毎日使うAIの安全を、第三者評価が外から確かめることになる

1. 外の人に、中を見せるという宣言

OpenAIが2026年9月22日に出したのは、新しいモデルでも機能でもありません。自分たちのAIの安全性を、独立した外部組織に確かめてもらうための優先順位と原則です。評価する側が前提を疑い、見落とされたリスクを見つけ、セーフガードの有効性について自分たちの結論に辿り着けるだけのアクセスを渡す。そう書かれています。安全を、社内で完結させないという意思表示です。

01 「安全です」を、検算できる形にする

発表資料は言葉の定義から始まります。セーフティクレーム（安全に関する主張）は、モデルの能力や挙動、セーフガードについての具体的な言明で、証拠と照らして検証できるもの。セーフティケース（安全性の論証）は、その主張と証拠をつないで、ある活動についてリスクが十分に管理されていると説明する構造化された議論です。前提や不確実性、残ったリスクも明示すると書かれています。

定義を先に置くのは、検算できるようにするためです。第三者に投げかけてほしい問いとして挙がっているのは三つ。証拠はラボの安全性の主張を支えているか。評価は、測ろうとしたリスクを十分に試せているか。セーフガードは現実的な条件下で機能するか。曖昧なままの「安全」ではなく、崩そうと思えば崩せる形にして外へ出す。そういう設計です。

02 渡されるのは、思考の連鎖まで

OpenAIはこれまでもモデル開発と展開のさまざまな段階で第三者評価者と組み、Preparedness Framework の運用にも第三者評価を組み込んできたとしています。渡してきたアクセスには、技術的なセーフガードに関する情報、思考の連鎖（chain of thought）の可視アクセス、インシデント対応やモニターのレッドチーミングのための機密データと内部展開へのアクセスが含まれます。

今回の方針の対象は、民間と非営利の独立評価機関との技術的な安全性評価です。政府との試験・評価の取り組みとは役割や責任が異なるため、別のアプローチが必要になる場合があるとも明記されています。精査を可能にしながら機微な情報は守る。その両立をラボと評価者が分担し、安全とセキュリティの国際的な共通基準の上で動くべきだという立て付けになっています。

2. 外部が確かめる、四つの場所

優先して外部に見てもらう領域は四つ。セーフティケースそのもの、重要なセーフガード、Preparedness のリスク領域をカバーする能力評価とアラインメント評価、そして重大なミスアラインメント事案の独立調査です。評価は複数を並行させ、数週間で終わるものもあれば数ヶ月かかるものもある。特定のローンチに紐づけず、時間をかけて個別の安全性の主張を深く調べる形が想定されています。

01 セーフガードは、現実の条件で試される

セーフガードは訓練、内部展開、外部展開にまたがり、モデルレベルの対策、執行面の対策、セキュリティ対策、そしてミスアラインメント監視までを含みます。外部評価に期待されるのは、グレーボックスアクセスを使った敵対的テストへの耐性の確認です。ジェイルブレイクに耐えるか、サイバーや生物といった高リスク領域での能力向上に対して十分に守れているか、が問いとして挙がっています。

さらに踏み込んでいるのが、認可されたテストを現実的な運用条件で行うという部分です。エージェントがアクセス制御やサンドボックス、検知と対応の仕組みとどう相互作用するか。どの防御が防ぎ、検知し、封じ込め、どこで失敗するか。内部展開の安全とセキュリティの基準はまだ発展途上だと資料は認めています。穴があるかもしれない場所を、先に言っている。

02 テストが解かれたら、作り直す

能力評価についての問いは率直です。Preparedness のリスクしきい値の定義を評価が十分にカバーしているか。しきい値の設定は正しいか。モデルが最高得点を取り続けるようになったとき評価は更新されているか、新しいテストはより高度な能力を意味のある形で測れているか。テストは解かれた瞬間に物差しでなくなる、という前提が置かれています。

四つ目は、重大なミスアラインメント事案の独立調査です。モデルが認可なく動いたり監視を回避したりした場合、意図的な悪用がなくてもアラインメント手法やセーフガードの弱点が見えます。OpenAI Hugging Face incident のような場面では外部を入れる価値があるとし、サイバーフォレンジック、アラインメント、大規模な思考の連鎖の分析といった専門性と、迅速に動ける人員を条件に挙げています。

3. 原則の側に、生活者の利益がある

四つの領域と並んで示されたのが、評価を成り立たせるための原則です。範囲の事前合意、比例したアクセス、透明な方法論、専門性と独立性、セキュリティと機密保持、実行可能な指摘と修正期間、責任ある公表。読み流しそうになりますが、外部の報告書を信じていいかどうかを決めるのは、実はこちら側です。報告書の読み方が、ここに書かれています。

01 範囲を先に決めて、あとでぼかさない

評価は、合意した範囲から始まり、安全性の主張を明確に定義して事前登録してから活動に入る、とされています。しかもその主張が、企業側が評価してほしくて出したものなのか、第三者が独自に評価しようとして企業が受け入れたものなのかを区別する。範囲外で重大なリスクが見つかったときの扱いも、あらかじめ決めておく。結論には、何を評価し、何を評価しなかったかを明示します。

アクセスは、法務やセキュリティ、知的財産の制約の範囲内で、合意した主張を検証できるだけの量を比例して渡す。直接が難しければ企業側の指定担当者を介したり、間接的あるいはプライバシー保護的な手段を探る。方法論と評価基準、不確実性は評価者が説明し、既存の基準がなければ自分たちの基準を正当化する。直接の発見と解釈を分けて書く。利益相反は開示し、忌避や除外期間で処理する。

02 黒塗りは、あることが書かれる

機密保持の側も具体的です。評価者は自分たちの情報セキュリティ実務と、人員に及ぶ強制力のある守秘の仕組みを、扱う情報の機微さに見合う形で示す。自社環境で要件を満たせない場合や、データが特に機微な場合は、企業が管理する端末や施設でのアクセスが適切になることもある、と書かれています。開くことと守ることが、同じ文書に並んでいます。

公表については、指摘は具体的で、ラボが対処できるだけの詳細を持つべきだとされます。必要なら公表前に修正のための合理的な期間を置く。全面公開ができない場合は、取締役会などの監督機関への機密報告で説明責任を担保する。そして黒塗り。ラボは機微な情報の削除を求められるが、評価者は実質的な削除があった事実と、それが報告書に与える影響を注記できる。編集の独立性は評価者の側に残ります。

4. AIの安全を、自分の物差しで持つ

正直に言えば、地味な発表です。新しいモデルも機能も出てきません。「安全です」の一言が、外の人間に検算される。信じるか信じないかの二択だったものが、確かめられたかどうかで語れるようになる。持ち帰れるのは、その物差しです。

01 いま手に入るのは、質問の型

今日から使えるのは道具ではなく、問いの立て方です。どこかの会社がAIの安全性を語ったとき、外部が見たのか、どこまで見たのか、何を見なかったのか。発表資料は、結論に評価した範囲と評価しなかった範囲を明示すべきだとしています。裏を返せば、範囲の書かれていない安全の主張は、まだ途中だということになります。

仕事でAIを入れる立場なら、四つの優先領域はそのまま確認項目になります。セーフティケース、セーフガード、能力評価、事案の調査。ベンダーに向かって「安全ですか」と聞く代わりに、「どの部分を、誰が、どんなアクセスで確かめましたか」と聞ける。問いが具体的になると、返ってくる答えも具体的になります。会話の解像度が、ここで一段上がる。

02 待つべきは、最初の報告書

一方で、いま何かを慌てて乗り換える理由はありません。OpenAIは優先領域に沿った提案について複数の第三者と協議中だと書いていますが、どの組織がいつ着手するかは公式発表では未公表です。独立した評価のエコシステム自体がまだ育っている途中で、ひとつの第三者がすべてを網羅することはできないし、すべきでもない、とも述べられています。

見るべきは、最初の評価報告書がどう出てくるかです。実質的な黒塗りがあったとき、評価者はその事実と影響を書けるのか。修正のための猶予が、公表の先延ばしに変わらないか。設計としては歯止めが書かれています。あとは運用が、その通りに回るかどうか。約束は文章でできていて、信頼は実績でできている。

5. よくある質問

6. まとめ