AI政策と現実の執行との広がる隔たり

AIに単一のルールブックはない

AIの導入は、監督に必要な政策やガバナンスの枠組みが成熟するよりも速いペースで、さまざまな業界や用途に広がっています。これまで、AIの用途は主に、既存の消費者保護、プライバシー、業界固有の規制と、各社独自の社内方針によって規制されてきました。各国政府は現在、AIに特化した要件を導入しつつありますが、その内容は依然として断片的で、システムを実際にどう運用すべきかについての指針も限られています。そのため企業は、外部要件と自社のリスク許容度、製品目標、業務上の現実との折り合いをつけなければなりません。

EUはAI法の一部規定の積極的な執行をすでに開始している一方、米国の連邦政策は、負担のより少ない全国的な枠組みを明確に支持しています。「大統領令14365」は、州ごとに相反する要件が設けられるのを抑えることを目指していますが、その一方で、各州は2025年にAI関連の措置を1,000件超導入しました。それぞれの当局が異なる目標を示しており、それらの調整は、システムを開発・導入する企業に委ねられています。

しかし、規制要件を定めることは課題の一部にすぎません。AIの用途や利用状況が広がるにつれ、企業は幅広い要件や社内方針を、業務上の管理策や個々のAIの判断に落とし込む必要があります。どのような規制の枠組みも、あらゆる用途、状況、トレードオフを想定することはできません。そのため組織には、適用される要件や社内方針から、システムの挙動、測定可能な成果、監査やレビューに至る道筋をたどれるようにする必要があります。NISTのAIリスク管理フレームワークも同様の考え方を取り、ガバナンスを単独のコンプライアンス業務として扱うのではなく、継続的な測定と管理を重視しています。要件は下流へ伝わり、エビデンスは上流へ戻ります。規制当局や経営幹部が望ましい成果を定める一方で、組織は自社のシステムが実際にその成果を生み出しているかを示さなければなりません。

こうした状況により、AIガバナンスに関する実務上の責任の多くは、システムを導入する組織が担うことになります。

ガバナンスの難しさは実装段階にある

規制やガバナンスの枠組みは通常、原則や義務、望ましい成果を定めます。しかし本番環境のシステムは、それらを個々の判断に反映しなければならず、そこにガバナンスの難しさがあります。方針では、差別を防ぐ、ユーザーを保護する、透明性を確保する、あるいは実質的な人間によるレビューを可能にすると定められるかもしれません。しかし、実際に稼働するシステムは、より具体的な問いに答える必要があります。どのしきい値で対応するのか。どのような証拠に基づき、どの程度の確信をもって判断するのか。どのような場合に人間によるレビューが必要なのか。何を記録するのか。そしてシステムが確信を持てないとき、どうするのか。

規制当局は、すでにこうした問いへの回答を求めています。FTC、DOJ、CFPB、EEOCは共同で、自動化システムに対して既存の権限に基づく執行を行うと表明しました。つまり、いずれ企業は、自社のシステムがどのように判断するのか説明を求められることになります。

ハラスメントを禁止する明確な方針を掲げるプラットフォームを考えてみましょう。乱暴な言葉を含むメッセージでも、友人同士の無害な冗談かもしれません。一方、一見無害なメッセージが、別のユーザーを狙った継続的な嫌がらせの一部である場合もあります。システムは、どのような文脈を確実に利用できるのか、介入するにはどれだけの証拠が必要か、そしてどのような対応が適切かを判断しなければなりません。メッセージをブロックするのか、送信者に警告するのか、人間によるレビューに回すのか、それとも何もしないのか。検知のしきい値を下げれば、より多くの有害な行為を捉えられるかもしれませんが、正当な会話まで抑制しかねません。人間によるレビューを必須にすれば、判断の質は高まるかもしれませんが、対応が遅れる可能性があります。ハラスメントを禁止する一般的な方針には、こうした判断のいずれも明記されていません。それでも、これらの判断が組み合わさって、その方針が実際にどう執行されるかが決まります。

こうしたトレードオフにあらかじめ決着をつける方針文書はありません。そのため社内の誰かが判断を下し、記録し、見直さなければなりません。組織図上の肩書きがどうであれ、その人は実質的に方針を策定していることになります。

責任あるAIに本当に求められること

システムを実装する人々が実質的に方針を策定するのであれば、責任あるAIを単なる理念の表明として扱うことはできません。システムが日々どのように振る舞うかに反映されなければならないからです。つまり、方針を承認したり初期評価に合格したりするだけでなく、AIの利用方法や測定方法、時間の経過に伴う是正のあり方を管理する必要があります。実務上、特に重要なのは次の3つの考え方です。いずれも、前述のトレードオフから導かれます。

• ガバナンスの厳格さは、結果の重大さに応じたものにすべきです。文章案を提案するAIシステム、融資を承認するシステム、セキュリティ上の脅威に警告を発するシステム、医療上の判断を支援するシステムでは、それぞれ生じるリスクが大きく異なります。組織は、起こり得る結果の重大さに基づいて、より強い管理やレビュー、監督が必要な領域を判断する必要があります。
• 正確さだけでは不十分です。誤りの種類によって、もたらす損失は異なります。モデレーションでの偽陽性は正当な発言を抑制しかねませんが、融資、医療、セキュリティにおける誤りは、はるかに深刻な結果を招く可能性があります。ガバナンスには、モデルの性能だけでなく、判断が現実世界にもたらす影響を反映させなければなりません。
• 継続的な評価とフィードバックが不可欠です。人による判断の覆しや異議申し立て、インシデント、想定外のケース、その後に生じる結果は、すべて継続的な評価に反映させるべきです。

社内AIガバナンスの実践的な枠組み

これらの原則を実践に移すには、AIシステムの設計、導入、運用のあり方にガバナンスを組み込む必要があります。特に重要な実践方法は4つあります。

• ガバナンス要件を、当初から製品やシステムの要件として扱う。導入後にコンプライアンス管理策を追加すると、コストがかさみ、脆弱になりがちです。プライバシー、透明性、監査可能性、審査の仕組みは、後から付け加えるよりも、システムの設計段階で組み込むほうがはるかに容易です。
• 方針から意思決定まで、監査可能な一連の流れを構築する。組織は、適用される規制要件や社内方針を、実施された管理策、そしてその結果として下された意思決定に結び付けられるようにする必要があります。また、その意思決定を評価するために必要な証拠も確保しなければなりません。
• 責任の所在と説明責任を明確にする。方針の責任者、許容できるリスクを判断する担当者、パフォーマンスを監視する担当者を定めます。システムが定められた範囲を逸脱した動作をした場合に、介入する権限を持つ人も必要です。
• 共有可能で、状況に応じて柔軟に対応できるガバナンス基盤を構築する。データ管理策、監査証跡、設定可能な方針、審査ワークフロー、測定の仕組みは、複数の規制要件やユースケースに対応できるものでなければなりません。管理策や基準値は、管轄地域、用途、リスクに応じて調整できるようにし、システムを再構築することなく、要件の変化に組織が対応できるようにする必要があります。

ガバナンスは実際に機能しなければならない

規制によって義務や原則を定めることはできますが、企業はそれを、大規模な環境で実際の意思決定を行うシステムに落とし込まなければなりません。つまり、社内ガバナンスは単なるコンプライアンス対応ではなく、事業運営上の責務です。AIを大規模に導入する企業はどこも、しきい値、審査ルール、エスカレーション経路を通じて、すでに方針を形にしています。残された唯一の問題は、それを意図的に行っているかどうかです。

規制当局は今後も望ましい成果を定めていきますが、当局間で意見が一致するとは限りません。そのため企業は、そうした期待をどのように管理策へ反映するかを判断し、管理策が機能していることを証拠で示す必要があります。責任の所在を明確にし、測定可能な管理策、監査可能性、柔軟に対応できる基盤を今のうちに整備する企業は、規制が進化し続けるなかで、より有利な立場に立てるでしょう。

私はこの問題を、サイバーセキュリティの現場、リスクモデルの構築、そして現在の大規模なAIシステムの運用と、さまざまな立場から見てきました。どの領域にも共通する教訓があります。枠組みが機能するのは、明確な意思決定に落とし込み、実際の運用で測定し、現実とのずれが明らかになったときに改善できる場合に限られます。