米政府のAI事前審査が完成 中身は非公開でオープンモデルは対象外

所属テーマ

統制と権限設計モデル能力の再配置AIセキュリティと防御運用

確認できた事実

ホワイトハウスは8月3日、6月2日の大統領令が求めた枠組みが「期限までに完成した」と述べました。同時に、その内容を公開する予定はないとしています。当局者の言葉として伝えられているのは、機密ではないからといって全員に知らせるわけではない、という趣旨の説明です。大統領令は、サイバー能力を測る手続きと審査対象の閾値を機密扱いにすると明記していますが、枠組みそのものを機密とは指定していません。

翌8月4日、ワシントンで実務者レベルの会合が開かれました。出席したのはMeta、Nvidia、Microsoft、OpenAI、Anthropic、それに複数の中小企業と報じられています。会合の時間は約30分。呼ばれなかった企業は、いまも内容を知りません。

報じられている枠組みの骨格は次のとおりです。審査の対象になる「covered frontier model」は、クローズドソースであること、最先端の能力を持つこと、安全保障上のリスクがあることの3条件で定義されます。ただし「最先端」も「安全保障上のリスク」も、明確な定義はないとされています。オープンモデルは対象から外れ、しかも枠組みには「公開済みのオープンモデルを制限するものと解釈してはならない」という趣旨の一文が入っていると報じられました。

公開前の審査期間は最長30日です。この間、モデルは高いセキュリティ水準の環境に保管され、誰がアクセスしたかの詳細な記録が求められます。政府職員のアクセスも制限され、審査には単一の官庁ではなく複数の部署の担当者が関わります。会合では、開発の初期段階ではなく公開直前のモデルを提出してほしいと促されたとも伝えられています。

強制力はありません。大統領令は、この枠組みが新しいモデルの開発・公開・配布に対する義務的なライセンスや事前承認ではないと明記しています。参加するかどうかは各社の判断です。フロンティアモデルの定義や、規制対象という言葉の意味は用語解説にまとめています。

7月4日に立てた問いの答え合わせ

7月4日の記事で、発表文を見たら確認すべきことを3つ挙げました。閾値がどのベンチマークの何点か。審査期間の上限が何日か。国外の利用者と拠点の扱いはどうなるか。ひと月たって、答えが出たのは1つだけです。

審査期間の上限は30日と分かりました。閾値は機密のままで、開発者と研究者に「適宜」共有されると大統領令に書かれています。国外の扱いは、早期アクセスを得る"信頼できる相手"に外国政府が含まれるのかどうかすら、まだ分かりません。

予見可能性が上がる、と7月には書きました。日数についてはそのとおりになりました。ただし条件が読めないので、自社が使うモデルが審査に回るのかどうかは、今も外から判断できません。

利用企業への影響

日本の一般企業に直接の義務は生じません。対象は米国のモデル開発者で、しかも任意です。それでも、間接的な影響は3つあります。

第一に、リリース時期です。最上位モデルの公開が、最長で30日ずれる可能性が制度として組み込まれました。導入計画を新モデル前提で組むときは、この幅を見ておくのが安全です。提供終了・値上げに備えるで書いた「条件は動く前提で設計する」考え方が、公開のタイミングにも及びます。

第二に、判断材料が増えないことです。「政府の審査を通ったモデル」という表示は当面あてになりません。何を測ったかも、結果をどこまで開示するかも公表されないからです。ベンダー選定では、引き続き自社の実タスクでの評価と、提供元が自ら出す安全性の報告を見るしかありません。

第三に、オープンモデルの位置づけです。今回の枠組みはオープンウェイトを対象外とし、公開後の制限を否定する一文まで置いたと報じられています。規制でオープンモデルが使えなくなる、という懸念は当面小さくなりました。退避経路として持っておく選択は、以前より取りやすくなっています。

どう読むか

この枠組みの新しさは、審査の入口が能力ではなく配り方で決まる点にあります。同じ性能でも、閉じて配れば審査の対象になり、開いて配れば対象外です。当サイトが追ってきた「性能の競争から配布条件の競争へ」という線が、ついに制度の側から引かれました。

ここで立ち止まりたいのは、その理由です。開いたモデルを審査しても意味がない、というのが実務的な理由でしょう。ウェイトは一度出れば回収できないので、事前に見ても止める手立てがない。裏を返せば、この制度が効くのは「政府が蛇口を握れる相手」だけだということです。7月にKimi K3がフロンティア級のウェイトを公開したことを思い出すと、制度の届く範囲は最初から限られています。

面白い(そして落ち着かない)のは、秘密の置き場所が移動していることです。7月の事故は、公開後ではなく評価環境という公開前の場所で起きました(Anthropicの3件、OpenAIの1件)。今回の枠組みは、そこにもう一つ、政府が最大30日間モデルを預かる場所を足します。高セキュリティ環境とアクセス記録が要件に入っているのは、この危険が認識されている証拠です。守るための審査が、新しい試験場を一つ増やす。昨日書いたMicrosoftの防御AIと同じ二面性が、ここにもあります。

そして、公開しないという選択です。米外交問題評議会の研究者は、この決定を「baffling(理解に苦しむ)」と評し、世界で最も重要な技術を秘密の自主ルールで規制することはできない、とX上で述べました。自主基準の拘束力は、参加企業の評判と外からの監視に支えられます。中身が読めなければ、守っているかどうかを誰も確かめられません。ルールを公開しないまま自主性に頼るのは、鍵をかけずに「入らないでください」と貼り紙をするのに似ています。

次に見ること

第一に、枠組みが後から公開されるかどうかです。議会側からは開示を求める声が出ています。第二に、最初に審査へ回るモデルが何になるか。会合で公開直前のモデルを求められた以上、次の最上位モデルの発表が実質的な初回になります。第三に、"信頼できる相手"の範囲です。ここに外国政府が入るなら、日本を含む同盟国の扱いという別の論点が立ち上がります。第四に、対象外となったオープンモデル側の反応です。7月に発足した37社の防御同盟や、ウェイト公開を予告している陣営が、この線引きをどう受け止めるか。制度の外にいることは、自由と同時に「相手にされていない」という意味も持ちます。

前後の流れ

AIリリースの自主基準、米政府と3社が最終調整 / フロンティアモデルとは / オープンウェイトとは / Anthropicのモデルも実在3社に侵入 / 公開書簡「Pacing the Frontier」 / AI輸出規制とは