フロンティアAI監査というインフラ雑感

0　はじめに

　原子力、航空、金融といった領域では、外部の第三者が組織の内部を覗き込み、一定の手続と専門性の下で結論を出す制度が整備されている。他方で、社会の基盤になりつつあるフロンティアAIについては、同程度の強度で第三者が検証する仕組みがまだ成熟していないといえる。ここにガバナンス上の空白があると考えられる。

　AIガバナンスの議論において、これまで「評価」や「透明性」という言葉は頻繁に使われてきた。しかし、それらが具体的にどのような制度的裏付けを持つべきかについては、曖昧なままであったといえる。企業が公表するSystem Cardsや安全性レポートを、外部のステークホルダーがどこまで信用してよいのか。この問いは、AI規制の実効性を左右する根本的な課題であるといえる。

　今回は、2026年1月に公表されたMiles Brundageほか「Frontier AI Auditing」を主たる参照文献として、フロンティアAI監査の制度設計について検討する。同論文は、金融監査や製品認証の知見を援用しながら、AI監査の枠組みについて体系的な提言を行っており、以下の議論の多くはこれに依拠するものである。

　なおフロンティアAIとは、一般目的のAIモデルないしシステムであり、その性能が最先端（state of the art）から概ね一年以内に位置するものを指す。社会実装の速度に対して制度が追いついていない領域がターゲットであるといえる。

（参考）AIと監査

1　問題の所在　信頼を誰がどう作るのか

1.1　信頼の較正の困難

　Brundageほか（2026）が指摘するように、AI監査を考える出発点は、いわば信頼の較正（calibration）の困難であるといえる。AI企業は安全性・セキュリティに関する主張（claims）を行う。しかし外部からは、その主張が正しいのか、どの程度の不確実性が残るのかを判断する材料が乏しい。透明性（transparency）を高めればよいという単純な話でもないと考えられる。安全保障・セキュリティ・営業秘密の観点から公開すべきでない情報は確実に存在するし、公開された断片情報は専門的解釈を必要とする。結果として、企業が自分で宿題を採点する（checking their own homework）構図が残りやすいといえる。

　この構図が危ういのは、悪意ある不正だけを想定するからではない。むしろ典型は、評価対象が可視性の高いプロダクトに偏り、内部利用・研究モデル・顧客向け個別構成といったリスクの高い面が取り残されること、モデルやシステムの更新が速すぎて数週間前の評価結果が運用の現実を説明しなくなること、評価がスコアの形で流通し文脈を失ったまま免罪符として機能すること、などであると考えられる。いずれもAIの実装現場で見慣れた風景といえる。

　ここで重要なのは、Brundageほか（2026）が示すassessmentとauditの区別である。assessmentは公開・非公開を問わず性質を確かめようとする広い試みであり、auditは有資格者が組織の活動・記録・技術・主張を体系的かつ証拠に基づいて検査し、情報の正確性や基準適合について一定の保証（assurance）を与えるプロセスである。auditは誰でもできるレビューではなく、外部が依拠できる結論を作るための手続装置として構想されるべきものといえる。

　現状の評価手法の限界を考える上で、Brundageほか（2026）が指摘する抽象化の誤り（Abstraction Errors）という概念が重要である。これは、システムや組織の一部のみを評価し、その結果をもって組織全体のリスク管理が適正であると誤認してしまうことを指す。要するに木を正しく見て森を誤ることである。同論文は具体的に以下の四つの形態を指摘する。

　第一に、ポートフォリオの盲点（Portfolio Blindness）である。開発企業は通常、単一のモデルではなく、多数のモデルやチェックポイント、特定の顧客向けにファインチューニングされたバージョンを保有している。監査が最も可視化された優等生的なモデルのみを対象とする場合、開発中の未熟なモデルや、特定のパートナー向けにガードレールを緩和したAPIモデルに潜むリスクを見落とすことになる。

　第二に、構成のドリフト（Configuration Drift）である。モデル自体が同一であっても、システムプロンプト、フィルタリング設定、検索拡張生成（RAG）の参照データベース等が変更されれば、リスクプロファイルは劇的に変化する。一度の評価で安全とされたシステムが、デプロイ後の設定変更により危険な挙動を示す可能性は常に存在する。

　第三に、非構成的な安全性（Non-compositional Safety）である。個々のコンポーネントが安全であっても、それらが組み合わさったシステム全体として安全であるとは限らない。特に、自律的なエージェントとして機能するスキャフォールドにモデルが組み込まれた場合、単体では無害なモデルが連鎖的なツール利用を通じて有害な結果をもたらす可能性がある。

　第四に、境界の不一致（Boundary Mismatch）である。製品としてのAPIが堅牢であっても、モデルの重み（Weights）や学習データ、実験管理システムが保管されている内部インフラのセキュリティが脆弱であれば、外部からの窃取や改ざんのリスクに晒される。企業の組織的リスクは最も弱い境界によって規定されるため、製品の安全性と開発環境のセキュリティは区別して評価されなければならない。

　これらのエラーを回避するためには、単にモデルを評価するのではなく、モデルを取り巻くコンピューティング資源および組織のガバナンス構造全体を包括的に監査する組織レベルの視点が不可欠であると考えられる。法的含意は明快であるといえる。紛争の場面で第三者評価をしていたという抗弁が提出されても、その評価がどの木を見ていたのかが説明できなければ、注意義務の履行証明としては脆いと思料する。

2　他領域からの教訓

　AI産業における監査制度の設計にあたり、Brundageほか（2026）は、より成熟した保証制度を持つ他領域から教訓を引き出している。以下、同論文の整理に基づき概観する。

2.1　食品安全と消費者製品

　同論文によれば、食品安全や消費者製品の認証制度（ULマーク等）からは、多層防御（Defense in Depth）の重要性が示唆される。製品ライフサイクルの複数の段階で、独立したテストを行う必要があると考えられる。また、2008年の中国におけるメラミン混入ミルク事件は、一度の重大な安全性欠陥が特定の企業だけでなく業界全体の信頼を長期にわたって毀損することを示している。これは、AI業界においても、一社の失敗が業界全体の規制強化や社会的受容の低下を招く可能性を示唆するものといえる。

2.2　航空安全とセーフティクリティカルシステム

　航空産業は世界で最も安全な輸送システムを構築してきたが、ボーイング737 MAXの事故は自己認証（Self-certification）の限界と、商業的圧力が安全性を凌駕するリスクを浮き彫りにした。同論文はここから、安全性は個々の部品の品質だけでなく、システム全体として（人間との相互作用を含め）創発的な特性として評価されるべきという教訓を引き出している。また、インシデント報告制度（ニアミスを含む）が安全性向上に不可欠である点も、AIにおけるインシデントデータベースの重要性を裏付けるものといえる。

2.3　財務監査

　財務監査は、企業内部の機密情報に対して独立した第三者がアクセスし、基準への適合性を検証するプロセスとして、AI監査に最も近いモデルを提供するものといえる。同論文が特に重視するのは、独立性の担保と専門職としての倫理である。エンロン事件は、監査人がコンサルティング業務等で被監査企業に経済的に依存した場合、監査機能が麻痺することを示した。この教訓は、AI監査人の独立性要件（回転ドア規制、収益依存の排除）や、後述する監査人の監査機関の必要性に直結するものと思料する。

3　フロンティアAI監査のビジョン

　Brundageほか（2026）によれば、フロンティアAI監査は、フロンティアAI開発者の安全性およびセキュリティに関する主張の厳格な第三者検証、ならびに非公開情報への深いアクセスに基づく関連基準への適合性評価、と定義される。

3.1　四つのリスク領域

　同論文は、監査が対象とすべきリスクとして以下の四つのカテゴリーを提示する。

　第一に、意図的な悪用（Intentional misuse）である。サイバー攻撃、CBRN兵器開発、大規模な偽情報、CSAM生成などがこれに当たる。
　第二に、意図せぬシステム挙動（Unintended system behavior）である。大規模な事故、制御不能（Loss of Control）、アライメントの失敗などが該当する。
　第三に、情報セキュリティ（Information security）である。モデルの重みの盗難、機密情報の流出、サボタージュなどを含む。特にモデルの盗難は、安全装置が解除された状態での悪用につながるため重大である。第四に、創発的な社会現象（Emergent social phenomena）である。AIへの依存・中毒、擬人化による心理的影響、自傷行為の助長などがここに分類される。
　第四のカテゴリを独立した領域として置くのが興味深いといえる。AIガバナンスは悪用と事故に収斂しがちであるが、実装と普及が進むほど、人間との相互作用から生じる害は無視できなくなると考えられる。

3.2　三つの分析レンズ

　同論文によれば、これらのリスクを評価するために、監査人は以下の三つのレンズを通じた統合的な分析を行う必要がある。

　一つ目は、AIモデルとシステムである。デプロイされるモデルだけでなく、開発中のチェックポイントやエージェント機能を含む。二つ目は、コンピュート（計算資源）である。GPU等の使用状況を追跡し、未申告の学習実行（Training Runs）がないかを物理的・暗号学的に裏付ける。三つ目は、ガバナンスである。意思決定プロセス、責任の所在、インシデント対応手順、安全文化の実態がこれに含まれる。

3.3　継続的モニタリング

　AIシステムは頻繁にアップデートされるため、ある時点でのスナップショットに過ぎない監査報告書はすぐに陳腐化する。同論文は、ガバナンスのような変化の遅い要素は定期的監査で、モデル更新等のイベントは都度監査で、APIの挙動等の変化の速い要素は自動化された継続的モニタリングで対応するという、時間軸を意識した監査体制を提唱している。条件から逸脱した場合に自動的に認証が無効化される仕組み（Live certification）も検討に値する。

4　AI保証レベル（AI Assurance Levels: AALs）

　Brundageほか（2026）が提唱するAI保証レベル（AI Assurance Levels: AALs）は、AI監査制度を考える上で有用な枠組みであるといえる。監査が難しいのは、監査をした・していないが二値ではないからであると考えられる。監査のアクセス権限・証拠・方法論が異なれば、言える結論と言えない結論が変わる。その差を最初から明示するという発想である。以下、同論文に基づき各レベルの概要を整理する。

4.1　AAL-1（限定的保証）

　AAL-1は、特定のシステムに対する期間限定（数週間程度）の評価である。主にAPIを通じたブラックボックス評価が中心となり、一部のシステム設定変更権限や限定的な非公開文書の閲覧が含まれる。手法としては、危険な能力（サイバー、バイオ等）の評価や限定的なレッドチーミングが行われる。

　現状の最良の評価慣行に相当するが、企業の善意に基づく情報提供に依存しており、意図的な隠蔽や高度な欺瞞を見抜くことは難しい。巧妙な誘導でしか出ない能力、文書と実務の乖離、未開示の訓練やシャドーシステム、意図的隠蔽は原理的に捉えにくい。結論の賞味期限も短い。明白な欠陥の発見には有効であり、フロンティアAIの最低ラインとして推奨される。

4.2　AAL-2（中程度の保証）

　AAL-2は、数ヶ月に及ぶ評価であり、フロンティアAI企業の当面の目標とされるレベルである。グレーボックスアクセス（ロジット、CoT、内部ログの一部）が可能となり、広範な内部文書（セーフティケース等）の検証や、部門横断的なスタッフインタビューが行われる。

　会社の提示する文書は参照するが、結論は会社の表象ではなく監査人が集めた直接証拠に基づく。安全ケースの大部分を検証し、実際にデプロイされているモデル・システムであることを確認し、構成ドリフトの一部を排除する。サンプリング調査により、過失や杜撰な管理、評価のチェリーピッキングを検知可能である。ここで初めて、外部が会社の安全主張に相応の重みを置けるようになる。

4.3　AAL-3（高度な保証）

　AAL-3は、複数年にわたる継続的な関与を前提とする。ホワイトボックスアクセス（全モデルの重み、学習データ、ソースコード）と、計算資源の厳密な会計監査（Compute Accounting）が行われる。継続的なモニタリングシステムの導入、自動化されたドリフト検知が含まれ、監査人は懸念のあるあらゆる領域を調査する権限を持つ。

　手抜きや隠蔽の多くを検知可能である。ただし、極めて高度な欺瞞（監査インフラ自体の侵害や結託）までは完全には排除できない可能性がある。

4.4　AAL-4（極めて高度な保証）

　AAL-4は、条約級（Treaty-grade）の検証に相当する。ハードウェアレベルでの証明（構成証明、改竄検知）、暗号学的証明（ゼロ知識証明等）を用いた学習プロセスの完全な検証、抜き打ちの現地査察、内部告発者への報奨金などが手法として挙げられる。

　企業が積極的に監査人を欺こうとしても（Active Deception）、それを検知できるレベルを目指す。国家安全保障に関わる極めて高リスクなシステムや、国際的な軍備管理条約の履行確認等で必要となる。現時点では技術的・組織的に難しいが、監査と国際的検証の文脈を接続する方向性として描かれている。

4.5　AALsの法的価値

　以上のAALsの枠組みについて、筆者は以下の二点で法的価値があると考える。第一に、期待ギャップ（expectations gap）を縮める点である。監査報告書が安全宣言として誤読されると、事故後に制度全体が崩れる。AALは、監査結論の射程と前提条件を標準語彙で示し、裁判所・規制当局・投資家・保険者が議論を共有する基盤になり得るものといえる。第二に、監査を規制のツールだけでなく、民間のリスク取引のインフラとして位置づけ直す点である。監査がAALの形で比較可能になれば、投資判断・取引条件・保険引受といった市場メカニズムが、リスク管理の改善を促す余地が生まれると思料する。

5　エコシステムの構築

　AAL-3やAAL-4のような高度な監査を実現するためには、現在の未成熟なAI評価のエコシステムを、成熟したAI監査産業へと脱皮させる必要がある。Brundageほか（2026）は以下の課題を指摘しており、本節ではこれらを検討する。

5.1　監査人の監査機関の創設

　金融監査の歴史が教える最大の教訓は、監査人が被監査企業（クライアント）に経済的に依存すると、監査の質が低下するという点であるといえる。これを防ぐため、同論文は米国におけるPCAOB（Public Company Accounting Oversight Board、公開会社会計監視委員会）のような、監査人を監督する公的または準公的な機関の設立を提言している。この機関は、監査基準の策定、監査人の認定（Accreditation）、監査品質の検査、そして不正があった場合の登録抹消などの権限を持つべきとされる。

　利益相反は、金融監査が何十年も格闘してきた怪物であるといえる。開発企業が都合の良い監査人を買うことを防ぐ標準契約条項、経済的依存を避ける報酬設計、業界・監査間のクーリングオフなど、独立性確保策を講じる必要がある。独立性の要件は、実務慣行に任せるより、一定の法規範として外形化した方が安定する領域であると考えられる。

5.2　人材の育成と認定制度

　同論文が指摘するように、質の高い監査を提供できる監査人の数は現状では圧倒的に不足しているといえる。AIの安全性評価には、機械学習だけでなく、サイバーセキュリティ、生物学、法律、組織論など多岐にわたる専門性が要求される。単一の監査法人ですべてをカバーすることは困難であるため、主監査人（Lead Auditor）が専門のサブコントラクターを束ねるコンソーシアム型の監査や、段階的な認定制度の導入が急務であると考えられる。

5.3　法的セーフハーバーと責任分界

　善意のセキュリティ研究者や監査人が、システムの脆弱性を発見するために攻撃的なテスト（レッドチーミング）を行った結果、利用規約違反や著作権法違反、あるいは不正アクセス禁止法違反等の法的責任を問われるリスクがある（Chilling Effect）。同論文は、監査活動を活性化させるためには、所定のルール（Responsible Disclosure等）に従って行われる監査活動を免責する法的セーフハーバーの整備が必要であると指摘する。ただし、これは責任の空白（Liability Gap）を生むものであってはならず、監査人が確立されたベストプラクティスを遵守していることを条件とすべきである。

　また同論文は、監査制度の普及を阻む要因として、明確な責任規律（clear liability rules）の欠如を挙げる。監査が普及しないのは、善意の監査が報われない（コストは負担するが法的・市場的リターンがない）一方で、監査をしても免責にならない（あるいは監査結果が訴訟で逆用される）というインセンティブ構造があり得るからである。監査制度を社会に根付かせるには、監査を受けること自体を促す誘因（例として調達・取引条件での優遇、一定のセーフハーバー）と、監査を形骸化させる誘因（チェックボックス化、監査ウォッシング）を抑える責任設計の両方が必要になる。

5.4　市場メカニズムの活用

　監査の普及にはインセンティブが必要であるといえる。同論文は、保険市場において監査済み企業の保険料を優遇することで、経済合理性に基づいた監査の導入を促進できると指摘する。また、政府調達においてフロンティアAI監査を要件化すること、特に医療や防衛などの高リスク分野での導入は、市場全体の基準を引き上げる強力なドライバーとなると考えられる。

5.5　監査可能性（Auditability）への投資

　特にAAL-3以上の高度な監査を実現するためには、現在の技術では不十分であるといえる。同論文は、監査可能性そのものへの研究開発とパイロット投資が必要であると指摘する。監査は、対象が監査できる形になっていなければ成立しない。これは会計でも同じで、帳簿と内部統制がなければ監査は不可能であると考えられる。

　同論文が挙げる具体的な方向性としては、コンピュート会計（compute accounting）により未申告の大規模訓練や重みの不正コピーを検知しやすくすること、改ざん耐性のあるログと継続監視で構成ドリフトを捕捉すること、機密性の高い情報を外に出さずに検証するためのセキュア環境（clean rooms）や要約技術を整備すること、などがある。プライバシー・バイ・デザインやセキュリティ・バイ・デザインと同じように、オーディタビリティ・バイ・デザインがガバナンス原理として立ち上がりつつあると考えられる。

6　法的・制度的観点からの考察

　以上、Brundageほか（2026）の議論を概観してきた。以下では、同論文の枠組みを踏まえつつ、筆者の視点からいくつかの法学的・制度的考察を加えたい。

6.1　検証（Verification）の制度化

　従来のAI倫理や指針は、企業による宣言や透明性レポートを求めてきたが、それが真実であるかを担保する術はなかったといえる。外部からのアクセスと検証可能性こそが信頼の源泉であると考えられる。法規制の文脈においても、単なる文書作成義務（Documentation）から、その内容の真実性を第三者が確認する義務（Verification）へと、規制の重心がシフトしていくことが予想される。AALのフレームワークは、その際の検証の深度を規定する法的基準として機能し得るものと思料する。

6.2　組織的監査への転回とコーポレートガバナンス

　AI規制の議論はしばしばモデルの性能評価に終始しがちであったが、ガバナンス・計算資源・セキュリティを含めた組織全体を監査対象とすることで、リスク管理を経営課題として位置づけることが重要であるといえる。これは、AIガバナンスを企業の内部統制システム（会社法上の善管注意義務の一部＝AIガバナンス体制構築義務）として捉え直す動きと軌を一にするものであるといえる。取締役会は、自社のAI開発・運用部門がAALのどのレベルに対応できているかを把握し、監督する責任を負うことになると考えられる。

6.3　情報の非対称性の解消と構造化された透明性

　AIモデルの重みや学習データは企業の核心的な営業秘密であり、場合によっては国家安全保障に関わる機密情報でもある。これらを一般公開（Public Transparency）することは現実的ではないが、Brundageほか（2026）が提唱する構造化された透明性（Structured Transparency）のアプローチ、すなわち守秘義務を負い、セキュリティクリアランスを持つ監査人にのみ開示するという方法は、イノベーションと安全性のジレンマを解消する鍵となると考えられる。

　同論文は具体的な工夫として、監査チーム内の情報区分（compartmentalization）、オンサイトでの限定開示と厳格なNDA、直接は共有できない情報をAI等で要約・分析して共有する、といった方法を挙げている。ここから見えるのは、監査の制度設計が実は情報法であるという点であるといえる。誰に、何を、どの条件で見せるか。監査人の守秘義務と、外部ステークホルダーへの説明義務を同時に成立させる回路設計が必要になる。法制度としては、監査人に対する特権的な情報アクセス権の付与と、それと対になる厳格な守秘義務・情報管理義務の設計が求められるものと思料する。

6.4　国際的な相互運用性

　AIサプライチェーンはグローバルであり、一国だけの監査制度では不十分であるといえる。条約級の監査（AAL-4）は、将来的に国家間のAI安全性協定や軍備管理条約が締結された際、相互信頼を担保するための検証メカニズム（Verification Regime）の原型となり得ると考えられる。冷戦期の「信頼せよ、されど検証せよ（Trust, but verify）」という格言があるが、AI時代においては「検証できるがゆえに、信頼する」という体制の構築が求められていると思料する。

7　日本への示唆――人工知能基本計画との対照

　2025年12月23日、日本政府は「人工知能基本計画」を閣議決定した。同計画は「AIガバナンスの主導」を4つの基本方針の一つに掲げ、「信頼できるAI」を繰り返し強調する。Brundageほか論文の枠組みに照らすと、日本の政策にはいくつかの課題と可能性が見えてくる。

7.1　「信頼」の制度的基盤

　人工知能基本計画は、日本が「現実社会で積み上げてきた、世界に冠たる『信頼性』という価値を再現する」ことを目指すとし、「『信頼できるAI』を軸として、日本が世界各国の多様なAIイノベーションを糾合していく」と宣言している。しかし、信頼は宣言によって生まれるものではない。Brundageほか論文が示すように、信頼は検証可能性（Verifiability）から生まれる。外部の独立した第三者が、一定の手続と専門性の下で企業の主張を検証し、その結論を外部のステークホルダーが依拠できる形で提示すること。これが信頼の制度的基盤である。

　同計画では、AI法第13条に基づく指針により「事業者等によるAIの研究及び開発・利活用における適正性の確保に向けた自主的な取組を促す」としている。これは、Brundageほか論文のいう企業による「主張」に相当する。問題は、その主張の真実性を誰がどのように検証するかであるといえる。指針への適合を企業が自己申告するだけでは、Brundageほか論文が指摘する「企業が自分で宿題を採点する」構図から脱却できない。

　同計画が「AIイノベーションの好循環を実現し、信頼できるAIエコシステムを構築するため、技術開発・実証・評価・運用の各段階において、適正性の確保につながるPDCAサイクルを構築する」と述べている点は評価できる。しかし、このPDCAサイクルの「評価」を誰が担うのか、その独立性と専門性はどう担保されるのかについては、具体的な制度設計が示されていない。

7.2　AISIの位置づけと「評価」の限界

　同計画は、AIセーフティ・インスティテュート（AISI）について、「世界屈指の英国AI Security Instituteの規模（2025年9月時点で約200名以上の人員、初期予算は1億ポンド（約200億円））をベンチマークとしつつ、人員を直ちに現行の2倍程度に拡充する」としている。また、「AIモデルの安全性にとどまらず、より広範な適正性に係る評価やセキュリティ面での対策を実行できる体制を構築」するとしている。

　しかし、AISIが担うべき機能については、「AIモデルの技術的評価を適切に行い」「AIがもたらすリスクに係る実態把握を行うとともに必要な措置を講ずる」といった記述にとどまる。ここには二つの問いが残る。第一に、AISIは自ら評価を行う機関なのか、それとも民間の監査人を監督する機関なのか。第二に、AISIが行う評価はAALのどのレベルに相当するのか。

　Brundageほか論文の枠組みに照らせば、政府機関による評価（assessment）と、独立した第三者による監査（audit）は、異なる機能を担う。前者は規制執行や政策立案のための情報収集を目的とし、後者は市場や社会に対する信頼の基盤を提供する。AISIが前者の機能に特化するのであれば、後者を担う民間の監査エコシステムを別途育成する必要がある。

　AISIが自ら全てのフロンティアAIを評価することは、リソースの観点から現実的ではないと考えられる。むしろ、民間の監査エコシステムを育成しつつ、その品質を監督するPCAOB型の機関として位置づける方が、制度の持続可能性は高いと思料する。財務監査において公認会計士・監査審査会が担う役割を、AI監査においてAISIが担う形である。

7.3　監査の深度を示す共通言語

　同計画では「AIの性能や信頼性を客観的に評価するための評価基盤やテストベッドを整備する」としているが、評価の深度を示す共通言語は提示されていない。AALsのような枠組みがなければ、ある企業が「第三者評価を受けた」と主張しても、それがブラックボックス的なAPI評価に過ぎないのか、重みや学習データへのアクセスを伴う深い検証なのかが外部から判別できない。

　同計画が掲げる「信頼できるAI」を実現するためには、信頼の根拠となる検証の深度を可視化する仕組みが必要であると考えられる。AALsの枠組みは、指針への適合をどの深度で検証するかを規定する基準として、日本の制度設計にも援用し得るものと思料する。

7.4　監査可能性への投資

　同計画では「データセンターの整備」「計算資源の確保」「通信ネットワークの構築」といったAIインフラの戦略的整備が重点的に言及されている。しかし、コンピュート会計や改ざん耐性ログといった、監査を技術的に可能にするインフラへの言及は見当たらない。

　Brundageほか論文が指摘するように、監査は対象が監査できる形になっていなければ成立しない。オーディタビリティ・バイ・デザインの観点を、AIインフラ整備の議論に組み込む余地があると考えられる。

7.5　責任と免責の制度設計

　同計画は「AI利活用における事故や損害が発生した場合の民事責任の所在や範囲について、在り方を検討する」としている。これはBrundageほか論文が指摘する責任規律（liability rules）の問題に対応するものであるといえる。

　監査制度との関係でいえば、一定水準の監査を受けた事業者に対するセーフハーバー（免責）の設計が重要になる。Brundageほか論文が指摘するように、監査が普及しないのは、監査を受けてもコストに見合うリターン（法的保護や市場での評価）がないからである。例えば、AAL-2相当の監査を受けた事業者については、過失推定を軽減する、あるいは一定の類型の請求について免責を認めるといった制度設計が考えられる。こうしたインセンティブ設計なしには、監査市場は立ち上がらないと思料する。

7.6　国際的主導への道筋

　同計画は「AIガバナンスに関する国際的枠組み『広島AIプロセス』を主導してきた日本として、引き続き国際的な議論を主導しながらAIガバナンスの構築において国際協調を図る」としている。また、「多様な開発主体・用途・設計思想等に基づくAIモデル間の相互運用性の確保を重視し、日本が世界のAIイノベーションの結節点となる」ことを目指すとしている。

　この主導性を実質あるものとするためには、監査制度の具体的な設計図を示すことが求められると思料する。AALsのような共通言語を日本から国際的に提案することは、広島AIプロセスの次のステップとして検討に値するのではないか。

8　おわりに

　フロンティアAI監査は、AIの安全性確保に向けた銀の弾丸ではないが、社会的な信頼（Justified Trust）を構築するための不可欠なインフラであるといえる。企業の自己評価と政府による直接規制の間を埋める、専門的かつ独立した検証メカニズムがなければ、社会はAIのリスクに対して盲目なまま進まざるを得ないと考えられる。

　AAL-4のような条約級の検証体制は、現状では野心的に過ぎるように見えるかもしれない。しかし、AIの能力向上速度を鑑みれば、数年後には現実的な要請となっている可能性が高いといえる。今問われているのは、監査を義務化するか以前に、監査が成立する条件を、技術・制度・市場の三点セットで整えられるかであると考えられる。

　人工知能基本計画は「世界で最もAIを開発・活用しやすい国」を目指すとしている。開発・活用のしやすさと、外部からの検証可能性は二律背反ではない。むしろ、検証可能な形でAIを開発・運用できる国こそが、国際的な信頼を獲得し、グローバルなAIエコシステムの結節点となり得るのではないか。Brundageほか論文が提示したAALsの枠組みは、その具体的な道筋を示すものとして、日本における議論にとっても示唆に富むものと思料する。

参考文献

Miles Brundageほか「Frontier AI Auditing: Toward Rigorous Third-Party Assessment of Safety and Security Practices at Leading AI Companies」（arXiv:2601.11699, 2026年1月）
https://arxiv.org/abs/2601.11699

AI Verification and Evaluation Research Institute (AVERI)「Frontier AI Auditing」
https://www.averi.org/ourwork/frontier-ai-auditing

人工知能戦略本部「人工知能基本計画～『信頼できるAI』による『日本再起』～」（令和7年12月23日閣議決定）
https://www8.cao.go.jp/cstp/ai/ai_hq/aiplan.html