Utah SB 73：VPNユーザーを標的とする米国初の州法、2026年5月6日施行

本日2026年5月6日、Utahは年齢確認法によりVPNユーザーを法的な照準に捉えた米国初の州となります。Senate Bill 73は、正式名称をOnline Age Verification Amendmentsとし、2026年3月19日にSpencer Cox知事が署名した法律で、本日施行されます。その第14条は、Utah住民、VPNプロバイダー、住民が訪れるWebサイト間の関係を根本的に変えるものです。

あなたがUtah住民として本記事を読んでいるとしても、この法律によってVPNが違法になるわけではありません。しかしこれは、米国の立法者が商用VPNを、20年にわたり標準的なプライバシーツールとして扱ってきた姿勢、すなわち企業、ジャーナリスト、公衆Wi-Fiを使う学生、コーヒーショップから銀行アプリに接続する人々が日常的に利用してきた道具としてではなく、塞ぐべき規制上の抜け穴として扱い始めた瞬間を象徴しています。

本記事では、SB 73が実際に何を行うのか、Electronic Frontier FoundationからNordVPNに至るまでのデジタル権利擁護団体がなぜこの法律を「liability trap（責任の罠）」と呼んでいるのか、なぜ目的をほぼ確実に達成できないのか、そして2026年のあなたのプライバシーにとって何を意味するのかを解説します。

Utah SB 73が実際に行うこと

SB 73の大部分は、オンライン成人向けコンテンツの収益に対する2％の税（2026年10月施行）に関するものです。本日施行される条項はそれとは別物で、Utahの既存のオンライン年齢確認法第78B-3-1002条を改正し、VPN利用を以下の2つの方法で明確に標的としています。

1. 所在地はIPではなく身体に従う。新法のもとでは、個人がUtahに物理的に所在している場合、VPN、プロキシサーバー、その他の地理的位置を偽装するあらゆるツールを使用しているか否かにかかわらず、その人物はUtahからWebサイトにアクセスしているとみなされます。つまり、IPがWyomingを示していても、Salt Lake Cityにスマートフォンを持ち込んだ瞬間に、法律はあなたをUtahのユーザーとして扱うのです。
2. WebサイトはVPN情報の発信を禁じられる。「未成年に有害なコンテンツを相当部分含む」商用事業者は、年齢確認を回避するためのVPN利用を促進または奨励することが禁じられました。これにはVPNの使い方の説明を公開する行為も含まれており、その文言の広範さからEFFはFirst Amendment（合衆国憲法修正第1条）上の問題があると指摘しています。

この法律はVPN利用そのものを明確に禁止するには至っていません。商用VPN経由で接続するUtahの個人住民に対する罰金もありません。法的圧力はWebサイトに正面から向けられており、ここから問題が始まります。

プライバシー擁護団体が懸念する「liability trap」

デジタル権利擁護団体からの最大の異議は、EFFがliability trapと呼ぶものです。SB 73のもとでは、Webサイトはたとえユーザーが別の場所にいるように見えても、Utahに物理的に所在するすべてのユーザーの年齢を確認する責任を負います。商用サイトは全VPNユーザーの真の地理位置を確実に検出できないため、残された選択肢は次の2つしかありません。

• 既知のVPN出口IPをすべてブロックする。絶えず増え続けるブロックリストを維持し、誤検知による副次的被害（合法にVPNを使う顧客が締め出されること）を受け入れ、プロバイダーがIPレンジをローテーションするたびに追従できるよう祈るしかありません。
• 世界中のすべての訪問者に年齢確認を要求する。すべてのユーザーがVPN経由のUtah住民かもしれないと扱い、政府発行ID水準の年齢証明をすべての人に要求する。Utahに住んでおらず、この法律の対象でもない数百万人を含めての話です。

NordVPNのポリシーチームは、TechRadarへのコメントで、まさにそれを「liability trap」と呼びました。いずれの選択肢も州レベルの法律の影響範囲をグローバルなID確認体制へと拡大し、合法的なデータセキュリティのために商用VPNに依存しているジャーナリスト、虐待被害者、ビジネス出張者、一般のプライバシー意識の高いユーザーに実質的なコストを負わせます。

First Amendmentの問題

第二の条項、すなわちWebサイトに対するVPNに関する情報共有の禁止は、憲法上の異議申し立てに最も直面しやすい部分です。SB 73は対象プラットフォームに年齢ゲートの執行を求めるだけでなく、世界に存在する完全に合法なソフトウェアについてユーザーに伝えることまで禁じています。

EFF、Cato Institute、表現の自由を擁護する団体は、これが合法のプライバシーツールに関する真実かつ誤解のない言論を制限するものだと指摘しています。Cato Instituteはこう述べています。「インターネット政策が、しばしば重要なプライバシーとセキュリティの利益をもたらす比較的一般的な技術によって回避されるなら、その政策こそが問題かもしれない」。

SB 73は実効性があるのか？技術的現実

短い答えは「ない」です。長い答えは、たとえ部分的な成功であっても、単一の州が強制できず、Webサイト運営者が実装できないレベルのネットワークレベルのフィンガープリント技術が必要になるということです。意欲のあるユーザーが何をするかは、法施行後数か月ではなく数時間以内に明らかになります。

• residentialプロキシへ移行する。residentialプロキシは、一般家庭のISPの実IPを経由するため、通常の家庭トラフィックと区別がつきません。合法的なWebスクレイピング、広告検証、ブランド保護用途のために以前から存在しており、商用VPNのブロックリストに載っていないため、これを容易に回避できます。
• プライベートなクラウドトンネルを構築する。AWS、DigitalOcean、Hetzner上の月額5ドルのVPSでWireGuardを動かせば、技術知識のあるユーザーは個人専用のVPN出口IPを得られます。これは昨日まで存在せず、商用VPNレンジには永遠に現れない単一IPなので、いかなるブロックリストにも捕捉されません。
• TorまたはセルフホストしたShadowsocks/V2Rayを使う。厳しいインターネット規制下にある国の住民のために開発されたオープンソースの難読化ツールは、Utahの法律が想定するよりはるかに高度な検出技術をすでに突破しています。

副次的被害を被るのは、ホテルWi-Fi上で銀行通信を暗号化したい一般のUtah住民であり、この法律が守ろうとしたはずの技術力のある未成年者ではありません。EFFは次のように述べています。「これらの条項は技術に詳しい10代を止めることはできないが、データをデータブローカーや悪意ある攻撃者の手に渡したくない一般のUtah住民全員のプライバシーには確実に影響する」。

Utahだけではない——2026年の世界的な状況

SB 73は米国における最高水準点ですが、これは年齢確認義務化の後に必ず発生するVPN利用急増に対する各国政府の対応という、世界的なパターンの一部です。同じ展開がこの3年間で十数の管轄区域で繰り返されています。

• VPN利用急増を引き起こした年齢確認法を持つ米国の州：Florida、Missouri、Texas、Utah（2023年以降）、Louisiana、Mississippi、Virginia、Tennessee、North Carolina、Idahoなど。Utahは今や、ツール自体を標的とすることでVPN利用急増に反撃する初の州となりました。
• Wisconsin：類似のVPN標的化条項を提案しましたが、擁護団体が憲法上および技術上の懸念から削除に成功しました。Utahは同じ反対意見を押し切って前進しました。
• UK：Children's Commissionerは、Online Safety ActがVPN導入の大規模急増を引き起こした後、VPNを「塞ぐ必要のある抜け穴」と公の場で表現しました。
• France：人工知能・デジタル問題担当大臣補佐は、15歳未満を対象としたソーシャルメディア禁止法の制定後、VPNを規制アジェンダの「次の議題」として名指ししました。
• Australia、Indonesia：両国とも年齢確認法を施行し、VPN利用急増を引き起こしており、規制上のフォローアップが活発に議論されています。

パターンは一貫しています——政策がツールへの需要を生み、その後、政策がそのツールに矛先を向けるのです。SB 73が法的挑戦に耐えるか、Wisconsin版のように静かに撤回されるかは、2026年の米国インターネット政策における最重要ニュースの一つです。

これがUtah住民にとって意味すること

もしあなたがUtahに住み、多くの人と同じ理由でVPNを利用しているなら——公衆Wi-Fiでの銀行取引、コーヒーショップからのリモートワーク、仕事用と個人用のアカウントの分離、ドキシングからの保護、あるいは単にISPに訪問サイトを記録されたくないという理由——あなたの日常的なVPN利用はSB 73のもとで違法ではありません。この法律はWebサイトを標的としており、ユーザーを標的としていません。

変わるのは、特定のサイトを訪れる際のVPN利用体験です。

• 一部の成人向けサイトはすべてのVPNトラフィックをブロックするかもしれません。サイトが安全なコンプライアンス経路として識別可能なすべてのVPN IPをブロックすると判断した場合、Utahに住み合法的な理由でVPNを使っていても、CAPTCHA壁やハードブロックに遭遇するでしょう。
• 一部のサイトはグローバルな年齢確認を要求するかもしれません。「全員を確認する」経路を選ぶ場合、明らかに成人向けでないサイトを含め、1週間前には存在しなかった政府発行ID水準の年齢確認プロンプトに遭遇するでしょう。
• 対象プラットフォームでVPN関連情報が減少します。情報共有禁止条項により、SB 73のコンプライアンス傘下で運営されるサイトから、チュートリアル、推奨記事、基礎的な解説までもが消える可能性があります。

2026年に合法的にプライバシーを守る方法

年齢確認政策に対する見解がどうであれ、技術的な問い——「2026年に通常のインターネットトラフィックを非公開かつ安全に保つにはどうすればよいか」——には、1週間前と同じ答えがあります。次の特性を備えた信頼できる商用VPNを選んでください。

• 検証済みのノーログポリシーと、自分で読める独立した監査レポート。
• WireGuardプロトコル対応（低遅延、現代的な暗号技術）。
• Obfuscatedサーバーにより、VPNトラフィック自体がフィンガープリントされないようにする。
• Kill switchにより、トンネルが切断された際の実IP漏洩を防ぐ。
• 14 Eyesの諜報情報共有同盟外の管轄——パナマ、英領ヴァージン諸島、スイスが代表的です。

商用プールのVPNレンジを超えて一歩進めたいユーザー、特に最も厳格なSB 73コンプライアンスを採用するサイトの商用VPNブロックリストに巻き込まれることが予想されるUtah住民には、CometVPNのようなプロバイダーが提供するDedicated Residential IPプランがおすすめです。固定された実ISPの出口IPを取得でき、通常の家庭接続のように見え、商用VPNブロックリストには登場しません。CometVPNはWireGuard上で動作し、kill switchを搭載し、obfuscatedサーバーを提供し、パナマを拠点としており、2年プランで月額1.89ドルから開始でき、Dedicated Residential IPはアドオンとして利用可能です。

より細かな制御を必要とするパワーユーザー——たとえばブラウザ自動化、マルチアカウントのワークフロー、スクレイピングなど——は、MarsProxiesやIPRoyalのresidentialプロキシも利用できます。Dedicated Residential VPNと同様の実ISP由来のIPを提供しつつ、アプリケーション単位のルーティングを可能にします。

より大きな視点

VPNは本質的に、現代のプライバシー意識の高いインターネットを可能にしているツールです。これを攻撃すること——Utahの情報共有禁止のliability trap、UKの「抜け穴」フレーミング、Franceの「次の議題」アジェンダのいずれであれ——は、ジャーナリスト、ビジネス出張者、虐待被害者、そしてデータを最高入札者に売られたくない一般のユーザーを守るアーキテクチャに対する根本的な攻撃です。

SB 73はその一歩を踏み出した米国初の州法です。おそらく最後にはなりません。2026年の残りの規制上の問いは、法的挑戦、技術的回避策、世論の反発がこの傾向を遅らせるのに十分かどうか、あるいは次の州レベルの年齢確認法案がUtahの戦術書を一字一句模倣するかどうかです。

今のところ、2026年5月6日は、米国が一線を越えた日として記録されています。次に何が起こるか、注視していきます。

出典：Electronic Frontier Foundation、Utah州議会SB 73成立テキスト、TechRadar / NordVPN、Tom's Hardware、CyberInsider、Cato Institute。