AI の「入店拒否」は許されるか — Amazon 対 Perplexity 控訴審判決

8月4日、米連邦第9巡回区控訴裁判所（カリフォルニアなど西部の州を管轄する連邦の控訴審）が、Amazon が Perplexity に対して得ていた仮差止命令を取り消しました。仮差止命令とは、裁判の結論が出る前に相手の行為をいったん止める命令です。

Perplexity は、質問に AI が直接答える検索サービスを提供する米国企業です。

取り消しの理由を一言でいえば「Amazon にアクセスしたのはユーザーであって、Perplexity ではない」。裁判所自身も、AI エージェントの責任帰属を直接扱った判例は「ほとんど、あるいはまったくない」と述べています。

本稿は、判決から33日後にあたる9月6日時点の記録です。判決文そのものと、Amazon の robots.txt（自動巡回に対するサイト側の方針を示すファイル）を実際に取得して確かめました。

この判決は、多くの人が思っているより、はるかに狭いことしか決めていません。

何が起きたのか

Amazon は2025年11月4日、Perplexity を北カリフォルニア連邦地裁に提訴しました。

争点になったのは Perplexity のブラウザ「Comet」に搭載されたアシスタントです。ユーザーの指示を受けて Amazon にログインし、商品を探して購入まで行う機能でした。

地裁は2026年3月9日に仮差止命令を出し、Comet の Amazon へのアクセスを止めました。Perplexity は翌日控訴します。

ただし、この命令が現実に効力を持っていた期間はごく短いものでした。地裁は命令の効力を7日間発生させないと定め、Perplexity が控訴審に効力の停止を申し立てる時間を与えています。その7日のうちに控訴審も効力の停止を認め、判決まで命令は効いていない状態が続きました。

そして8月4日、控訴審がその命令を取り消しました。

押さえるべきは「終わっていない」こと

まず、裁判そのものの勝敗は決まっていません。

仮差止命令は、あくまで「とりあえず止める」ための命令です。控訴審が述べたのは「Amazon が最終的に勝つ見込みは高くない」という見通しにとどまります。

事件は地裁に差し戻され、審理は続いています。

裁判所自身が、判断の射程は狭いと明記しています。

The legal understanding of agentic AI will doubtless change as AI technology grows increasingly sophisticated. For now, this opinion reflects and applies to the state of technology only as presented in the filings in this case.

「この意見は、本件の提出書面に現れた技術の状態にのみ適用される」。一般論として読めるものではありません。

もうひとつ、見落とされやすい点があります。

取り消しの理由は2つありました。「アクセス」の争点に加えて、差止めを認めるべきかどうかの事情も Amazon 側に有利ではない、と判断されています。

そのひとつが公共の利益です。判決文はこう述べています。

Similarly, an injunction against conduct that likely does not violate the CFAA or the CDAFA would not serve the public interest. Instead, such an injunction would impair consumer choice and needlessly limit development of a nascent technology.

不正アクセス法に違反しそうにない行為を差し止めても公共の利益には資さず、むしろ消費者の選択を狭め、生まれたばかりの技術の発展を不必要に制限する、というのが裁判所の見方でした。

そして判決文には、別の事実関係であれば結論は変わりうるという留保がはっきり書かれています。

判断を分けたのは Comet の実装だった

結論を決めたのは、法解釈というより Comet の実装でした。

Amazon が持ち出した CFAA（Computer Fraud and Abuse Act）は、「権限なくコンピュータにアクセスすること」を禁じる米国の法律です。もともとはハッキングを取り締まるための法律で、刑事罰を伴います。

あわせて請求されたのが CDAFA（California Comprehensive Computer Data Access and Fraud Act）で、カリフォルニア州の同種の州法です。

本稿では、CFAA と CDAFA の「アクセス」に関する条文をまとめて「不正アクセス法」と呼びます。

ただし控訴審が判断したのは、この2つの法律のごく一部の条文だけです。訴状の請求は CFAA・CDAFA の2つですが、その中には、詐欺を目的とするアクセスを対象にした条文に基づく主張なども含まれます。そちらは地裁に戻ってそのまま生きています。

争点は「では、誰がアクセスしたのか」でした。

判決文は Comet の動作をこう認定しています。

When a Comet user directs the Assistant to locate an item on Amazon.com, the Assistant takes screenshots of the browser view, sends those screenshots from the user's computer to Perplexity's servers, and receives instructions from Perplexity's servers on how to navigate Amazon.com.

登場人物は4つです。図にすると、こうなります。

つまり本件の記録上、Perplexity のサーバーは Amazon のサーバーと直接やりとりしていないと認定されました。

Perplexity は提訴当日に公開したブログで、Amazon のログイン情報はユーザーの端末にのみ保存され、自社サーバーには置かないと説明しています（判決文にはこの記述はありません）。

ただし上の認定は、公開された判決文と提出書面に現れた範囲の事実関係です。Comet の実装を裏づける証拠は一部が封印されており、実際の挙動を外部から独立に検証できたわけではありません。

Amazon 側は訴状で、Comet がユーザーの非公開のアカウント情報を Perplexity のサーバーへ送っていると主張しています。上の図と矛盾はしませんが、受ける印象はかなり違います。

接続元がユーザーの端末だというこの構造を見て、裁判所は Amazon に入ったのはユーザー自身だと判断しました。

Perplexity 側の説明は、身近な比喩でした。判決文が引く形で残っています。

This is most akin, Perplexity argues, to an Apple user accessing Amazon.com via the Safari web browser, even if "the Safari software automatically fills in the user's address and payment information at checkout on the user's behalf."

Safari の自動入力が住所やカード番号を埋めても、Amazon にアクセスしているのは Safari ではなくユーザーです。その延長線上に Comet を置いた、という主張でした。

ここまでの技術的な整理（読み飛ばし可）

エンジニア向けに一段だけ踏み込みます。ここを飛ばしても以降の話は追えます。

判決はまず Van Buren 判決（2021年・合衆国最高裁）を引きます。CFAA でいう「アクセス」とは、システムそのもの、あるいはファイルやデータベースといった特定の部分に入ることだ、という確認です。

そのうえで「Perplexity は、アシスタントという道具を使って自ら Amazon のコンピュータにアクセスしていると言えるか」を問い、こう答えています。

Our focus is thus to ask whether Perplexity uses a tool (the Assistant) to "access" Amazon's computers. On the facts before us, we answer no.

スクリーンショットを受け取ることも、操作指示を返すことも、それ自体では「立ち入った」ことにならない、という判断です。

先に触れた留保は、原文ではこう書かれています。

We do not address whether, on a different record or new facts, Perplexity may exercise control over the Assistant in such a way as to gain entry to Amazon's servers.

「別の記録や新たな事実のもとでどうなるかは判断しない」。裁判所が自ら線を引いた箇所です。

経路によって、扱いはまったく違う

「AI エージェントの代理アクセスが認められた」という要約から、自社の状況を推し量るのは危険です。エージェントがサイトに来る経路によって、扱いがまったく違うからです。

ここからしばらくは、エージェントを作る・動かす側の話です。自社サイトにエージェントが来る側が今決められること（robots.txt・利用規約・ボット検知の3つ）は、後半の章でまとめて扱います。

エージェントがサイトに来る経路は、少なくとも3つに分かれます。

• A. ユーザーの端末から、ユーザーの指示で、ログイン済みアカウントを操作する本件がこれ。控訴審は、CFAA・CDAFA の「アクセス」に関する部分について Amazon が勝つ見込みは低いと判断した
• B. エージェント提供側のサーバーから、ユーザーの資格情報（預かった ID・パスワードなど）を使って代理操作する判断されていない。しかも A で通用した理屈が使えない
• C. 認証なしで公開ページを取得する（一般的な商品情報のクローリング）本判決は一言も触れていない。ただし不正アクセス法から自由でも、利用規約（契約）や不法行為の責任は別に残る。日本では、さらに別の法律が問題になる

なぜ「代理アクセス」が危ういのか

A で Perplexity を救ったのは「アクセスしているのは我々ではない、権限を持ったユーザー本人だ」という主張でした。

ログイン情報の置き場所が、A と B のいちばん具体的な違いです。A では Perplexity の説明どおりなら資格情報はユーザーの端末から出ません。B では、提供側がそれを預かって使います。

Amazon へリクエストを送る部分をエージェント提供側のサーバーに移すと、この主張は格段に立てにくくなります。裁判所が拠り所にした「接続元がユーザーの端末である」という事実が、そこには無いからです。

ただし「だから違法」という話でもありません。判決にはもう一本の筋があり、そちらはアシスタントを「人ではなく道具」と見て、その行為をユーザーに帰属させています。この理屈は接続元がどこかに依存しません。

先に触れた裁判所の留保も、B を名指ししているわけではありません。述べているのは「別の記録や新たな事実」「アシスタントへの支配の程度」です。

いずれにせよ B は判断されていない領域です。リスクは A より高いと見るべきだ、というのが筆者の立場です。

公開ページの取得は、別の判例で扱われる

認証を必要としない公開ページの取得は、hiQ Labs 対 LinkedIn という別の系列で扱われます。

hiQ は、LinkedIn の公開プロフィールを集めて分析するデータ企業でした。2017年に仮差止命令を勝ち取り、控訴審もこれを支持しています。

控訴審は、認証のない公開ページには「越えるべき門」がなく、CFAA の「権限なく」は成立しにくいとしました。

ただし、hiQ のその後はあまり知られていません。公開ページを取得する事業者の判断材料になるので、記録から辿ります。

まず、会社は2018年に事業をたたんでいます。 仮差止命令を勝ち取った翌年です。

hiQ wound down its operations in 2018, though its servers continued running into 2019

そして契約違反については、裁判所は部分ごとに結論を分けました。 2022年10月27日に署名され11月4日に登録された命令で、スクレイピング（自動取得）を理由とする部分はこの段階では判断していません。hiQ 側の反論に事実の争いが残るためです。

契約違反を認めたのは、「turkers」と呼ばれる作業者（クラウドソーシングで雇った人員）の行為についてだけでした。

the Court therefore DENIES LinkedIn's motion for summary judgment on the breach of contract claim as to hiQ's scraping and unauthorized use of data because there remains a genuine dispute of material facts for hiQ's waiver and estoppel defenses, but GRANTS the motion as to hiQ turkers' conduct.

turkers がしていたのは、ログインした状態での品質確認作業です。アカウントが制限されると、hiQ は偽アカウントを作らせました。契約違反とされたのはこの偽アカウントの側で、公開ページの取得は判断が持ち越されています。

最終的に hiQ は、和解にあたる同意判決で50万ドルを負担しています。ただしその判決がどの請求を対象にしたのかは、公開されている文面からは確認できません。

残るのは契約だけではありません

判決文は、扱わなかった範囲として不法行為（tort。契約がなくても、損害を与えた相手に責任を問う仕組み）を名指ししています。米国では、大量アクセスがサーバーという「物」の利用を妨げたとして動産侵害という考え方が持ち出されることがあり、hiQ 判決もその余地に触れています。

そして日本で運用する場合、土俵そのものが違います。

米国の CFAA にあたるのは不正アクセス行為の禁止等に関する法律です。他人の ID・パスワードを使うといった行為を対象とする法律で、認証のない公開ページの取得は通常その射程に入りません。

代わりに論点になりうるのが、刑法の業務妨害（偽計業務妨害・電子計算機損壊等業務妨害）です。「権限なく入ったか」ではなく「相手の業務を妨げたか」を問う条文で、公開情報かどうかで線を引きません。

つまり日本では、「公開ページだから大丈夫」という米国流の整理がそのまま通じるとは限りません。

実際にどう適用されるかは判例の蓄積が乏しく、本稿の射程を超えます。日本法にもとづく検討は別途必要です。

ただ、「相手の業務を妨げない」設計が法的にも効いてくる領域だと筆者は見ています。

具体的には2つ。リクエスト間隔を抑えて相手のサーバーに負荷をかけないこと。そして、アクセスのたびにサイトへ送られる自己申告の名札（ユーザーエージェント文字列）に、運用者名と連絡先を入れておくことです。問い合わせ用の URL やメールアドレスがあれば、相手が困ったときに連絡できます。

Amazon は実際に何をしているか

判決の外側に、実務でいちばん効く話があります。Amazon が現に何を運用しているかです。

利用規約は既に「名乗り」を義務づけている

見落とされがちですが、Amazon の利用規約には Agents（エージェント）という独立した条項があります。表示上の最終更新は2025年5月30日で、提訴より前です（提訴日時点の条文そのものは、今回の資料からは確認できていません）。

まず「Agent」の定義が広い。人の指示により、または人に代わって自律的・半自律的に動作するソフトウェアまたはサービスとされており、クローラーだけでなくユーザー指示型のアシスタントも入ります。

そのうえで、要求はかなり具体的です。

• すべてのリクエストで名乗ること名札（ユーザーエージェント文字列）に、Agent/[エージェント名] の形式で自らを申告する
• 人間のふりをしないこと打鍵速度やページ遷移のパターンを模倣してはならない
• CAPTCHA を突破しないこと解いたり回避したりしてはならない
• 正直に答えること人間か機械かを問われたら真実を答える
• 止めろと言われたら止めることAmazon が停止を求めた後は、アクセスしてはならない

いわゆるステルス実装は、名指しで禁止されています。規約違反の線は、多くの担当者が思っているより手前にあります。

この「名乗り」は、裁判でも中心的な争点でした。

At the core of the dispute was Perplexity's decision not to use a "user-agent string," a mechanism "that would communicate that the user has activated an AI agent."

争いの中心にあったのは、Perplexity が「AI エージェントが動いていることを伝える名札」を使わないと決めたこと。裁判所自身がそう要約しています。

robots.txt は21か月で4件から101件へ

robots.txt は、識別名ごとに自動巡回を許可・制限する方針を示すファイルです。技術的な強制力はなく、訪れる側が自主的に読んで従う前提の取り決めです。

Amazon はそこに、エージェント名ごとの許可・拒否の指定（本稿では「宣言」と呼びます）をいくつ置いているのか。Wayback Machine（ウェブページの過去の状態を保存している公開アーカイブ）から実際に取得して数えました。

比較の起点にした2024年11月の宣言は4件でした。ワイルドカードと、名指しの3件（CCBot、GPTBot、EtaoSpider）だけです。

うち AI クローラーは2件。EtaoSpider は価格比較用とされるクローラーで、AI 以前からあるものです。

そこから提訴の時点で41件、仮差止命令の時点で49件と増え、21か月後の判決時点で101件になっています。

なお101という数は宣言の数であり、社数でも異なるエージェント名の数でもありません。ClaudeBot が2回現れるため、重複を除くと100種類の名前になります。

現在の値は手元で確かめられます。

curl -s https://www.amazon.com/robots.txt | grep -ci '^User-agent:'

過去の時点も同じ手順で取得できます。Wayback Machine の次の URL の日付部分を変えて開くだけです。

https://web.archive.org/web/<YYYYMMDD>id_/https://www.amazon.com/robots.txt

読み取れることが5つあります。

• ユーザー起点のエージェントも同じ扱いPerplexity-User、ChatGPT-User、Claude-User はいずれも全面拒否。-User という接尾辞を「学習用の巡回ではない」印として扱う考え方もありますが、Amazon はその区別を採用していない
• 検索は全面拒否せず、エージェントは拒否Googlebot には専用の宣言がなく、共通ルールに従うだけで全面拒否はされていない。一方 GoogleAgent-Shopping などは拒否されている
• 判決後もファイルは変わっていない8月4日と8月10日の保存データは1バイトも違わない
• 名指しの一覧は、Comet を止められなかったAmazon は訴状で、Comet が Chrome と同じ名札を送っていたと主張しています。名指しの一覧は、正直に名乗る相手にしか効きません
• amazon.co.jp も同じ8月12日に両方を取得して比較したところ、拒否しているエージェント名の一覧が完全に一致していた

最後の点は、日本で自社サイトを運営する側に直接関係します。

両社の主張は、正面からぶつかっている

Amazon は訴状でこう書いています。

It is considered responsible practice on the web to use a user-agent string that distinguishes requests initiated by an AI agent from requests resulting directly from human action.

AI エージェントが出したリクエストと、人間の操作から直接生じたリクエストを見分けられる名札を使うこと。それがウェブ上の責任ある慣行だ、という主張です。

一方 Perplexity は、提訴と同じ日に公開したブログでこう書きました。

Your AI assistant must be indistinguishable from you.

「あなたの AI アシスタントは、あなたと見分けがつかないものでなければならない」。

エージェントは見分けがつくべきか、つかないべきか。 両立しない設計思想が、双方の公開文書として並んでいます。

そして控訴審は「誰がアクセスしたか」を決めただけで、この対立には何も答えていません。

自社サイトを持つ側は、何を決められるか

自社サイトにエージェントが来る側として、何ができるのかを整理します。

Amazon は既に「どのエージェントを断るか」を一覧として公開し、日本向けサイトにも同じ方針を当てはめています。同じ判断を迫られる場面は、日本の事業者にもそう遠くないと筆者は見ています。

法整備を待たずに、今決められるのは次の3つです。

• robots.txt に何を書くか買い物を代行する種類のエージェントを迎えるのか、断るのか。Amazon は名指しで断る側に振り切っています
• 利用規約でエージェントに何を求めるか名乗りを義務づけるかどうか。Amazon は全リクエストでの申告を要求しています
• ボット検知をどう設定するかCDN や WAF（サイトの手前に置く配信・防御サービス）の機能として導入できます。ただしエージェント相手には効きにくい

この3つは、効き方がまったく違います。

robots.txt には従わせる仕組みがありません。一方、利用規約は契約として組み立てられており、違反を追及する道が残ります。hiQ に不利な判断が出たのも、契約の側でした。

ボット検知は、相手の協力を前提としない唯一の手段です。ただし経路 A のアクセスは、ユーザー本人の端末で動く本物のブラウザが、本物のログイン状態で出したものです。検知する側から見て、掴むところがほとんどありません。

Amazon の規約が「人間のふりをするな」「CAPTCHA を突破するな」とわざわざ書いているのは、検知では見分けきれないことの裏返しでもあります。技術だけでは止めきれない部分を、契約で埋めにいっている構図です。

もっとも、規約が実際に相手を拘束するかは、同意の成立や条項の書きぶりに左右されます。しかも規約が求める Agent/[名前] は自己申告の文字列で、リクエストが来た瞬間に真偽を確かめる手段もありません。それでも、方針を明文化しているかどうかは、後から争いになったときの立場を左右します。

規約による制御が判決で損なわれていないことは、判決文自身が脚注で明言しています。

This outcome does not impair Amazon's ability to regulate access to Amazon.com via private terms of service for its users. On the facts before us, Amazon is simply unlikely to succeed in its attempt to regulate access by invoking the CFAA and the CDAFA.

利用規約によるアクセス制御は、この判決によって少しも損なわれていない。 負けたのは不正アクセス法を持ち出した部分だけ、というのが裁判所自身の整理です。

残されたのは規約だけでもありません。

We do not address whether in other contexts, including tort claims, Perplexity can avoid liability for the Assistant's actions.

不法行為による責任追及も判断していない、と明記されています。塞がれたのは不正アクセス法の道だけ、と読むのが正確です。

技術的含意 — 名乗りを誰も検証していない

Amazon が持っている手段を整理すると、性質の違う4つになります。

• 契約（利用規約の Agents 条項）義務を定める。ただし Agent/[名前] は自己申告の文字列で、偽ろうと思えば偽れる
• 勧告（robots.txt）方針を示すだけで、従わせる仕組みはない
• 法（CFAA・CDAFA）責任の所在を割り当てる。争いになった後の話で、事前に止める手段ではない
• 技術的な検知ボット検知やトラフィックの分析。これだけがリクエストの瞬間に働く

前の3つは、リクエストが来た瞬間には何もしていません。契約と勧告は「こうしてくれ」と書いてあるだけで、法が動くのは事後です。

4つ目の検知だけが、その瞬間に働きます。ただし検知がしているのは推測です。挙動やパターンから「これは自動化されていそうだ」と当てにいく仕組みであって、相手が名乗った名前を確かめているわけではありません。

だからこそ、裁判所はアーキテクチャから「誰がアクセスしたか」を推論せざるをえませんでした。リクエストそのものに、帰属を示す手がかりが無かったからです。

本件が浮かび上がらせたのは、「名乗れ」と求めるルールはあるのに、その名乗りを確かめる手段がないという実務上の空白です。

この空白を埋める候補が、RFC 9421（HTTP Message Signatures。インターネット標準の仕様書）を土台に、リクエストに送り主の証明を付ける電子署名です。本ラボでは、これを実際に実装して検証する記事を別途予定しています。

念のため書いておくと、これは法的な争いを解決する技術ではありません。

選択肢は「何もしない」か「署名する」かではありません。挙動から推測するか、それとも名乗りを検証できる形にするかです。

まとめ

タイトルに掲げた問い「AI の入店拒否は許されるか」に、この判決は答えていません。

決めたのは「誰がアクセスしたか」だけです。ユーザーの端末から、本人の指示で動いていた。だから Amazon に入ったのはユーザー本人であって、Perplexity ではない。それだけです。

経路が違えば結論も違います。提供側のサーバーから預かった資格情報で代理操作する経路は、裁判所が判断していません。「適法」ではなく「未判断」だと筆者は見ています。公開ページの取得はこの判決と実質的に無関係で、契約・不法行為の責任が別に残り、日本では業務妨害という別の問いが立ちます。

自社サイトを運営する側が、法整備を待たずに決められることは3つ。robots.txt にどの方針を書くか、利用規約でエージェントに名乗りを求めるか、そしてボット検知をどう設定するかです。裁判所自身が、規約による制御は損なわれていないと述べています。

ただし、リクエストの瞬間に働くのはその検知だけで、それも挙動からの推測にとどまります。挙動から推測するのか、名乗りを検証できる形にするのか。問いはそこへ移りつつある、というのが筆者の見立てです。

最後に範囲を。本稿は米国法の話で、この判決が拘束するのは第9巡回区だけです。日本は枠組みそのものが違い、国内での適法性は別途の検討が必要です。

執筆後記WRITER'S NOTE

技術の進歩の速さが、少し前まで非現実的とされていたことを次々に実現させています。一方で、それに見合うだけの制度の整備は追いついていません。

人間と見分けがつかないほど人間を模倣する存在を、独立した主体と見るのか、それとも利用者が使う道具と見るのか。突き詰めれば哲学的な問いです。

ボット検知のような技術的な障壁が効かなくなるほど、事業者は法的な障壁に頼らざるをえません。エージェントの性能が上がるほど、この種の紛争は増えていくはずです。

イスハグ オマール — 全記事に執筆後記を掲載しています(編集方針)