コネチカット州の新規則が10月1日に施行され、今回の対象は消費者側とデータ側だ。州議会の2026年会期で可決された2法——『コネチカット人工知能責任・透明性法』（CART法、Public Act 26-15、公式名称は『オンライン安全法』）のAI関連条項と、『消費者プライバシー・保護法』（Public Act 26-64、コネチカット州消費者プライバシー法CTDPAの拡張改正）——が2026年10月1日から同州で事業を行う企業に法的拘束力を持った。いずれも2026年5月11日に州知事が署名した。昨日施行された雇用者向けAI開示義務も同じ立法パッケージの一部だが、今回施行分はAIサブスクリプション事業者、データブローカー、そしてコネチカット州民の消費者データを扱うすべての企業を対象とする。
AIサブスクリプション事業者：契約前の書面通知と書面による同意が必須
CART法第1条は、10月1日施行分の中でAI製品企業に最も直接響く規定だ。サブスクリプション型AI技術の提供者は、消費者と契約を締結・更新する際に、主要な契約条件を書面で事前に通知し、消費者から書面による承諾を得なければならない。つまりChatGPT Plusのような月額課金のAIサービスは、コネチカット州のユーザーに対して、チェックアウト画面に埋め込んだデフォルトチェックのチェックボックスでは済まされなくなる——条件は独立した明確な開示として提示され、同意は消費者による明確な書面の意思表示でなければならない。適用は本社の所在地ではなく、ユーザーがコネチカット州民かどうかで決まる。
データブローカー：2027年から年次登録、全米初の集中削除メカニズムも
Public Act 26-64は、消費者データを販売またはライセンスする企業に新たな登録義務を課す。2027年1月1日から、該当企業はコネチカット州消費者保護局への年次登録、年会費の納付、準拠したプライバシーポリシーの維持、データ収集の実態と消費者の権利行使方法の公開が求められる。さらに重要なのは、コネチカット州が全米初の州レベル集中削除システムを構築することだ。消費者の一度のリクエストで、登録済みデータブローカーすべてに個人データの削除が義務づけられ、ブローカーは法律の基準に従い45日サイクルでリクエストを審査・処理する体制を整えなければならない。個人データの蓄積・転売で稼ぐビジネスは、コネチカット州で明らかにコスト高になる。
精密位置情報の販売は禁止、「監視価格設定（サーベイランス・プライシング）」も規制対象に
新規則は、企業および第三者によるコネチカット州民の精密位置情報の販売を禁止する。猶予期間はなく、10月1日から即時施行だ。もう一つの注目点は「サーベイランス・プライシング」への規制で、消費者の追跡データや行動データに基づく価格の個別化・値上げが制限され、一部のAI駆動型価格設定ツールには消費者への開示が義務づけられる。法文には開示文の例まで示されている。「THIS PRICE WAS INCREASED BY A PRICE SETTING DEVICE USING YOUR PERSONAL DATA.」コネチカット州でユーザーごとに異なる価格を表示するEC・配車・フードデリバリー各社は、価格設定ロジックの自己点検を急ぐべきだ。コネチカット州の動きはカリフォルニア州、ニューヨーク州、メリーランド州と同じ方向を向いている——メリーランド州のHB 895も同日施行され、食品小売・デリバリー事業者が個人データを用いたダイナミックプライシングを行うことを禁じ、違反1件あたり最大1万ドルの罰金が科される。
AIコンパニオン：身元開示、未成年者保護、自殺介入のいずれも必須
CART法は「AIコンパニオン」（自然言語インターフェースを持ち、適応的で人間らしい応答を提供し、複数回のやり取りにわたって関係を維持できるAI）にも専門の義務を設けた。運営者は、ユーザーに対してAIと対話していることを定期的に開示し、未成年者向けの保護措置を講じ、自殺・自傷の兆候を検出して対応できる体制を整え、操作的・有害なやり取りを制限しなければならない。「ユーザー未成年者であることを知っていた、または知る理由があった」運営者にはより重い義務が課される——「年齢を知らないふり」は通用するコンプライアンス戦略ではなく、年齢確認プロセスの整備が急務となる。
企業が今やるべきこと
第一に、サブスクリプション契約と購入フローを更新し、主要条件の書面通知と書面同意を独立したステップとして組み込む。第二に、データの売買・共有チェーンを棚卸しし、法が定める「データブローカー」に該当するかを判断して2027年の登録に備える。第三に、精密位置情報の販売・外部共有を直ちに停止する。第四に、ダイナミックプライシングやパーソナライズドプライシングのロジックと開示文案を見直す。第五に、AIコンパニオン製品に身元開示・未成年者保護・危機介入の仕組みを補完する。第六に、プライバシー通知、データ保持・削除プロセスを更新し、プロファイリングや自動意思決定の影響評価を補完する。
リスクはどこにあるか
第一に執行リスクだ。新規則は州司法長官と消費者保護局が執行し、コネチカット州はプライバシー執行に積極的な実績がある。第二に複数州対応の複雑化だ。複数州で事業を行う企業は州ごとに義務を突き合わせる必要があり、全米共通テンプレート一枚では済まなくなる。第三に運用コストだ。集中削除メカニズム、45日審査サイクル、年次登録料はいずれも実質的で継続的な投資となる。最後に時期の注意点を一つ。CART法の雇用者向けAI開示義務の大部分は2027年10月1日施行であり、消費者側と雇用者側の二つのタイムラインを混同してはならない。
