MicrosoftがAI統治基準を刷新、エージェントには個別権限が必要

Microsoftは2026年9月1日、第3回のResponsible AI Transparency Reportを公開し、社内のResponsible AI Standardを刷新した。Microsoftの発表 では、新基準をモデル、プラットフォームサービス、アプリケーションの各層と、同社が開発者・導入者のどちらを担うかに応じて再構成したとしている。

9月1日に示された変更の要点は、AIの安全性をモデルの応答だけで評価せず、エージェントが接続するツールやデータ、実行できる操作まで統治することだ。MicrosoftはエージェントID、ツール権限、行動監視を主要な制御として挙げた。タイトルの「個別権限」は、すべてのエージェントに同じ包括的な権限を与えるのではなく、識別可能な主体ごとに操作範囲を限定するという意味である。

モデルの出力から、操作を含むシステム全体へ

エージェント型AIは、回答を生成するだけでなく、ツールを呼び出し、データへアクセスし、複数段階の処理を進められる。モデルの応答が妥当でも、接続先や権限が過大なら、情報の更新、外部送信、重要処理の実行といった別のリスクが残る。このため、新基準はモデル、エージェント、アプリケーション、ツール、データ、人の相互作用を一つの統治対象として捉える。

IT Briefの報道 も、今回の変更を、事前のモデル評価から継続的でライフサイクル全体の統治へ重点を移すものと整理している。エージェントのリスクは、利用者、接続するシステム、保持する情報、利用可能なツールによって稼働中にも変わり得るためだ。

したがって、同じ基盤モデルを採用した二つのシステムでも、権限、メモリー、接続先、人による承認条件が違えば、同一のリスク評価では足りない。モデルの性能表や出力テストは引き続き必要だが、それだけではエージェントが現実に起こせる操作の範囲を説明できない。

エージェントIDと操作別の権限が必要になる

エージェントIDの役割は、自動処理を追跡可能な主体にすることだ。IDに所有部門、業務目的、承認者、有効期間、利用できるデータやツールを結び付ければ、誰の管理下で何を実行したかを確認できる。問題発生時には、対象のエージェントを特定して停止し、資格情報や権限を失効させることも可能になる。

権限は「業務システムを利用できる」といった一括許可では粗すぎる。閲覧、作成、更新、削除、送信などを分け、業務に必要な操作だけを許可する最小権限が中心になる。利用者本人が広い権限を持っていても、その権限をエージェントへそのまま委任すべきだとは限らない。

たとえば、経費申請を確認するエージェントには、申請内容と社内規程の閲覧が必要になる。一方、銀行口座の変更や支払い確定まで自律実行させる必然性はない。これは条件を示すための例だが、能力として実行できることと、業務上許可する行動を分けるという新基準の方向性を具体化している。

開発者と導入者の責任を分けた

2026年版報告書 によると、刷新したStandardには開発者と導入者の責任を分ける二つの章が設けられ、共通要件とシナリオ別要件も分離された。Microsoftは基準の再設計にあたり、成立済みおよび提案中の法律を100件超検討し、30超のチームから80人超が参加したとしている。また、エンジニア、政策担当者、顧客を含む約2万人に責任あるAIの研修を提供した。

開発側は、想定用途や制限、リスク評価、技術的な防御、評価方法を整える。導入側は、実際の利用者、組織内データ、権限構造、業務フローを踏まえ、導入環境に固有のリスクを評価し、人による監督や問題発生時の対応を実装する。外部のモデルや完成済みアプリケーションを採用しても、導入環境に関する責任まで提供者へ移るわけではないという整理だ。

ただし、この報告書はMicrosoftによる方針と実績の自己開示である。約2万人への研修や100件超の法令検討は統治体制の規模を示すが、すべての製品や導入案件が要件を満たしたことを証明する個別の外部監査結果ではない。また、新基準はMicrosoftの社内標準であり、そのまま日本企業への法的義務になるものでもない。

稼働後の監視を権限変更と停止へつなぐ

エージェントは、利用可能なデータ、過去の処理、ツールの状態によって異なる経路を選ぶことがある。そこで必要になるのが、公開前のテストに加え、稼働後のツール呼び出し、使用したID、アクセス先、承認の有無、拒否された操作、例外や異常な反復を記録する仕組みだ。

監視はログを保存するだけでは統制にならない。許可外の操作、通常と異なるデータへの接触、承認を経ない重要処理を検知した際に、実行の中断、資格情報の失効、権限の縮小、担当者への通知へ結び付ける必要がある。検知結果を次の評価や権限設計へ戻すことで、事前審査だけでは捉えられない変化に対応する。

日本企業が今回の方針を導入審査へ落とし込む場合、モデル名や精度だけを記録したAI台帳では不足する。少なくとも次の項目を、エージェント単位で結び付けて管理する必要がある。

• 識別と所有：固有ID、業務目的、責任部門、承認者、停止を判断する担当者。
• 権限境界：利用可能なデータ、API、ツールと、閲覧・更新・削除・送信など許可する操作。
• 委任条件：利用者の権限を引き継ぐ範囲と、重要操作で人の承認を要求する条件。
• 観測と対応：ツール呼び出し、拒否、例外、権限変更を追跡し、異常時の停止手順へ接続する仕組み。
• ライフサイクル：導入前評価、用途変更時の再審査、利用終了時のID・資格情報・権限の廃止。

今回確認されたのは、MicrosoftがResponsible AI Standardを技術スタックと開発・導入の役割に合わせて刷新し、エージェントの識別、権限、稼働中の行動を統治対象として明示したことだ。今後は、更新された要件が各製品と社内外の導入案件へどのように適用され、例外、インシデント、是正結果を含む実装実績が次回以降の報告でどこまで検証可能になるかが焦点となる。