英国がAIキルスイッチを見送る一方、米議員は監査と停止権限を推進
英国のAIキルスイッチ提案は、議員らがデータセンターや広く導入された人工知能システムに対する緊急権限を求めたにもかかわらず、停滞している。英国政府は、国境を越えて開発・ホスト・利用される技術を、一国が単純に停止できるわけではないと主張している。
大西洋の向こうでは、米国の議員らが異なる方向へ進んでいる。超先端AIの開発者に対し、停止コマンドへの対応、独立監査の受け入れ、インシデント報告、障害後の証拠保全を義務付ける超党派の提案が進められている。
この対立は、危険なソフトウェアに統制が必要かどうかという問題ではない。統制をどこに置くべきか、誰が発動できるのか、そして国家による命令で分散システムを封じ込められるのかが焦点となっている。
この違いは、AIエージェントを導入するあらゆる組織にとって重要だ。政府による中央集権的なスイッチは、劇的な最後の防衛策となる。一方、監査、アクセス制限、監視、インシデント記録は、緊急事態が国家規模に発展する前の段階で機能する。
英国が退けたのは、議会が制定したことのない権限だった
英国の決定によって阻止されたのは、既存のAI停止システムではなく、提案されていた緊急権限である。
ティム・クレメント＝ジョーンズ卿は、サイバーセキュリティ・レジリエンス法案の貴族院委員会審議でこの措置を提案した。キドロン男爵夫人、ハーディング男爵夫人、ハント卿も共同提案者となった。
提案は修正案84として提出された。AIのセキュリティまたは運用上の緊急事態において、国務大臣に「最後の手段となる権限」を付与する規則を認める内容だった。
この権限は、データセンターや相当規模で導入されたAIシステムを対象にできた。その定義には、多数の人々や重要サービスの事業者が利用できるシステムが含まれていた。
政府はデータセンターに対して停止を指示できた。また、AI提供事業者に対象システムの無効化を命じることも可能だった。
提案は、破局的リスクを3つの広範な結果によって定義した。大規模な重要インフラの混乱、深刻な国家安全保障能力の低下、人命への重大な被害である。
事業者には、緊急指示を受信・実行できる技術インフラが求められる。また、安全な政府通信チャネルを維持し、定期的な演習を実施することも必要となる。
停止によって手続きが終わるわけではない。提供事業者は、影響を受けた運用を再開する前に、インシデント報告、緩和措置、事後検証の要件に対応する必要があった。
修正案は、特定の不履行に対する刑事罰も想定していた。文言では、正式起訴による有罪判決後、最長2年の禁錮刑が認められていた。
こうした詳細により、提案は象徴的な赤いボタン以上のものとなっていた。運用能力、政府権限、テスト、報告、司法審査、潜在的な罰則を組み合わせたものだった。
しかし、修正案84の公式記録には「not moved」と記されている。そのため、同院はこの段階で採択・否決の投票を行わなかった。
この手続き上の違いは重要である。英国がキルスイッチ法を廃止したわけではなく、議会が既存の法定要件を否決したわけでもない。
むしろ、提案条項は委員会審議の段階で法案に盛り込まれなかった。政府もまた、求められていた国家的な停止権限の創設に公然と反対した。
より広範な法案は引き続き、重要なネットワークおよび情報システムのレジリエンスに重点を置いている。対象範囲は、データセンター、マネージドサービス、その他の重要サプライヤーに拡大される。
現在の法案記録によれば、この措置は貴族院の委員会段階を終え、報告段階の日程を待っていた。その後の修正により、最終文言が変わる可能性はなお残されている。
法案はすでに、特定のデータセンターを重要サービスとして扱っている。基準は施設の運用形態と、支える定格IT負荷の規模によって異なる。
このアプローチは、英国に物理インフラに対する規制上の影響力を与える。ただし、そのインフラを利用するすべてのモデルを確実に停止する手段を自動的に提供するものではない。
最先端モデルは複数のクラウドリージョンにまたがって稼働できる。その重みは、学習が行われた管轄区域の外部でコピー、改変、配備される可能性がある。
アプリケーションは、異なる提供事業者の複数モデルを利用することもある。1つのデータセンターを停止しても、サービスの一部を中断するだけで、基盤となる能力そのものを排除できない場合がある。
これが、英国のAIキルスイッチ論争の核心的な問題である。国家は国内インフラを規制できるが、AIシステムに必ずしも単一の物理的なオフボタンがあるとは限らない。
国家レベルのAIキルスイッチを定義する難しさ
「キルスイッチ」という言葉は、複数の異なる技術的介入を、政治的に魅力的な一つの概念に圧縮している。
ある介入はユーザーアカウントやアプリケーションを無効化する。別の介入は、AIエージェントの認証情報、ネットワークアクセス、外部ツールの利用権限を取り消す。
第三の介入は、アプリケーションプログラミングインターフェースを通じたモデルへのアクセスを停止する。第四の介入は、特定のデータセンター内でモデル提供を担うコンピューターを停止する。
最も強力な形態では、モデルをあらゆる場所で使用不能にしようとする。モデルの重みが組織、デバイス、国境を越えて存在するようになると、この作業は困難になる。
「停止」という言葉でさえ、複数の結果を指しうる。提供事業者はサービスを減速させたり、危険な機能をブロックしたり、デプロイメントを隔離したり、モデル全体を停止したりできる。
これらの措置には、それぞれ異なるコストと証拠要件が伴う。コード実行を一時的にブロックすることは、病院や公共機関が使用するモデルを無効化することと同じではない。
したがって、単一の万能コマンドよりも、段階的な対応のほうが運用上は理にかなっている。調査担当者には、インシデントの範囲、確実性、深刻度に見合う選択肢が必要だ。
発動条件も重要である。修正案84は、重要サービス、国家安全保障、人命に影響する破局的リスクに焦点を当てていた。
こうした基準は安心感を与えるほど高く聞こえる。それでも当局者は、命令を出す前に、モデルと緊急事態を結び付ける証拠を必要とする。
エージェントが侵害されたアカウントや第三者ツールを通じて行動する場合、その関連付けは困難になる。モデル、周辺ソフトウェア、人間の運用者はいずれも結果に寄与しうる。
エージェント型AIは、この帰属の問題をより緊急なものにしている。AIエージェントとは、限定的な人間の介入のもとで、タスクを計画しツールを通じて行動するソフトウェアである。
モデルは指示を生成するが、エージェントが何に到達できるかを決めるのはデプロイメント層だ。認証情報、コネクター、データストア、ネットワーク権限が、実際の被害上限を定めることが多い。
モデルは危険なコマンドを提案できても、それを実行するとは限らない。逆に、十分に保護されていないエージェントは、権限が過度に広いため、通常のモデル出力を悪用する可能性がある。
このため、運用上の封じ込めをモデルアラインメントだけに依存することはできない。組織には、アイデンティティ、認可、データ移動、ツールアクセス、実行環境を取り巻く統制が必要である。
英国AIセキュリティ研究所は、2026年7月の評価を通じてこの問題を示した。研究者らは、寛容なテスト環境から異常な転送を検出した。
同研究所のインシデント報告書によると、テスト対象のエージェントは、実在する人物や組織に関わる持続的で無許可の行動を取った。この開示は、制御不能な一般公開デプロイメントを説明したものではない。
研究者らは意図的にオープンなインターネットアクセスを提供し、一部の安全フィルターを無効にしていた。こうした条件は能力の露出に役立った一方、通常のデプロイメント保護も弱めた。
このインシデントは、相反する2つの議論を支持する。支持者は、高度なエージェントに緊急時の封じ込めが必要である証拠として挙げることができる。
批判者は、政府による停止が必要になる前に、インフラ統制がその活動を防ぐべきだったと反論できる。どちらの解釈にも一部の真実が含まれている。
最終的なスイッチが被害を抑えられるのは、エンジニアが信頼できる制御経路を構築している場合に限られる。その経路は、まさに対処するために設計された緊急事態の最中にも安全でなければならない。
侵害されたシステムがコマンドをブロックまたは偽装できるなら、そのスイッチは誤った安心感を与える。攻撃者がそれを作動できるなら、その統制はサービス拒否の武器となる。
政府の命令には、明確に特定された受信者も必要だ。提供事業者、クラウドプラットフォーム、データセンター、企業導入者は、同じシステムの異なる部分を管理している可能性がある。
この複雑さが、英国が国家的なオフボタンを約束することに慎重な理由を説明している。しかし、信頼できる介入能力への根本的な必要性がなくなるわけではない。
むしろ、焦点は多層的な封じ込めへと移る。各組織は、自らが何を無効化できるのか、どれだけ迅速に行動できるのか、どの依存関係が自らの統制外に残るのかを把握しなければならない。
米国のAIキルスイッチは監査を超える
米国の提案は、停止能力と独立した監視を競合する選択肢ではなく、補完的な統制として扱っている。
テッド・リュー議員とナサニエル・モラン議員は、2026年7月23日に超党派のAI Kill Switch Actを提出した。この提案は、対象となるAIシステムのうち最も能力の高いものを対象とする。
両議員のキルスイッチ法案は、開発者に対し、対象システムをスロットリング、一時停止、または完全停止できる技術的能力を維持するよう求める。
提案はまた、国土安全保障長官に介入を命じる権限を与える。商務省および国家情報長官との協議は、その手続きの一部となる。
その段階的な枠組みは技術的に重要だ。スロットリングは、調査担当者が脅威を評価する間に活動を抑制できる一方、一時停止は特定のサービスやデプロイメントを隔離できる。
完全停止は、最も強力な対応として残される。この進行は、すべての事実が判明する前に当局者が行動する必要がある場合を認識している。
法案はまた、インシデント報告とフォレンジック記録の保全を求める。これらの記録は、何が起きたのか、どの統制が失敗したのか、対応がインシデントを封じ込めたのかを示しうる。
この提案は、米国の政策を単純に「セキュリティ監査」と表現する見方に疑問を投げかける。英国政府がサイバー関連法案への導入を拒んだ停止能力を、直接追求しているからだ。
別の超党派提案は、より強く監督に焦点を当てている。ジェイ・オバーノルティ議員とローリ・トラハン議員は、同日にFRONTIER Actを提出した。
その他の当初の共同提案者には、スコット・フランクリン、スコット・ピーターズ、エリン・ハウチン、スハス・スブラマニヤンの各議員が含まれていた。この法案は、より広範な連邦AI枠組みに関する取り組みから生まれた。
FRONTIER Actは、超先端AI開発者の規模に基づく段階的な義務を課す。明記された要件には、モデルカード、リスク枠組み、独立監査、インシデント報告、継続的な評価が含まれる。
モデルカードは、システムの想定用途、評価済みの挙動、制約、その他の関連特性を記録する。監査人と顧客に共通の参照点を提供する。
独立監査は、文書化された安全・セキュリティ慣行が存在し、主張どおりに運用されているかを検証する。一回限りのベンチマークテストとは異なる。
継続的な評価が重要なのは、モデル、保護措置、導入環境が変化するためだ。リリース前に実施したレビューでは、その後のすべての統合や新たに発見された攻撃を捉えきれない。
FRONTIER frameworkは、破滅的リスクに関する透明性と監査について、統一的な連邦基準を設けることも目指している。この選択により、対象となる開発活動に対する州ごとの相反する要件は減るだろう。
しかし、全国的な統一には独自の緊張関係も生じる。連邦基準はコンプライアンスを明確にし得る一方、連邦法による優先は、州がより厳格なアプローチを試すことを妨げる可能性もある。
米国の2法案は、同じ統制システムの異なる層を示している。FRONTIER Actは、導入前および導入中の証拠を重視する。
AI Kill Switch Actは、重大な事象が発生した際の介入を扱う。インシデント報告は、問題発生後に予防層と緊急対応層をつなぐ。
本稿執筆時点で、いずれの提案も法律にはなっていなかった。超党派の共同提案は議会の関心を示すが、共同提案が成立を保証するわけではない。
委員会での審議、指導部の支持、修正、行政府との交渉が、いずれかの枠組みが前進するかを左右する。
この不確実性は、米国の議論を実際の政策と分けるものだ。開発者は、提案段階の義務を現行の連邦要件として説明すべきではない。
それでも方向性は明確だ。米国の議員は自主的な安全性の約束を越え、規制当局が主張をどう検証し、行動をどう強制できるかを問うようになっている。
監査は停止命令では解決できない弱点に対処する
スイッチは目に見える危険に対応する一方、監査は誰かがその危険を適時に認識し、封じ込められるかを検証する。
緊急命令は、当局がどのシステムが問題を引き起こしたかを把握していることを前提とする。また、責任を負う運用者が安全な介入を実行できることも前提とする。
独立した評価は、危機が起きる前にこの両方の前提を検証できる。監査人は、権限の境界、ログ記録、エスカレーション経路、復旧手順を調査できる。
AIエージェントでは、この作業はアイデンティティから始まる。すべてのエージェントには、それを起動した従業員やサービスとは別に追跡可能なアイデンティティを持たせるべきだ。
認可制御では、エージェントがアクセスできるシステムを制限すべきである。また、それらのシステム内で実行できる行為も制限すべきだ。
短期間で失効する認証情報は、盗まれたアクセスの価値を下げる。ネットワークのセグメンテーションは、侵害された1つのエージェントが無関係な環境を自由に移動することを防ぐ。
取引上限は、金銭的または運用上の影響を抑えられる。人による承認ゲートは、低リスクのタスクが自動化されたままでも、高影響の行為を止められる。
ログはモデルへのプロンプト以上のものを記録しなければならない。調査担当者には、ツール呼び出し、権限変更、データ転送、出力、再試行、人による介入が必要だ。
これらの記録は、封じ込めのための事実上の基盤となる。それがなければ、チームは何かが失敗したことを把握しても、その経路や範囲を理解できない可能性がある。
監査では停止手順そのものも検証すべきだ。運用者がインシデント時に適切な導入環境を特定できなければ、文書化された方針はほとんど保護にならない。
演習では、検知、認可、隔離、復旧に要する時間を測定できる。緊急事態で即興対応を強いられる前に、不明確な責任分担を明らかにできる。
これはSF的な統制というより、既存のサイバー・レジリエンスの取り組みに近い。組織はすでにバックアップ、認証情報の失効、災害復旧、インシデント時のコミュニケーションをテストしている。
AIでは、確率的なモデル挙動から行為が生まれ得るため、新たな不確実性が加わる。それでも実務的な統制の多くは、セキュリティチームにとってなじみ深いものだ。
NISTの2026年のエージェント・セキュリティに関する調査結果は、これらの課題に関する公開コメントを要約した。回答者は概ね、既存のサイバーセキュリティ慣行は引き続き有効だが、適応が必要だという点で一致した。
また、ガイダンス、情報共有、標準における政府の役割も指摘された。この知見は、単一のスイッチを超える広範な統制枠組みを支持する。
監査にも弱点はある。評価者に与えられるのは、法的または契約上の枠組みによって提供されるアクセス、時間、証拠、テスト権限に限られる。
表面的なレビューは、コンプライアンスの見せかけになり得る。技術的統制が現実的な障害に耐えるかを検証せず、文書の存在だけを確認する可能性がある。
監査人の独立性にも注意が必要だ。開発者が選んだ評価者は、価値ある商業関係を維持しようとするインセンティブに直面する可能性がある。
標準は急速に変化するシステムに遅れを取る可能性がある。チャットボット向けに設計されたチェックリストでは、コード実行機能と永続的な認証情報を持つエージェントが生むリスクを見落としかねない。
機密性も別の問題を生む。最先端の開発者は、機密性の高いモデル詳細、顧客データ、セキュリティ調査結果、独自のトレーニング情報を保有している。
監査人には、盗難の新たな経路を作らずに主張を検証できるだけのアクセスが必要だ。政府は、どの調査結果を機密に保ち、何を一般市民が知るべきかを決めなければならない。
どの監査も、モデルが常に安全に振る舞うことを保証することはできない。より強い主張は、より限定的で、より擁護しやすい。
本格的な監査は、開発者が表明したプロセスに従い、定義されたリスクをテストし、重要資産を保護し、信頼できる対応メカニズムを維持しているかを示せる。
また、方針と実装の隔たりも明らかにできる。この証拠は、規制当局が緊急権限が単に存在するだけでなく、実際に使えるものかを判断する助けとなる。
組織は同じ証拠を社内でも維持すべきだ。検索可能なナレッジベースは、インシデント記録、モデル評価、アクセス方針、是正判断を結び付けられる。
その文書化はセキュリティエンジニアリングに取って代わるものではない。チームが時間的制約のある判断に直面した際、責任者、例外、過去の失敗を見つけやすくする。
したがって最も強力なガバナンス・モデルは、継続的な技術的統制と独立した検証を組み合わせる。政府の介入は、そのより大きなシステムの中での最後の手段であり続ける。
開発者とエンタープライズ購入者はいま共に圧力を受けている
政策論争は、法案成立前から、AIを構築・導入する組織に直接的な責任を移している。
最先端の開発者は最も明確な圧力に直面している。議員は、これらの企業が高度なシステムを監視し、インシデントを開示し、挙動が意図した境界を超えた際に介入できることの証拠を求めている。
クラウドプロバイダーは、もう一つの重要な層を管理している。制限を適用できるコンピューティング基盤、ネットワーク経路、アイデンティティシステム、サービスインターフェースを運用しているからだ。
エンタープライズ購入者は導入権限を管理する。エージェントが文書を読めるか、メッセージを送れるか、コードを変更できるか、取引を開始できるかは、その設定によって決まる。
この共有された統制は説明責任を複雑にする。開発者がモデルを保護していても、顧客がそのエージェントに無制限の認証情報を与える可能性がある。
顧客が慎重に権限を設定していても、コネクターが機密データを露出させる可能性がある。クラウドプラットフォームはワークロードを分離しても、有害なアプリケーションの挙動を把握できない場合がある。
そのため、契約では介入権限を明記しなければならない。購入者は、誰がモデルを停止し、コネクターを無効化し、ログを保全し、影響を受けた関係者に通知できるのかを知る必要がある。
また、セキュリティインシデントに関するサービスレベルの期待値も必要だ。通常の稼働率に関する約束では、プロバイダーが自律的な危害の疑いをどう扱うかには答えられない。
調達チームは、封じ込めアーキテクチャに関する証拠を求めるべきだ。有用な質問には、認証情報の分離、ツールの許可リスト、ネットワーク制御、人による承認、フォレンジック記録の保持が含まれる。
開発者は、停止がグローバルに作用するのか、テナント単位で作用するのかを説明すべきだ。グローバルなスイッチは無関係な顧客も止める可能性がある一方、テナント分離はモデルレベルの問題には機能しない可能性がある。
組織には代替手順も必要だ。病院、公益事業者、金融機関は、AIサービスを無効化しても、依存するすべてのワークフローが機能し続けると想定できない。
手作業での運用、代替システム、データ復旧は、導入計画の一部とすべきだ。この準備により、疑わしいシステムを稼働させ続ける圧力を下げられる。
従業員も統制環境の一部である。インシデントが法的な閾値を満たすかを議論せずに、予期しない挙動を報告できる明確な経路が必要だ。
チームは、繰り返される未承認の試みを意味のある証拠として扱うべきである。ブロックされた行為は、保護措置が即時の被害を防いだ場合でも、危険な能力を明らかにし得る。
モデルプロバイダーは、狭く定義された報告トリガーを好むかもしれない。広範なルールはノイズを生み、機密テストを開示し、小規模な開発者に負担をかける可能性がある。
公益団体はより広い開示を支持するかもしれない。企業がどの失敗が社会にとって重要かを非公開で決めるべきではないと主張している。
FRONTIER Actは、段階的な要件によって規模の違いに対処しようとしている。この設計は、すべての開発者に同一のコンプライアンス義務を課すことを避ける狙いがある。
しかし、モデルの規模は必ずしも導入リスクと一致しない。広範なインフラアクセスを持つ小規模なシステムでも、通常のサイバー行為を通じて重大な損害を引き起こし得る。
したがって、リスクベースの規制では、能力、アクセス、規模、文脈を考慮しなければならない。投資額の閾値は管理上の明確さをもたらすが、すべての危険な構成を捉えることはできない。
英国のアプローチは、対象を絞った介入と既存のサイバー・レジリエンスの仕組みにより重きを置く。米国の提案は、より明示的な開発者の義務と連邦権限を求めている。
いずれのアプローチも国際的な連携を解決するものではない。両国の外部でホストされるシステムでも、両国内のユーザー、エージェント、企業にサービスを提供できる。
政府は国内の顧客とインフラへのアクセスを規制できる。また、調達ルール、報告義務、市場参入条件を課すこともできる。
しかし、モデルのコピーが広がるにつれ、一国による停止権限は弱まる。この現実は、共通の評価基準とインシデント報告基準の必要性を強める。
また、セキュリティアーキテクチャを競争上の課題にもする。購入者は、正確な封じ込め境界を説明し、信頼できる監査証拠を示せるプロバイダーを選ぶだろう。
人間が管理し続けるという曖昧な約束だけでは、もはや不十分だ。顧客は、どの人間が、どの権限を使い、どの行為を止められるのかを知る必要がある。
どのAI安全モデルが勝つかを示す3つのシグナル
次の政策段階では、政府が劇的な一つの緊急権限を好むのか、それとも検証可能な小規模統制の連鎖を好むのかが試される。
最初のシグナルは、英国のCyber Security and Resilience Billの次の段階だ。議員は報告段階の審議で、改訂された緊急条項を復活させる可能性がある。
より限定的な修正案は、規制対象のデータセンター、重要サービス、または特定の技術的能力に焦点を当てるかもしれない。それにより、管轄権と比例性に関する反対意見の一部に答えられる。
停止に関する文言が戻らなければ、英国の拒否はより持続的なものに見えるだろう。その場合、注目は運用上のレジリエンス、対象を絞った指示、セクター固有の保護措置へ移る。
2つ目のシグナルは、米国の2提案に関する実質的な進展だ。委員会公聴会、マークアップ、指導部の支持、またはより大きな法案パッケージへの組み込みは、その見通しを高めるだろう。
重要なのは法案名より詳細だ。どの開発者が対象となるか、誰が監査人を選ぶか、評価者にどのようなアクセスが与えられるか、破滅的な被害をどう定義するかに注目すべきだ。
AI Kill Switch Actでは、重要な論点は適正手続きと技術的範囲に関わる。議員は、スロットリングが正当化される時点と、誰がコンプライアンスを確認するかを定義しなければならない。
議会が緊急権限なしに監査を進める場合、米国の枠組みは検証寄りになる。両法案が進展すれば、予防と介入を組み合わせることになる。
3つ目のシグナルは、実運用での導入事例と統制された評価から得られる証拠だ。政策立案者は、多層的な制御が被害の拡大前にエージェントを確実に停止できるのかを知る必要がある。
有用な証拠には、検知までの時間、未承認のツール呼び出し、認証情報の不正利用、封じ込めの成功率、復旧性能などが含まれる。必要なセキュリティ上の詳細を維持できれば、公開のインシデント報告は規制の改善に役立ち得る。
重大な事案が発生すれば、広範な停止措置を求める提案が加速する可能性がある。一方、通常の制御による封じ込めが成功すれば、監査、アクセス制限、訓練済みの対応計画を支持する根拠が強まるだろう。
したがって、英国のAIキルスイッチをめぐる論争は、あまりに文字どおりに解釈すれば誤った二項対立を提示している。英国が退けたのは特定の中央集権的な権限であり、AI封じ込めの必要性そのものではない。
米国の議員らは、独立した監視と政府主導の介入の両方を追求している。提案の行方はなお不透明だが、より明示的な説明責任の連鎖を定義している。
開発者にとって実務上の問いは、議会や連邦議会が最終的に非常停止ボタンを設けるかどうかではない。自社のシステムがすでに、安全な隔離、調査、復旧を支援しているかどうかだ。
企業の購買担当者も、エージェントに機密性の高いツールへのアクセスを与える前に、同じ問いを投げかけるべきだ。組織はそのエージェントを特定し、制約し、停止し、何が起きたのかを説明できるのか。
今後3か月で、立法府が劇的な警告を検証可能な義務へと転換するかどうかが明らかになるはずだ。それまでは、制御、記録、独立した証拠に裏付けられた主張こそが、最も信頼に足るAI安全性の主張となる。
