フィンランドのAIガバナンスと日本への示唆 / 「名前のないAI」invisible AIが突く規制の前提条件雑感

0　はじめに

　AIを使っているとは言い切れないまま、意思決定の一部が静かに自動化されていく。フィンランドに関する国別プロファイルは、採用・能力評価・従業員体験の管理といった領域でAIベースのソリューションが既に利用されているにもかかわらず、当該システムが明示的に人工知能として認識されていない場面があると指摘し、これをinvisible AI、すなわち見えないAIと呼び得ると述べる。そこでは、意思決定に影響しながら、文書化、影響評価、規制の枠組みの外側に置かれてしまうという。

　さらに、AIの境界は技術的というより文化的である、とも言う。要するに、何がAIかは実装の内部仕様だけでは決まらず、組織内の言語・慣行・心理的ラベリングに強く依存するという問題提起である。

　今回の関心は、この名前のないAI問題を、規制の設計ではなく、規制が働くための前提条件として捉え直す点にある。規制は対象の同定を前提として作動する。対象が同定されない限り、義務の発生も、責任分配も、監督も始まらない。AIガバナンスの実務がしばしば棚卸しから出発するのは偶然ではない。

1　問題の所在

　EU AI Actのようなリスクベースの規制は、ある意味で非常に法学的である。定義、類型、主体、義務という階層を置き、概念操作によって規律を流し込む構造をとる。AI systemに該当するかどうかが一つ目、禁止・高リスク・限定的リスク等の分類が二つ目、provider・deployer等の主体認定が第三つ目、そしてリスク管理・技術文書・透明性・監督可能性等の義務が四つ目である。

　ところが、現実の現場では、この一つ目の段階でつまずく。ベンダーはAIと言わずに最適化・推薦・自動化と言い、利用者は便利な機能として受け入れ、担当部署は情報システムや人事ツールとして処理する。ここで起きるのは脱法というより単純な未認識である。フィンランドの報告書も、組織が必ずしも無責任に行動しているわけではなく、AI性が認識されない、あるいは評価実務が未成熟であることが原因になり得ると述べる。

　この未認識は規制違反のリスクに直結するだけではない。組織内でAIではないと扱われれば、内部統制の回路が起動しにくい。リスク評価、法務チェック、監査、苦情処理といった仕組みが動かない。結果として、透明性、公平性、説明責任に関する論点が、そもそも議題に上りにくくなる。

2　AIの同定問題の二層構造

　名前のないAI問題は、二つに分けて考えると見通しがよい。

　まず、法的定義の問題である。EU AI Actは、AI systemを、入力から推論して出力を生成し、物理的又は仮想的環境に影響を与える機械ベースのシステムとして定義する。出力には予測・内容・推薦・意思決定等が含まれる。ここで重要なのは、生成AIだけでなく、推薦、スコアリング、フィルタリング等の地味なシステムも射程に入る点である。現場でAIと呼ばれていないからといって、法的にAIではないとは限らない。

　つぎに、社会技術的なガバナンスの問題である。法がいかに明確な定義を置いても、組織がそれを拾い上げる仕組みを持たなければ、定義は実務上機能しない。フィンランド報告書が境界は文化的であると述べるのは、この第二層を指している。AIであることを自覚する文化、AIを名付ける手続がなければ、規制は空回りする。

3　EU AI Actの射程と名前のないAI

　EU AI Actは、就労・労務管理・自営へのアクセスの文脈におけるAIシステム、とりわけ採用・選考等に用いられるものが高リスクに分類され得ることを明示する。この点は、フィンランド報告書が例示する採用や能力評価といったユースケースと直結する。

　もっとも、AI ActはAnnex IIIに載っているから自動的に高リスクという単純構造でもない。一定の場合には重大なリスクがないとして高リスクから外れる余地を置きつつ、プロファイリングを行う場合には常に高リスクとするといった精緻化も行う。加えて、Annex III該当だが高リスクではないと判断したproviderに対し、その評価の文書化を求める。注目すべきは、法が結局のところ評価の文書化という作業を要請し、それを通じて見える化を強制している点である。AI Actは名前のないAIを放置しない設計を内蔵している。

　しかしこの設計は自動的には作動しない。Annex IIIに該当するか、プロファイリングか、provider・deployerのどちらが誰か。これらの問いはいずれもシステムと運用の実態把握を前提とする。実態把握の入口が、まさに名付けなのである。

4　企業実務としての名付け　棚卸しを規制適合の中心に置く

　企業実務の観点では、ここで必要なのは哲学ではなく台帳である。AIガバナンスの成熟度を一段上げるための最短距離は、AIであるかどうかの議論を、個別案件の都度の論争から、平時のインベントリ運用に落とし込むことである。

　具体的には三つの段階がある。第一に、調達・導入時点でベンダーに対し、当該機能がAI Act上のAI systemに該当し得るか、Annex IIIのユースケースに触れるか、プロファイリングに該当し得るか等の情報提供を契約上求める。第二に、社内では人事・営業・情報システム・法務・コンプライアンスが共同でシステム一覧を作成し、目的、対象者、データ種別、意思決定への関与度、人的介在の態様を最低限の項目として登録する。第三に、登録されたものについてリスク評価とエスカレーションの基準を決め、基準を超える場合には技術文書やログを含む運用要件を設計に反映させる。こうした名付けのインフラが整うと、AI Actの義務は初めて手触りを持つ。

　加えて忘れてはならないのは、AIを見える化することはAI Actのためだけではない点である。GDPRは、自動化された処理のみに基づき法的効果又は同様に重大な影響を及ぼす決定の対象とならない権利を22条で定める。採用や人事評価の領域は、まさに同様に重大な影響を生み得る典型である。したがって、AI Act以前に、既にデータ保護の観点から見えないAIを放置できない。規制適合を縦割りで考えるほど、棚卸しの重要性は増す。

5　おわりに

　フィンランド報告書が描くinvisible AIは、技術の話というより、ガバナンスの入口の話である。規制の条文を読んでも、組織の中でこれはAIであると名付けられなければ、誰も手続を開始しない。法は概念を与えるが、概念を運用に翻訳するのは組織である。AIの境界が文化的である以上、文化を設計する必要がある。棚卸し、分類、記録、そして言いにくいときほどAIと呼ぶ勇気である。

　最後に一言だけ付すなら、AIか否かを巡る論争はしばしば空転する。しかし規制適合という観点からは、境界線の議論に勝つことよりも、境界線を跨いだときに転ばない仕組みを作ることの方が重要である。名前のないAIは、転びやすいように思える。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。