AIエージェントのガバナンス｜モデルの統制とは別物

「生成AIの利用ルールは作ったので、エージェントもその範囲で見られるはずです」「モデルの審査は通しているので、あとは使い方の問題ではないですか」——AIエージェントを試し始めた組織から、こうした受け取り方が聞こえてきます。順序としては自然な発想です。ただ、この理解のままだと抜けが出ます。エージェントの統制は、モデルの統制を広げたものではありません。本当は、見ている対象が「何を答えるか」から「何をしたか」に入れ替わっているというほうが実態に近いです。行為は取り消せないことがあり、しかも次の行為を呼びます。この記事では、AIエージェントのガバナンスがモデルのガバナンスとどこで別物になるのか、その差分だけに絞って整理します。

「答えるだけのAI」と「行動するAI」で、統制の対象が入れ替わる

モデルのガバナンスは、選ぶ・審査する・使ってよい範囲を決める・入れてよい情報を決める・出てきた内容を人が確かめる、という並びで組み立てます。見ているのは中身です。答えが間違っていれば、出す前に止めれば損害は出ません。順番が「出す前」に寄っているのは、出力が最後の関門だからです。

エージェントは道具を呼びます。社内の資料を検索する、表に書き込む、メールを送る、案件を起票する、外部の仕組みに登録する。ここで生まれるのは答えではなく行為です。行為は自社の中で止まりません。相手の受信箱に届き、公開された記事になり、取引先の管理画面に行が増えます。出す前の確認という関門は、行為の後ろには置けません。

シンガポールの情報通信メディア開発庁が2026年1月22日に公表した、自律的に行動するAIを対象にした枠組みも、この移り方を出発点にしています。枠組みを整理した解説では、危うさの中心が「誤った答え」から「誤った行為」へ移ると説明されています。統制の言葉を、正しさから後始末に置き換える必要がある、という指摘です。

実務では、この入れ替わりが文書の作り方に出ます。モデルの利用規程に「エージェントも同様に扱う」と一文足しても、そこに書かれているのは入力してよい情報の範囲と、出力を人が確認する義務です。行為の後始末について何も決めていないまま、行為ができる状態を許してしまいます。

事前の審査で終われないのは、実行のたびに前提が動くから

モデルの審査は、ある程度は静的に済みます。どんな入力にどんな傾向の出力を返すか、社外に出してはいけない情報を吐かないか。試す条件をそろえれば、結果はある程度再現します。だから「一度審査したので使ってよい」という判断が成り立ちます。

エージェントは実行のたびに外を読みます。担当者が異動している、価格表が差し替わっている、在庫が変わっている、先週まで動いていた連携が止まっている。同じ指示を出しても、読んだものが違えば打つ手が変わります。審査したときの前提が、動かすときには残っていません。だから審査は「安全だと確認する行為」ではなく「どこまでを任せる状態にするかを決める行為」に性質が変わります。

この枠組みは2026年5月20日に改定され、複数体で動く構成や、他社が作ったエージェントを使うこと、構成そのものの複雑さが、危うさの起きやすさを左右する要素として加えられました。自社で審査したのは1体でも、動くときには他社の1体と組んでいる、ということが起きます。審査の単位と、動くときの単位がずれるのが差分です。

ここで外してはいけないのは、AIに判断させない範囲を先に決めることです。値引きの言明、納期の約束、条件の解釈。これらは前提が動く場所そのものなので、実行のたびに読み直させてはいけません。人が確認する範囲を先に決め、それ以外を任せるという順番にします。

取り消せる行為と、取り消せない行為を分ける

差分の2つめは、行為に後戻りできないものが混ざることです。読む、要約する、下書きを作る、集計する。ここまでは間違っても捨てれば済みます。送る、公開する、登録する、払う、削除する。ここから先は捨てられません。同じエージェントに両方をやらせている場合、統制の重さは後者に合わせるしかありません。

枠組みを整理した解説では、用途を選ぶときに見る要素として、影響の大きさ、起こりやすさ、行為の取り消しやすさ、仕事の複雑さ、外部の仕組みへの露出の5つが挙げられています。5つのうち取り消しやすさだけは、モデルの審査項目に対応するものがありません。答えには「取り消しやすさ」という軸がないからです。

マーケ部門の仕事に当てると、線はかなりはっきり引けます。配信の予約を入れる、広告の入札を変える、問い合わせフォームに送信する、名刺の情報を外部の仕組みに登録する、公開済みの記事を書き換える。いずれも取り消しの手続きが別に必要で、相手側の記録には残ります。

• 取り消せない行為は「金額が動くもの」だけではない。相手に届いたものと外部に記録が残ったものも戻せない
• 取り消しの手順が用意されていても、取り消しの権限を持つ人が不在なら実質は取り消せない
• 取り消せる行為だけを任せる構成にできるなら、統制はぐっと軽くできる。分けられるかを先に見る

行為が連鎖する——1つの許可が次の許可を連れてくる

差分の3つめは連鎖です。エージェントは道具の結果を読んで次の手を決めます。検索を許すと、検索して見つけたものを読みます。読んだ内容に従って、別の道具を呼びます。許可を1つずつ見れば小さくても、つながったときに別の意味を持つ組み合わせが生まれます。

分かりやすいのは「読める」と「送れる」の組み合わせです。社内資料を読む権限だけなら持ち出しは起きません。外部にメールを送る権限だけなら送る中身がありません。両方を1体が持つと、読んだものを外に出せる状態になります。権限の一覧を縦に眺めても、この危うさは見えません。

なお、読み込ませた資料に指示が仕込まれていた場合にどうなるかは、それ自体が別の主題です。ここで押さえるのは統制の作り方の差分だけです。モデルの管理台帳は単票で足りるのに対し、エージェントの台帳は組み合わせで見ないと意味を持たない、という違いがあります。

実務上の目安として、1体が持つ道具のうち「外に出す道具」を数えます。0なら軽く扱えます。1つあるなら、その1つに対して承認か記録を置きます。2つ以上あるなら、なぜ1体に集めているのかを説明できる必要があります。

モデル単位の管理台帳では足りないのはどこか

多くの組織は、使っているモデルの一覧を持っています。提供元、版、契約、入れてよい情報の区分、責任部門。これは有効な台帳です。ただ、エージェントを数えるには単位が合いません。同じモデルを使う10体のエージェントがあれば、台帳の行は1行のままで、危うさは10通りに分かれています。

見るところ	モデルの統制	エージェントの統制
数える単位	使っているモデルごと	動いている個体ごと
主な問い	何を答えるか	何をしたか、何ができる状態か
確かめる時点	使い始める前	使い始める前と、動いている間の両方
失敗の形	誤った内容が出る	誤った行為が残る
残す記録	入力と出力	呼んだ道具、渡した相手、結果、実行した主体
止め方	利用を禁じる	権限を取り上げる、その個体を停める

表の最後の行が実務では一番効きます。モデルの利用を止めるのは契約と規程の話ですが、個体を停めるのは操作です。誰が、どの画面から、何分で停められるのか。ここが決まっていないと、台帳はあっても手が出せません。

エージェント単位の台帳に入れる項目

では個体ごとに何を持つのか。細かくしすぎると維持されません。所在を押さえる目的に絞ると、次の範囲で足ります。

• 個体の呼び名と何のために置いたか（用途を1行で）
• 作った部門と、いま面倒を見ている担当者の名前
• 使っているモデルと、その提供元
• 呼べる道具の一覧（外に出す道具に印を付ける）
• 読める範囲と、書ける範囲
• どの資格情報で動いているか（人と共用していないか）
• 人の承認を挟む地点
• 記録の保存先と、残す期間
• 停める手段と、それを実行できる人
• 他社のエージェントや外部の仕組みとつながるか

この一覧は権限の設計書ではありません。権限をどう段階に切るか、誰が承認するか、どこで止めるかは、それぞれ独立した主題として別に決める必要があります。台帳の役目は、決めるべき対象がいくつあるのかを数えられる状態にすることです。数えられないものは統制できません。

2026年5月の改定では、権限の制御、はみ出しを抑える仕組み、人の承認、記録と監視が、エージェントを構成する中核の部品として位置づけられました。付け足しの管理項目ではなく、部品として最初から入っている、という扱いです。台帳の項目が設計の項目とそろっているほうが、後から埋める手間が減ります。

誰の名前で動いているのかという問題

差分として見落とされやすいのがここです。人の利用なら、誰が何をしたかは記録から追えます。個人ごとに資格情報が分かれているからです。エージェントは、作った担当者の資格情報を借りたまま動いていることがあります。すると記録に残るのは担当者の名前で、実際に手を動かしたのはエージェントです。

米国の標準化機関の研究拠点が2026年2月5日に公表した検討資料は、この点を正面から扱っています。意見募集の論点として、AIエージェントの識別、権限の付与、監査、そして行為をやったと言い逃れできない状態にすることが挙げられました。狙いとして示されているのは、エージェントが取った行為が、それを実行した人以外の識別情報にたどれ、さらにその権限を委ねた人にまでたどれることです。意見の受付は2026年4月2日で締め切られています。

実務でよくある形は、共有の資格情報を1つ作って複数の個体で使い回すやり方です。動かすには早いのですが、記録を見ても個体が特定できません。障害のときに「どれを止めればよいか」が分からず、全部を止めることになります。止める単位は、識別の単位以上に細かくできません。

同じ検討資料は、エージェントを従来の自動処理と別の種類の担い手として位置づけています。複数の情報源から自分で材料を集め、それを踏まえて考え、その先の複数の仕組みに影響する行為を取る。その担い手が責任の所在が不明なまま社内を横断して動くのが危ういという整理です。名前が分かれていないことは、責任の所在が書けないことと同じです。

ここは権限の切り方の話ではなく、名前の付け方の話です。権限をどこまで広げるかは別に決めればよく、まず個体ごとに別の名前で動いている状態を作ります。名前が分かれていれば、あとから権限を絞るのも、記録を突き合わせるのも、片方だけ止めるのもできます。

モデルを差し替えたとき、統制は作り直しになるのか

モデルの統制では、版が上がったら評価をやり直すという運用が定着してきました。同じ試験を通し、傾向が変わっていないかを見る。ここはエージェントでも変わりません。変わるのは、やり直す対象です。

エージェントは、モデルを差し替えると同じ指示でも打つ手が変わることがあります。台帳に書いた「呼べる道具」の一覧は変わらないのに、実際に呼ぶ道具の順番と回数が変わる。前の版では人に確認を求めていた場面で、新しい版は自分で進めてしまうことがあります。逆に、前は進んでいたところで止まるようにもなります。

だから差し替えのときに通すのは、答えの品質を見る試験ではなく行為の確かめ方です。取り消せない行為を持つ個体だけを対象に、想定した地点で人に確認が回ってくるか、想定していない道具を呼ばないかを見ます。全個体を対象にすると重すぎて回らないので、対象を絞ります。

2026年5月の改定では、変更を管理する手順を整えることが推奨に加わりました。実務で面倒なのは、提供元の都合で版が上がる場合があることです。上がったことに気づける状態にしておかないと、確かめる機会そのものが来ません。台帳に版と差し替えの予定を書いておく理由がここにあります。

外部とつながると論点が増える

自社のエージェントが、他社のエージェントや外部の仕組みと話す構成が出てきました。ここで増えるのは、相手側の統制が自社からは見えないという問題です。相手が何を根拠に動いているのか、記録をどれだけ残しているのか、止めるとき誰に言えばよいのか。自社の台帳には書けません。

2026年5月の改定では、基盤を提供する側と、それを使って仕組みを作る側、応用を開発する側で、役割と責任の分かれ方が整理されました。国内の指針でも、2026年3月31日に公表された第1.2版で、同一の事業者が複数の役割を兼ねる場合が明示され、AIエージェントの定義が本編に加えられています。自社が提供側でもあり利用側でもある、という状態が普通になったからです。

実務では、契約と記録の2つで埋めます。契約側では、相手のエージェントが行った行為の記録をどこまで受け取れるか、止めてもらうときの連絡先と時間を書きます。記録側では、外に渡した内容と、外から返ってきた内容を自社側で残します。相手の記録に頼ると、もめたときに材料がありません。

同じ仕組みでも、社内向けと社外向けは別に数える

台帳を作り始めると必ず出るのが「同じエージェントを社内でも社外でも使っている」という状態です。統制の観点では、これは2体として数えます。相手が変われば、間違ったときの後始末が変わるからです。

社内向けなら、誤った行為の影響は社内で止められます。誤って送ったメールは取り消せなくても、事情を説明できる相手です。社外向けは、相手が顧客か見込み客で、言ってはいけない条件を言った時点で交渉の材料になります。同じ道具を持っていても、置く承認の位置が変わります。

数え方を分けておくと、判断も速くなります。社内向けは軽く始めて広げる、社外向けは範囲を狭く固定する、という方針の差をつけられます。1体として数えていると、社外向けの慎重さを社内向けにも持ち込んで、結局どちらも動かないという結果になりがちです。

重心が「出す前の審査」から「動かしながらの点検」へ移る

モデルの統制は、出す前が山です。選定と評価に手間をかけ、通ったら運用に渡す。運用側でやることは、使い方の逸脱がないかを時々見る程度で足ります。エージェントは逆で、動かし始めてからのほうが長く、見るべきことも多くなります。

何をどう見るかは、それ自体が独立した主題です。ここで押さえるのは重心の移り方だけです。差分として言えるのは、審査を厚くしても、動いている間の点検は代わりにならないということです。前提が動き、道具が増え、モデルが差し替わるので、審査した時点の状態は残りません。

点検の入口として分かりやすいのが、承認の形です。2026年5月の改定では、人が機械の答えを鵜呑みにする傾向への備えとして、人が上書きした割合と、応答までの時間を見ることが挙げられました。承認された割合が高すぎる、押すまでが速すぎる。どちらも承認が関門として働いていない合図です。逆に上書きが多すぎる場合は、任せる範囲の設定が間違っています。

運用の形としては、点検を当番にします。週に1回、台帳と実態のずれ、承認の割合、止まった件数を見る。時間は30分で足ります。決めておかないと、事故が起きた週だけ全員で見て、それ以外は誰も見ないという状態になります。

指針は今どこまで触れているか

行動する主体の統制について、参照できる文書がこの1年で増えました。義務ではなく、いずれも自社の言葉に置き換えて使う前提のものです。

シンガポールの情報通信メディア開発庁が2026年1月22日に公表した枠組みは、自律的に行動するAIを正面から対象にした最初の整理として知られています。柱は4つで、用途を選ぶ段階で権限に上限を置くこと、人が承認する重要な地点を定めて人に責任を負わせること、試験から公開後の統制までを一連の流れとして置くこと、そして使う人の側の責任を透明性と教育で成り立たせることです。遵守は任意ですが、組織は自らのエージェントの行動について責任を負うという立て方になっています。2026年5月20日に改定され、複数体で動く構成と他社のエージェントの利用が要素として加わりました。

米国の標準化機関の研究拠点は、2026年2月5日に識別と権限付与についての検討資料を公表しました。論点として挙げられたのは、AIエージェントの識別、権限の付与、監査、そして行為をやったと言い逃れできない状態にすることです。意見の受付は2026年4月2日で締め切られています。技術寄りの整理ですが、台帳の項目を決めるときの手がかりになります。

国内では、総務省と経済産業省がまとめたAI事業者ガイドラインが2026年3月31日に第1.2版へ改定され、本編にAIエージェントの定義が加わりました。あわせて、リスクの記載の見直しと、事業者の役割区分についての補足が入っています。拘束力のない指針という性格は変わっていないので、そのまま社内規程にはなりません。自社の用途に当てて書き換える作業が残ります。

統制の重さは、任せる範囲で3段階に分ける

全部に同じ重さの統制をかけると、軽い用途が止まります。任せる範囲で段を分け、段ごとに決めごとを変えるのが現実的です。

任せる範囲	できること	置く決めごと
調べるだけ	社内の資料を探す、要約する、比べる	台帳に載せる。記録は入力と出力で足りる
下書きまで	文面や案を作る。出すのは人	呼んだ道具まで記録する。誰が最後に出したかを残す
実行まで	送る、登録する、変更する、払う	個体ごとの資格情報、取り消せない行為の承認、停める手段と担当

段を上げるときに増やすのは、書類ではなく操作できる備えです。停める手段があるか、記録から個体を特定できるか、承認が形になっているか。ここが埋まらないまま段を上げると、事故のあとに「誰も止められなかった」という結論になります。

逆に、下の段に留めれば統制はかなり軽くできます。実行まで任せる必要が本当にあるのかを、用途ごとに問い直す価値があります。下書きまでで業務が回るなら、取り消せない行為の議論は発生しません。

すでに動いているものを棚卸しする

多くの組織は、統制を決める前にエージェントが増えています。先に数えるところから始めます。

この工程で効くのは最後です。載らないものを止めるという決めごとがないと、台帳はいつまでも実態に追いつきません。止めた結果として困る人が出れば、その時点で用途と担当者がはっきりします。

差分を見落とすと、こういう形で出てくる

実際に起きやすいのは、統制の文書はあるのに手が出せないという状態です。次のような形で表に出ます。

• モデルの管理台帳に1行足して「エージェントも管理済み」にしている
• 権限を「読み取り」と「書き込み」の2つでしか分けておらず、外に出す道具が書き込みに埋もれている
• 記録に入力と出力しか残しておらず、呼んだ道具と渡した相手が残っていない
• 共有の資格情報で複数の個体を動かしていて、記録から個体を特定できない
• 停められる人が決まっていない、あるいは1人しかいない
• 承認の画面は置いたが、承認された割合を誰も見ていない

2つめは実務でよく見ます。権限の名前が読み取りと書き込みしかない場合、社内の表に1行足すことと、社外にメールを送ることが同じ「書き込み」に入ります。名前を分けなくても、台帳の道具一覧の側に外に出す道具かどうかの印を付けておけば、当面はしのげます。

6つめについては前の節で触れたとおりですが、もう1つ落ちやすい形があります。承認の記録に、押した人と時刻しか残っていないという形です。何を見て押したのかが残っていないと、後から見直したときに判断の当否を検討できません。承認の画面に出した情報も一緒に残すと、記録が材料になります。

もう1つ多いのは、統制を決める会議に作った人が呼ばれていないという形です。台帳の項目は、作った人でなければ埋められないものが半分あります。呼べる道具の一覧と、動いている資格情報は、規程を書く側からは見えません。

よくある質問

モデルの利用規程は作り直しになりますか

作り直す必要はありません。モデルの規程は入れてよい情報と出力の確認について書かれていて、それはそのまま有効です。足すのは、行為ができる状態を作るときの決めごとです。別の文書として並べるほうが、後から見て分かりやすくなります。

何体までなら台帳なしで回せますか

体数ではなく、取り消せない行為を持つ個体があるかどうかで決まります。調べるだけの個体が20体あっても、記録が残っていれば追えます。送る個体が1体でもあれば、その時点で個体ごとの識別と停める手段が必要になります。

人の承認を全部の行為に入れれば安全ですか

安全にはなりませんし、たいてい続きません。承認の数が増えると人は中身を見なくなります。前の節で触れたとおり、承認率と応答時間が形骸化の合図になります。承認は取り消せない行為に絞って置くのが実務的です。

提供元が備えている管理の機能を使えば足りますか

使ったほうがよいのは間違いありませんが、それだけでは足りません。提供元の画面で分かるのは、その提供元の中で起きたことだけです。自社が何のためにその個体を置き、どこまでを許し、誰が停めるのかは、自社の台帳にしか書けません。機能は記録を集める手段で、判断の記録そのものは自社に残ります。

他社が作ったエージェントを使う場合、統制はどこまで自社の仕事ですか

自社の名前で行為が起きる範囲は自社の仕事です。相手側の作り方は見えなくても、何を渡し、何を許し、どこで止めるかは自社で決められます。2026年1月に公表された枠組みも、遵守そのものは任意としつつ、組織は自らのエージェントの行動について責任を負うという立て方をしています。

まとめ

AIエージェントのガバナンスは、モデルのガバナンスの延長ではありません。差分は4つに束ねられます。実行のたびに前提が動くので事前の審査で終われないこと、取り消せない行為が混ざること、行為が連鎖して許可の組み合わせが意味を持つこと、そして台帳の単位がモデルから動いている個体に変わることです。

最初にやることは、権限の設計でも規程の改訂でもありません。動いているものを数え、それぞれが誰の名前で動いているかを確かめ、外に出す道具を持つ個体を抜き出すことです。数えられて、たどれて、停められる。この3つが揃ってから、権限の段階や承認の位置といった各論に進むほうが手戻りが少なくて済みます。

AIは、任せた範囲の中では速く動きますが、任せてよい範囲を自分で決めることはできません。どこまでを人が握るかは、動かす前に人が決めるしかありません。統制の文書を厚くするよりも、止められる状態と、たどれる記録を先に作るほうが実務では効きます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。