security
閣僚らはレッドラインの設定や緊急停止権限の提案を退け、代わりに任意の安全対策を採用する方針を示した
人気記事
英国政府は、AIベンダーをサイバーセキュリティ・レジリエンス（ネットワークおよび情報システム）法案の対象範囲に含めるべきだとする貴族院議員らの提案を退けました。
サイバーセキュリティ担当大臣のロイド・オブ・エフラ男爵夫人は、AIベンダーやフロンティアモデルの開発企業を法案の規制対象とすることは、悪意ある行為者による製品の悪用を防ぐことにはならないと主張しました。
火曜日に大委員会で発言した同氏は、次のように述べました。「AIサービスを提供する企業、つまりフロンティアAI開発の最先端を行く企業とその製品を対象範囲に含めたとしても……一部のAI製品やサービスがもたらしうる害には対処できません。より具体的に言えば、悪意ある行為者による悪用を防ぐことにはならないのです」
同大臣は、英国は他の手段を通じてAIの安全確保に向けた「確固たる対策」を講じていると述べました。その一環として、モデルの公開前に安全性をベンダーとともに検証するAIセキュリティ機構（AISI）を支援しているとのことです。
ロイド氏はまた、任意の枠組みである「AIサイバーセキュリティ実践規範」にも言及しました。この規範は、世界初となるAIサイバーセキュリティの国際標準ETSI EN 304 223の策定にも活用されています。
「これは、本法案で取り上げられている一部の論点よりもさらに広い範囲で国際的な技術標準の形成をリードし、それにコミットしている英国の姿勢を示すものです」と同氏は主張しました。
英国議会の上院にあたる貴族院の議員らは、AIを法案の対象範囲に含めるべき理由として、数多くの論拠を提示しました。
議員らは、AnthropicやOpenAIに関わるAIエージェントの暴走行動の報告や、商業的なインセンティブが十分な安全対策のないままAI開発を推し進めているというビル・ゲイツ氏の懸念を引き合いに出しました。
議員らはさらに、自社のAIエージェントの不正行為を防げない企業が、自らいつでも書き換え可能な任意の倫理指針を守ると信頼できるのかとも問いかけました。
「オンライン安全、プライバシー、そしてAI自体に関するこれまでの数多くの経験から、テック企業に自ら宿題を出させ、自ら採点させることが公共と国家安全保障を危険にさらすということを、私たちは学んでこなかったのでしょうか」と、クロスベンチ議員でオンライン安全とデジタル権利の活動家であるキドロン男爵夫人は問いました。
同様に、クロスベンチ議員でベテランのAI研究者でもあるタラセンコ卿は、OpenAIが最近発表した公開書簡を引き合いに出しました。この書簡は、AIが主導するサイバー攻撃がいずれ手に負えないほど蔓延する時期が到来すると警告するものです。
この書簡は、扇動的な言葉遣いを用いている一方でAIから利益を得る企業の署名が名を連ねている点が批判されましたが、議員らは、その警告こそが規制介入の必要性を裏付けるものだと主張しました。
キドロン氏とロイド氏は、大臣が仮想の医療機関を例に、この法案がAIを含むシステムを保有する規制対象組織にどのような対応を義務付けるかを説明した際にも意見が対立しました。
キドロン氏は次のように尋ねました。「高貴なる大臣にお伺いしたいのですが、私の理解が正しければ、NHS（国民保健サービス）は自らを守らなければならない一方で、それを攻撃するAIの側には、こうした形で使用される前に自己点検を行う義務も責任も、本法案の下では一切課されないということでしょうか」
ロイド氏は、この法案は特定の技術を問わない技術中立的な設計となっており、個々の技術プロバイダーを規制するのではなく、重要な組織により厳格なサイバーセキュリティ要件を課すことを目的としていると答えました。
それでも同氏は、法案の審議が今後の段階に進んでもこの論点は再燃するだろうというキドロン氏の予測を受け、政府として引き続きAIについて議論する用意はあると述べました。
同大臣は、人間による監視の回避や化学兵器開発への関与といった特定のレッドラインを越えないことを一部のAIベンダーに証明させる、とする修正案をはじめ、他にもいくつかの修正案を退けました。
また、セキュリティ上または運用上の緊急事態において、国務大臣に最終手段としてデータセンターや広く展開されたAIシステムの停止を命じる権限を与える提案も却下しました。
ロイド氏によれば、この法案は代わりに、データセンター事業者を含む規制対象事業者（AIベンダーは含まない）に対し、そのシステムが基準に該当するリスクをもたらす場合に、特定の行動を取る、あるいは中止するよう政府が指示できる仕組みになっているとのことです。例えば発電所に対し、特定のAIモデルの使用を中止するよう指示することが可能です。
「データセンターは非常に複雑なエコシステムの中で運用されており、AIシステムはしばしば複数のデータセンターや法域にまたがって分散しています。そのため、こちらの方がより適切かつ効果的な対応であると考えています」とロイド男爵夫人は述べました。
「複数のデータセンターに停止を指示し、それに依存するサービスへ影響を及ぼすよりも、特定のAIモデルの使用中止を指示する方がはるかに望ましいのです」
これらの修正案を退けたものの、ロイド氏はAI技術が経済にもたらす重要性を踏まえ、政府としては引き続きAI規制について議論する用意があると述べました。
大委員会は木曜日に再開し、CSR法案の審議を続ける予定です。
法案の背景
CSR法案は、2024年の国王演説で初めて提案され、2025年11月に議会へ提出されました。
この法案は当初、特定の脅威への対策を怠った対象組織に対して1日あたり10万ポンドの罰金を科す内容が盛り込まれており、注目を集めました。
この法律は、必須サービスの運営者や関連するデジタルサービスプロバイダーという既存のカテゴリーを土台としつつ、規制対象をマネージドサービスプロバイダー、データセンター事業者、指定された重要サプライヤーなどにも拡大するものです。
マネージドサービスプロバイダーについては、以前は2022年に見送られたNIS規則の改定により対象範囲に含まれる予定でした。
この法案の大きな狙いは、2018年のNIS規則を更新し、サイバー脅威から英国の重要インフラを将来にわたって守れるようにすることにあります。
しかし、今週行われた大委員会での審議は、この法案が批判にさらされたのは今回が初めてではありません。
1月には、影の副首相であるオリバー・ダウデン卿が、地方自治体および中央政府をCSR法案の対象から除外している点について、政府に再考を求めました。
元デジタル担当大臣によるこの発言の数時間前に発表された英国の政府サイバー行動計画では、政府自身もCSR法案で提案されているのと同じ基準を満たすことが約束されていました。
AIサイバーセキュリティ実践規範と同様、この行動計画にも法的拘束力はありません。 ®
