米国財務省・内国歳入庁(IRS)が民間身元確認技術会社のID.meシステムの使用を撤回、別の本人認証システムへの移行を公表

　2月7日、筆者の手元に米内国歳入庁(IRS)からリリース「IRSは、顔認識を含む民間身元確認技術会社たるサードパーティ(ID.me)の顔認識システムの使用を中止し、別の本人認証システムに移行する旨発表」が届いた。

　その内容を要約すると、申告シーズン中の納税者の大きな混乱を防ぐために、この中止は今後数週間にわたって行われる。この中止中、IRSは顔認識を伴わない追加の認証プロセスを迅速に開発し、オンライン化する。また IRSは、政府間パートナーと協力して、納税者データを保護し、オンライン・ツールへの幅広いアクセスを保証する認証方法を開発する。

　2月7日発表されたID.meシステム(注1)の使用中止と別認証システムへの移行は、納税者が申告書を提出したり、未払いの税金を支払ったりする能力を妨げるものではない。この期間中、IRSは引き続き税務申告を受け付け、現在の税務シーズンに他の影響はない。人々は通常どおりに税金を申告し続ける必要があるという内容である。

　この問題につき、筆者は2月2日付け本ブログ「IRSは税務記録にオンラインでアクセスするために納税者に顔認識識別情報の提出を義務付ける認証システムにつき代替システムを検討開始」　でロン・ワイデン(Ron Wyden)上院議員(民主党：オレゴン州)等超党派連邦議会議員や人権擁護団体、さらには主要メディアの記事や「1:1マッチング(照合)」や「1:Nマッチング(識別)」技術等につき詳しく取り上げている。

　しかし、その一方で(1)民間企業であるID.meのCEOのこの問題に対する不誠実な対応とはいかなるものか､(2)ID.meのサイトの最近のブログ投稿では、会社がIDを検証する方法と、顔を照合するために依存するアルゴリズムに名前を付ける方法について説明している。これには、Paravision（NISTによってテスト済み）やAmazonが発売した製品であるAmazonのRekognitionが含まれる。果たして、IRSは本当にかなり精度が低いと言われる顔認識システムの導入をまだあきらめていないのではないか、(3)　米国の警察が使う「アマゾンの顔認識技術」、その利用の一時停止は大きな転換点になるかといった問題をどうクリアするのか、すなわち米国の警察当局が採用しているアマゾンの顔認識技術「Amazon Rekognition」について、警察当局による使用を「1年間停止」すると同社が発表した。顔認識ツールを警察に提供する正当性を激しく主張してきた同社にとって、大きな転換点となる可能性があるという問題等である。

　一方、この問題につきわが国のメデイアはどのように取り上げたであろうか。2月11日の朝日新聞の朝刊は問題の本質的な解説記事とはいいがたい。したがって、筆者はIT問題専門サイトであるTechCrunch、Wired com、techdirtの記事を読み直した。

　これらの記事により、冒頭述べた疑問点はかなりクリアーになった。それでも、GAFAだけでない米国IT企業の連邦機関や州機関等への売り込み競争はすさまじい。その実態を理解するため、techdirt記事「ID.meは、IRSが同社とのパートナーシップを再検討しているため、既存のデータベースに対して自撮りを実行することを最終的に認めている」の要旨を仮訳するとともに新たな課題をまとめてみた。

　なお、解説記事としてはWired comの翻訳文はわかりやすいし、読みやすい。併読されたい。

【techdirt記事の要約にもとづく仮訳】

　テクノロジー企業であるID.meは、過去数か月にわたって政府機関の顧客に対し驚くべき侵害を行った。これの一部は、連邦政府が2020年に不正なCOVID関連の請求で4,000億ドル(約46兆円)を失ったと（証拠なしで）主張した会社のCEOであるブレイク・ホール(Blake Hall)氏による未審査の請求によるものである。彼はまた、そのID.meにつき（証拠を提供せずに）当社の顔認識技術は頑丈で、健全で、正確で、人間のレビューによって阻止されていると主張した。

Founder & CEO:Blake Hall氏

　これらの主張は、ID.me のAIにいくらか欠陥があることが明らかになった後にも行われ、その結果、いくつかの州で失業手当支給から人々が締め出された(支給の遅延)。 ID.meが現在27の州でさまざまな利益の分散を処理するために使用されていることを考えると、これは大問題であった。そして、ID.meがIRSとの契約のおかげで、受益者の全国全体を処理することが期待されるのであれば、それはさらに悪化するに違いない。

　もう1つの問題は、報告された失敗に対するID.meのCEOの態度である。彼はまだ4,000億ドルの詐欺の主張を裏付けるものを何も生み出しておらず、州レベルでの大規模な失敗に直面したとき、不完全な自撮りのために人々が単に失業手当の受給利益へのアクセスを拒否されるのではなく、詐欺師の行動としてでこれらを非難することを選択したのである。

　CEO であるホール氏による別の主張は、ID.meのCEOによる引き返すことをもたらし、彼の会社の活動に対する監視の強化に促された。まず、会社のAIは外部の関係者によってテストされたことがない。つまり、CEOが言う正確性の主張は、独立して検証されるまで、深刻な側面に目を向ける必要がある。

　しかし、他方､ホール氏は会社が顔を照合するために既存のデータベースを使用していないと主張し、同社が誰かの身元を確認するために「1:1マッチング(照合)」の照合に依存していることをほのめかした。しかし、これは、以前に同社のサーバーに写真をアップロードしたことがないすべての利益追求者に当てはまる可能性はなく、ID.meが一致するものを見つけられないと主張した場合にのみ拒否された。

　同社が「1:Nマッチング(識別)」技術を使用していたことは明らかである。これには、認識技術としては失敗の可能性が高く、ほとんどすべての顔認識技術に固有の欠陥がある。さらに女性やマイノリティを扱う場合の信頼性が低くなる傾向がある。

　ID.meへの外部からの精査が増えたことで、CEOのホール氏は頭がクリーンになった。そして、それは彼自身の従業員がこの1:Nマッチング(識別)のでたらめのラインを維持し続けることが同社を悩ませるためにどのように戻ってくるかを指摘することから始まった。 CyberScoopが入手したID.me社内の内部チャットでは、従業員がホール氏に、彼の不正が会社に損害を与える前に会社の実務慣行について正直であるように懇願していることが明らかに示されている。

　「1:Nマッチング(識別)」は多くの顔の検索を無効にすることはできるが、貴重な詐欺対策ツールを失うことになる。または、1:Nマッチング(識別)を使用することに対する公の立場を変えることもできる」と、部下のエンジニアは2月1日に会社のSlackチャネルに投稿されたメッセージに書き込んだ。

　CyberScoop (注2)が得た内部メッセージは、ID.me社が社内会議でIRSと1:Nマッチング(識別)」の使用について話し合ったことも意味した。

　これらのメッセージは直接的な影響を及ぼした。ホール氏はLinkedInの投稿を発行し、会社が「1:Nマッチング(識別)」を使用したことを認めた。これは、会社がIDの検証に外部データベースにも依存していることを示している。

　2月3日のLinkedInへの投稿でホール氏は、「1:Nマッチング(識別)」検証が「登録中に1回」使用され、「本人確認に関連付けられていない」と述べている。

　「これは、正当なユーザーが自分のIDを確認することを妨げるものではなく、IDの盗難を防ぐ以外の目的で使用されることもない」と彼は書いている。

　ホール氏のこの投稿は、ID.meの技術の欠陥ではなく、悪意のある詐欺師の結果であるというメリットへのアクセスの失敗をほのめかして、物事の本質をかなり曖昧にしている。しかし、彼のタイミングが遅れた正直さは、州レベルでの同社の複数の失敗とともに、IRSがID.meのAIへの依存を再考する原因となっている。

　「連邦財務省は、内国歳入庁(IRS)がウェブサイトにアクセスするために顔認識ソフトウェアID.meに依存していることを再検討している」と財務省の当局者は2月4日、数千万人のアメリカ人の顔の画像の会社のコレクションの精査の中で語った。

財務省とIRSは、ID.meの代替案を検討していると同省の関係者は述べており、その間、当局はソフトウェアに関する懸念に注意を払っている。

　これは、IRSがID.meを完全に断念したことを意味するものではない。現時点では、比較して買い物をしているだけである。オンラインで税金を申告するということは、当面の間は、なおID.meの検証ソフトウェアを利用することを意味する。

　ID.meのサイトの最近のブログ投稿では、同社がIDを検証する方法と、顔を照合するために依存するアルゴリズムに名前を付ける方法について説明している。これには、Paravision（米国立標準技術研究所：NISTによってテスト済み）やAmazonが発売した製品であるAmazonのRekognitionが含まれる。

　これはID.meには遅すぎる可能性がある。州および連邦政府の契約を食いつぶしながら、公に正直かつ透明に関与することを拒否したことで、Extremely Online(注4)の監視を超えて同社への監視が拡大した。ロン・ワイデン(Ron Wyden)上院議員は、IRSがID.meをオンライン・ファイリングの唯一のオプションにした理由を知りたがっている。

　同議員は「アメリカ人がIRSウェブサイトの個人データにアクセスするために、顔認識システムに提出するか、何時間も待機するか、またはその両方をしなければならない可能性があることに非常に不安を感じている。e-filing(注3)の還付は影響を受けないが、私はこの計画の透明性を高めるためにIRSに働きかけしている」と述べた。

　しかし、e-filingは影響を受けるとみるのが正しい。ブルームバーグ(Bloomberg)への声明でIRSのスポークス・パーソンBarbara] LaMannaが指摘したように、ID.meはまだ電子申告者とe-filingの間に位置している､ID.meを使用したくない納税者は、オンラインでの納税を拒否できると述べた。

　既存のIRSアカウントを持っている人はこの技術的な障害を回避できるかもしれないが、新しい申告者は依然としてID.meと対話してe-filing用のアカウントを設定する必要がある。

****************************************************************************:

(注1） Natptax（National Association of Tax Association )サイトでは、ID.me制度の目的、プライバシー問題への配慮、NIST基準のクリアー､利用手順等解説スライド(全17頁)で見れる。

(注2) CyberScoopは、米国のサイバー関係の大手メディアであり、わが国でも多くの公的機関で引用されている。

(注3) e-filing (電子申告)

　e-filingは、インターネットまたは直接接続を介して米国内国歳入庁に税務書類を提出するためのシステムであり、通常は紙の書類を提出する必要はない。電子ファイリング機能を備えた税務準備ソフトウェアには、スタンドアロンのプログラムまたはWebサイトが含まれる。税務専門家は、主要なソフトウェアベンダーの税務準備ソフトウェアを商用利用している。

　納税申告者は、IRS Free Fileサービスを使用して、資格がある場合は認可されたIRS e-fileプロバイダーの税務ソフトウェアを使用するか、Free File AllianceのオンラインFree File Fillable Formsを使用して無料でe-fileできる。 2020年以前は、IRS e-fileにはサードパーティの使用が必要であり、IRS Webサイトから直接e-fileすることはできなかった。 2020年、IRSは、所得が69,000ドルを超える納税者が利用できるIRS Free File Fillable Formsを介して直接、電子申告を可能にした。その金額を下回る収入のある人は書類を米国の郵便で送る必要がある。(Wikipedia から抜粋、仮訳、リンクは筆者の責任で行った)

(注4) Extremely onlineとは、ターミナルオンラインとも呼ばれ、インターネット文化に密接に関与している人を指す用語である。彼らは、オンライン投稿が非常に重要であるとしばしば信じている。(Wikipedia から一部抜粋、仮訳)

***************************************************************************************

最新の海外法制、プライバシー保護、セキュリティ強化のガイダンス

このブログを検索