カザフスタンの安全保障会議改革、AIとサイバーリスクを大統領府により近づける
カザフスタンは、安全保障会議の所管を相互に関連する少なくとも5分野へと拡大し、サイバーセキュリティ、AI、個人データ、汚職、経済犯罪をより緊密な調整の下に置いた。今回のカザフスタン安全保障会議改革により、これらの問題はカシムジョマルト・トカエフ大統領と、新たに独立した行政機関のより近くに位置付けられることになる。
トカエフ大統領は2026年9月11日に新規則を承認した。同規則は安全保障会議の責務を定め、その事務局を正式化するとともに、会議副議長により広範な調整権限を付与する。この役割は現在、防衛や従来型の法執行を超え、デジタルシステム、データ保護、テクノロジー関連のリスクにも及ぶ。
重要な変更は技術面ではなく制度面にある。カザフスタンは新たなAIモデル、サイバーセキュリティプラットフォーム、監視システムを発表したわけではない。こうしたリスクをどの政府部門が検討し、機関間の調整を担い、大統領および安全保障会議の決定の実施状況を追跡するかを変更したのである。
この区別こそが中心的な緊張関係を生む。大統領に直接報告する常設機関は、従来は別々の機関にまたがっていた脅威を結び付けられる。一方で、責任の所在が明確に保たれ、監督の信頼性が確保され、技術的専門性が意思決定を形作る場合にのみ、中央集権的な調整は安全性を高める。
この改革は、安全保障会議事務局を独立した国家機関として設置した8月の組織再編にも続くものだ。孤立した事案への対応から、AI、サイバー攻撃、データ流出、汚職、経済犯罪が相互に増幅し得る仕組みを予見する方向への、より広範な転換を示している。
カザフスタン安全保障会議改革で実際に変わること
カザフスタンは、デジタルおよび経済上のリスクを、国家安全保障政策を調整する中枢機構に組み入れた。
新たな会議規則によると、安全保障会議とその事務局は、世界的な脅威と重要な国内動向について包括的な分析を行う。その業務は現在、情報セキュリティ、サイバーセキュリティ、AIの利用、個人データ保護、汚職、経済犯罪、市民保護を明示的に対象としている。
この規則は、会議を省庁、法執行機関、技術規制当局の代替機関にするものではない。むしろ副議長に対し、国家安全保障、防衛、法秩序、公の秩序に関わる課題について、それらの活動を調整する権限を与える。
副議長はまた、安全保障会議議長としてトカエフ大統領が発出した法令および指示の実施を監督しなければならない。この責任には、会議の運営会合で下された決定も含まれる。
新設された副議長職にはアイダ・バラエワ氏が就任した。彼女は先の会議再編時に任命され、前安全保障会議書記のギザト・ヌルダウレトフ氏は退任した。
新たな責務が重要なのは、政府がしばしば別々に管理する政策分野を結び付けるためだ。例えば、公的データベースの侵害は、サイバーセキュリティ対策、個人データ法、不正行為、汚職、国民の信頼を同時に含み得る。
AIも同様の重なりを生む。不正検知に用いられるアルゴリズムは経済安全保障を支援し得る一方、誤った警告を生んだり、機微な情報を露出させたりする可能性もある。生成AIシステムは行政業務を加速させられるが、データ漏えいや操作されたコンテンツの新たな経路も生み出す。
会議の権限拡大により、大統領府はこうした関係性を戦略的なレベルで検討する場を得る。別々の機関が、同じ事案に対して整合的な前提、情報、優先順位を用いて対処しているかを問うことができる。
事務局はこの業務のための組織的支援を提供する。政令の下で、同局は大統領に直接従属し、説明責任を負う独立国家機関として運営される。その公表された目的には、国家安全保障リスクに対する統制の強化と、大統領および会議の決定の執行支援が含まれる。
これは単なる職務記述の変更ではない。分析を要請し、実施を監視し、政策サイクルをまたいで注意を維持できる専用の行政組織を創設するものだ。
ただし、公表された説明は、すべての運用上の詳細を定めているわけではない。事務局の人員規模、技術部門、データアクセス規則、調達計画、成果指標は開示されていない。
こうした欠落した詳細は、現時点で結論付けられる範囲を限定する。政令は調整拠点を設けるが、その実際の影響力は、機関がどのように情報を共有し、その指示に対応するかに左右される。
サイバーセキュリティとAIが国家安全保障に組み込まれる理由
カザフスタンはデジタルインフラを、単なる情報技術の課題ではなく、国家のレジリエンスの一部として扱っている。
この転換は、政府、金融、エネルギー、通信、運輸、公共サービスが接続システムにますます依存していることを反映する。深刻なデジタル障害は、従来型の軍事攻撃に見えなくても、重要な業務を中断させ得る。
カザフスタンのサイバーセキュリティ法制は、すでにこの関係を認識している。同国の重要デジタル対象の定義には、その機能停止が防衛、経済、公共安全、または重要インフラに害を及ぼし得るシステムが含まれる。
対象分野には、銀行、通信、運輸、医療、エネルギー、水、産業、法執行、電子政府が含まれる。この幅広い定義により、技術的な安全保障上の決定は、継続性と国家の安定に関するより広い問題の中に位置付けられる。
2026年1月に採択された改正はこの法的枠組みを強化し、6カ月の移行期間を経て施行された。改正サイバーセキュリティ法は、ライフサイクル全体にわたるデジタルシステムの保護や、国家的なインシデント対応計画の策定といった目標を定めている。
また、統一された科学技術・国家技術政策も求めている。この文言は、安全保障会議が戦略分析の中でデジタルに関する専門性を必要とする理由の一端を示している。
AIは第2の層を加える。AIシステムは重要なプロセスの一部となり、政府の意思決定に影響を及ぼし、機微な個人情報や経済情報を分析する可能性がある。その安全性は、周囲にあるデータ、インフラ、制度から切り離すことはできない。
カザフスタンのAI法は、2025年11月の大統領承認を経て、2026年1月18日に施行された。同法は、安全性、説明責任、透明性、人間の福祉に関する要件を含め、AIシステムの開発・利用に関する国家ルールを確立した。
同法はシステムをリスク別にも区分している。高リスクの利用には、障害が安全保障、インフラ、経済、または個人に重大な影響を及ぼし得るシステムが含まれる。
この枠組みはAIを技術として規制する。カザフスタン安全保障会議改革が扱うのは別の問いだ。AIリスクが規制、経済、国家安全保障の境界をまたぐとき、政府の上級機関はいかに調整すべきかという問題である。
この区別は重要だ。技術省は基準を策定し、開発を促進し、実施を監督できる。安全保障機関は、障害、敵対的利用、制度上の脆弱性が国家にどのような影響を及ぼし得るかを検討する。
カザフスタンは2025年から大統領AI開発会議も維持している。この諮問機関はAI政策および法制に関する提言を策定する。安全保障会議と同じ機能を担うものではない。
AI開発会議は国家開発と政策に焦点を当てる。安全保障会議の権限は、脅威、レジリエンス、調整、安全保障上の決定の実施に焦点を当てる。
これらの機関には明確な境界が必要となる。さもなければ、複数の会議体や省庁が類似の報告書を求め、重複する指針を出し、誰が問題を所管するのか不確実性を生む可能性がある。
調整の成功を示す最良の証拠は、AIを議論する機関の数ではない。機関が早期にリスクを特定し、責任を割り当て、事案が拡大する前に行動できるかどうかである。
予防的調整が約束であり、権力集中がトレードオフである
この改革はより早期のリスク検知を約束するが、その価値は中央調整が新たな承認段階ではなく、より良い意思決定を生むかどうかにかかっている。
カザフスタン政府は、事務局を国家安全保障分析を強化し、実施を改善する手段として提示している。8月の組織再編を論じた独立専門家も、事後対応型の安全保障から予防的リスク管理への潜在的な移行として説明した。
カザフスタン外交政策研究所の副所長であるマナルベク・カバジエフ氏は、現代の国家安全保障には技術、情報、経済、エネルギー、環境の要素が含まれると主張した。同氏の予防的安全保障に関する分析は、相互に結び付いたリスクの早期特定と体系的評価を重視している。
この予防モデルは、この改革の最も強い根拠である。サイバーインシデントは組織図を尊重することはほとんどなく、早期警戒の兆候は、誰かが国家的なパターンを認識する前に複数の機関に現れることが多い。
金融機関がまず不審な取引を特定するかもしれない。その後、サイバーセキュリティチームが侵害された認証情報を発見する一方で、データ規制当局は流出した本人確認記録を調査する可能性がある。法執行機関は同じ活動を組織的詐欺と捉えるかもしれない。
単一の観察だけでは、事案の全容は明らかにならない。中央の分析機関はシグナルを統合し、シナリオを検証し、被害が広がる前に対応を調整できる。
AIは、こうした統合の必要性を高める。自動化システムは数百万件の取引や記録にまたがって動作し、通常の行政報告よりも速く進行するリスクを生み出し得る。
生成AIはまた、欺瞞的なコンテンツ、なりすましの試み、標的型ソーシャルエンジニアリングを作成するコストを下げる。防御側も同様の技術を用いて脅威を分類し、調査の優先順位を付けることができる。
したがって政策上の課題は、政府がAIを利用すべきかどうかだけではない。当局者が、技術を本質的に安全または危険なものとして扱うことなく、防御上の利点と新たな攻撃面の両方を評価できるかどうかである。
中央調整は、共通の優先順位とエスカレーション経路を設定することで役立ち得る。また、ある機関が国家的脅威を自らの組織的使命だけを通じて定義することを防ぐこともできる。
しかし同じ構造はトレードオフも生む。大統領に直接説明責任を負う機関は政治的な可視性を得るが、権限の集中は独立した検証をより難しくする可能性がある。
公表された説明は、調整、分析、実施の監督を重視している。一方で、報告基準、監査の仕組み、不服申立て、あるいは機関横断的な業務で個人データをどのように取り扱うかについては、あまり情報を提供していない。
こうした問題は、サイバーセキュリティと経済犯罪の捜査が交差する場合に特に重要となる。ネットワーク記録、本人確認データ、金融情報、政府データベースを組み合わせることは検知を改善し得る一方で、不正利用による影響も拡大させる。
この改革は、カザフスタンが統合監視システムを構築した証拠と解釈すべきではない。その主張を裏付ける確認済みの発表は存在しない。
また、新設された組織を単なる行政組織と位置付けるのも時期尚早である。大統領に直接責任を負い、幅広い調整責任を担うことから、政府全体の優先事項に影響を及ぼす可能性がある。
重要な試金石は、この機構が広範な権限を規律あるプロセスへと転換できるかどうかである。そのためには、技術専門家、明確に割り当てられた責任、文書化された意思決定経路、不必要なデータアクセスへの制限が求められる。
予防的な安全保障が機能するのは、組織があらゆる不規則性を脅威と見なさずに、弱い兆候を認識できる場合である。AIツールが確実な結論ではなく確率的な評価を生み出す場合、この均衡を取ることはさらに難しくなる。
通常のソフトウェア業務における偽陽性は、時間の浪費につながり得る。国家安全保障プロセス内での偽陽性は、捜査、サービスへのアクセス、あるいは個人に対する政府の扱いに影響を与え得る。
したがって、この改革の成否は、その到達範囲と同じくらい抑制に左右される。より迅速な調整には、正確性、比例性、説明責任を守るための安全策が必要である。
経済犯罪がデジタル任務を実際の事案へ結び付ける
詐欺、汚職、盗まれたデータ、侵害されたシステムがますます重なり合うなか、経済犯罪は拡大された任務にとって実践的な試金石となる。
この規則は、汚職と経済犯罪をサイバーセキュリティ、AI、個人データ保護と並べて位置付けている。この分類は、多くの現代的な金融犯罪の実態を反映している。
攻撃者は、侵害したサービスを通じて本人確認情報を盗み、自動化ツールでなりすましを拡大し、複数の口座を介して資金を移動させる可能性がある。捜査当局はその後、1件の事案の中で技術的、金融的、管轄上の問題に直面する。
AIは、異常な取引を順位付けしたり、大規模なデータセット全体の関係性を特定したりすることで、この業務を支援できる。しかし、自動アラートは有罪の証拠ではない。捜査官が適法な手続きと追加情報を用いて精査すべきシグナルである。
この区別は銀行、テクノロジー事業者、公的機関にとって重要である。政府が省庁横断の調整を優先する場合、組織はより多くのデータ共有を求められる圧力に直面し得る。
どのデータを要求できるのか、どの機関がアクセスできるのか、どの程度の期間利用可能なのか、そして誤りをどのように訂正するのかを、明確なルールで定めなければならない。安全保障上の目標が、データガバナンスの必要性をなくすわけではない。
カザフスタンのAI法制は、政策面の土台の一部を提供している。そこには、合法性、透明性、説明可能性、個人の福祉、機密情報の保護を対象とする原則が含まれる。
AI法的枠組みは、特定の能力を禁止し、高リスクシステムに対する義務をより厳格に定めている。AIが行政や安全保障上の機微な環境で利用される場合、これらのルールの重要性は一段と増す。
ただし、法律の原則がすべての運用上の安全策を自動的に定義するわけではない。機関には、広範な要件を調達、試験、文書化、監視、インシデント対応へと落とし込む実施基準が必要である。
不正の疑いがある事案の優先順位付けに用いられるAIシステムを考えてみよう。当局者は、どのデータがシステムの学習に使われたか、どの変数が出力に影響を与えるか、集団ごとに性能がどのように変化するかを把握する必要がある。
また、誤りを検証するための手続きも必要となる。それがなければ、効率化ツールは不確実な予測を行政上の前提へと静かに変えてしまう可能性がある。
サイバーセキュリティシステムも関連する懸念を生む。集中型のセキュリティ監視は、個別機関が見落とす協調攻撃を検知できる。一方で、それ自体が魅力的な標的となるシステムに、機微なログや認証情報を集中させる可能性もある。
したがって、安全保障会議機構は自らのインフラもリスクの一部として扱わなければならない。アクセス制御、監査証跡、インシデント報告、職務分離は、より広範な情報共有に伴って整備されるべきである。
公開された規則は、カザフスタンがこうした詳細をどのように管理するかをまだ示していない。完全な技術アーキテクチャを明らかにする前に、政治的責任を定めている。
この順序は制度改革では一般的だが、情報の空白を生む。企業や技術チームは戦略的方向性を把握できる一方、運用上期待される事項についての具体的な指針を欠いている。
カザフスタンの公共部門と協働する組織は、すべての要件が直ちに変わると想定すべきではない。追加の規則で再配分されない限り、既存の省庁と規制当局は法的機能を維持する。
その代わりに、新たな報告経路、共同指令、技術基準、調達要件を注視すべきである。これらの手段が、拡大された安全保障アジェンダが日常業務にどのように及ぶかを示すことになる。
個人情報を扱う企業にも同じことが当てはまる。データフロー、ベンダー、アクセス権、自動化された判断について、正確な記録を維持すべきである。
検索可能なナレッジベースは、技術チームが方針やインシデントの証拠を保持する助けとなる。これは法的レビュー、セキュリティ管理、または公式の報告義務に代わるものではない。
複数の機関が1つの事象を調査する場合、文書化は特に価値を持つ。チームは、何が起きたのか、どの管理策が機能したのか、誰が決定を下したのか、どの証拠が各結論を支えるのかを説明する必要がある。
拡大された任務は、このような組織的記憶の価値を高める。同時に、不完全または不整合な記録がもたらす影響も大きくする。
安全保障会議にはなお説明責任の空白がある
任務範囲の拡大は、国家が複雑な脅威を正確に予測できることや、機微な技術を責任を持って統治できることを証明するものではない。
規則は、安全保障会議とその副議長が何を調整すべきかを説明している。一方で、機構が成果をどのように測定するのかについての公開情報ははるかに少ない。
この空白により、単純な成功の主張は信頼できないものとなる。多くの脅威は公に可視化されないため、大きなインシデントがないことは、予防的分析が機能したことの証明にはならない。
インシデント件数も誤解を招き得る。増加は安全保障の悪化を示す場合もあれば、検知や報告が改善したことを示す場合もある。
実施状況の評価には、こうした結果を区別できるだけの文脈が必要である。有用な指標には、対応時間、完了したリスク評価、是正率、監査結果、繰り返される統制の失敗などが含まれ得る。
国家安全保障の業務には機微な情報が関わるため、公開の透明性には限界がある。それでも、集計された報告は、運用上の秘密を明かすことなく、機関が定められた責任を果たしているかを示すことができる。
制度間の重複も別のリスクを生む。カザフスタンには現在、安全保障会議、その独立した機構、AI開発評議会、AI・デジタル開発省、サイバーセキュリティ当局、法執行機関、データ保護機能がある。
それぞれが専門知識を提供できる。一方で、エスカレーションのルールが不明確なままであれば、要請が重複したり、対応が遅れたりする可能性もある。
副議長の調整権限は、この問題に対処することを意図している。その有効性は、各機関が運用業務の明確な責任主体であり続けながら、共通の優先事項を受け入れるかにかかっている。
参加するすべての組織が、安全保障会議を最終的な責任主体と見なすなら、この改革は説明責任を弱める可能性がある。調整機関は、責任の所在を見つけやすくすべきであり、移しやすくすべきではない。
上級副議長の任命は、1つの組織に大きな監督権限を集中させる。この体制は、役割が明確に定義されていれば意思決定を加速できる。
しかし、あまりに多くの事項で中央の審査が必要になれば、ボトルネックを生む可能性がある。日常的な技術判断は、より広範な安全保障上の影響を伴わない限り、政治的なエスカレーションを待つべきではない。
AIは、多くの規制プロセスよりも技術の変化が速いため、不確実性を加える。モデル、ベンダー、データソース、攻撃手法は、正式な基準が承認サイクルを完了する前に変化し得る。
機構には、行政上の階層を通じて作成された報告だけでなく、独立した技術的知見へのアクセスが必要となる。外部研究者、業界の専門家、市民社会は、内部報告が見落とす弱点を明らかにできる。
その関与には、信頼できる経路と、重要な指摘を保護する仕組みが必要である。当局者が安心材料となる評価しか受け取れないなら、予防システムは機能しない。
先行する専門家のコメントも、この必要性を認識していた。Kabaziyevは、機構が専門家と連携し、予測およびシナリオ分析ツールを用いるべきだと論じた。
シナリオ分析は備えを改善できるが、予測ではなく構造化された見積もりにとどまる。その価値は、不確実性の下で意思決定を検証し、計画が失敗する箇所を特定することにある。
それは、あらかじめ決められた政策を正当化する手段となるべきではない。前提、証拠、信頼度、代替的な説明は、いずれも慎重に文書化する必要がある。
個人データ保護は、最も明確な説明責任の試金石となる。規則はこれを副議長の横断的責任に含める一方、安全保障および犯罪防止とも結び付けている。
市民と企業は、この調整によって情報へのアクセスがどのように変わるのかを明確に理解する必要がある。また、不正確な記録や不適切な処理に異議を申し立てる実効的な手段も必要となる。
新たな枠組みがデータ収集を拡大するのか、制限するのか、あるいは主に既存の権限を調整するだけなのかを示す公表済みの証拠は、まだ存在しない。いずれの方向についても断定すれば、確認済みの発表を超えることになる。
現時点では、この改革は統治能力の変化として読むべきである。リスクを分析・調整するためのより強力な中枢を生み出すが、成果を公に実証するものではない。
改革の成否を示す3つのシグナル
次の証拠は、実施規則、測定可能な調整、高リスクAIシステムの扱いから得られる。
第1のシグナルは、機構の運営体制である。カザフスタンはすでにこれを独立した国家機関としたが、実際に何ができるかは内部部門と技術的能力によって決まる。
人員配置の発表、専門家の任命、正式な責任分担は、デジタルセキュリティに専任の専門性が与えられるかを示す。一般的な政策部門だけでは、複雑なサイバーインシデントやAI保証に関する主張を独自に評価できない。
明確な部門分担は、予防的安全保障という解釈を強める。曖昧または重複する任務分担は、この改革が主に権限の再配置にとどまったことを示唆するだろう。
第2のシグナルは、省庁横断の手続き群である。副議長は現在、幅広い安全保障ポートフォリオにまたがって国家機関や組織を調整している。
今後の指令では、インシデントのエスカレーション、情報共有、意思決定の責任主体、実施状況のレビューが明確化されるべきである。これらの手続きは、カザフスタン安全保障会議の改革が分断を減らすかどうかを示す。
サイバーセキュリティインシデントに対する国家対応計画は、とりわけ重要である。カザフスタンの改正サイバーセキュリティ法は、政府にそのような計画を承認する責任を課している。
その計画、運用機関、安全保障会議の関係は、戦略的調整がどこで終わり、インシデント指揮がどこで始まるかを明らかにする。
明確に定義された境界は、このモデルへの信頼を高める。繰り返し、あるいは相反する指示は、中央集権化が対応を改善するという論拠を弱める。
第3のシグナルは、カザフスタンにおけるリスクベースのAIルールの実施である。安全保障機関、政府部門、請負事業者には、機微な環境で使用されるシステムを試験するための基準が必要となる。
これらの基準は、データ品質、アクセス制御、人によるレビュー、セキュリティテスト、監視、エラー訂正を対象とすべきである。また、自動化された優先順位付けと、最終的な法的または行政上の決定を区別する必要がある。
文書化された評価の証拠があれば、カザフスタンがAI開発とセキュリティ・ガバナンスを結び付けているという主張を裏付けることになる。導入状況が非公開であったり、説明責任が不明確であったりすれば、この改革における中心的なトレードオフが露呈する。
企業は、政令の大まかな文言だけに反応するのではなく、こうしたシグナルを注視すべきである。今回の発表は制度上の責任分担を変えるものだが、コンプライアンスと業務への影響を決めるのは今後の規則となる。
テクノロジー供給事業者は、データがどこで処理されるか、モデルがどのように評価されるか、インシデントがどう報告されるかについて、より多くの質問を受けることを想定すべきだ。公共部門の調達担当者には、ベンダーの主張が独立した審査に耐えることを示す証拠が求められる。
金融機関は、経済犯罪に関する連携が自らの報告関係をどのように変えるかを注視すべきである。捜査をまたいだ迅速かつ構造化された情報共有について、より強い期待に直面する可能性がある。
公共部門向けシステムを開発する開発者は、ログ、権限、モデルの挙動、第三者への依存関係について、より厳しい注目を受ける準備をすべきだ。こうした統制は、デジタル上の事象が政府機関の境界を越える際に必要となる証拠を提供する。
ナレッジワーカーもこの変化を重視すべきである。AIツールは、組織が保護しなければならない文書、通信、個人情報とますます関わるようになっている。
利便性があるからといって、どの情報をAIシステムに入力するかを判断する責任がなくなるわけではない。チームは、情報がどこに保管され、誰が取得でき、出力が重大な意思決定に影響するかどうかを把握しておくべきだ。
カザフスタンの安全保障会議改革は、最終的にはこうした実務上の詳細によって評価されることになる。その対象範囲は広く、大統領への直接的な説明責任は、新たな組織に制度的な重みを与えている。
未解決の問題は、その重みが明確な限界を維持しつつ、より早期で、より十分な根拠に支えられた意思決定を生み出すかどうかだ。新たな手続き、技術分野の任命、高リスクAIに対する統制が、最初の信頼できる答えを示すはずである。
カザフスタンのテクノロジー政策を追う読者は、今後数カ月にわたり、この3つの展開を注視すべきだ。それらは、拡大された連携が予防的な能力へと変わるのか、それとも紙の上の野心的な権限にとどまるのかを明らかにするだろう。
