中国AI安全ガバナンス・フレームワーク3.0、エージェントと制御に焦点

中国は9月14日、「中国AI安全ガバナンス・フレームワーク3.0」を発表した。3年間で3回目の改訂となる。同文書は中国のリスクベース・モデルを維持しつつ、AIエージェント、現実世界で稼働するシステム、人間による制御を失う危険性へと重点を移している。この変化が重要なのは、AIが回答を生成する段階から、行動を実行する段階へと移行しているためだ。

サイバーセキュリティ国家技術委員会260（TC260）は、中国・済南で開催された2026年国家サイバーセキュリティ週間の開幕に合わせて、このフレームワークを公表した。策定は中国サイバースペース管理局（CAC）が指導した。

これは新たな法律ではなく、AI企業に直ちに新しい罰則を科すものでもない。その重要性は別の点にある。TC260のフレームワークは、技術標準、試験実務、分野別ガイダンス、そして規制当局が開発者やサービス提供者に求める基準を形作り得る。

バージョン3.0は、フレームワークがより広範な社会的・倫理的リスクを追加してから1年後に登場した。中国は現在、ツールの利用、ファイルへのアクセス、他サービスとの通信、より少ない直接監督下での行動が可能なシステムにも、同じガバナンス・モデルを適用しようとしている。

ここに中心的な緊張関係がある。中国は企業や公共サービス全体でAI活用を拡大したい一方、ますます自律性を高めるシステムが予測可能で、追跡可能であり、人間の介入を受けられる状態を維持するよう求めている。

中国AI安全ガバナンス・フレームワーク3.0で変わること

このフレームワークは、会話能力の向上ではなく、自律的な行動を次のAI導入サイクルにおける決定的な安全課題として位置付けている。

公式のフレームワーク発表によると、TC260は従来版の3要素、すなわちリスク分類、技術的対策、包括的ガバナンスを維持した。その枠組み内のリスクを更新し、推奨される対応策を調整している。

この継続性は重要だ。バージョン3.0は中国の従来アプローチを否定するものではない。より広範なアクセス、より長い稼働期間、チャット画面の外部により大きな影響力を持つシステムに、同じアプローチを適用しようとする試みである。

文書は、AIアプリケーションが専門的な環境から主流の利用へと広がっていると説明する。例として、業務アシスタント、個人アシスタント、エージェント対応スマートフォンを挙げている。また、質問に答えるシステムと、タスクを実行するシステムを区別している。

AIエージェントとは、情報を認識し、文脈を保持し、意思決定を行い、ツールを呼び出し、目標に向けた手順を実行できるシステムだ。こうした能力は定型業務を減らし得る一方、失敗の可能性がある連鎖を長くする。

チャットボットは誤った回答を生成することがある。エージェントはその回答を受け入れ、サービスを開き、記録を変更し、情報を送信し、あるいは人が誤りに気付く前に別のプロセスを起動する可能性がある。

そのためバージョン3.0では、エージェントのリスクをより明示的に扱っている。AIエージェントのリスク管理に関する付属文書は、開発、導入、運用、廃止に至るシステムのライフサイクルを対象とする。

フレームワークは組織に対し、エージェントが何を読み、どの指示を信頼し、どのツールを呼び出せるのか、そしてその行動がユーザーの依頼範囲に収まっているかを検討するよう求めている。こうした問いは、出力そのものだけでなく、出力に至るプロセスも対象としている。

この区別は、安全性の評価方法を変える。エージェントが作成中に機密データを漏えいさせたとしても、最終レポートは正確に見えるかもしれない。悪意ある指示によってワークフローの一段階が誘導されていたとしても、完了した取引は有効に見える可能性がある。

プロンプトインジェクションは、この問題を示している。プロンプトインジェクション攻撃では、AIシステムが処理するコンテンツ内に隠された、または欺瞞的な指示が埋め込まれる。ウェブページを閲覧するエージェントは、ユーザーが承認していない場合でも、それらの指示をコマンドとして解釈する可能性がある。

フレームワークは、侵害されたプラグイン、操作されたツール応答、過剰な権限、信頼性の低いメモリから生じるリスクについても論じている。システムが確認なしに行動できる場合、それぞれの弱点はより深刻になる。

具現化された知能にも、より大きな注意が向けられている。この用語は、ロボット、車両、産業機器など、物理世界を感知または変化させる機械に接続されたAIを指す。

ソフトウェアが物理デバイスを制御できるようになると、サイバーセキュリティ上の障害は安全事故になり得る。操作された指示が、移動、生産、アクセス制御、機器の運転に影響を及ぼす可能性がある。

文書はさらに、再帰的な改善と自己加速的な開発を、警戒が必要な課題として特定している。現在のシステムが人間の制御を離れたとは述べていない。むしろ、より速い自律的最適化には継続的な試験と監督が必要だと主張している。

その結果、このAI安全フレームワークは、新たな運用上の現実を通じて説明されている。モデルの振る舞いは依然として重要だが、権限、ツール、接続、メモリ、物理的アクセスも、いまや安全境界の内側に含まれる。

中国がAIガバナンスの方針を再び更新する理由

毎年の3回の発表は、中国がAIガバナンスを、何年も固定したままにできる政策文書ではなく、変化し続ける技術的プロセスと捉えていることを示している。

TC260は2024年9月に第1版を発表した。同版では、モデル、アルゴリズム、データ、システム、サイバーセキュリティ、物理的安全性、認知、倫理に関するリスクを整理した。

最初のフレームワークは、現在もこのシリーズを方向付ける原則を確立した。包摂的、慎重、リスク指向、協調的なガバナンスを求めながら、イノベーションを優先している。

バージョン2.0は2025年9月15日に続いた。元の構造を維持しつつ、AIの広範な利用を通じて生じる、より広い影響を意味する派生リスクの分類を追加した。

こうしたリスクには、雇用、社会構造、資源需要、教育、人間関係、環境への影響が含まれていた。第2版はまた、信頼できる利用と制御喪失の防止という原則をより明確に追加した。

第2フレームワークに関する公式解説によると、同文書には14の包括的ガバナンス措置と4つの安全ガイドラインが含まれている。また、科学技術倫理をAIライフサイクルの中により確固として組み込んだ。

バージョン3.0は、別の分類システムを作るのではなく、この基盤の上に構築されている。そのタイミングは、導入対象がどれほど変化したかを反映している。

かつて多くの生成AI製品は、孤立したインターフェースとして機能していた。ユーザーがプロンプトを入力し、モデルがテキストを返し、その後に何をするかは人間が決めていた。この分離は消えつつある。

エージェントは現在、社内文書の検索、ソフトウェア・インターフェースの呼び出し、コードの作成、ブラウザの操作、メッセージの準備、複数ステップのタスクの調整を行える。控えめな自律性であっても、人間による確認地点の間にシステムが下す判断の数は増える。

中国の2026年における政策作業は、すでにその転換を示していた。5月には、CAC、国家発展改革委員会、工業情報化部がAIエージェントに関する実施ガイダンスを発表した。

エージェント・ガイドラインは、エージェントを自律的な認識、記憶、意思決定、相互作用、実行が可能なシステムと定義している。また、研究、産業、消費者サービス、公共福祉、社会ガバナンスにまたがる19の活用シナリオを特定している。

この文書は、安全性、制御可能性、標準化された開発を重視しながら導入を促進している。フレームワーク3.0は、同じ方向性を囲む、より広範なリスク管理の層を提供する。

このため、この更新は年次の政策メンテナンスにとどまらない。中国は、エージェントが機微な分野で一般的なインフラとなる前に、安全性への期待を確立しようとしている。

フレームワークは、政府、金融、教育、放送、医療、緊急管理を、分野別ガイダンスが必要な領域として特定している。単一の横断的ルールでは、それらの環境における障害の異なる影響を捉えられない。

信頼性の低い買い物支援アシスタントは、顧客の時間を無駄にするかもしれない。信頼性の低い医療または緊急管理システムは、健康、公共資源、または差し迫った安全に関わる意思決定に影響を与え得る。

したがって中国のAIガバナンスは、一般原則と、より限定的な標準に向けた計画を組み合わせている。フレームワークはリスクを記述し、後続の標準では、監査機関や試験組織が評価できる要件へと選択された部分を翻訳できる。

この階層構造により、すべての拘束力ある規則を書き換えずに政策を変更することも可能になる。規制当局はシステムの振る舞いの変化に応じて技術ガイダンスを更新し、その後、選択した管理策を標準や分野別規制に組み込める。

企業にとって、この速さは実務上の負担を生む。テキストモデル向けに設計された安全性レビューでは、外部ツールを使うエージェントを十分にカバーできない可能性がある。ある導入向けに設計されたレビューも、権限、統合、運用規模が変われば不十分になる場合がある。

バージョン3.0は、アジャイル・ガバナンスを通じてこの問題に対処している。リスク評価では、アプリケーションの文脈、システムの知能、導入規模を考慮し、それらの条件の変化に合わせて見直すべきだとしている。

この年次の流れが発する政策メッセージは明確だ。より高い能力を持つシステムを導入することは、基盤となるモデル名が変わらなくても、安全性の根拠を再検討することを意味する。

中核となるトレードオフは、イノベーションと検証可能な制御の両立だ

中国は組織による有用なエージェントの導入を望んでいるが、タスク全体を通じて自律性が制約されていることを示すよう求めている。

フレームワークはイノベーションを優先事項と位置付け、規制サンドボックスを含む管理された実験を支持している。規制サンドボックスでは、当局と開発者がリスクを観察する間、選ばれた製品を限定的な条件下で稼働させる。

同時に文書は、システムが人間の制御下にとどまることを求めている。エージェントがツールや中間的な行動を選択できるようになると、この2つの目標は自然には両立しない。

厳しく制約されたエージェントは監視しやすいが、柔軟性は低い。広範な権限を持つエージェントはより多くのタスクを完了できる一方、より大きな攻撃対象領域と、意図しない行動に至るより多くの経路を生み出す。

職場向けのリサーチ・アシスタントを考えてみよう。社内メモを検索し、公開ウェブサイトを閲覧し、記録を比較し、推奨事項を作成するかもしれない。各機能は、個別に評価すれば合理的に見える。

リスクは、それらの組み合わせに現れる。公開ページには、機密資料を取得するようエージェントに命じる隠れた指示が含まれている可能性がある。広範なファイルアクセスがあればエージェントはそれに従え、外部への接続があれば結果が漏えいする可能性がある。

この連鎖を防ぐには、エージェントの最終テキストをフィルタリングするだけでは不十分だ。開発者は、信頼できる指示と信頼できないコンテンツを分離し、権限を最小化し、ツール呼び出しを検証し、後から確認できるよう行動を記録しなければならない。

フレームワークは、より強力な監視、早期警戒、緊急対応、試験を求めている。また、開発者、サービス提供者、技術機関が関与する脆弱性データベースと情報共有の仕組みも支持している。

これらの措置は、証拠に基づく制御モデルを示している。企業は、システムが何にアクセスしたのか、どの判断が行動を引き起こしたのか、そして人間がいつそれを停止できたのかを示せるべきだ。

その期待は、開発者、企業の購買担当者、運用担当者に負担をもたらす。開発者はエージェントのアーキテクチャに安全策を組み込まなければならない。購買者は、モデル提供者による安全性の主張だけに頼るのではなく、デプロイメント全体を評価する必要がある。

運用担当者にも、明確な責任範囲が求められる。モデル提供者、アプリケーション開発者、プラグインベンダー、クラウドサービス、顧客がすべて一つのワークフローに影響を及ぼす場合、説明責任は分散しかねない。

Framework 3.0は、モデルおよびアルゴリズムの開発者、サービス提供者、利用者に責任を割り当てている。しかし、責任を広く掲げるだけでは、複雑な障害発生後の紛争を自動的に解決できるわけではない。

サプライチェーンはこの問題をさらに難しくする。エージェントは、オープンソースモデル、第三者の検索・取得ソフトウェア、外部API、企業データシステムに依存する可能性がある。どの構成要素の脆弱性も、最終的な挙動に影響を及ぼし得る。

このフレームワークは、オープンモデルとクローズドモデルで異なるリスクを認めている。クローズドシステムでは、一社の提供者が安全機構を管理するため、外部からの監査やカスタマイズが制限されることがある。

オープンモデルは、より幅広い検証と適応を可能にする一方で、安全策が削除または回避される可能性がある。更新が、改変済みまたは非公開でデプロイされたすべてのコピーに届かないこともある。

どちらのアプローチも、ガバナンス業務を不要にはしない。クローズドな提供者は統制に関する意味のある証拠を提示しなければならず、オープンなデプロイメントにはローカルテスト、構成管理、セキュリティ更新計画が必要となる。

同じトレードオフは、モデルの正確性にも見られる。信頼できる根拠に裏付けられないもっともらしい出力を意味するハルシネーションは、エージェントがそれを行動の根拠として扱う場合、より危険になる。

チームは、出力の下に警告を追加するだけではこの問題を解決できない。権威ある根拠を要求し、裏付けのない行動を阻止し、あるいは影響の大きい判断を人間に回す仕組みが必要だ。

こうした統制は速度を下げ、運用コストを増加させる。また、エージェントの魅力である自律性を制限する可能性もある。これこそが、China AI Safety Governance Framework 3.0の根底にある中心的な取引である。

この文書は、すべてのシステムに同一の扱いを求めているわけではない。そのリスク格付けアプローチは、シナリオの重要性、システムの知能、利用規模を考慮する。

このアプローチは、あらゆる場所に最大限の統制を適用するより実務的だ。一方で、閾値をめぐる難しい問題も提起する。

組織は、通常のアシスタントがいつ高影響エージェントになるのかを判断しなければならない。どの権限が実質的なリスクを生み、どの行動に確認が必要かも決める必要がある。

このフレームワークは方向性を示しているが、多くの運用上の答えは後続の標準、業界規則、評価手法に左右される。それらが整うまで、企業は広範な原則を自社の技術環境の中で解釈しなければならない。

フレームワークは執行可能な規則集と同じではない

この公表は規制上の優先事項を示すが、それ自体であらゆるAIエージェントに対する完全なコンプライアンス判定基準を確立するものではない。

TC260は中国の国家サイバーセキュリティ標準化機関である。同機関の技術文書は、規制、調達、評価、正式な標準に影響を与え得るが、その法的効力は文書の内容および関連する規則に依存する。

Framework 3.0は、ガバナンスの地図として理解するのが最も適切だ。リスクの分類を特定し、技術面および制度面での対応を推奨している。適用される法律や義務的な標準に取って代わるものではない。

中国にはすでに、一部の生成AIサービスに関する拘束力のある規則が存在する。生成AIサービスに関する暫定措置は、主に中国本土で公衆に提供されるサービスに適用される。

その他の要件には、アルゴリズムの届出、セキュリティ評価、個人情報、データセキュリティ、コンテンツガバナンス、業界監督が関わる場合がある。該当する義務は、提供者、サービス、利用者、デプロイメントの文脈によって異なる。

確定した国家標準は有用な対照例となる。中国のGB/T 45654-2025は、学習データの安全性、モデルの安全性、保護措置を含む、生成AIサービスの基本的な安全要件を対象としている。

英語版の標準翻訳によると、これは届出、登録、試験、評価を支援するものとされる。提供者に適用され、規制当局や第三者評価者の指針にもなり得る。

この標準は、広範なフレームワークより具体的である。学習データ、生成コンテンツ、モデルセキュリティ、安全性評価に関する手順を扱っている。

それでも、外部の分析者は、モデル競争が急速に進む中で、厳格な措置がどの程度一貫して執行されるのか疑問を呈している。同様の不確実性は、フレームワーク段階にとどまる勧告についてはさらに大きい。

Version 3.0は、潜在的な技術的制御喪失について定期的な試験を求めている。しかし、この公表では、エージェントの安全性を判断する普遍的なテストスイート、公開スコア、単一の閾値は定められていない。

制御可能性、信頼できる利用、破局的リスクといった用語にも、測定可能な定義が必要だ。それがなければ、二つの組織が大きく異なる安全策を適用しながら、コンプライアンスを主張できてしまう。

独立したアクセスも、未解決の問題である。クローズドモデルでは、外部研究者が内部統制を調査できない場合がある。オープンなデプロイメントは、改変と再配布の後にはインベントリの把握が難しくなる可能性がある。

インシデントの透明性は、デプロイ前のテストと同じほど重要になる。企業は予定された評価に合格しても、新しいツールを統合したりシステム指示を変更したりした後に障害を経験する可能性がある。

AI業界全体での公開報告には依然としてばらつきがある。比較可能なインシデントデータがなければ、規制当局や購買者は、どの統制が実験室の外で有効なのかを容易に判断できない。

このフレームワークは、脆弱性、欠陥、リスク、インシデントに関する情報共有を推奨している。有用な報告メカニズムを構築するには、明確な提出規則と不完全な開示への対策が必要になる。

国境を越えた協調も、この文書の野心的な要素の一つである。Version 3.0は、グローバルAIガバナンスの中心的な経路として国連を支持し、危機管理メカニズムを求めている。

この目標には政治的、技術的な障害がある。各国政府は、国家安全保障、コンテンツ規則、プライバシー、知的財産、オープンモデル、データへの国家アクセスの許容範囲について見解を異にしている。

危険な能力への懸念を共有していても、証拠に関する合意が保証されるわけではない。各国は異なる評価、脅威モデル、開示要件を採用する可能性がある。

したがって、このフレームワークの国際的な文言は、グローバルな足並みの一致を示す証拠ではなく、政策上の立場として読むべきだ。その影響力は、中国が実用的な試験手法を公表し、相互的な技術協力を支援するかどうかにかかっている。

広範な安全性の表現が、小規模開発者にとって障壁になるリスクもある。大企業は、法務チーム、監査、レッドチーミング、モニタリング、インシデント対応に資金を投じられる。

小規模な研究所は、とりわけ標準が急速に変化する場合、同じ期待に応えることが難しいかもしれない。サンドボックスや共有テスト資源はその負担を軽減できるが、利用しやすさが重要になる。

懐疑的な見方は明快だ。Framework 3.0は複数の新興リスクを的確に特定しているが、特定は実装より容易である。

その真の価値は、後に続く標準、評価、報告システム、執行慣行によって測られる。こうしたメカニズムがなければ、制御可能性は検証済みの特性ではなく、目標にとどまる。

中国のAIガバナンスは現在、モデルの範囲を超えている

政策の対象範囲は、データ、メモリ、ツール、インフラ、利用者、物理デバイスを含む運用環境全体へと広がりつつある。

従来のAIガバナンスに関する議論は、しばしば学習データセットとモデル出力に焦点を当てていた。これらのテーマは依然として重要だが、エージェントは周辺システムも同等に重要にする。

開発者がシステム指示、検索・取得ソース、メモリ、プラグイン、利用可能なツールを変更すると、モデルの挙動は変化し得る。ベースモデルが同一のままでも、デプロイメントには新たなリスクが加わる可能性がある。

これは、モデル評価だけではエージェント製品を認証できないことを意味する。テストには、組み立てられたシステムと、人々がそれを利用する条件を含めなければならない。

このフレームワークは、研究、開発、デプロイメント、運用、廃止の各段階にわたる安全要件を推奨している。廃止が重要なのは、製品が終了した後も古い認証情報、保存されたメモリ、接続済みサービスが露出したまま残る可能性があるためだ。

データガバナンスは依然として中心的な懸念事項である。文書は、適切な場合の非識別化を含め、学習、アノテーション、利用、出力の全過程で個人情報を保護するよう求めている。

また、政府や金融などの分野における重要データおよびコアデータも強調している。これらの分野で稼働するエージェントは、とりわけ接続されたアカウントから権限を継承する場合、人間の利用者より速く情報境界を越える可能性がある。

メモリは別の層を加える。永続的なエージェントメモリは継続性を改善できる一方で、不正確、機密、または悪意をもって埋め込まれた情報を保持することもある。

安全なデプロイメントには、エージェントが何を保存し、どのくらい情報を保持し、誰がそれを確認または削除できるかについての規則が必要だ。メモリは、利用者の認識なしに後の行動を形作る見えない記録になってはならない。

ツールガバナンスも同様に重要だ。開発者には、許可リスト、権限の制限、行動のプレビュー、取引境界、影響の大きい操作に対する強力な認証が必要となる。

一つのワークフローで時折高い権限が必要になるからといって、エージェントに恒久的な管理者アクセスを与えるべきではない。一時的でタスク固有の認可は、ミスや攻撃による被害を抑える。

人間による監督にも、正確な設計が必要だ。利用者が提案された行動を理解できない場合や、頻繁なアラートが自動承認を促す場合、確認ボックスはほとんど役に立たない。

効果的な介入には、適時で関連性の高い情報が必要である。利用者は、エージェントが何を行おうとしているのか、どのデータを使うのか、その行動がどのような結果をもたらすのかを確認できる必要がある。

ログ記録は、監督と調査の両方を支える。記録には、ツール呼び出し、データアクセス、権限変更、モデルの判断、人間の承認を含めるべきだが、そのことで機密情報の新たな無管理な保管場所を作ってはならない。

このフレームワークが身体性を持つAIに注目していることで、リスクはさらに高まる。物理システムには、安全なフェイルバック状態、環境上の制限、通信や知覚が失敗した場合に動作を停止する手段が必要だ。

倉庫ロボット、実験室システム、接続車両は、テキストベースの拒否メカニズムだけに依存できない。安全性は、ソフトウェア、ハードウェア、運用手順、物理的統制に存在しなければならない。

サイバーセキュリティチームも二重の役割に直面している。このフレームワークが認めるように、AIはコードレビュー、脆弱性発見、攻撃検知、修復を自動化できる。

攻撃者も同じ能力を利用して、悪意ある活動の速度と規模を拡大できる。エージェント型システムは、少ない直接入力で偵察、エクスプロイト、データ処理を連鎖させることができる。

これにより、防御を事後対応型から継続的なモニタリングへ移行させる圧力が生じる。組織は自社エージェントの挙動を評価し、外部からのAI支援型攻撃を検知する必要がある。

このより広い範囲は、市場全体で浮上している一般的な教訓と中国のAIガバナンスを一致させる。安全性は、モデルが単独で何をできるかだけでなく、どのように接続され、利用されるかに依存する。

企業の購買者にとって、これは調達時の問いを変える。製品が社内記録にアクセスしたり取引を開始したりできる場合、ベンチマークスコアやモデルカードだけでは不十分だ。

購買者は、エージェントがどのツールにアクセスできるのか、権限がどのように付与されるのか、外部コンテンツが信頼されていないものとして扱われるのか、行動をどのように取り消せるのかを問うべきだ。

また、提供者がインシデントを開示し、独立したテストを支援しているかも確認すべきである。洗練されたインターフェースは、運用上の証拠の代わりにはならない。

知識労働者も、より小規模ながら同様の課題に直面している。調査を整理したりレポートを作成したりするアシスタントにも、信頼できる情報源の境界と、非公開情報を明確に扱う仕組みが必要だ。

適切な情報管理はAI安全性の一部となる。チームには、追跡可能な情報源、意図的に設計されたアクセス制御、そして各タスクの影響に見合ったレビュー手順が求められる。

これは自動化を拒むことを意味しない。エージェントを、権限が明確に定義され、その挙動を観測できるワークフローの参加者として扱うことを意味する。

Framework 3.0が実効性を持つかを示す3つのシグナル

次の段階は、原則を再表明することではなく、測定可能な基準、実際のインシデント報告、業界別の統制にかかっている。

第1のシグナルは、具体的なエージェント試験基準の公表だ。そこでは、プロンプトインジェクション、ツールの不正利用、権限昇格、メモリ汚染、タスク制御の喪失に対する評価手順を定義すべきである。

明確な試験はフレームワークの信頼性を高める。開発者に共通の目標を与え、購入者が類似の証拠に基づいて安全性に関する主張を比較できるようになる。

曖昧な評価表現は、この成果を弱める。各プロバイダーが独自の試験や閾値を選ぶなら、市場には多くの主張が届く一方で、比較可能性はほとんど得られない。

第2のシグナルは、機能するインシデントおよび脆弱性の報告システムだ。Framework 3.0は、開発者、プロバイダー、技術機関が関与するデータベースと情報共有の仕組みを求めている。

有用なシステムは、分類、報告期限、是正への期待値、そして他者が防御を改善するために十分な匿名化済みの詳細を公開する。軽微な誤りと深刻なセキュリティ事象も区別する必要がある。

一貫した報告は、観測された失敗に基づいて当局が統制を更新できるため、フレームワークのアジャイル・ガバナンスモデルを支える。報告が乏しい、またはアクセスしにくい場合、政策は仮定上のリスクに依存したままとなる。

第3のシグナルは、業界別の実装だ。政府、金融、教育、医療、メディア、緊急事態管理では、自律性と人間によるレビューに異なる閾値が必要になる。

業界向けガイダンスでは、どのエージェント行為に承認が必要か、どのデータソースを引き続き制限するか、組織がどのような証拠を保持しなければならないかを定めるべきだ。調達要件は、こうした統制を導入する初期の経路になり得る。

詳細な業界別ルールは、このフレームワークが国家戦略から実務運用へ移行していることを示す。一般的なガイダンスでは、重要な判断が専門性にばらつきのある個々の組織に委ねられることになる。

国際協調も注目に値するが、より長期的な試金石だ。危機対応プロトコルには、大きなインシデントが起きる前に、連絡先、証拠、機密性、対応手順についての合意が必要となる。

最も早期に得られる証拠は国内実装からもたらされる。中国はAI安全ガバナンス・フレームワークを3年連続で3つのバージョンとして公表してきた。

このペースは関心の高さを示すが、繰り返しだけで有効性が確立されるわけではない。重要なのは、エージェントの導入がさらに広がる前に、最新のリスクが試験可能な要件となるかどうかだ。

開発者はTC260の作業計画、標準案、パブリックコメント文書を注視すべきである。企業の購入担当者は、規制当局が評価や調達の際にエージェント統制へ言及し始めるかを追うべきだ。

知識労働者は、製品レベルの権限変更に注意を払う必要がある。より高機能なアシスタントは、ファイル、アカウント、コミュニケーション、業務システムへのアクセスをますます求めるようになる。

China AI Safety Governance Framework 3.0は、明確な判断を示している。AI安全性はもはやモデルの回答だけで終わることはできない。ユーザーの要求からシステムの行為に至るまでの、あらゆる段階を対象としなければならない。

今後1〜3カ月で、この判断が運用上の詳細を得るかどうかが明らかになるはずだ。広範な原則を証拠へと変える、エージェント試験手法、インシデント共有ルール、業界別統制に注目したい。

AIアシスタントにより広い権限を与える前に、3つの問いを投げかけてほしい。何にアクセスできるのか、何を変更できるのか、そしてどのように停止できるのか。その答えによって、制御可能なAIが単なる文書上の存在ではなく、実際に存在するかが分かる。