デロイト トーマツ サイバー 上原 茂が訊く Vol.17 自動運転時代の責任と社会受容――制度・データ・文化が問う普及の条件【前編】

米国や中国では無人の自動運転車が急速に普及する一方、死亡事故も相次いでいます。日本でも公道での実証実験が始まっていますが、「自動運転車が起こした事故の責任は誰が負うのか」という問いに対する明確な答えはいまだ出ていません。

本対談では、責任の所在や制度設計、ソフトウェア更新の課題を起点に、データと個人情報、リスクと社会的便益、さらには日本社会における自動運転の社会受容性まで多角的に議論し、技術の進歩が法制度や社会規範を上回る時代に日本が備えるべき方向性を探ります。 

【登場者】

吉田 直可
法律事務所愛宕山代表弁護士

明治大学法科大学院修了後、2008年に弁護士登録。企業法務を中心に、電子商取引・インターネット消費者取引・交通事故・労働問題など幅広い分野で活動する。現在、明治大学先端科学ELSI研究所客員研究員、明星大学非常勤講師、明治大学専門職大学院法務研究科学外講師、サイバー大学特任講師を務めるほか、公益社団法人自動車技術会モビリティガバナンス社会実装検討委員会幹事、一般社団法人モビリティサービス協会理事、一般社団法人フィジカルインターネット医薬品協議会アドバイザリーボード等を兼任。著書に「企業のための情報セキュリティ」（共著）など多数。

デロイト トーマツ サイバー合同会社
執行役員 自動車セクター担当
泊 輝幸

デロイト トーマツ サイバー合同会社
パートナー
林 浩史

デロイト トーマツ サイバー合同会社
マネージングディレクター
大場 敏行

＜モデレーター＞
デロイト トーマツ サイバー合同会社
シニアフェロー
上原 茂

長年、国内大手自動車メーカーに勤務。国内OEMで電子制御システム、車両内LANなどの開発設計および実験評価業務に従事したほか、近年は一般社団法人 J-Auto-ISACの立ち上げや内閣府の戦略的イノベーション創造プログラム（SIP）adus Cybersecurityの研究リーダーを務めるなど、日本の自動車業界におけるサイバーセキュリティ情報共有の枠組みを構築。欧州駐在経験もあり、欧州自動車業界の動向などへの理解が深い。

(以下、敬称略)

自動運転の前提を問い直す「事故ゼロ」の幻想

上原：最初に中国で起きた痛ましい事故について説明させてください。

2024年4月、中国で、あるEVブランドのSUVが作業車両に追突して炎上し、3人が死亡しました。事故の要因としては、AEB（Autonomous Emergency Braking＝衝突被害軽減ブレーキ）が作動しなかったことが指摘されています。また、衝突の影響でドアが開かず、救助が遅れたことが被害拡大につながったとされています。

この事故を機に、中国社会の対応のあり方があらためて注目されました。前回、広州汽車集団の常勤顧問であり名古屋大学客員教授でもある勝又正人氏を迎えた座談会では、「中国では失敗に対し開発者側の不備を責め立てるのではなく、公道での事故から学び、システム改善につなげていく姿勢が技術の進展を後押ししている」との指摘がありました。つまり開発側に不備があれば、そこを検証し事故の再発防止にむけて「AIと人間がどのように協調すべきか」という次の課題へと議論を進める。そうした姿勢が、中国の技術開発を前に進める力になっているというのです。

翻って日本で同様の事故が発生したとき、その責任は誰にどのように帰属するのでしょうか。技術面の対策にとどまらず、法的責任の所在、行政や業界の情報開示のあり方、さらには「失敗から学ぶ」文化が根付いているのか――。こうした複合的な問いから議論を始めたいと思います。数年後にはロボタクシーが東京への市場参入を示唆する動きもあり、この問題は決して対岸の火事ではありません。

吉田：前提として、「自動運転であれば事故はゼロになる」という考え方はあり得ません。国土交通省が平成３０年９月に発出した「自動運転車の安全技術ガイドライン」にも「事故をゼロにする」とは書かれていません。当該ガイドラインには、「自動運転の実現において、「『自動運転システムが引き起こす人身事故がゼロとなる社会の実現を目指す』ことを目標」としていますが、注記には、「『自動運転システムが引き起こす人身事故』とは、自動運転システムに責任がある事故のことを指し、故意の飛び出し等被害者側に責任がある事故や整備不良等に起因する事故は含まない。」とされており、事故発生を０にするとされていないのです。

すなわち、ガイドラインの作成に携わった担当室長との議論の中でも確認しましたが、「自動運転車が事故の第一当事者にならない」というのが当該ガイドラインの意図するところです。このメッセージが社会に十分伝わっていないことが、一つ目の問題です。

したがって、本来、自動運転の実現にあたっては、「安全側面の規格への導入指針の国際規格」（ISO/IEC Guide 51:2014）にしたがい、自動運転車の得手・不得手を考慮に入れながら、「自動運転車が満たすべき車両安全の定義を、『許容不可能なリスクがないこと』、すなわち、自動運転車の運行設計領域（ODD）において、自動運転システムが引き起こす人身事故であって合理的に予見される防止可能な事故が生じないこと」とすべきなのです。

ここで混同されがちなのが「安全」と「安心」です。「安全」には、上記のような国際的な定義がありますが、「安心」にはありません。それにもかかわらず、日本では「安心・安全」という言葉が一体で使われることが多く、この曖昧さが議論を難しくしている大きな要因だと考えています。

さらに言えば、現在 米中で商用運行しているロボタクシーもシステム改善に向けた一定の実験的要素が含まれます。まして東京で行われているのは実証実験です。リスクのない実験は、もはや実験と評価できるものではありません。

無論、実証実験といっても許容できないほどの大きなリスクを冒すことは許されませんがが、ある程度のリスクはコントロールしながら受け入れ、失敗から学ぶのが科学的な実験です。ところが、日本では、自動運転の社会実験に際し、運行事業者の責任者より「事故を起こさない」旨の誓約書提出を求められるケースがあり、ほとんどの実証実験が人間の運転手の存在を前提としたレベル２と評価されるもので行われています。そのうえ、事故も、自動運転システムにストレスのかかる走行形態を避けるあまり、運転手の介入後に発生するなどしています。それは本当に実験と言えるのでしょうか。失敗から学び、より良い技術を社会実装していく段階に、果たして到達できているのか。そこが難しいところです。

林：失敗のない実験は、実験とは言えませんよね。答えが見えているなら、それは実装にすぎません。

法律事務所愛宕山代表弁護士　吉田 直可 氏

自動運転事故の責任は誰に帰属するのか

泊：初歩的な確認をさせてください。先ほど「自動運転車が事故の第一当事者にならない」という話が出ましたが、この「第一当事者」とはどういう意味ですか。

吉田：第一当事者とは、交通事故において過失割合が最も大きい側、つまり主な原因を作ったとされる当事者を指します。交通事故の処理では「どちらがどの程度悪いのか」を過失割合として数値で整理するのが一般的です。例えば、東京地裁民事交通訴訟研究会が編さんしている「民事交通訴訟における過失相殺率の認定基準」（※）では、事故類型ごとに、各当事者の過失割合を基本割合「70対30」といった形で示した上、修正要素を示すことで、交通事故における過失割合の目安が示されています。

（※）「民事交通訴訟における過失相殺率の認定基準」（通称：緑本）。東京地方裁判所民事２７部（交通部）の裁判官が中心となって編さんした実務書で、事故の態様ごとに過失割合の目安を示している。裁判所・弁護士双方に広く参照される、交通事故訴訟の標準的な指針書。

そういう意味では、「自動運転車が事故の第一当事者にならない」というのは、自動運転車側に大きな過失のある事故は起こさせないという趣旨になります。

上原：自動運転レベル3（条件付き自動運転）やレベル4（特定条件下での完全自動運転）でシステムが主体で運転している時に起きた事故の場合、その過失割合が検証され、場合によっては自動運転側が「第一当事者」とされるケースは想定されるのでしょうか。

吉田：そのような事態の発生は観念されると思います。ただし、「過失」という概念の適用は非常に難しい問題です。そもそも過失とは、故意ではなく不注意によって生じた行為に対して問われる概念です。そのため、人間ではない、自動運転システムという「機械」に「過失」を問えるのかという議論になります。自動運転システムに「過失」という心理状態は観念できないという結論が出れば、そこから単純に自動運転システムを「作った技術者」の責任であると結論づけてよいのかは疑問です。

むしろ、今後は、「誰に過失があるのか」という心理的な側面ではなく、「各当事者が行った行動がどの程度、事故による損害の発生に寄与したのか」（各当事者の寄与度によって事故による損害に対する因果関係を認定する）という客観的な側面から整理すべきだと考えています。機械に過失があるか否かという議論にこだわると、議論が空転してしまう。事故原因を客観的に分解して捉える方が、実態に即した整理になるはずです。

そうすることによって、事故原因を精緻に精査するためのシステム開発、客観的なデータでの寄与度を算定する方法の開発とか、事故を起こさせない精緻なルール作りなどに繋がっていくと考えています。このような流れができれば、自動運転システムの得意な領域に繋がっていきますので、自動運転システムに重い責任が発生することも少なくなるように思います。

上原：ソフトウェアやシステムの仕様上の不備が事故原因と判断された場合、製造者やシステム開発側の責任が問われることになります。この点についての議論は、すでに進んでいるのでしょうか。

吉田：現時点では、ソフトウェアやシステムの不備に関する責任の議論が体系的に整理されているとは言えません。ただ、自動運転車が事故を起こした場合、基本的な事故処理の枠組みとしては、大きく2つの考え方があります。

一つは、製品の欠陥による事故、いわゆる製品事故としての責任を追及する方法です。製品の製造業者（製造、加工又は輸入した者）などが、製品の製造物が通常有すべき安全性の欠如、すなわち「欠陥」に対する責任を負担することになります。

もう一つは、「自動車損害賠償保障法（自賠法）」上の「運行供用者責任」を追及する方法です。「運行供用者」とは、簡単に言えば車の運行を支配することでき（運行支配）、運行することで利益を得ている者（運行利益）、つまり自動車のオーナーや運行事業者が負う責任を指します。運行をさせている自動車のオーナーや運行事業者は、自動車の運行によって他人の生命又は身体を害したときには、責任を負担することになります。

この二つの枠組みに共通するのは、いずれも被害者側の立証負担が軽減されている点です。通常の民事訴訟では被害者が相手の「過失」を証明する必要がありますが、これらの枠組みでは逆に、製造者や運行供用者の側が「自分たちに過失はなかった」「自分には責任がない」と証明しない限り、責任があると認定されます。被害者保護の観点から、責任の立証責任が逆転しているわけです。まずはこの枠組みで対応していくことになるでしょう。

ただし、これらの枠組みでは整理できないケースも想定されます。その場合には、「誰がどのような不注意をしたのか」を個別に立証する必要が出てきます。システムの開発者、市場投入を判断した担当者、あるいは認証に関与した者の過失が問題となる可能性があり、技術的な判断の妥当性まで含めた、より詳細で踏み込んだ検討が必要になります。

デロイト トーマツ サイバー合同会社 執行役員 自動車セクター担当　泊 輝幸

上原：EUでは、製造物責任指令（Product Liability Directive、EU 2024/2853）が改正され、ソフトウェアやAIといった無体の要素も責任の対象に含まれることになりました。これまで対象外とされがちだったデジタル領域にも責任範囲が拡張される点は、大きな転換と言えます。

日本では現行のPL法が有体物を前提としているため、ソフトウェア単体の扱いは必ずしも明確ではありませんが、EUでは制度の考え方が大きく変わりました。こうした中で、作る側に過度な責任が課されれば開発の萎縮につながり、自動運転の普及を妨げる可能性もあります。このバランスをどのように考えるべきでしょうか。

林：責任の範囲が拡張される流れの中で、実際の裁判でもメーカー側の責任が認められるケースが出てきています。アメリカではテスラが関わる訴訟でメーカーの責任を認める判断が示されたとも聞いています。こうした流れを見ると、中国が自動運転の開発を国家戦略として積極推進する一方、アメリカはむしろ慎重姿勢に転じつつあるように映ります。では日本はどうなるのでしょうか。

吉田：必ずしもそうした方向で進むとは限りません。抱えるリスクに対して保険などで対処をしながら、自動運転を運行することでどれだけの利益が獲得できるのか、その利益の大きさや社会的意義の大きさを考慮に入れ、推進することができるのか、社会全体がその便益をどのように考えるのかにかかってきていると思います。

この便益が大きければ大きいほど、挑戦しない場合には機会損失が大きくなりますので、抱えるリスクをヘッジしながら、賢く挑戦する者が勝者になる可能性があります。なお、法的責任は、大きく3つに整理できますので、ここで整理しようと思います。

一つ目は「行政責任」です。免許や認証に関わるもので、重大な事故が発生した場合には、免許の停止・取り消しや認証の取り消しといった行政処分が下されます。

二つ目は「民事責任」です。テスラの事例はこれに該当し、基本的には金銭による解決を図るものです。この中には「賠償」と「補償」があります。「賠償」は、違法な行為によって生じた損害を加害者が償うものです。一方で、「補償」は、適法な行為によって被っている被害を受けた側に支払う仕組みです。例えば、薬害分野では、「医薬品副作用被害救済制度」に基づき、適正使用された医薬品の副作用で入院治療が必要な程度の重篤な被害が出た場合、医療費や年金が支給されます。また、産科医療では、分娩に関連して発症した重度脳性などの経済的負担を速やかに補償するとともに、原因分析を行い、同じような事例の再発防止に資する情報を提供することなどにより、紛争の防止・早期解決および産科医療の質の向上を図ることを目的として、産科医療補償制度が設けられています。自動運転においても、保険制度を前提とした賠償対応は現実的な解決手段の一つであり、日本ではすでに任意保険の特約で一定の対応が可能になっています。今後は、予見できないような事故に対しては「補償」ということもあり得るかもしれません。

三つ目は「刑事責任」です。刑事法令に触れた行為者に対して、裁判所が、禁固や罰金といった刑罰を科すもので、民事責任とは性質が大きく異なります。技術者の判断や設計上の問題が刑事責任として問われるようになると、開発現場は大きく萎縮しかねません。民事責任や補償については保険などでリスクを分散できる可能性がありますが、刑事責任についてはまったく別の次元の問題として捉える必要があります。司法当局が、技術者などの過失を追及して、安易に刑事責任を問おうとすれば、被疑者となった技術者には黙秘権、自己負罪拒否特権などが発生し、事故原因の解明や再発防止、ミスの申告に対する障壁にもなりかねず、仮に刑事責任を負担させたとしても、不注意などは生じるため、再発防止にも繋がりません。なお、航空機の分野では、ヒューマンエラーやミスが発生した際、個人を過度に非難・処罰するのではなく、安全上の報告と再発防止を優先する組織文化（ジャストカルチャー：公正な文化）が醸成されており、先端科学技術の実装においても参考にするべき制度だと考えています。

デロイト トーマツ サイバー合同会社 パートナー　林 浩史

ソフトウェアが車の「寿命」を決める時代に

泊：先ほど、EUではソフトウェアも製造物責任の対象に含まれる方向で議論が進んでいるというお話がありました。そうなると、OTA（Over-The-Air：遠隔ソフトウェア更新）が一般化した場合、メーカーはどこまで責任を負うことになるのでしょうか。

スマートフォンやパソコンでは、バグの修正や機能追加のためにソフトウェアのアップデートが前提となっています。一般的には利用規約の中で責任範囲が整理されているケースが多く、そうした仕組みがあるからこそ、メーカーは遠慮なくアップデートをかけ続けられる。自動運転も程度の差はあれ、同様のアップデートを前提とした運用が必要になります。しかし事故時の責任をすべてメーカーが負うとなると、開発やソフトウェア更新のハードルは非常に高くなります。この点はどのように議論されているのでしょうか。

吉田：EUの製造物責任指令では、ソフトウェア・AI、デジタル製造ファイルといった無体物、ガスや水などの原材料、電気もPL指令が対象とする製造物とされます。

また、ソフトウェア、ハードウェア（筐体）、さらには情報サービスといった複数の要素が損害の発生に関与している場合に、連帯して責任を負う枠組みが想定されています。例えば、自動運転の制御プログラムが車両本体とは別のベンダーから提供される場合や、インフラから別の事業者がデータを提供され、データの誤りによって事故が発生するような場合、広く責任の対象に含める考え方です。その意味では、ソフトウェアを製造物とみなしていない現行の日本法と比べると、自動運転やロボティクスのような複雑なシステムには適した枠組みだと言えます。

注目すべきは、「製品のアップデートによって、より優れた製品が既に市場に投入されているか、又はその後に市場に投入され、若しくは使用されることのみを理由として、当該製品は欠陥があるとみなされない。」つまり、アップデートの必要性があったからとして欠陥とは評価されないとされている点です。改善のためのアップデートを提供したことで、過去の責任を問われる心配が生じるということはないとされてはじめて、メーカーは安心して継続的にソフトウェアを更新・改善していくことができます。まさにアップデートを前提とした、動的な運用を可能にする、重要な考え方です。

上原：OTAが一般化すると、従来のリコールや型式認証の枠組みとの関係が曖昧になります。アップデート後の車を従来と同一とみなせるのか。EUの議論は整備されつつあるようですが、日本の現状はどこまで追いついているのでしょうか。

吉田：国土交通省の型式認証を受けた時点の車両と、OTAによってソフトウェアが更新された後の車両を同一のものとみなせるのか、という問題があります。ECU（Electronic Control Unit）のソフトウェアはアップデートのたびに変化するため、厳密には同一とは言い難く、プログラムの改変による改造であって、自動車が保安基準に適合しなくなるおそれのあるものは「特定改造」許可が必要となります。

林：一方、中国では、OTAによるアップデート内容の開示が義務化されています。例えば、「機能追加」と称して実際にはバグ修正を行うといった運用は認められていません。日本やEUとアプローチは異なりますが、透明性を確保するという方向性は共通していますね。

吉田：かつての自動車開発では、「出荷時が完成形であり、その後のアップデートは想定しない」という考え方が主流でした。しかしソフトウェアを前提とする以上、バグゼロを前提にすることは現実的ではありません。

重要なのは、製品のライフサイクル全体を通じて安全性を担保するという視点です。手動運転車は故障すれば停止しますが、自動運転車は古いソフトウェア・ハードウェアのまま走り続けること自体がリスクになります。サイバーセキュリティの世界でも、長年誰も管理していない「野良ルーター」が攻撃の踏み台にされるインシデントが多発しており、機器に耐用年数を設けるべきという議論が出ています。自動運転車も同じ問題を抱えることになるでしょう。

こうした前提に立つと、従来のような「売り切り」モデルではなく、リースのように継続的に管理・更新を前提としたビジネスモデルも現実的な選択肢になります。先述のEUの製造物責任指令でも、必要なアップデートを提供しなかった場合の責任が問われ得るという整理がなされている反面、製品の経年劣化や科学技術の進歩に伴い安全基準も変わることを踏まえて、耐用年数を考慮に入れるといった形で、過度な負担につながらないよう配慮しています。その両面が制度として組み込まれているわけです。

大場：自動車メーカーからは、若い世代が車を買わなくなったという声をよく聞きます。販売が伸びにくくなる中、売り切りからサービスで収益を上げるモデルへの転換が求められており、耐用年数やリースの議論はまさにその方向性と重なります。

デロイト トーマツ サイバー合同会社 マネージングディレクター　大場 敏行

林：車両サイバーセキュリティの観点では、「出荷後もセキュアに保つ」という規定はあるものの、その期間は明確ではありません。ソフトの肥大化により、ハードウェアによってはアップデートできなくなるケースも出てきます。その結果、セキュアでない車両が走行し続けるリスクが生じます。どこかで運用限界を明示する必要があります。

吉田：対応としては、まず商用車などから耐用年数を明確にすることが考えられます。例えば10年、15年といった更新期限を設定する、あるいはハードウェアについてもモジュール交換で機能を維持できるよう標準化を進めるといった方法です。リコールではないので、保有者の費用負担を求めるということになりますが、ルール整備は不可欠です。

林：実際、テスラでは初期車両のECU性能不足により無償交換が行われた例がありますが、こうした対応を今後大規模に行うのは難しいでしょう。耐用年数の議論は重要ですが、セキュリティを継続的に担保する前提に立てば、車両価格やビジネスモデル自体の見直しが必要になります。

デロイト トーマツ サイバー合同会社 シニアフェロー　上原 茂

【後編へ続く】