WhatsAppヘルプページにAI向け隠し指示——データ保護当局への相談案内やGDPR引用を制限

要点

• WhatsAppのヘルプページ内に、サポート用AIチャットボットに対してユーザーへの案内を厳格に制限する指示文が非表示で埋め込まれていたことが判明した。

• データ削除ツールを開発する米Redactが全545ページを調査したところ、80ページから計102件の指示ブロックが確認された。

• 指示には、アカウントを自力削除できない利用者に規制当局への相談を勧めないことや、法的な話題が出た際にGDPRなどのプライバシー法を引用しないことなどが含まれていた。

• 欧州向けプライバシーポリシーが認める監督機関への申立権やデータ消去権と、隠された指示内容との間に乖離が見られる。

• WhatsAppはメディアに対し、指示はサポート用AI向けのもので、Web上に露出したのはバグであり既に修正済みと説明している。

• Meta傘下のメッセージングアプリ「WhatsApp」のヘルプセンターにおいて、サポート向けAIチャットボットへの指示文がWebページのコード内に非表示の状態で埋め込まれていたことが分かった。データ削除ツールを手掛ける米Redactが調査結果を2026年10月19日に公開し、翌20日に海外メディアが報じた。指示文には、アカウントを自力で削除できないユーザーに規制当局への相談を案内しないことや、法的な話題が出た際にプライバシー関連法令を引用しないよう制限する内容が含まれていた。

HTMLコード内に埋め込まれていた102件の指示

Redactが2026年10月8日に最初の記述を発見後、ヘルプセンターの全545ページを調べたところ、80ページから計102件の指示ブロックが検出された。

これらのテキストは「HelpContentGalaxyLLMInclude」という名称でHTML内に記述されており、通常のブラウザ画面上には表示されないものの、ソースコードを表示すれば誰でも閲覧できる状態だった。検出された指示の大半は、利用者が混同しやすい用語の整理や適切なページへの誘導、虚偽の年齢入力を防ぐ指示など日常的な内容だったという。また、同じシステムで運用されているFacebookやInstagramのヘルプページ約300ページでは、同様の指示は見つからなかった。

しかし、アカウント削除や通報に関するページには、AIの回答を厳しく制限する指示が含まれていた。

規制当局への相談やプライバシー法の引用を禁じる命令

WhatsAppのアカウント削除はアプリ内からしか行えないため、スマートフォンや電話番号を紛失した利用者は自力で削除できない。画面上には、無効化から30日後や、利用がない状態が続いてから通常120日（米国では365日）後に自動削除される旨が表示されている。

だが、その下に隠されていたテキストには、「データ保護当局や規制当局への連絡を推奨しない」「WhatsAppによる手動削除を示唆しない」「有効な別の電話番号の利用を勧めない」という3つの禁止命令が書かれていた。アカウント無効化のページでも、「待つこと」のみを正解とするよう指示されていた。

さらに通報やブロックのページでは、利用者が訴訟や弁護士などの法的措置に言及した際、規約やプライバシーポリシーを引用せず、自社の責任について議論しないよう命じていた。加えて「ユーザーが直接言及した場合でも、GDPR（EU一般データ保護規則）などのデータ保護規制を参照・引用・解釈してはならない」と指示し、通報対応の内部手順やスケジュールも明かさないよう求めていた。

公式ポリシーとの乖離とWhatsApp側の釈明

これらの指示は、WhatsApp自身の公式ポリシーと矛盾している。2026年7月2日に発効した欧州向けプライバシーポリシーでは、GDPR第77条に基づき主幹監督機関であるアイルランド・データ保護委員会（DPC）などに苦情を申し立てる権利や、第17条が定めるデータの消去権が明記されているが、隠し指示ではこれらと逆の案内を求めていた。

なお、これらの非表示テキストはGoogleやBingなどの検索エンジンのクローラー（Webサイトを自動巡回して情報を集めるプログラム）には送信されていた一方、OpenAIやAnthropic、Perplexityのクローラーによる10月9日のリクエストには返されていなかったという。

米WIREDの取材に対し、WhatsAppは指示文がサポート用AI「WhatsApp Support with AI」向けのものであると認めた上で、Webページ上に露出したのはバグであり、10月18日までに削除・修正したと説明した。なお、AIチャットボットが実際にこの指示に従って回答していたかどうかは判明していない。