Googleはゼロ知識証明(ZKP)に基づくオープンライブラリを公開する。これにより、プラットフォームは生年月日、政府発行ID、生体認証データを一切見ることなく、ユーザーが年齢基準を満たしているかを確認できる。暗号技術自体は古くからあるが、重要なのはそのタイミングだ。

規制の壁が迫りつつある。英国のOnline Safety Act、EUで進化する年齢確認パイロット、オーストラリアの16歳未満向けソーシャルメディア禁止、そして米国各州で相次ぐ法律が、同じ要求に収束している——年齢を証明し、未成年を保護せよ、と。素朴な実装——すべてのウェブサイトに運転免許証をアップロードする——は、ハニーポットの悪夢を生み出し、最も侵害されやすい場所に個人識別データを集中させる。ZKPは検証と開示を切り離すことでこれを回避する。これは、児童保護と監視を対立させてきた政策課題に対する、真に洗練された解答だ。

戦略的な含意はプラットフォームの囲い込みにある。プリミティブをオープンソース化することで、Googleは自らをリファレンス実装かつ事実上の標準策定者として位置づける——これはAV1、WebP、Kubernetes関連ツールで行ったのと同じ手法だ。ある技術が監査人や規制当局が認識するコンプライアンス基準となれば、それを作成した側がエコシステムに対するソフトパワーを蓄積する。Apple(WalletベースのID推進)、Yoti、そしてPersonaやIncodeといったアイデンティティスタートアップは、今や市場を再定義する無料で信頼性のある代替手段に直面している。

経営幹部にとって、三つのアクションが必要だ。第一に、年齢保証を将来の仮定的課題ではなく、短期的なコンプライアンス項目として扱うこと——英国とEUではすでに法的リスクが現実化している。第二に、データ最小化が急速に規制上の期待かつ責任シールドとなりつつあるため、文書アップロード型ベンダーに決定する前にZKPベースのフローを評価すること。第三に、相互運用性に注視すること——断片化した国別検証スキームは実質的な統合コストを課す可能性があるため、国境を越えた実績のある標準を優先すべきだ。

リスクは新興スタックへの過信だ。ZKPは主張が有効であることは証明するが、元の証明書が正直だったかは証明しない——ガベージイン、ガベージアウトは依然として当てはまる。認証情報の発行者(銀行、政府、通信事業者)が信頼の起点であり、この層こそが詐欺と地政学的摩擦が移行する場所となる。次の戦場は、数学そのものではなく、証明の基盤となるデジタルアイデンティティを誰が発行する権限を持つかになるだろう。