バージニア州のAIコーディング審査

要約

2025年8月時点で、VITAは近代化が必要な州ITアプリを850超特定し、そのうち300超は緊急対応の対象としていた。
JLARCの委員会草案は、近代化案件で使うAIコーディング支援の審査迅速化と、技術・リスク対策の公開を提案する。
バージニア州にはAIの承認とコード検証の仕組みがある。新しい短縮経路には、読み取り・変更・本番反映の権限に沿った段階が要る。

近代化の対象は数えられている。AIコーディング支援の審査時間は、まだ報告されていない。

バージニア州情報技術局（VITA）は2025年8月時点で、近代化を要する州のITアプリケーションを850超把握していた。300超には緊急の対応が必要だった。数字を示したのは、Joint Legislative Audit and Review Commission（JLARC）が2026年10月13日にまとめた委員会草案「Governance and Oversight of Artificial Intelligence in Virginia」だ。適切な統制を設ければ、AIコーディング支援は古いシステムの更新に役立つ可能性があるとして、草案はVITAに審査の迅速化と技術・リスク軽減のガイダンスを求めている。報告書と勧告は、どのアプリが対象になるのか、いま承認に何日かかるのかを示していない。

問うべきは、支援ツールが何を読めて、何を書き換えられるかだ。公開コードを隔離環境で調べるツールと、内部リポジトリや機微情報に触れ、本番ブランチへ変更を書き込めるエージェントでは、影響の広さが違う。審査にかける時間も権限で変えるべきだ。

バージニア州には承認手続きがある。2026年6月改訂のVITA EA400政策では、州機関が開発・導入・調達を目指すAIシステムを州の登録簿に載せ、機関のIT代表と情報セキュリティ責任者、VITAと州CIO、行政長官の順に審査する。評価項目は公平性、公共利益、人間の監督、リスク、データ管理、費用対効果、ベンダー保証に及ぶ。EA400はAIを公共サービスへ導入するための統制面を定めた。JLARCが示す課題は、その手続きの多くがリスクの大小にかかわらず同じように課されることだ。

草案によれば、VITAは機関向けの共通リスク評価手段を示していなかったのに、申請ではリスクの特定を求めていた。機能特化型AIを使う州執行機関の48％は、要件の不明瞭さを大きな制約、または中程度の制約と答えた。さらに、現行基準は自律型エージェントや、州システムとデータへアクセスさせる際の安全策を扱っていないという。隔離試験の提案に長い一律手続きがかかり、広い書き込み権限を持つツールには十分な確認が残らないなら、審査は時間を費やしても危険を絞り込めない。

職員の利用はすでに広がっている。調査対象の機関の97％は、制限を付けながらも職員による汎用AIの利用を認めていた。VITAがサービスを提供する職員の76％は、1か月の間に汎用AIを使ったとJLARCは推計する。利用例にはコード改善がある。これは850超の旧アプリのうち何件にAI支援が適しているかを示す数字ではない。現場の職員が日々の仕事でAIを使っていることを示す。JLARCの概要は、汎用ツールと機関が導入するシステムを分けて記述している。

生成されたコードの検証と、ツール自体を使う承認も別の仕事だ。VITAのAI FAQは、生成コードを開発ブランチに加える前に資格を持つ開発者が確認し、本番前にセキュリティ、機能、性能を試験するよう案内する。これは変更内容を点検する手順だ。ツールがどのリポジトリを見られるか、誰が利用責任を持つか、承認に何日かかるかは別の決定になる。

JLARCの提案は、迅速な審査と技術・リスク対策を一緒に求めている。公開コードや合成データを使う隔離環境には短い経路を設ける。内部コードへアクセスするツールには担当者を置き、権限を限定し、変更履歴を残す。機微情報や本番環境へ自律的に書き込む機能には、強い審査、再現できるテスト、復旧担当者を求める。これは筆者の設計案であり、州がすでに採用した制度ではない。

草案は、850超のアプリのうち何件がコーディング支援に適しているかも、AI審査に何日かかるかも報告していない。VITAが申請数と判断日数を権限別に公開すれば、承認手続きが近代化の詰まり場所なのかを測れる。

出典：JLARC報告書621、草案の勧告、VITA EA400政策、VITA AI FAQ、VITA EA225基準。