Ⅰ幕 地政学 / 知財 × 国家戦略 — 制度分析
なぜ「侵害があったか」ではなく「既存の4類型で処理できない」が本題なのか
先に全体像を4行で。
| 論点 | 本稿の立場 |
|---|---|
| 侵害の有無 | 本稿は判断しない。係争中であり、一方当事者の申立てしか公開されていない。 |
| 制度の適合性 | 著作権・特許・営業秘密・契約のいずれにも構造的な穴がある。特に「同一性なき模倣」を扱う道具が知財法にない。 |
| 実際に起きたこと | 私法で処理できないため、紛争が公法（輸出管理・制裁・国家安全保障）へ流出している。SEP／FRAND が辿った経路と構造的に相似。 |
| 実務的含意 | 「入出力対から再現できる知財」の相対価値が下がり、「再現できない知財」の相対価値が上がる。物理層・製造条件に依存する技術は原理的に蒸留耐性がある。 |
最初に押さえるべきは、蒸留それ自体は正当な技術だという点。ここを混ぜると議論全体が壊れる。
知識蒸留（knowledge distillation）は、教師モデルの出力分布を教師信号として小型の生徒モデルを学習させる手法で、モデル圧縮・省電力化の標準的な道具としてAI業界で広く使われている。問題が生じるのは、競合のモデルから大量のデータを取得し、その能力を再現する目的で使われた場合に限られる。区別すべき概念は3つ。
| 概念 | 内容 | 法的性質 |
|---|---|---|
| 正規蒸留 | 自社モデル、またはライセンス済みモデルの圧縮 | 問題なし |
| オープンウェイト蒸留 | 公開重みからの蒸留（Llama、Qwen 等） | ライセンス条件次第 |
| 敵対的蒸留／ モデル抽出 | API 経由で大量クエリを投げ、入出力対から能力を移転 | ToS違反／場合により営業秘密侵害 |
Anthropic は3番目を adversarial distillation（敵対的蒸留）——元の重みへのアクセスなしに、クエリ／レスポンス対からモデル挙動を抽出し、複製側が同等能力を獲得する行為——と定義している。米ホワイトハウス OSTP も同じ用語を採用した（§2）。
赤い点は、本稿の元原稿に事実誤りまたは重要な欠落があり、一次報道で確認して訂正した項目。
DeepSeek R1 公開。低コストで OpenAI o1 級の性能を達成したとされ、無許可の蒸留の恩恵を受けた疑いが指摘される。
この時点では業界内の疑義にとどまり、政府の関与はない。
訂正点：元原稿は「約560万ドルの開発コスト」と記載していたが、これは三重に不正確。①この数字（$5.576M）は R1 ではなく前世代 DeepSeek-V3 の技術報告（2024-12）に由来する。②V3 論文が報告するのは最終学習ランのみのコストで、事前研究・アーキテクチャ／アルゴリズム／データのアブレーション実験は除外すると明記されている。③論文が示すのは GPU 時間（2.788M H800-hours）であり、ドル額は $2/GPU-hour を仮定した派生値である。総開発費でも R1 の数字でもないため、本文から金額を削除した。[DeepSeek-V3 Technical Report]
Anthropic が3社を名指しして公表。DeepSeek・Moonshot AI・MiniMax が計 24,000超の不正アカウントを作成し、1,600万超のやり取りを生成したと申立て。同時期、OpenAI が米下院中国特別委員会に、DeepSeek 従業員がアクセス制限を回避して出力をプログラム的に収集する手法を開発したと報告。Google の Threat Intelligence Group も Gemini に対する同様の抽出試行を記録。
狙われた能力はエージェント的推論・ソフトウェアエンジニアリング能力・長期タスク遂行——フロンティアモデルを旧世代と区別する、商業的価値が最も高い部分。[CNBC] [CNN]
ホワイトハウス科学技術政策局（OSTP）が国家安全保障・技術覚書 NSTM-4「Adversarial Distillation of American AI Models」を発出（署名：OSTP 長官 Michael Kratsios）。主に中国を拠点とする事業体が「意図的・産業規模のキャンペーン」で米フロンティアAIを蒸留しているとし、連邦各省に対し、AI開発企業への脅威情報共有・技術的防御の支援・外国主体への責任追及手段の検討を指示。
訂正点：元原稿は「2026年4月に枠組みを採用」とのみ記載。実際は文書名・番号・署名者・日付が特定できる公式覚書であり、単なる非難声明ではなく行政指示を伴う。[Nextgov] [IAPS]
Anthropic が上院銀行委員会（Tim Scott 委員長、Elizabeth Warren 筆頭理事）に書簡。名指しされたのは Alibaba（Qwen 部門）。4月22日〜6月5日の6週間で、約25,000件の不正アカウントと商用プロキシを用いて地理的制限を回避し、2,880万件の無許可のやり取りが行われたと申立て。2月に公表された3社分の合計を単独で上回る規模。
訂正点：元原稿はこの行から Alibaba という当事者名が丸ごと欠落していた。本件で最も重要な事実（誰が名指しされたか）なので補った。[CNBC] [Forbes]
米商務省（長官 Howard Lutnick）が Anthropic CEO 宛に書簡を送り、Claude Fable 5 および Mythos 5 への、全世界のあらゆる外国籍者によるアクセス（米国内で働く外国籍者を含む）の停止を指示。Anthropic は最上位モデルを停止。6月30日に解除。
訂正点：元原稿はこれを蒸留問題の一環として並べていたが、直接の契機は別件——別の企業が Mythos のジェイルブレイクに成功したと主張したことによる安全保障上の懸念、と報じられている。同じ時期の同じ「公法的介入」ではあるが、因果は分けて読む必要がある。[CSIS] [CNBC]
Bill Hagerty（共和・テネシー）と Andy Kim（民主・ニュージャージー）両上院議員が、米AIモデル出力に不正手段でアクセスして競合モデルを訓練した事業体をブラックリスト化・制裁対象とする修正条項を、国防授権法案に追加する動きを表明。下院側でも Bill Huizenga（共和・ミシガン）が4月15日に提出した Deterring American AI Model Theft Act of 2026（H.R.8283）、および Sydney Kamlager-Dove（民主・カリフォルニア）との超党派案が同法案への統合を検討されている。
提案側は「不正手段で能力を抽出する事業体」と「業務でモデルを使う世界中のユーザ」を切り分ける設計だと説明している。[Congress.gov] [CBO]
Alibaba が全従業員に Anthropic 製品（Claude Sonnet／Opus／Fable 系列、Claude Code）のアンインストールを指示、7月10日を期限とする社内禁止。代替として自社開発の Qoder を推奨。
補足点：元原稿は Alibaba 側の理由を書いていなかった。Alibaba 側が挙げた根拠は、2026年4月リリースの Claude Code v2.1.91 以降に、システムのタイムゾーンやプロキシ／カスタムAPIアドレスを読み取り、中国テック企業（Alibaba・ByteDance・Baidu 等）関連のキーワードを照合する秘匿の利用者検知機構が含まれていたとする、セキュリティ研究者のリバースエンジニアリング結果である。これも一方当事者側の主張であり、Anthropic の見解は本稿執筆時点で確認できていない。[CNBC]
逆方向の批判。Claude Opus 4.8 が中国語での問いかけに対し「自分は Qwen だ」と回答したとして、Anthropic こそ中国製モデルを蒸留したのではないかという指摘が開発者コミュニティから出る。同時期、Microsoft CEO の Satya Nadella が、モデル提供者が公開データでの学習にフェアユースを主張しながら、自らの出力からの蒸留には制限的な条項を課すことの非対称性を公然と問題視。
Opus 4.8 の件は反証が示されている——同モデルは条件を変えると DeepSeek とも Claude とも Opus 4.8 とも名乗り、回答が一貫しない。本物の蒸留の痕跡なら同じ壊れ方を再現するはずで、この事例はそうならなかった。§5 で扱う。[Kilo] [WinBuzzer]
ここが実務上の核心。カードを開くと各類型の論理構成と弱点。
①客体の問題。学習済みモデルの重みが「思想または感情を創作的に表現したもの」（日本著作権法2条1項1号）に当たるかが疑わしい。重みは学習の結果として自動生成される数値配列であり、創作的表現性の認定が難しい。
②出力側の問題。米国著作権局は 2025年1月29日公表の報告書 Part 2「Copyrightability」で、プロンプトだけでは著作権保護に必要な人的コントロールの水準を満たさないと結論した。教師モデルの出力そのものに権利を立てにくい。
③そして決定的なのが同一性。派生モデルや蒸留モデルには元のモデルとの同一性・関連性が存在しない、というのが STORIA 法律事務所の整理である。蒸留は複製ではなく統計的模倣なので、依拠性は状況証拠で推認できても、複製・翻案の構成要件を満たさない。生徒モデルは教師と全く異なるアーキテクチャでも成立する。
米国の学術的評価も同じ方向で、モデルアーキテクチャ・学習データ・挙動の模倣・リバースエンジニアリングをフェアユース・利用規約の執行・近時の判例に照らして分析した結果、モデル蒸留が現行法の下で著作権侵害を構成する可能性は低いと結論している。
日本法の皮肉。著作権法30条の4（情報解析のための利用）は、むしろ蒸留する側に有利に働きうる。
モデル自体はクレームできる。しかし蒸留された生徒モデルは通常、構成要件を充足しない——アーキテクチャが違うからである。
Fenwick は、適切な計画とクレーム設計により、教師モデルだけでなく蒸留によって派生した無許可の生徒モデルまで射程に入れることが可能な場合があると指摘している。ただしこれは「発明者が主たる実施形態として想定していない対象を、あらかじめクレームに書き込んでおく」ことを要求する設計であり、実務上のハードルは高い。出願時点で数年後の抽出手法を予見してクレームを書く、という話になる。
加えて域外執行と立証の壁が残る。相手のモデル内部はブラックボックスであり、構成要件充足の立証手段が乏しい。方法クレームなら実施地の問題も生じる。
実務的な含意：この戦線は「今から準備する人」には意味があるが、「すでに出願済みのポートフォリオ」を救う手段にはならない。
最も可能性のある戦線だが、論理構成が微妙である。蒸留は「重みを盗む」のではなく「正当に提供された出力から学習する」行為なので、不正取得そのものの立証が難しい。純粋なリバースエンジニアリングは多くの法域で適法とされてきた。
だからこそ焦点は客体ではなく手段の不正性に移る。25,000件の不正アカウント、地理的制限の回避、商用プロキシの使用——これらは技術的には蒸留の本質と関係ないが、法的には「不正の手段」（日本の不競法2条1項4号、米国 DTSA の improper means）の要素を立ち上げる事実である。
Anthropic が件数・アカウント数・手段・期間を数値で詳細に開示しているのは、この構成を意識した証拠設計と読める。本稿の評価としてはここが最も注目に値する。
ただし未解決：ToS 違反がリバースエンジニアリングを「適法な手段」から「improper means による不正取得」へ転化させるかは、裁判所が確定的に判断していない論点である。
OpenAI、Anthropic、Mistral、xAI といった企業は利用規約に厳格な「反競争的蒸留」条項を設け、サービスや出力を競合モデルの開発に用いることを禁じている（例：Anthropic Commercial ToS §D.4 Use Restrictions、OpenAI は "imitation frontier AI models" の開発を明示的に禁止）。
これらの条項はモデルデータ・アルゴリズム・構造といった中核資産の保護を意図するが、中立的で革新的な技術手段まで禁止範囲に取り込みやすく、技術革新と知財保護の激しい衝突を招くという評価がある。
弱点は3つ。
① クリックラップ契約の越境執行力。相手が中国法人で、資産も人も米国外にある場合、勝訴判決に実効性があるか。
② 損害の立証。「蒸留されたことで失われた収益」をどう算定するか。
③ 下流の第三者に及ばない。これが最も重い。蒸留された生徒モデルがオープンウェイトで公開されれば、それを使う無関係な第三者に契約は及ばない。1回の ToS 違反が、契約の届かない永続的な公共財に変換される。
4類型すべてに穴があることは偶然ではない。技術の性質から演繹される。
API 層では、蒸留クエリと正当なクエリは同一に見える。「良いプロンプトを大量に投げる熱心なユーザ」と「体系的に入出力対を収集する抽出者」を、リクエスト単体から区別する手段がない。区別できるのは事後的な行動パターン分析（アカウント作成の異常、プロキシ、クエリ分布）だけであり、それは§3で見たとおり蒸留そのものではなく周辺の手段を捉えている。
この隙間を確実に閉じる唯一の執行手段はモデルを一切アクセス不可にすることであり、それは商用AI企業のビジネスモデルそのものと直接衝突する。だから Anthropic は単に利用規約違反を訴えるのではなく、上院に持ち込んだ——という分析が成り立つ。
この移行の型には前例がある。標準必須特許の世界で、FRAND 紛争が個別の侵害訴訟 → 反トラスト（競争法） → 産業政策・輸出管理へと処理レイヤーを上げていった、あの経路とほぼ同じ構造である。私権の枠内で解決できない非対称性が生じたとき、紛争は私法から公法・国家間交渉へ移動する。
相似のポイントは3つ。①一方が権利行使しても相手の実施を止められない（SEPでは差止めの制限、蒸留では執行不能性）。②損害額の算定基準が存在しない（FRANDレートの不確定性、蒸留では喪失収益の不可測性）。③当事者の国籍が非対称に分布しているため、国内司法が中立の場として機能しにくい。この3つが揃うと、紛争は必ず上のレイヤーへ逃げる。
国際的な制度対応としては、TRIPS に AI 知識蒸留に関する専用条項を挿入し、AIモデル所有権の定義・特許プール類似のライセンス枠組み・グローバルな紛争解決メカニズムを設けるべきという提案も出ている。ただしこれは学術論文における提案であって、いずれかの国家が正式に提出した交渉案ではない点は注意が要る。むしろ「制度が追いついていないので、根本から作り直す必要がある」という認識が共有されはじめたことの裏返しとして読むのが正確だろう。
Opus 4.8 が Qwen を自称した件は、実は蒸留の証拠としてはほぼ無価値である。しかし別の、より深刻なことを示している。
2026年7月、Claude Opus 4.8 が中国語での問いかけに「自分は Qwen だ」と答えたとして、Anthropic こそ中国製モデルで学習したのではないかという批判が出た。
この主張には強い反証がある。同じモデルは条件を変えると DeepSeek とも、Claude とも、Opus 4.8 とも名乗る。本物の蒸留の痕跡（fingerprint）であれば、同じ壊れ方を再現性をもって示すはずだが、この事例はそうならなかった。現象自体は、学習データ中に他モデルの出力や言及が含まれれば自己同定は容易に混乱するという、モデルの自己認識の不確かさで説明できる可能性が高い。Anthropic からの公式反論は本稿執筆時点で確認できていない。
だが、この一件が示しているのは、もっと構造的な事実である。
オープンウェイトモデルの出力が次世代の学習データに混入し、その混合物からまた蒸留が行われる。数世代進めば系譜の追跡は不可能になる。これは知財の根幹である「権利の帰属」を成立させなくする方向の力である。
知財制度は「AがBを模倣した」という有向の関係を前提に組み立てられている。特許の依拠性、著作権の依拠性・類似性、営業秘密の取得経路——すべてが方向を持つ。方向が消えると、制度そのものが動作条件を失う。§3で見た4つの穴が「現行法の技術的な欠陥」だとすれば、こちらは「制度の前提の消滅」であり、条文をいじって埋まる性質のものではない。
STORIA の整理を借りると、学習済みモデルの保護手段は技術・契約・法律の3つで、それぞれ一長一短である。蒸留に対しては技術と契約が主役で、法律は後方支援にしかならない。これは§3・§4の帰結として自然である。
| 層 | 具体手段 | 蒸留への有効性 |
|---|---|---|
| 技術 | アクセス制御、レート制限、異常検知、出力への透かし（API watermarking）、推論トレースの書き換えによる anti-distillation、エッジ配布時の DistilLock 型保護 | 主力・ただし完全ではない |
| 契約 | 反競争的蒸留条項（ToS）、API 利用契約、再配布制限 | 主力・下流に及ばない |
| 法律 | 著作権／特許／営業秘密／不競法 | 後方支援どまり |
技術層では研究が動いている。教師が生成する推論トレースを書き換えて学習素材としての有用性だけを劣化させる手法や、生徒モデル側に検証可能な署名が転写される API ウォーターマーキングが提案されている。「知財法で追えないなら、モデル側に痕跡を埋め込んで追える状態を作る」——帰属不能性（§5）への技術側からの回答であり、実務的にはこの方向が最も筋が良い。
日本企業の実務では、次の2方向の双方への防御が要る。
| 経路 | 内容 | 典型的な見落とし |
|---|---|---|
| ルートA （流出） | 自社の営業秘密が、外部AIサービス経由で流出する | 比較的よく認識されている。未公開出願・実験データの投入禁止など、社内規程で扱われていることが多い。 |
| ルートB （流入） | 他社の営業秘密・成果物を、自社のAI開発プロセスに取り込んで法的責任を問われる | 見落とされがち。特に、オープンウェイトモデルをファインチューニングした際の上流ライセンス条件の連鎖。そのモデル自体が別のモデルの出力から蒸留されていた場合、条件は遡って自社に及びうる。 |
ルートBの実務手順：①採用するオープンウェイトモデルのライセンス原文を、配布元の表記ではなく一次ソース（モデルカード・LICENSEファイル）で確認する。②そのモデルの学習データ由来に、他社モデル出力からの合成データが含まれると明記されていないか確認する。③商用利用・派生物再配布・出力の利用の3点について、条件の連鎖が切れる箇所を特定する。この棚卸しをしていない組織が多い。
そして、より本質的な示唆がある。
ソフトウェアやモデルの能力は入出力対から抽出できてしまう。しかし物理層の技術——構造設計、材料、回路実装、製造条件——は API から吸い出せない。物理現象と製造プロセスに依存する技術は、原理的に蒸留耐性がある。入出力の関係を何億回観測しても、そこから材料組成や製造条件は復元されないからだ。
これはポートフォリオの相対的な戦略的位置を変える。ソフトウェア偏重のポートフォリオは「執行不能な権利」の比率が上がり、ハードウェア／物理層を含むポートフォリオは相対的に強くなる。特許制度が本来得意としてきた領域——構成が特定でき、リバースエンジニアリングに時間と設備が要り、実施の立証が可能な技術——に、価値が回帰する構図である。
自分の技術がどちら側にあるかを判定する簡易チェックを置いた。5問すべてに答えると評価が出る。
公平のため、蒸留を問題視する側への反論を並べる。冒頭に書いた利益相反を踏まえれば、この節は装飾ではなく必須の部分である。
DeepSeek は、知識蒸留は直接的な複製とは根本的に異なると反論している。ソースコードやアーキテクチャ要素を複製するのではなく、新しいモデルが独自のパラメータと重み分布を発達させる学習プロセスであり、著作権法のフェアユース原則に沿った変容的なイノベーションであって、特許法上も正当な開発である、という構成である。§3で見たとおり、現行法の解釈としてはこの主張のほうが分があるというのが学術的評価の趨勢でもある。
蒸留を法的に封じることは、モデル圧縮という正当かつ環境負荷の低い技術全般を萎縮させる。反競争的蒸留条項が中立的な技術手段まで禁止範囲に取り込むという指摘は、この懸念である。省電力化や端末上での推論といった、社会的に望ましい方向の研究が巻き添えになる。
2026年7月、Microsoft CEO の Satya Nadella が公然と提起した論点。モデル提供者が公開データでの学習にはフェアユースの権利を主張しながら、翻って自らの出力からの蒸留には制限的な条項を課し、かつ顧客の利用・対話データから学習する権利を留保する——この構図を「皮肉だ」と評した。フロンティアモデル自体が大量の第三者著作物で学習されている以上、その出力に対して強い排他権を主張することの一貫性が問われている。
Nadella は同時に、企業ユーザ側に対して、評価データ・記憶・作業トレースを自社の管理下に置き、モデル提供者に組織知を明け渡さない独立した学習ループを持つよう促している。これは知財論というより、AI 時代の調達戦略の話であるが、ユーザ企業にとっては本稿全体で最も実行可能な提言かもしれない。
Alibaba、DeepSeek、Moonshot AI、MiniMax はいずれも申立てを否定または反論している。Alibaba は自社の禁止措置の根拠として、Claude Code に中国テック企業を検知する秘匿機構が含まれていたとするセキュリティ研究者の分析を挙げた（§2）。どちらの主張も、独立した第三者検証を経ていない。
どちらの立場が妥当かを本稿は判断しない。実際に係争中の論点である。ただし制度設計の観点で確実に言えるのは、この問題が既存の知財4類型のどれにも収まらず、公法的手段に流出しているという事実そのものが、制度の欠落を示しているという点である。この命題は、当事者のどちらが正しいかと独立に成立する。
本稿の各主張が、どこまで裏取りできているか。ボタンで絞り込める。
| 状態 | 主張 | 検証メモ |
|---|
凡例： 確認済 複数の一次報道／原典で裏取り。 一部 大筋は確認できるが、細部の数値や表現に未確認部分あり。 未確認 元原稿にあったが裏取りできず、本稿では削除または限定した。