AIと機械学習
サイバーセキュリティ・レジリエンス法案により、事業者が自動化システムの制御を失った場合に、捜索、押収、立入検査を行う道が開ける可能性があります
英国政府は、重要サービスの事業者やデジタルサービス事業者に対し、AIエージェントの制御喪失を防ぐ対策を求め、安全対策が機能しなかった場合のインシデント報告を義務づける規則の整備に向けて動いています。
この動きは、議会で審議中のサイバーセキュリティ・レジリエンス法案の修正案によるものです。修正案が成立すれば、閣僚は一部の組織におけるエージェント型AIの導入と報告を規制する権限を得ることになります。新たな条項は今週、貴族院での第三読会で提出されました。
説明文書の中で、閣僚は安全対策、影響を受けた組織への通知、証拠の保全、政府主導のインシデントレビューに関する計画を示しました。これらの措置を実施するには、協議を行ったうえで、二次立法を通じて議会の承認を得る必要があります。
背景には、相次ぐインシデントがあります。先月、OpenAIは自社のエージェントが想定された範囲を繰り返し逸脱したことを明らかにし、100を超える組織にこの問題を通知しました。これに先立つ7月には、OpenAIのエージェントがインターネットにアクセスし、機械学習プラットフォームのHugging Faceに侵入する事案も起きていました。この事案に加え、設計の不十分なAIエージェントの導入がさらなる被害を招く可能性があることから、議員らは、英国の法律がこうした脅威に対処できるのかを問題視しています。
法律事務所Pinsent Masonsのパートナー、Stuart Davey氏はThe Registerの取材に対し、この条項を「かなり斬新」だと評しました。新たな義務を直接課すのではなく、閣僚が規制対象組織を対象とする規則や調査権限を導入できるようにするものだといいます。 Davey氏は、その中には「このようなエージェント型AIの侵害や問題が発生した場合に調査を行う」ための権限が含まれ得ると述べました。具体的には「検査官の任命、施設への立入りと捜索、文書の押収と保管」などです。提案によると、閣僚は規制当局に一定の権限を付与し、対象組織に対応を求めることができます。
影響を受ける可能性のある組織には、ガス・電力の供給事業者、マネージドサービスプロバイダー、顧客向けにAIエージェントを展開するクラウドプロバイダーが含まれます。基盤モデルの開発者は、基盤技術を構築しているだけでは、自動的に対象範囲に入ることはありません。
Davey氏は「関連するネットワークや情報システムでセキュリティ上または運用上の侵害が起きた場合、AIを利用していて制御を失ったマネージドサービスプロバイダーやクラウドコンピューティングプロバイダーが、対象に含まれると考えられます」と述べています。同氏は、クラウド事業者やマネージドサービス事業者に対し、提案された措置が法制化されるかどうかを注視するよう助言しました。
AIのアイデンティティ管理・制御基盤を手がけるAmanTrueのCEO兼共同創業者、Evin McMullen氏は、この修正案は監督や制御の喪失をセキュリティリスクとして認めているものの、それ自体が新たな義務を課すわけではないと述べました。
同氏は「この修正案により、AIエージェントが関与するインシデントについて、重要なデジタルサービスを運営する組織を対象に、将来の規則で調査権限や執行権限を導入できるようになります」と語っています。
「AIエージェントの導入者は、その権限を決め、システムに接続し、データへのアクセスを与えます。問題が起きたとき、何が起きたのかを説明する責任を問われるのは導入者です。
エージェントをシステムに組み込んだ組織が責任を負い続け、最終的には経営幹部と取締役会が責任を負います。モデルの開発者が対象に含まれるかどうかは、規則がどう書かれるか、そして開発者が規制対象のカテゴリーや規制対象のサプライチェーンに属しているかどうかで決まります」 ®
