford HAIの「AI Index Report」が集計するベンチマークでも、誤答率はタスクの種類によって大きく異なる（単純な事実確認タスクでは低いが、専門領域の複雑な質問では依然として高い）。技術的に「ゼロにならない」リスクである以上、企業に求められるのは技術的完全性ではなく、契約・運用・監査によるリスクの吸収である。
PoCのKPIに「精度」だけを設定し、「責任分界」「ログ保管」「HITL運用率」を入れていない組織は、本番化後にAir Canadaと同じ立場に立つ可能性がある。意思決定者には、技術検証と並行して法務・コンプライアンス部門を巻き込んだガバナンス設計を、PoC開始日から走らせることを編集部として強く推奨する。
次のステップ：法務と技術のコラボレーション体制構築
実は、多くの企業がAir Canada判決の存在を知った後もなお「とりあえずベンダーに任せておけば大丈夫」という姿勢を続けているのが現状です。あなたがもし DX 推進部門の責任者なら、ここが最大の落とし穴だという点を強調したい。
法務部門が「契約上の補償条項を入れました」と報告し、技術部門が「精度 95% を達成しました」と報告しても、実際の運用フェーズで応答ログを誰も監視していなければ意味がない。Air Canada は訴訟にいたるまで「ボットの回答は誰が監視していたのか」すら曖昧な状態だったと、裁判記録から推測できます。
重要なのは「責任の所在を明確にすること」です。 例えば、ボットが運用開始後に新しい幻覚パターンを示し始めたとき：
- 技術チームは「モデル更新の影響」と診断する
- ベンダーは「学習データの問題ではなく利用方法の問題」と反論する
- 法務部門は「責任分界があいまいなため対応できない」と報告する
この 3 者の責任のたらいまわしに陥る組織がほとんどです。対策は簡潔です。運用開始前に、月次監査会議の出席者・議事録形式・エスカレーション判定基準を全部決めておく。 これだけで、何か起きたときの対応速度は 10 倍変わります。
金融機関と医療現場が直面する「さらに複雑な」法的環境
ここまで一般的なカスタマーサービスを想定して述べてきましたが、正直なところ、リスクレベルが最も高いのは金融と医療です。
金融機関の場合、チャットボットが顧客に対して「この投信を買ったら利益が期待できます」という応答をしたとき、それは金融商品取引法上の「勧誘」と解釈される可能性があります。対面やメール・電話での勧誘には金融機関に厳格な情報開示義務が課されていますが、チャットボットの応答にも同等の義務が発生するかどうかは、まだ日本の判例では明確になっていません。米国では2023年7月、SEC（証券取引委員会）がAI等の予測データ分析技術と投資家保護の利益相反に関する規則案を公表し議論になりましたが、この規則案は2025年にSEC自身が「最終規則化しない」として撤回しており、現時点で確定した規制ではありません。規制の方向性としてAIの投資助言利用が注視されている点は変わらず、日本企業も動向注視が必要です。
医療の場合はさらに根深い問題があります。患者がチャットボットに「頭痛がします」と入力したとき、ボットが「脳腫瘍の可能性があります」と応答したら、その時点で医療行為（診断）が行われたと解釈されるリスクがあります。日本では医師法第 17 条で「医師でない者は医業（診断、治療等）をしてはならない」と定めており、ボットが単なる「情報提供」では済まない領域です。
こうした高リスク業種こそが、生成 AI チャットボットの導入を「避けるべき」の判断を早期にすべき領域だといえます。技術的には可能でも、法的には責任を引き受けられない。その線引きを経営層が理解していない組織が、まさに Air Canada と同じ状況に陥るのです。
規制動向：EU AI Act の適用スケジュールを把握する
現在のところ、日本国内には生成 AI に特化した統一的な規制フレームワークがありません。ただ、EU AI Act の発効は日本企業にとって極めて重要な転機です。なぜなら、EU 域内のユーザーを相手にビジネスをしている限り、AI Act のコンプライアンス要件を満たさなければならないからです。
EU AI Act では、チャットボットのうち以下の特性を持つものが「高リスク」に分類されます：
- 決定の自動化：返金可否の判定をボットが自動的に下す場合
- 法的効力の発生：契約成立や権利の発生がボット応答によって生じる場合
- 個人データの大規模処理：顧客情報を学習データとして使用する場合
高リスク AI に指定されると、導入前に独立した第三者による適合性評価を受ける義務が生じます。この義務(附属書III)の適用開始は当初 2026 年 8 月 2 日とされていましたが、2026 年 7 月 27 日に発効したデジタル・オムニバス改正により 2027 年 12 月 2 日 に延期されました。違反時の制裁金は高リスクAI義務違反で最大 1,500 万ユーロまたは全世界売上高の 3%、社会的スコアリング等「禁止された慣行」に該当すればさらに重い最大 3,500 万ユーロまたは 7% です。仮に売上高 1,000 億円の企業が高リスク義務違反に問われれば、3% でも 30 億円規模になります。
欧米の大企業は既にこの対応を始めています。適用開始が延期されたとはいえ、対応を先送りしてよい理由にはなりません。あなたの会社が欧州に事業展開していれば、2027 年 12 月という新しい期限を手帳に印をつけておいてください。
「AIだから許容できる」という甘い見立ては、もう通用しない
最後に、この記事を読んでいる技術リーダーや経営層に一言。
Air Canada 判決から 2 年が経った今、「生成 AI は不完全だから、ある程度の誤りは仕方ない」という言い分は、法廷では通用しません。むしろ逆です。企業が不完全であることを認識しながら対策を講じなかったことが、より責任が重く見なされます。
NIST や ISO の基準が整備された以上、「何が起きうるか」は既に業界の共通知識です。それを知っていながら「技術的に完全性を実現することは不可能だから」という理由で野放しにしたら、過失責任を問われる。これが現在の国際的な法的常識になりつつあります。
では、どうすればいいか。ここから先は戦術の話になりますが、三つのポイントがあります。
第一に、小規模から始めて段階的に拡大する。 社内向けなど低リスクな環境でまず運用・ガバナンスを習熟し、その後に顧客向けに広げる。この過程で「何が起きうるか」を実装レベルで学べます。
第二に、ベンダーと対等な立場で交渉する。「ベンダーが用意したモデルだから責任はベンダー」という甘い関係ではなく、「あなたの会社の顧客に与える影響について、どこまで共責なのか」を契約書に明示させる。これができないベンダーとは、そもそも組まない。
第三に、法務と技術の月次レビュー会議をルーチン化する。 PoCから本番化、そしてその後も。一度決めたガバナンスで十分ではなく、ボットの使われ方が進化すれば、リスク評価も更新する。
航空業界は客の命が関わるため、ICAO の厳格な安全基準があります。医療業界も同様です。金融も同様。では、直接の「害」はなくても、顧客の信頼と経済的権利に関わるカスタマーサービスはどうか。Air Canada 判決は、その問いに対する初めての公式な答えだったのです。
あなたも感じているかもしれませんが、この判決が出た直後から「チャットボット導入に慎重になった」という企業の声は少なくありません。正しい反応です。ただし、慎重さは「やらない」ではなく、「やる前に準備する」という意味であるべき。その準備の最初の一歩が、この記事で述べた 6 項目のチェックリスト実行なのです。
関連記事
- AI導入失敗回避ジャーナル（無料購読） — 週次配信
- 無料相談を予約 — 編集部があなたのAI導入をサポート