AISIのAIエージェント評価観点ガイド第1.20版とは｜導入前に見る3つのリスク

AISIが2026年7月7日、AIエージェントの普及を踏まえて「AIセーフティに関する評価観点ガイド(第1.20版)」を公開しました。今回の焦点は、AIの回答が正しいかだけでなく、AIが自律的に何を実行し、外部にどの影響を与えるかまで見ることです。

ファイルの書き込みや削除、メール送信、データベース更新まで任せるなら、チャットAIと同じ評価では足りません。第1.20版の変更点と、導入前に経営側が確かめたいリスクを、自社の承認フローに変換できる形で整理します。

AISIのAIエージェント評価観点ガイド第1.20版とは

AISI(AIセーフティ・インスティテュート)は、第1.20版をAIシステムの開発者や提供者が、AIセーフティ評価を行う際に参照できる基本的な考え方と位置づけています。特に想定されているのは、開発・提供管理者と事業執行責任者です。

利用企業にとってもベンダーへの質問表や受入テストを作る材料になりますが、ガイドを読むこと自体が合格や認証を意味するわけではありません。
そのため、自社が使う権限、データ、連携先に応じて、評価対象と許容値を決めます。

確認項目	第1.20版の位置づけ
公表日	2026年7月7日
主な対象	LLMを構成要素とするAIシステム
含まれるシステム	自律的な計画・判断・外部連携を行うAIエージェント
主な実施者	開発・提供管理者
評価時期	開発・提供・利用で繰り返す

AISIの活動全体は、Japan AISIの公的AIニュースを読む方法で紹介しています。社内ルールとの関係を先に確かめたい場合は、AI事業者ガイドライン改定の実務対応も参考になります。

出典: AISI「AIセーフティに関する評価観点ガイド(第1.20版)の公開」

AISIのAIエージェント評価で新設された「観測と制御」

第1.20版は、既存の10評価観点の一部にAIエージェント向けの評価項目例を追加しました。その上で、11番目の「観測と制御」を設け、自律的な挙動と外部環境との相互作用をAIエージェント特有の2観点として示しています。

ここでいう観測は、結果を後から読めることだけではありません。高リスクなタスクを実行しようとしていること、中間的な推論で目標や情報が変化したことを、実行前または実行中に検知できる状態が必要です。

出典: AISI「AIセーフティに関する評価観点ガイド(第1.20版)概要版」(PDF)

AIエージェント導入前に見る3つのリスク

以下の3つはAISIが公式に示した三分類ではなく、公式の評価観点を中小企業の導入判断に変換した整理です。ベンダーの製品名ではなく、AIエージェントが実行できる操作で確かめます。

リスク1：自律的な挙動が目標から逸れる

ファイルへの書き込み・削除、権限昇格、高負荷な計算は、AISIが高リスクタスクの例として挙げている操作です。
当初の指示が正しくても、中間結果を受けて目標が変化したり、終了条件を失ったりすれば、正常に動いているように見えながら被害を広げます。

リスク2：外部システムを誤操作する

API、データベース、外部サービス、他のAIエージェントとの接続が増えるほど、リスクは回答画面の中に留まりません。有害な要求の送信、機密情報の流出、外部システムの状態変更を防ぐには、最小権限、送信先制限、変更前承認を分けて設計します。

リスク3：多段階の処理で誤りが累積する

AIエージェントは知覚、判断、実行を反復して前の結果を次の処理に使うため、1回のハルシネーションや情報欠落が、次の判断で事実のように扱われるおそれがあります。
これを防ぐため、外部公開、操作パラメータ設定、顧客データ更新の直前に、中間状態と根拠を再検証します。

出典: AISI「AIセーフティに関する評価観点ガイド(第1.20版)」(PDF)

AISI評価観点ガイドを自社の導入判断に変える

最初に確かめるのは、製品名や会社規模ではなく、自律性と外部連携の2軸です。AISI本編は自律性を補助型、半自律型、全自律型に分け、外部連携を限定的な情報連携、デジタル世界操作、物理世界操作に分けています。

承認線は、AIエージェントの承認フローと同じく、閲覧、提案、実行の三段階で分けると明確になります。実行に近づくほど、デフォルトは拒否し、人が承認した時だけ通す設計が安全です。

• 高リスクタスクを送信・削除・更新・権限変更に分けたか
• 必要なデータとツールだけにアクセスを限定したか
• 実行回数、時間、計算資源の上限を決めたか
• 人の承認と緊急停止が実際に動くか試したか
• 操作と結果の両方を追跡できるか

端末やクラウドへのアクセスを許す場合は、AIエージェントの権限管理と照らし合わせ、ツール側の設定だけで終わらせないことが大切です。
OS・ブラウザ・ファイル共有側の実効権限も見直してください。

AISIのAIエージェント評価は一度で終わらない

AISIは、AIセーフティ評価を一度だけではなく、開発・提供・利用フェーズで、合理的な範囲と適切なタイミングで繰り返す考え方を示しています。モデル、連携先、権限、扱うデータ、自律性のいずれかが変わったら、導入時の合格を引き継がずに再評価します。

評価記録は、対象バージョン、権限、連携先、テストケース、結果、残リスク、承認者、次回評価日を一つの台帳にまとめます。生成AIリスクの月次点検と組み合わせれば、現場の発見を経営会議へ上げやすくなります。

出典: AISI「AIセーフティに関する評価観点ガイド」

AISIのAIエージェント評価観点ガイドに関するFAQ