OSS顔認証を商用eKYCで使う前に。権利の4層

「リポジトリのLICENSEファイルがMITだったから商用OK」——OSS顔認証モデルの採用判断で、この読み方は危険です。本記事は、eKYCシステムの内製や開発発注を検討している事業会社の責任者・エンジニアが、OSS顔認証の権利構造を4つの層に分けて確認し、「本当に商用で使えるか」を自分で判定できるようになるための解説です。この記事が答える検索質問は「InsightFaceやAdaFaceのようなOSS顔認証を商用サービスで使ってよいか」です。確認日: 2026年8月23日（各リポジトリの条件は変わり得るため、導入時には必ず原文を再確認してください）。

なお、採用したモデルの精度をどう評価し閾値をどう決めるかは、『顔照合の閾値設計』が担当しています。本記事は精度の手前にある「権利」の話です。

この記事の要点

• 顔認証のOSSは「コード」「学習済み重み」「学習データ」「評価データ」の4層で権利が別々です。コードのライセンスだけで商用可否を判断すると踏み抜きます
• 有名プロジェクトほど「コードは緩いライセンス、配布モデルや学習データは研究用途限定」という構造が標準的です
• 本人確認という高リスク用途では、ライセンス文言に加えて、学習データの取得同意や人物写真の扱いという個人情報・肖像の論点まで確認して初めて「使える」と言えます
• 商用eKYCの現実解は、権利処理を契約で保証する商用SDK/SaaSの採用です。OSSを使うなら重みの商用利用可が明記されたものに限定します

権利は4つの層に分かれている

機械学習ベースの顔認証を「1つのソフトウェア」として捉えると、権利の所在を見誤ります。実体は、別々の権利者・別々の条件を持ち得る4つの成果物の重なりです。

層	中身	典型的な権利状態
1. コード	学習・推論のソースコード	OSSライセンス（MIT/Apache-2.0等）で緩いことが多い
2. 学習済み重み	配布されるモデルファイル	コードとは別条件。研究用途限定・非商用限定が頻出
3. 学習データ	重みを作るのに使われた顔画像データセット	研究限定ライセンス。出所・同意に議論があるものも
4. 評価データ	精度検証に使うベンチマーク	それぞれ固有のライセンス・利用条件

「LICENSEファイルがMITだった」は、このうち1層目の確認にすぎません。商用eKYCで実際に動作するのは2層目の重みファイルであり、その重みの性質——そして法的な出自——は3層目の学習データに由来します。1層目だけ見て採用を決めるのは、建物の権利関係を調べずに土地の登記だけ確認して購入するようなものです。

有名リポジトリを4層で読むとどう見えるか

代表的なプロジェクトをこの4層モデルで整理します（2026年8月時点の各リポジトリの記載に基づきます。導入時は必ず原文を確認してください）。

• InsightFace: コードと、提供される学習済みモデル・学習データとで条件が異なることを、リポジトリ自身が明記しています。「コードが使える」と「配布モデルを商用で使える」を別問題として扱う設計になっています
• AdaFace: コードのライセンスを確認できても、配布される重みが学習に使ったデータセットの条件を引き継ぐのかという論点が残ります。顔認証の学術データセットには研究用途限定のものが多いためです
• OpenCV Zoo（YuNet等）: モデルごとにライセンスを参照する構造で、Zoo全体で一律の条件ではありません。使うモデル単位での確認が前提です

共通パターンは「コードは緩く、重み・データは個別条件」です。これはプロジェクト側の不誠実さではありません。学習データの権利者がプロジェクトとは別に存在する以上、構造的にそうならざるを得ないのです。だからこそ、確認する側が層を分けて読む必要があります。

ライセンス文言の外側にある論点

顔認証特有の重さは、学習データが「人の顔」だという点にあります。ライセンス条文の確認だけでは閉じない論点が2つあります。

取得同意と出所の問題。 過去には、大規模な顔データセットが本人の明確な同意なくWeb上から収集されたとして批判を受け、公開元が配布を取り下げた例があります。取り下げ済みデータセットの派生物で学習された重みを商用利用することは、法的リスクとレピュテーションリスクの両方を抱え込むことを意味します。「技術的に動く」と「事業として使える」の間には、この溝があります。

日本法での顔情報の扱い。 顔画像や顔特徴量は個人情報であり、本人確認に使う場合は取得・利用・保存の設計が必要です。この点は『eKYCは危険なのか』と『eKYCの証跡設計』で扱っています。注意すべきは、これは推論時（自社ユーザーの顔を処理する場面）の話であり、学習データの権利問題とは別レイヤーだということです。両方を別々に確認する必要があります。

商用eKYCでの現実的な3つの構え

商用サービスで顔照合を組み込む場合、選択肢は3つに整理できます。

構え	内容	権利面の要点
商用SDK・SaaSを買う	ベンダーがモデルの権利処理を保証する	契約でライセンス・学習データの適法性の表明保証を確認する
OSSコード+自前学習	コードだけ借りて、権利処理済みデータで自ら学習する	データ調達コストが本体。評価データの権利も別途確認
OSS配布重みをそのまま使う	最速だが権利の宙吊りが残りがち	重みの利用条件が商用可と明記されているものに限定する

eKYCの文脈では、権利面に加えて精度の検証責任——閾値設定や属性別性能の確認——も自社に来るため、実務では第1の構え（商用SDK/SaaS）が主流です。ベンダー選定時に「モデルの出自と権利処理」を聞く観点は、『eKYCサービスの選び方20項目』のチェック項目の拡張として使えます。なお、モデルを自社で持つ場合はなりすまし検知（PAD）も自社の検証範囲に入ってきます。その論点は『PADの仕組みと限界』を参照してください。

導入前チェックリスト

• コードのライセンスと、使う重みファイルの利用条件を別々に特定した（重みに条件の明記がない場合は「不明」であって「自由」ではありません）
• 重みの学習データセットが何かを特定した。研究限定・取り下げ済みデータの派生ではないことを確認した
• 評価に使うベンチマークの利用条件と、それが自社ユーザー層を代表するかを確認した
• 商用SDKの場合、モデルの権利処理についての表明保証・補償条項が契約にあることを確認した
• ライセンス変更に備えて、確認日と対象バージョンを記録した

まとめ

• OSS顔認証はコード・重み・学習データ・評価データの4層で権利が別々です。LICENSEファイル1枚で判断してはいけません
• 有名プロジェクトほど「コードは緩く、重み・データは個別条件」という構造です。リポジトリ原文の確認が必須です
• 顔データには取得同意・個人情報というライセンスの外側の論点があり、本人確認用途では特に重くのしかかります
• 商用では権利処理を契約で保証するSDK/SaaSが現実解です。OSSを使うなら、重みの商用利用可が明記されたものに限定します
• 確認日とバージョンを記録し、ライセンス変更に備える運用までがセットです

eKYC関連の記事を体系的に読みたい方は『eKYC・本人確認記事の読む順ガイド』を参照してください。

よくある質問

Q. MITライセンスのOSS顔認証は商用利用できますか？

コードがMITライセンスでも、それだけでは判断できません。顔認証OSSはコード・学習済み重み・学習データ・評価データの4層で権利が別々であり、商用サービスで実際に動くのは重みファイルです。重みが研究用途限定で配布されているケースは頻出で、その場合コードのライセンスが緩くても商用利用は認められません。重み自体の利用条件を個別に確認する必要があります。

Q. InsightFaceは商用eKYCで使えますか？

InsightFaceのリポジトリは、コードと、提供される学習済みモデル・学習データとで条件が異なることを自ら明記しています。つまり「コードが使える」と「配布モデルを商用で使える」は別問題です。商用利用の可否は、使おうとしている個々のモデルファイルの利用条件をリポジトリ原文で確認して判断する必要があります。条件は変わり得るため、確認日とバージョンの記録も重要です。

Q. 学習済みモデル（重み）にライセンスの記載がない場合はどうなりますか？

「記載がない」は「自由に使ってよい」を意味しません。権利状態が不明ということであり、商用利用の根拠にはなりません。重みの利用条件が商用可と明記されているものに限定するか、権利処理を契約で保証する商用SDK/SaaSを選ぶのが安全です。

Q. 顔認証モデルの学習データにはどんなリスクがありますか？

2つあります。第1に、顔認証の学術データセットには研究用途限定のライセンスが多く、その条件が派生した重みに及ぶという論点です。第2に、過去には本人の同意なくWeb収集された大規模顔データセットが批判を受けて配布取り下げになった例があり、そうしたデータの派生物で学習された重みの商用利用は法的リスクとレピュテーションリスクの両方を持ちます。

Q. 商用eKYCで顔照合を導入する場合、OSSと商用SDKのどちらがよいですか？

実務では商用SDK/SaaSが主流です。理由は、モデルの権利処理をベンダーが契約（表明保証）で引き受けてくれることに加え、eKYCでは閾値設定や属性別性能といった精度の検証責任も発生するためです。OSSを選ぶ場合は、重みの商用利用可が明記されたものに限定し、学習データの出自まで確認した上で、精度検証も自社の責任範囲として計画する必要があります。

Q. OSSの顔認証を使う場合、個人情報保護法上の対応は必要ですか？

必要です。顔画像・顔特徴量は個人情報であり、本人確認に使う場合は取得・利用・保存の設計が求められます。これはモデルのライセンス問題（学習データの権利）とは別レイヤーの、推論時＝自社ユーザーの顔を処理する場面の義務です。ライセンスをクリアしても個人情報対応が終わるわけではなく、両方を別々に確認します。

主な参考資料: InsightFace（GitHub）、AdaFace（GitHub）、OpenCV Zoo（GitHub）、個人情報保護委員会 ガイドラインQ&A（生体情報関連）

TodoONada株式会社は、マイナンバーカード認証（JPKI・eKYC）を組み込んだWebサービス・スマホアプリの受託開発を行っています。顔照合の技術選定では、商用SDK/OSSを権利・精度の両面から評価する支援が可能です。方式選定から開発・運用までワンストップで対応し、料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜です。詳しくはマイナンバーシステム導入支援をご覧いただくか、お問い合わせからご相談ください。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。