判断は「介在」するだけでは足りない
はじめに—2026年3月、ガイドラインが静かに更新された
2026年3月31日、総務省と経済産業省はAI事業者ガイドライン第1.2版を公表した。
初版の公開から2年。改訂のトリガーとなったのは、技術の成熟だけではない。2025年6月に公布・施行された「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI推進法）という法的基盤の整備と、AIエージェントおよびフィジカルAIの社会実装という、質的に異なるリスク局面への突入である。
生成AIが登場した当初、リスクの主体は「出力の不正確さ」だった。しかし今、AIエージェントは自律的にタスクを実行し、複数のシステムと連携し、人間の確認なしに決定を積み重ねていく。リスクの構造が根本から変わりつつある。
政府は、自律的に動くAIエージェントに対して、誤作動やプライバシー侵害のリスクを念頭に「人間の判断を必須とする仕組み」づくりを開発企業などに求める動向にある。その指針の中心に位置するのが、このガイドラインの1.2版だ。
では、このガイドラインは何を求め、何を「問いかけ」ているのか。
問題提起——「人間の関与」という呪文の限界
「AIの判断には人間が関与すべきだ」という命題に、異論を唱える人はほとんどいない。しかしこの命題は、実務の現場においてほぼ機能していない。なぜか。
第一に、自動化バイアスの問題がある。
人間は、システムが提示した選択肢を「検討」しているつもりで、実際には「承認」しているだけのケースが多い。AIが99件の申請を自動通過させ、1件にフラグを立てたとき、担当者がそのフラグを実質的に審査できる状態にあるとは限らない。「人間が最終確認した」という事実が、accountability（説明責任）の根拠として機能する一方で、実際の判断能力が伴わない「承認の儀式」になっていることは少なくない。
第二に、ブラックボックスの問題がある。
AIの判断根拠が開示されない限り、人間は「何に対して判断を下すのか」が不明なまま関与することになる。AI risk managementの文脈でよく語られる「説明可能性（Explainability）」は、単なる技術的特性ではなく、人間の判断を実質的なものにするための前提条件だ。それなしには、human oversightは形式にとどまる。
第三に、責任分散の問題がある。
AI開発者・AI提供者・AI利用者という三者が連携する構造において、何かが起きたときの責任の所在が曖昧になりやすい。「AIが決めた」「提供者の仕様通りだった」「利用者が承認した」——この三すくみの中で、誰もが加害者でありながら誰も責任を負わないという状況が生まれる。
ガイドラインの本質——何を求めているのか
AI事業者ガイドライン1.2版は、全体を通じて以下の4つの軸でリスク管理の実践を求めている。
1. 人間の判断の介在
ガイドラインは明示的に求める。「AIの出力に対して人間の判断を適切なタイミングで介在させる」。
注目すべきは「適切なタイミング」という言葉だ。「最終確認」でも「定期レビュー」でもなく、タイミングの設計が求められている。これは、decision-making（意思決定）のどの段階にどのような人間の関与を組み込むかという、プロセス設計の問題である。
2. 検証可能性とログ保存
「AIシステム・サービスの判断根拠等のログを記録・保存する必要がある」——これはガイドラインが実務的な具体性をもって示した数少ない要件のひとつだ。
ログの保存は、事後の説明責任だけでなく、AIの挙動を継続的にモニタリングするための基盤でもある。AIの品質は固定されない。同じシステムであっても、入力データの変化、外部サービスとの連携状況の変化、あるいはモデル更新によって、出力の傾向が変わりうる。ログなしにその変化を検知することはできない。
3. ライフサイクル全体でのリスク管理
ガイドラインが強調するのは、AIの開発・提供・利用という三つのフェーズを貫通するリスク管理の連続性だ。開発段階でのバイアス対策、提供段階でのセキュリティ設計、利用段階での入力制御——これらは個別に存在するのではなく、バリューチェーン全体でのリスクチェーンとして機能する。
AIガバナンスとは、このチェーン全体を俯瞰し、抜け穴をなくす取り組みだ。
4. リスクベースアプローチ
ガイドラインの基本思想は「ゴールベース・リスクベース」である。すべてのAIシステムに一律の規制をかけるのではなく、危害の大きさとその蓋然性（起こりやすさ）に応じて、対策の強度を変える。
これは合理的だ。しかし同時に、事業者側に問いを突きつける。あなたの組織は、どのAIシステムにどのレベルのリスクがあると判断しているか？ その判断プロセスは文書化されているか？
違和感の提示——原則は正しい、しかし何かが足りない
ここで立ち止まる必要がある。
上記の四つの軸——人間の介在、ログ保存、ライフサイクル管理、リスクベースアプローチ——は、いずれも方向性として正しい。しかし、実務の現場でこれらを実装しようとすると、ある根本的な問いに突き当たる。
「誰が判断するのか」が、設計されていない。
「人間の判断を介在させる」と言うが、どの役職の誰が、どの情報をもとに、どのような権限で判断するのか。それが明示されていない限り、「介在」は形式にとどまる。「ログを保存する」と言うが、そのログを誰がいつ何のために確認するのか。保存することと活用することは別の行為だ。
ガイドラインは「何をすべきか（what）」を示している。しかしそれを実装するための「誰が・どこで・どのように判断するか（how）」の設計は、事業者の自主性に委ねられている。
これは欠陥ではない。Living Documentとして更新を続けるゴールベースのガイドラインが、詳細な実装仕様まで規定することには限界がある。
しかし、だからこそ事業者側に問われていることがある。
問題は、人間が関与するかどうかではない。
どこで、誰が、何を判断するのかが設計されていないことである。
ガイドラインを読んだ後に残るこの問いに、ひとつの実践的な答え方がある。
それが Decision Design（判断の設計） である。
Decision Designは、判断という行為そのものを設計対象とする思想だ。
その中心にあるのが Decision Boundary（判断の境界） という概念である。
誰が決めるのか。どこまでを任せ、どこからを引き受けるのか。
その線を、無自覚のまま放置せず、意図的に設計すること。
それがDecision Designである。
詳細版について
本稿は、公開範囲を基に構成したInsynergyの日本語サイト版です。詳細な議論と実装上の考察はnoteの詳細版で解説しています。