コネチカット州のAIコンプライアンスの時計が、正式に執行フェーズへ進んだ。2026年10月1日から、同州の「人工知能の責任と透明性に関する法律」（CART法、Public Act 26-15、通称SB 5）と、プライバシー包括改正法（Public Act 26-64、通称SB 4、コネチカット州データプライバシー法＝CTDPAを改正）が同時に施行される。両法は2026年5月にネッド・ラモント州知事が署名し、9月16日にはウィリアム・トン州司法長官が記者会見を開き、企業と消費者に向けて新たな権利と義務を説明した。
何が起きたのか：州法2本が連続施行
CART法は、今年アメリカで成立した州レベルのAI法の中でも最も包括的なものの一つで、自動化された雇用意思決定、AIサブスクリプションの契約条件、フロンティアモデル開発者における内部告発者保護、合成コンテンツの来歴、未成年者が利用するAIコンパニオンボットなど、幅広いテーマをカバーしている。10月1日に施行されるのは第一弾の条項だ。自動化された雇用関連意思決定技術の規則、大規模フロンティアモデル開発者の反報復義務、生成コンテンツの透明性義務が対象で、AIコンパニオンボットの未成年者保護に関する条項は2027年1月1日に延期されている。
同時に施行されるSB 4は、CTDPAの保護範囲を大幅に拡大する。個人データに基づくアルゴリズム価格設定（「監視価格設定」）を制限し開示を義務づけ、顔認識技術を使う企業には施設内に分かりやすい掲示と顔認識ポリシーへのリンクの設置を義務づける。コネチカット州住民の精密な位置情報データと遺伝情報の販売を禁止し、データブローカーには2027年1月1日までに州消費者保護局（DCP）への登録を義務づけた。
誰に影響するのか：テック企業だけではない
真っ先に影響を受けるのは、コネチカット州で事業を営む雇用主だ。採用、昇進、懲戒、解雇などの雇用意思決定にAIツールを使っている企業——履歴書スクリーニングソフト、自動面接採点、業績評価プラットフォームはいずれも該当する——は、10月1日から求職者と従業員に対し、AIがどの意思決定のどの場面で何をしているかを説明する書面通知を提供しなければならない。重要なのは、AI意思決定ツールを使っても企業の反差別責任が免除されないことだ。「アルゴリズムはベンダーのものだ」と言って法的リスクを外部に押し出すことはできない。雇用主自身が規制対象の「導入者（デプロイヤー）」なのである。
次に影響を受けるのは、コネチカット州の消費者向け生成AIサブスクリプション製品だ。提供事業者は、主要なサブスクリプション条件を消費者に書面で通知し、書面による承諾を得なければならない。サブスクリプションの透明性が消費者保護法に書き込まれた形だ。
さらに、同州住民のデータを保有する事業者も対象になる。データブローカー、消費者直販型遺伝子検査会社、顔認識や精密位置情報データを使う企業、個人データを使って差別価格を設定するあらゆる事業者だ。
どう対応すべきか：アクションチェックリスト
- 採用ツールチェーンの棚卸し：雇用意思決定に関わるAIツールをすべて列挙し（自社開発・調達を問わない）、各ツールについて書面通知文を用意して10月1日までに運用開始する。
- ベンダー契約の書き直し：透明性と協力の義務を調達条項に明記する。「ベンダーがコンプライアンスを約束している」は雇用主自身の通知義務の代替にはならない。
- サブスクリプションページの点検：AIサブスクリプション製品の価格、更新、解約条件が書面で開示されているか、書面による承諾が得られているかを確認する。
- プライバシー側の自己点検：個人データを価格差別に使っていないか、精密位置情報や遺伝情報を販売していないか、顔認識を掲示なしで使っていないか。
- データブローカーは別スケジュール：登録義務の期限は2027年1月1日で、10月1日と混同しないこと。
リスクはどこにあるか：陥りやすい3つの落とし穴
第一に、「州法」は「連邦法」ではなく、ましてや世界共通ではない。CART法が適用されるのはコネチカット州だけだ。ただし、カリフォルニア州、ニューヨーク州、メリーランド州で同時進行しているアルゴリズム価格設定の規制とは一脈相通じており、トン司法長官は会見で州レベルの執行が積極的に「空白を埋める」と明言した。企業はこの州際の収斂を長期トレンドとして捉え、州ごとの場当たり対応に終わらせてはならない。同時期に集中施行期にあるニューヨーク州RAISE法の執行スケジュールも合わせて読む価値がある。
第二に、施行時期は段階的だ。10月1日は第一弾にすぎず、AIコンパニオンボット条項は2027年1月1日、データブローカー登録も2027年1月1日、一部の要件は2027年から2031年にかけて段階適用される。「全部10月1日施行」として備えるのも、「まだ関係ない」として先送りするのも、どちらも間違いだ。
第三に、執行のシグナルは明白だ。トン司法長官は、コネチカット州が主導するOpenAIに対する多州調査の詳細を明かさなかったが、執行機関が「全速力で追いかけている」と強調した。EU AI法の執行もすでに実務フェーズに入っており（EU AI法の執行が実務段階へ）、大西洋を挟んで両岸の執行ペースは加速している。今使わないコンプライアンス予算は、後で罰金として払うことになる。
アメリカの州立法競争という文脈で見れば、コネチカット州が「雇用主はAIの導入者であり、リスクを外部に押し出せない」と法律に書いた瞬間、複数の州で事業を営みAIを人事判断に使う企業は、コンプライアンスを導入者側で果たさなければならなくなった。ベンダーに責任を押しつける時代は終わったのだ。来年には、この種の州法は増えることはあっても減ることはないだろう。
