要約

  • AB 1405により、2029年1月1日以降、対象AI監査を提供・販売・実施する者はGovernment Operations Agencyの公開名簿に登録しなければならない。独立性、通報、登録抹消、証拠の10年保存も定められた。
  • SB 813は2028年までに独立検証機関（IVO）の指定基準を別途整備させる。開発者に監査を義務付けず、基準に沿った監査が損害訴訟で考慮されても結論を決めるものではないと明記している。

同じ日に生まれた二つの資格

Gavin Newsom知事は9月9日、AB 1405とSB 813に署名した。知事発表は、二法を第三者評価の一体的な枠組みとして説明する。しかし条文は、一枚の州認証ではなく、目的の違う二つの入口を作っている。

AB 1405が問うのは、市場で誰が対象監査を扱えるかだ。対象監査とは、AIシステムやモデルが州法を守るために設けた内部統制、手続、仕組みを評価する仕事である。GovOpsは2029年1月1日までにオンライン名簿を設け、運営の合理的費用を超えない年次料金を定め、自然人が登録監査人の不正を通報できる窓口を置く。同日から、未登録者はこの監査を提供、販売、実施できない。

SB 813の問いは狭く、要求水準は高い。リスクを評価し、その根拠となる指標と方法を示す専門性を証明したAI監査人を、independent verification organization、すなわちIVOとして指定する。GovOpsは2028年1月1日までに申請要件、適格性基準、指定の停止・終了手続を用意する。義務的な登録より一年早いが、登録者が自動的にIVOになるとは書かれていない。

この記事のディレクトリ指定が未解決なのは意図的である。二法が実施を命じるのはCalifornia Government Operations Agencyであり、同庁の公式説明も州政府横断の戦略実施を担う閣僚級組織と位置付ける。BTWにあるCalifornia Department of Technologyの項目はネットワーク資源上の別主体で、State of Californiaの項目には識別上の競合がある。誤った機関に権限を結び付けるより、GovOpsという正確な未解決項目を残す方がよい。

登録番号は営業資格であって推薦状ではない

AB 1405の登録申請では、事業名と連絡先、対象監査に用いるカリフォルニア州法・規則、関連する認証、サービス説明を提出する。標準作業手順書には、適用する規格と、監査手法の正確性・信頼性・妥当性に関する主張の根拠を記す。公開情報の正確さに重要な影響を及ぼす変更は90日以内に更新する。

州のページは登録番号と提出情報を公表し、対象監査サービスを提供または勧誘するすべての広告にも番号を明瞭かつ目立つ形で表示させる。その一方、登録がカリフォルニア州による推薦や承認ではないとの注意も掲げなければならない。条文末尾にも同じ境界がある。規制された業務への参加資格と、あらゆる領域で優れているという評価を切り分けるためだ。番号が、将来行う一件一件の監査結果まで保証するわけでもない。

もちろん単なる名簿ではない。登録監査人は、自らが実質的に設計、開発、実装または運用したシステムや統制を監査できない。財務、事業、雇用その他の関係が合理的に見て独立性を損なう場合も受任できない。通常の監査報酬だけで禁止関係になるわけではないが、担当者は監査中に被監査者への就職を求めたり交渉したりできない。過去12か月に被監査者側で対象事項に重要な責任を負った者も、その監査には就けない。

被監査者に渡す報告書には、範囲、目的、結果、根拠資料を含める。不備ごとに妥当な技術・運用・統治上の是正策を示せる場合は示し、対象範囲の内部安全規則が守られたかを説明する。調べなかった事項、証拠不足、情報やシステムへのアクセス制約も記載する。最後に章の要件に従ったとの文言を署名・日付入りで付し、結果の裏付けとともに少なくとも10年間保存する。

ただし、この報告書は自動的に公開されない。AB 1405が公開を求めるのは登録情報で、個別案件の成果ではない。通報は監査人の登録期間とその後10年間保存され、執行のため他の州機関と共有できるが、一般公開は義務ではない。したがって利用者は「登録中」を確認できても、進行中の調査、重大な除外事項、その番号が宣伝する監査対象を知れない可能性がある。

IVO指定は能力と方法をもう一段深く見る

SB 813のIVO申請者は、資格、将来の基準を満たす証拠、使用予定のベンチマーク、技術、測定指標、方法論を示す。GovOpsは技術的専門性、リスク評価能力、利益相反の管理、被評価者の運営・経営上の支配からの独立を少なくとも検討する。市場相当の報酬は受け取れるが、結論に応じて支払いや金額が変わる契約は許されない。

停止・終了手続が扱うべき事情には、適切な基準への違反、申請や報告での重大な虚偽、独立性を害する相反、文書不足、誠実性・客観性・能力を疑わせる行為、サイバーセキュリティ上の不備が並ぶ。指定は登録の言い換えではなく、公開され更新される基準のもとで検証能力を判断したという、より強い制度上の状態になる。

指定IVOは、最初の指定から12か月が過ぎるまでは要求されないものの、その後は毎年GovOpsと州議会へ報告する。規格と方法の要約、独立性に関係する統治方針や資金源の変更、申請情報の変更が対象だ。営業秘密、サイバーセキュリティ、公共安全、国家安全保障、法令順守のための削除は認められる。公開版がある場合、保護理由が許す範囲で削除の性質と理由を示し、完全版は5年間保管する。

それでもIVOはAIシステムの許可証ではない。SB 813は、開発者、導入者、運用者にIVOの利用や対象監査を義務付けない。基準に従わなかったことだけで責任を生じさせず、基準の公表はAIシステムやモデルへの州の承認を意味しない。AIによる損害が争われる訴訟では、特定基準に沿った監査は関連する事実にはなるが、訴えを決着させる事実ではない。

公開面では両制度を結ぶ状態票が要る

二法は有用な情報を数多く指定したが、それらを一つに結ぶ公開記録までは明記していない。AB 1405は登録番号と自己申告情報を出す。SB 813は指定要件と基準を公表させ、IVOに定期報告を求める。ある登録監査人が現在もIVOなのか、指定の範囲と期限は何か、停止や抹消を争っているのか、広告の主張がどの案件に基づくのかを一画面で示す義務は読み取れない。

ここで五つの表現が混ざりやすい。「登録」は2029年以降に対象監査を売れる状態。「指定IVO」は、その時点の基準で能力を示した状態。「監査済み」は、定めた期間と範囲で作業した事実。「適合」は、実際に調べた法令・統制・証拠に限定された結論。「安全」はさらに広い主張で、二法のどちらも自動では与えない。

公開の保証状態票を作るなら、登録番号と有効期間、該当するIVO指定と期限、規格・方法の版、独立性に関係する資金や相反の変更、被監査者、システムとモデル版、対象州法、証拠の締切日、除外と限界、署名日、後日の訂正、報告が支える正確な主張を連結すべきだ。通報者や機密技術は守りながら、状態と処分の履歴は検証可能にできる。

これは法律に既にある機能ではなく、実施を評価するための提案である。GovOpsは州のGenAI事業で行政内のAI作業を主導すると説明する。2028年と2029年に問われるのは、二つのサイトを開くことだけではない。二つの法的地位が誤って一つの信用記号になるのを防げるかである。

Heng Luの政策の鏡という視点は、決定権者、判断の証拠、誤りの訂正経路を公開面に映す。動いているコードを優先する議論を当てはめるなら、見るべきは登録、指定、通報、調査、停止、異議、是正、失効という状態遷移だ。派手な標章より、その都度意味と日付を失わない記録の方が制度の信頼性を示す。

情報源

  1. California AB 1405 成立法文
  2. California SB 813 成立法文
  3. カリフォルニア州知事室の署名発表
  4. California Government Operations Agencyの役割
  5. GovOpsの州GenAI事業
  6. Lu Heng — The Policy Mirror
  7. Lu Heng — Running Code Primary
  8. Lu Heng — Why BTW Media Exists