AIエージェント / AI WRAPPED 2025が突きつけるインフラ化 / AIガバナンスを法務の言葉に雑感

0 はじめに

　2025年は、生成AIが単なる話題から、実務と身近な当たり前の存在へとその性質を変えた年だという整理がある。モデルのパラメータ数やベンチマークのスコアを競うフェーズは終わりを告げ、少なくとも企業実務の最前線においては、すでに「いかに使える形に落とせるか」「いかに法的責任を負える形に社会と縫い合わせるか」という、極めて物理的かつ制度的な実装のフェーズに置き換わりつつある。

　Nesibe Kırış Canによる包括的なレポート『AI WRAPPED 2025』は、この劇的な移行を、市場規模や投資の数字、計算資源・電力・人材という物理的なボトルネック、そして「パイロットの墓場」と化した実装の失敗事例として、一枚の巨大な画のように描き直している点で極めて示唆的である（注1）。

　今回は、同レポートを素材に、AIの「インフラ化」という現象が、企業の法務・ガバナンス部門の問いをどのように変質させるか、という点だけを雑に（しかしできるだけ正確に）掘り下げるものである。結論を先取りすれば、AIの時代の法務は、条文の解釈や暗記ではなく、組織としての説明責任の骨格、すなわち、正当な手続、意思決定の記録、そして緊急時の止め方を作るアーキテクトの仕事に変容していくことになる。

1 インフラ化の中身は、モデルではなく資源である

　同レポートは、AI市場・投資が爆発的に拡大する一方で、そこから実際に価値を獲得できているのは極めて一部のプレイヤーに偏っているという非対称な構図を繰り返し示す。典型として、(i)「生成AIは年間2.6〜4.4兆ドルの価値を解放し得る」といったマクロ経済的な期待値と、(ii)実務レベルでは「売上の伸びは1〜10%が典型的」「AIの価値を十分に取り切れている企業はわずか5%」という冷めた現実が並置される（注2）。

　このギャップの主因として強調されるのは、もはやモデルの性能不足ではない。むしろ、既存のデータ基盤（Data Infrastructure）の欠如である。レポートは「AIの価値は賢いモデルから自動的に湧き出るのではなく、使えるデータからしか抽出できない」という事実を突きつける。小売や金融が先行しているのは、彼らがChatGPT以前から巨大なデータレイクを持っていたからに他ならない。法務の視点で見れば、これはAIプロジェクトの成否が、ソフトウェアのライセンス契約よりも、事前のデータガバナンスや権利処理の巧拙に依存することを意味する。

　さらに面白いのは、インフラ化の本体が電力という物理的リソースの文脈で語られている点である。NVIDIAによるGPUシェアの支配（92%）や代替チップの議論は、究極的には計算資源の配給権の話になる。そして、その配給の背後には、さらに根源的な電力の問題がある。レポートでは、米国のデータセンター消費電力量が2024年の183TWhから、2030年には400TWh以上へと急増する見通しが示され、「インフラ競争はもはやチップではなくキロワットだ」という言い方で締められる（注3）。

　ここで法務パーソンが反応すべきは、単なる環境規制（ESG）への配慮というよりも、AIシステムそのものが「コスト・供給制約・許認可」という物理的・行政的な網に絡め取られ、技術的な導入の問題が、そのまま「投資・撤退・調達」という高度な経営判断に直結する、という点である。インフラになった技術は、必ず社会の「制度」や「物理的制約」に深く踏み込む。その衝突面を管理することこそが、法務の新たな主戦場となる。

2 実行ギャップはガバナンスの欠如として顕在化する

　同レポートが執拗に繰り返すのは「採用（Adoption）は進むが、スケール（Scale）しない」という構造的な問題点である。驚くべきことに、生成AIのパイロットプロジェクトの95%が失敗に終わり、ROI（投資対効果）を示せずにいるという整理が置かれる（注4）。

　そして、スケールできる「準備された企業（The Prepared）」と、実験止まりの「もがく企業（The Struggling）」の違いは、AIを単なるITプロジェクトではなく、統治されたプロダクト・ライフサイクルとして扱い、所有者、データ品質、リスク、監視、監査、そして廃止（Decommissioning）までを最初から設計図に組み込んでいる点にある、と述べる（注5）。

　ここで重要なのは、法や規制が問う対象が、モデルの数学的な性質（精度やバイアス）そのものよりも、組織の意思決定の履歴やプロセスへ寄っていることである。

　例えば、EU AI法（EU AI Act）はリスクベースで義務を設計し、技術的な仕様よりも、文書化・品質管理・監督・モニタリング等のプロセス義務を重厚に課している（注6）。米国のNIST AI RMF（リスクマネジメントフレームワーク）も同様に、特定のリスク許容値を押し付けるのではなく、組織が文脈に応じてリスクを特定・評価・対応するための「枠組み」を提供することに主眼を置く（注7）。国際標準であるISO/IEC 42001に至ってはさらに露骨で、AIを「管理システム」として定義し、方針策定・責任分担・記録作成・継続的改善というPDCAサイクルを要求する（注8）。

（参考）

　法と標準が向かう方向は、ほぼ同じである。AIは、精度の議論を続けている間に、いつの間にか手続の議論に移ってしまったのである。

　要するに、実行ギャップの正体は技術の不足ではなく統治（ガバナンス）の不在である。ここでのガバナンスとは、高尚なAI倫理を唱えることでなく、(i)誰がシステムを止める権限を持つか、(ii)何を証拠として残すか、(iii)ハルシネーション等の例外処理をどう扱うか、という泥臭い運用の設計である。これがない組織は、ひとたび事故の局面になれば、法的な抗弁ができずに一瞬で瓦解する。

3 エージェント化は委任の設計問題である

　2025年のもう一つの決定的な転回として、同レポートは生成（Generative）から「遂行（Action）」へ、すなわちエージェントの時代への移行を置く。競争軸が良い文章を出すことから仕事を自律的に前に進めることへ移り、意思決定の委任が進む、という整理である（注9）。

　しかし、委任は便利であると同時に、責任の所在を曖昧にするリスクでもある。そこで列挙される課題の中にガバナンス・コンプライアンスのギャップが明示的に入っている点は、実務者の肌感に近いのではないか（注10）。

　法的には、ここは「AIの行為を誰の行為とみなすか」という民事責任上の古典論点に見えるかもしれない。しかし実務の現場では、そのような事後的な行為者論に入る前に、事前の統制設計が問われる。エージェントは、人間の完全な代理人ではなく、組織の業務プロセスの一部として組み込まれた自動化された手続である。

　であれば、争点は、①どの範囲の入力を許し（権限管理）、②どの程度の自律性で出力を業務に採用し（承認プロセス）、③どこで人が介入し（Human-in-the-loop）、④思考と行動のログをどう残し（証跡管理）、⑤逸脱時にどう止めるか（キルスイッチ）、となる。これは、責任論の前段にある純粋な内部統制の話である。AIの法的リスクは、裁判所での民事責任の結論より先に、監査法人・取引先・規制当局が要求する「説明可能性（Accountability）」という刃となって、準備不足の企業に先に刺さる。

4 インシデントが制度を作る

　AIが社会のインフラ化するなら、インシデント（事故）が制度を作る。これは半ば自然法則である。レポートは、AIインシデントが前年比で急増し、標準化された評価手法がいまだ希少であるというガバナンス・ギャップを指摘し、航空業界のような厳格なインシデント報告義務や安全調査の仕組みが来る可能性まで言及する（注11）。ここは、雑感としては非常に重要である。

　なぜなら、事故が起きた後に社会や法が問うのは、発生した結果だけでなく、そこに至る過程の正当性だからである。事故対応の初動はどうだったか、原因分析は可能か、再発防止策は論理的か、そしてそれらを当局・顧客・株主へ合理的に説明できるか。これらは、ログと意思決定の記録がなければ何一つ成立しない。

　AIの事故は、機械の物理的な故障のように部品交換で終わらず、学習データ、推論ロジック、運用ルール、業務設計、ベンダー管理といったシステム全体にまたがる複合的な要因を解きほぐす必要がある。したがって、企業のインシデント対応能力（Resilience）は、そのままその企業のガバナンス能力の指標となる。

5 雑感

　『AI WRAPPED 2025』が我々に突きつけるのは、AIがすでに組織の外部にある未知の先端技術ではなく、組織の内部に組み込まれた実務的な運用そのものになったという事実である。インフラ化したAIは、(i)資源制約（計算資源・電力・コスト）、(ii)実行ギャップ（スケールしない・ROIが出ない）、(iii)委任の拡大（エージェントによる自律行動）、(iv)インシデント増加（報告義務と説明責任）という具体的な課題の形で、法務部門に課題を提起し始めている。

　そこで、これからの法務が最初にやるべきことは、おそらく三つに尽きるだろう。

　第一に、AIの棚卸し（Inventory）である。自社のどこに、どのようなリスクレベルのAIが生息しているかを把握すること。

　第二に、止める権限と例外処理の設計である。暴走やハルシネーションが起きた際、誰が、どの基準でシステムを止めるかというブレーキの設計図を書くこと。

　第三に、証拠（ログ・評価・意思決定）を残すプロセスの制度化である。結果の正しさを保証できないAIだからこそ、その採用プロセスの正しさを記録で担保すること。

　ISO/IEC 42001が管理システムとして要求するのも、突き詰めればこの三点の制度化である（注8）。AIは魔法ではない。だが、それを魔法のようにブラックボックスとして扱う組織は、必ず事故のときに折れる。折れないためには、組織の中に骨格が必要だ。法務が担うべきは、条文の解釈ではなく、まさにその骨格作り、AIという強大なインフラを支えるための、強固なガバナンス構造の設計なのであるといえよう。

（参考）

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。