AI規制は原則だけでは動かない / 英国AI Regulatory Capability Frameworkを手掛かりに雑感

0　はじめに

　生成AIの普及以降、AIガバナンスの議論は、何を良しとするかという問いから、どう回すかという問いへ露骨に重心が移っている。AIが常時稼働のインフラとして社会に入り込んだ以上、統治の成否は文書の美しさではなく、運用と監視と是正と説明の回路が回るかどうか、そしてそれを回す能力があるかどうかに懸かる。

　この能力を正面から扱ったのが、英国アラン・チューリング研究所と科学・イノベーション・技術省が公表したThe AI Regulatory Capability Framework and Self-Assessment Toolである。以下、本フレームワークと呼ぶ。英国の規制当局、学界、政策コミュニティ、政府関係者を巻き込んだ共同設計を経て作られた点に特色がある。理念先行の作文ではなく、現場で回るか回らないかに寄り添う作りになっている。

　英国は単一のAI規制当局を置かず、既存のセクター規制当局がそれぞれの領域でAIを監督する分散型アプローチを採る。文脈に応じた規制という意味で理にかなうが、前提条件がある。各規制当局がAI時代にふさわしいだけの能力を備えていなければ、分散は美徳ではなく単なる断片化に転落する。

　今回は、本フレームワークを素材に、分散型AI規制が抱える実装問題、規制能力という概念の分解、自己評価ツールがもたらすメタ・ガバナンスの含意、この三点を軸に雑感を述べる。

1　問題の所在　規制の設計と規制の実装は別物である

　AI規制は、条文やガイダンスを作って終わりの仕事ではない。学習データ、モデル更新、利用文脈、サプライチェーンの差し替えによって挙動が変わり得る以上、規制は静的な規範では足りず、動的な運用を内蔵する必要がある。問われるのは規範の正しさだけではない。規範を現実の運用に落とし込むための組織能力が問われる。

　英国のAI規制は、白書A pro-innovation approach to AI regulationに象徴されるように、セクター規制当局が共通の原則を各領域で具体化する原則ベースかつ分散型の設計を採ってきた。2025年1月のAI Opportunities Action Planも分散型アプローチを再確認し、専門規制当局がドメイン固有のリスクや機会を把握しうる点を強調している。だが、設計思想がいかに洗練されていても、それを実装する規制当局側の能力が弱ければ、規制は空洞化する。本フレームワークが良いAI規制を語る前に規制能力を語るのは、この点を突いている。

　なお、本フレームワークがいう能力はスキルだけを意味しない。国連開発計画が提起したcapacityの定義、個人と組織とシステムが機能を効果的かつ効率的かつ持続的に果たす能力を踏まえつつ、英国の文脈ではcapacityが資源量の意味に狭く使われがちであるため、あえてcapabilityを採用している。ここで見逃せないのは、能力が個人レベル、組織レベル、システムレベルの三層で構成されると捉えられている点である。AI規制能力の欠如は、専門家がいないという個人レベルの話にとどまらない。データ共有の法的権限がないというシステムレベルの話や、失敗を許容しない組織文化という組織レベルの構造的要因に起因する場合が多い。

2　断片化という問題と因果関係の特定

2-1　断片化は悪ではないが、放置すると市場の摩擦になる

　AIガバナンスの枠組みは国際的にも単線ではない。EU AI規則のように法的拘束力を伴うリスクベース規制があり、NIST AI RMFのような実務フレームがあり、ISO/IEC 42001のようにマネジメントシステムとして型を提供する規格もある。この増殖自体は、各国や各セクターの文脈差を反映する以上、不可避である。問題は断片化そのものではない。断片化したまま破綻しないつなぎ目を作れるかどうかである。

　分散型モデルは文脈適合性の面で強い。だが裏返すと、各規制当局の判断がばらつけば事業者側には混乱が生じる。しかもAIは横断技術である。医療AIのサプライチェーンにクラウド基盤や基盤モデルが入り、金融AIが広告や推薦システムと同じデータ供給網に繋がる。縦割りの最適化は容易に破綻する。分散型であることは、協働と情報流の能力を要求する設計でもある。

2-2　因果関係の特定困難と手続責任――能力は、説明責任の前提条件である

　AIシステムが損害や不利益を生じさせた場合、伝統的な責任論は因果関係と帰責性を中核に据える。だがAIでは、ブラックボックス性、データ偏り、組織内の意思決定連鎖、外部ベンダーや基盤モデル等のサプライチェーンが絡み、単線的に原因を描きにくい。原因一点特定に拘泥すれば救済が空転するか、技術理解の不足を埋めるために恣意が入り込みやすい。

　このとき、結果責任を補助する手続責任が前面に出る。EU AI規則が要求するリスク管理、技術文書、ログ、透明性、人による監督といった義務は、因果関係の完全解明を前提にしない統治の制度技術である。だが、制度技術は義務を列挙しただけでは実装されない。ログを取るにはインフラが要る。監査可能性を担保するには道具が要る。止める権限設計には組織文化が要る。手続責任は能力責任を前提にする。

3　本フレームワークの骨格　規制を回路に分解する試み

3-1　6段階の規制ライフサイクルと、28の規制活動

　本フレームワークの第一の特徴は、AI規制を規制ライフサイクルとして分解し、6段階に整理した点にある。

　この6段階の下に合計28の規制活動が配置される。細目はともかく、規制が一回限りの立法ではなく反復的な運用を含む回路であると明示した点が肝である。AIでは評価と更新が例外ではなく通常運転になる。評価と更新の能力がない規制は、最初の設計がどれほど綺麗でも陳腐化する。

3-2　6つの能力要因　硬い要因と柔らかい要因のスペクトラム

　第二の特徴は、規制当局がAI規制機能を果たすために必要な能力を6つの要因として提示した点にある。

　本フレームワークはさらに、これらを規制当局が外部支援なしにどれだけ動かせるかという自律性の観点から、硬い要因から柔らかい要因へ連続的に配置する。法的権限や法定任務は外部制約が強いが、内部の文化やコミュニケーションは相対的に内部介入で変えやすい。財政資源の自律性は規制当局の収入構造によって異なり得る。この自律性スペクトラムは、能力構築を誰が担うべきか、当局内部か政府かを切り分ける上で実務的に効く。

3-3　良いとは何か　17の能力声明がベンチマークになる

　第三の特徴は、6要因をさらに行動指向の能力声明に落とし込み、良い実践の中身を17項目で言語化した点にある。能力声明は、規制ライフサイクルの段階と活動に即して何ができていればよいかを示す。法的、規制的、行政的要因の下では、規制目的と任務と権限、政策目的と期待、規制当局の自律性と正統性、規制インパクトの管理、情報流といった論点が並ぶ。技術論だけでなく、行政法学が扱ってきた正統性と権限と手続の設計がそのまま入ってくる。

　リーダーシップと文化とコミュニケーションの要因の下で、組織内協働と組織間協働が明示されている点も象徴的である。分散型モデルは協働を努力目標ではなく能力要件に格上げする。分散の設計は協働能力を前提にするからである。

4　自己評価ツール　能力を可視化し、交渉可能にする

　規制能力の議論は抽象論に陥りやすい。人材が足りない、技術が難しいと言ってしまえばそれまでである。本フレームワークの面白さは、自己評価という形式を通じて能力を可視化し、組織内外の交渉対象に変える点にある。

本ツールは概要、ステージ、アクティビティの3層の評価を用意し、スナップショットから深掘りまで可能にする。経営層が全体の見取り図を得ることも、現場が特定の活動に絞って改善点を洗い出すこともできる。

　評価プロセスでは各活動について1から5の5段階でスコアリングを行う。だが、スコアそのものより、そのプロセスを通じて記述される定性情報の方が意味を持つ。ツールには、関心のある能力、過去の介入と成果、提案されるアクション、外部支援の必要性、リスクと緩和策を記述する欄が設けられている。現場の担当者は単に人が足りないと嘆くのではなく、活動4を実施するためにインフラのレベルが低くボトルネックとなっている、これを解消するためにこれだけの予算措置と政府によるデータ共有基盤の整備が必要である、といった具体的かつ論理的なビジネスケースを構築できる。

　理想像を押し付けない点も見逃せない。本フレームワークは英国の多様な規制エコシステムを前提に共通の議論基盤を提供するが、各当局の文脈を上書きしない。能力声明は一般化された前提条件であり、当局ごとに優先度が違うことを許容する。規制能力評価がランキングになった瞬間、現場はゲーム化し空洞化する。自己評価は点数を付けることよりも、ギャップの所在を言語化し、内部介入で埋めるのか外部支援を要するのかを切り分けるための装置である。

　付け加えるなら、自己評価の最大の敵は測定可能なものの専制である。測れる指標は分かりやすいが、分かりやすさはしばしば真実の粗視化と同義である。専門人材の数は測れるが、専門性が意思決定に接続されているかは測りにくい。ガイドラインの公表回数は測れるが、市場の受け入れと行動変容は測りにくい。自己評価はスコアリングで完結させず、根拠資料と議論を伴う説明可能な自己評価にしなければならない。数字は結論ではなく会話の開始点である。

　実務的には、ギャップの特定、介入のビジネスケース構築、時間経過による改善追跡という流れが想定される。ビジネスケースという語が出てくる点が示唆的である。規制能力は理念ではなく投資対象である。能力構築は規制当局の努力だけでは足りない場合がある。法的権限の欠缺、予算、データアクセス、計算資源、政府横断の調整機能、これらは外部介入の領域であり、本ツールはそれを炙り出す。

5　実務への応用　規制当局だけの話ではない

5-1　日本の行政機関への示唆

　日本でもAI規制はハードローによる一律規制ではなく、各省庁のガイドラインや既存法の適用を中心とする分散型のアプローチが主流である。だが各省庁がAI固有のリスクに対応するための執行能力を有しているかは、体系的な検証が必要であろう。

　本フレームワークが強調するインフラとツールと技術は、日本の行政機構にとっても課題を投げかけている。高度なAIモデルを規制し監視するためには、行政側にも相応の計算資源やデータ分析基盤が必要になる。個別の省庁で整備するのは非効率であり、デジタル庁やAIセーフティ・インスティテュートのようなハブ組織が共通能力として提供する仕組みが求められるのではないか。

5-2　企業のAIガバナンスへの転用可能性

　本フレームワークの対象読者は規制当局だが、その内容は民間企業のAIガバナンス部門や内部監査部門の業務と驚くほど重なる。企業内でAI利用を管理する第2線と第3線の部門は、社内における規制当局としての役割を担っているからである。

　企業のAI担当者は、28の活動リストを社内ガバナンスのタスクリストとして読み替えることができる。社内のAI利用状況をマッピングできているか。社内ルールは現場のユースケースに即して解釈可能な形になっているか。開発部門への教育や対話は十分か。利用状況のモニタリング体制はあるか。違反時の是正プロセスや被害を受けたユーザーへの対応手順は明確か。ガバナンス体制の定期的な見直しを行っているか。規制ライフサイクルの視点を社内ガバナンスに取り入れることで、ルールを作って終わりになりがちなガバナンスを、運用と監視と改善を含むマネジメントシステムに変えられる。

　6要因はガバナンス失敗の原因診断にも使える。問題が法務の解釈なのか、予算なのか、監視ツールなのか、外部動向把握なのか、人材なのか、文化と権限なのか。AIガバナンスが難しいのは、失敗が単一原因ではなくこれらが相互作用するからである。診断軸がない組織は、事件が起きるたびに研修かガイドライン追加でお茶を濁し、回路は太らない。

6　おわりに

　本フレームワークが突き付けるのは単純な事実である。AI規制は正しいことを言うだけでは成立しない。能力がなければ正しい規範も空回りする。分散型モデルはとりわけ能力を必要条件として要求する。AIガバナンスの争点は、原則と禁止と許容の設計論だけではなく、誰が何をどこまでできるのかという能力論へ移る。

　AIガバナンスは規範の整合性ではなく能力の設計である。規制当局が自らの能力を測り改善する枠組みを持つなら、企業もまた自らの統制能力を測り改善する枠組みを持つべきである。AIは導入より運用の方が長い。運用の長さに耐えるのは理念ではなく回路である。

　規制は条文の集合ではなく、実行される手続の束である。AIの時代、その当たり前が露骨に効いてくる。社会を守るのは、きれいなPDFではなく回り続ける回路である。

7　イギリスAIガバナンスまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。