「AIリスクは2階建て」　法を守れば十分とは言い切れず…対応が難しい理由

AIやその活用にはリスクがあり、それをゼロにすることは極めて困難です。AIのリスクを正しく理解し、1つひとつ適切な対策を行えば、ゼロにはできなくとも、リスクを回避したり低減させたりしながらAIプロジェクトを前に進められます。そのために企業は、必要な体制やプロセスを全社横断で整え、道具を準備する必要があります。書籍『 AIリスク教本 改訂新版 AIエージェント＆フィジカルAI AI新時代のガバナンス 』（日経BP）から抜粋し、典型的なAIリスクと必要な対策について解説します。第4回では、AIリスクを大きく2つに分けて検討します。

　AIリスクは、①合法性のレベルのリスクと②社会的受容性のレベルのリスクの大きく2つに分かれます。AIを利用する企業は、行動が法律に違反してしまうリスクに加えて、たとえ法律違反でなくても行動が社会的に受容されないリスクにも配慮しなければなりません。このことを日本IBM AI倫理チームでは、「AIリスクは2階建て」と称しています（図）。

図 AIリスクは2階建て

企業に損害を与え得るAIリスクは2階建て構造。1階部分が合法性のレベル。より厄介なのは2階部分に当たる社会的受容性のレベルである。明文化された法律やルールに違反しなくても、社会道徳に反すると個人や企業に不快感を与えてしまい、さらにはそのことがけん伝されれば甚大なレピュテーションリスクにもつながる（出所：著者作成）

画像のクリックで拡大表示

AIリスクを構成する2つのリスク

　まず1階部分に当たる合法性のレベルは、AIの挙動が法律やそれに類する規制や公的なガイドラインといった「明文化されたルール」に違反することで生じるリスクです。たとえばAIを使用して外部向けに作成した書類に特定の個人を識別できる情報が含まれており、それを公表した結果、プライバシー侵害を問われる、といったケースがそうです。

　1階部分の法律や規制を守ることは企業として当然すべきことです。2023年ごろはAIの進化に法律の整備が追い付いておらず、グレーゾーンが広く、白か黒か判断が難しい状況でしたが、2024年以降に法律や規制が順次整備され、白黒の判断がしやすくなってきています。

　開発時点では違法性が問われなかった振る舞いが、法改正によって違法に変わるケースもあります。AIの進展に伴い、AIに関する法律や規制はここ数年で急速に整備・策定されているため、ルールの変更を知らなかったり対応が不十分だったりした場合に、訴訟に発展してしまう可能性もあります。

　国内では法律違反にならずとも、国外の法律で違反となってしまう場合もあります。たとえば欧州連合（EU）に支店がある企業や業務委託を受けている企業、また商品やサービスを提供している企業は、EU一般データ保護規則（GDPR：General Data Protection Regulation）に注意する必要があります。EUはまた、AIを規制する「AI規則案」を採択し、段階的に適用が開始されています。国連や経済協力開発機構（OECD）といった国際機関や、日本が主導する「広島AIプロセス」などで、AI規制の国際協調の重要性が議論されていますが、実際のAI関連の法整備は各国ばらばらに進んでおり、それぞれに対応が必要です。

　次に2階部分に当たる社会的受容性のレベルは、法律違反でなくても社会的道徳に反してしまい、その結果として信用を失うリスクです。これは主に何かしらの意味で個人や団体などに損害や、強い不快感、誤解といった精神的な苦痛を与えてしまう場合（民事訴訟に発展する可能性もあります）と、そのような問題の存在や、その疑いが広く世間に拡散される場合が考えられます。

　たとえば、AIが社会的に問題のある発言を勝手にしてしまうかもしれません。そのことが広く知られれば、「これは、けしからん問題だ」として新聞、テレビなどのマスメディアやニュースサイト、ソーシャルメディア（SNSなど）で情報が広く拡散されるかもしれません。広範に知られた結果、社会問題にまで発展したり、世の中から批判を浴びてしまって、企業ブランドやイメージを大きく毀損したりしてしまい、企業経営そのものに影響を及ぼす危険があります。

　一度SNSなどで拡散されると、企業のイメージや将来の事業にとって不利益な情報がインターネット上にいつまでも残り続ける「デジタルタトゥー」となります。こうなると完全に消すことができず、過去の失敗や不祥事の事例としてたびたび取り上げられてしまいます。

　法的リスクへの対応は企業として当然すべきことですが、それだけでは不十分で、レピュテーションリスクにも対応する必要があります。まず1階部分の法律違反自体やそれへの対応がまずいと、レピュテーションリスクが生じます。厄介なのは結果的には法律違反ではない事象でも、SNSなどで不快に感じる人の声が拡散されることで、レピュテーションリスクにつながるケースもあることです。それ故に「2階建て」なのです。

　AIリスクに注意を払うためには、まずはAIリスクの詳細な内容と対策を知ることが大切です。従来のAIと生成AIでは生じるリスクに違いがあります。

AIリスク対応が難しいわけ

　そもそも、なぜAIリスクはこのような2階建ての構造を持つのでしょうか。それはAIの倫理的な側面についての合意が十分に得られておらず、何が受け入れられるか、何が受け入れられないかという社会の判断基準が普遍的・不変的でなく、揺らぎがあるからです。AI技術の進歩が著しいために、1階部分の法制化がその変化に追い付くまでに時間差が生じていることもその背景にあります。

　ここで倫理について考えてみましょう。倫理にはさまざまな定義がありますが、技術者倫理の哲学者であるマイケル・デイヴィス（Michael Davis）氏は「ある社会集団の行動規範」と定義しています^［1］。

　つまり、AIの倫理とは「ある社会集団において、AIを活用するうえでの善悪の判断基準全般」であり、AIリスク対応とは、すべての社会集団の、あらゆる善悪の判断基準に対応しようとすることであるといえます^［2］。そしてこの善悪の判断基準が社会集団によって変わること、社会集団そのものが変化することで、AIリスク対応が難しくなっているのです（図）。

図 AIリスク対応はなぜ難しいか

難しさの理由は社会集団の前提が変化すると判断基準も変わってしまうため。たとえば地域が変わる、世代が変わる、時間が経過すると判断基準も変わる（出所：日本IBMの資料を基に著者が作成）

画像のクリックで拡大表示

　レピュテーションリスクは、ある判断基準を持つ社会集団から「それは倫理に違反する、大問題だ」と矢が飛んでくる状況です。たとえば社会集団を日本と仮定すると、日本における教育の中で善悪の判断基準を学習した場合、同じ教育を受けた日本人集団の中であれば、善悪を判断するための判断基準は類似する可能性が高くなります。

　しかし、他の国でその判断基準が等しくなるとは限りません。その国が異なる善悪の判断基準を持っていた場合、日本では倫理的に問題がないと思われた判断が、他の国では倫理的に問題になる場合があります。さらに、日本国内であっても地域が変わる、世代が変わる、時間が経過するなどして社会集団が変化すると、その善悪の判断基準は変化します。たとえば「昭和の常識は令和の非常識」といった具合です。この点もAIリスク対応の難しさの1つです。

　そのため、常に同じ善悪の判断基準を持ち続けるのではなく、変化に気づけるように定期的に見直していく必要があります。他企業で炎上した事例などから関連する社会的受容性のリスクに初めて気づくこともあるでしょう。

　その一方で、AIシステムを開発するときにすべての社会集団を満足させることは難しく、また、あらゆる社会集団の善悪の判断基準をAI開発時に見通すことも難しいという事実もあります。2階部分はあまりにも広いのです。

　レピュテーションリスクを避けるためにも、AIを自社で開発する企業、AIを導入して利用する企業、そして他社製のAIを利用する企業のすべてが、AIリスク対応の難しさについて理解すべきです。そのうえで倫理的なリスクを特定し、リスク軽減のための方法を学んでおくことが重要なのです。

（写真：InfiniteFlow／stock.adobe.com）

（書籍『AIリスク教本 改訂新版』を基に再構成）

［日経クロステック　2026年8月26日付の記事を転載・改題］

『 AIリスク教本 改訂新版 AIエージェント＆フィジカルAI AI新時代のガバナンス 』

［画像のクリックで別ページへ］

もしAIがデマを流し始めたら？ もしAIが判断を間違い始めたら？　本書は、AI活用のメリットを享受しながら、倫理・安全性・法規制リスクを管理し、企業とビジネスを守る「ガードレール」の構築と運用を実践的に解説する1冊です。企業をリスクから守る適切なAIガバナンスを確立する手順と注意点を、豊富なAIシステム構築経験と知見に基づき、事例と実践ノウハウを交えて説明します。

日本IBM AI倫理チーム／AI倫理とガバナンス研究会（著）／日経BP／2750円（税込み）