5カ国共同でAIエージェント安全配備ガイドライン策定
2026年5月1日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、オーストラリア信号局のオーストラリアサイバーセキュリティセンター、カナダサイバーセキュリティセンター、ニュージーランド国家サイバーセキュリティセンター、英国国家サイバーセキュリティセンターが共同で、自律的人工知能システムの安全配備に関するガイドラインを公表した。
このガイドラインは、大規模言語モデル上に構築され、計画立案、意思決定、自律的行動実行が可能な「エージェント AI」に焦点を当てている。これらのソフトウェアは外部ツール、データベース、メモリストア、自動ワークフローに接続し、各段階での人間の確認なしに多段階タスクを実行する機能を持つ。各国機関は、重要インフラや国防分野で十分な保護措置なしにこの技術が既に配備されていることに警告を発している。
中核的メッセージは、エージェント AIが全く新しいセキュリティ分野を必要とするわけではなく、組織が既に維持するサイバーセキュリティフレームワークとガバナンス構造にこれらのシステムを統合し、ゼロトラスト、多層防御、最小権限アクセスなどの確立された原則を適用すべきというものである。
企業レベルでの先進的AI主権技術の実用化
企業レベルでは、データローカライゼーション法への対応が急務となっている。MailSPECが発表したJACE Version 3は、日本の個人情報保護法（APPI）やGDPRなどの規制フレームワークに準拠しながら、早期導入者でeDiscovery時間を最大94%削減したと報告されている。
JACE 3は完全にエアギャップ環境またはオンプレミス環境内でデータを処理する主権AI アーキテクチャを採用し、外部AIモデルやクラウドインフラストラクチャへのデータ転送を一切行わない。CISOやコンプライアンスチームがSEC 17a-4、FINRA、MiFID II、HIPAAなどの地域別・業界別規制に合わせたカスタムポリシーを定義できるJACEポリシースクリプトを搭載している。
リアルタイム介入機能により、コミュニケーション送信前に潜在的なコンプライアンス違反を自動検出・ブロックし、人的エラーと規制リスクを削減する。全てのインタラクションをWORM準拠形式でジャーナリングし、迅速なeDiscoveryと監査準備を可能にする不変監査証跡も提供している。
ヘルスケア分野でのAIガバナンス基準確立
ヘルスケア業界では、NIST信頼できるAIとOWASPセキュリティガードレールを実装したAIガバナンスプログラムの構築が進んでいる。包括的AIガバナンスプログラムには、コンプライアンス・契約要件に基づく基盤、特定されたフレームワークとガイダンスの使用、内部・第三者AI使用に関するポリシー策定、AIガバナンスに責任を負う役員の指名と権限定義が必要とされている。
また、機能横断的監視を行う役員委員会の設立、セキュアSDLCへのAI開発統合によるプライバシー・バイ・デザインの提供、規制と技術の進歩に応じた継続的アップデートへのコミットメントが求められている。包括的AIポリシーには、システムが何を行い、なぜその出力を行うかの明確性を要求する説明可能性・解釈可能性、データ最小化・マスキング・保持削除制御を実装するプライバシー強化、バイアス評価期待値の定義と公正性、ライフサイクル全体での役割責任の文書化が含まれるべきとしている。
州間規制格差が生む新たな課題
米国では州間でのAI規制の違いが新たな問題を生み出している。Rad AIのCIO、Demetri Giannikopoulosは、ヘルスケアにおける州境を越えた治療の違いを避け、患者と医療提供者に一貫した基準を確保するため、米国全体でAI規制を整合させる必要があると警告している。
税法分野では、AIツールの使用に関する厳格な責任基準の必要性が指摘されている。人間の実践者が個別のエラーを犯す一方で、AIシステムは瞬時に数千の誤った税務ポジションを生成する可能性があり、分散AIシステムの総合能力は税務執行にとって前例のない規制上の課題を提起している。財務省は「他者への依存」防御がジェネレーティブAIツールに適用されないことを明確化し、AI幻覚権威の提出に対する厳格責任基準を事実上創設すべきとの提言もある。
公的機関でのAI利用規制緩和の動き
一方で、公的機関レベルではAI利用の規制緩和も進んでいる。オーストラリア研究会議（ARC）と国立保健医療研究会議（NHMRC）は2026年4月28日の共同声明で、「申請者は助成申請の準備時にAIを支援ツールとして使用することができ、正確性と完全性に関する責任は申請者にある」と発表した。
英国の公的部門では、AIガバナンスが人材管理に類似したアプローチを取るようになっている。シャドーITがシャドーAIとなり、技術的リスクだけでなく規制上のリスク、特にデータ主権が英国公的部門組織にとって重要な考慮事項として残っている。信頼できるエコシステム内でも、モデルの動作とデータ処理場所に微妙な違いがある。
国際機関での統合的AI政策検討
国際レベルでは、IPCCがAIアプローチの将来的可能性を検討しており、禁止から著者チームによる広範囲採用の義務化まで、選択肢のスペクトラムが存在している。IPCCは今後数年間、さまざまな分野でのAIアプリケーション使用をより多く又はより少なく可能にする共通ルール（ガイドライン・実践）で中間的な立場に留まる可能性が高いとされている。
IPCCは重要なIPCC声明、図表、信頼度言語のキュレートされたデータセットをAI訓練用に準備する、主要AIプロバイダー（OpenAI、Googleなど）との提携協定を確立して権威あるIPCCコンテンツを統合する、IPCC由来AIツールのライセンス プロセスを開発して公式・非公式アプリケーションを区別するなど、多様な行動の道筋に直面している。これらと並行して、IPCCは従来の評価品質に対するAI拡張評価を評価するための具体的基準の開発にも取り組む可能性がある。
