コンテンツにスキップ

ADR-0054: 判断の席に責任者と担い手を分け、担い手の運用形態をリスク区分で上限づける

採用(2026-09-30)。ADR-0028・ADR-0029・ADR-0035・ADR-0036・ADR-0039は維持します。本 ADR はこれらを置き換えず、第5章 5.5 の書き方を改めます。

次の3点は、既存の決定と規定への補足です。採用済みの ADR の本文は書き換えません。

  • ADR-0028 決定1 の「外部のレビュア」を、「作成を指示した者以外の確認者」と読む(決定8)。2名体制では、作成を指示していない側の人がこれに当たる
  • ADR-0012 決定5 と ADR-0015 決定5 の「独立性」の語を、人の単位の独立と、文脈・入力の分離へ呼び分ける(決定7)。段階と条件の内容は変えない
  • 第8章「極小規模での事後監査への切替」の切替条件を、3条件から決定4 の7条件へ改める。同節は、決定4 の委任を 1〜2名体制へ適用したものとして書き直す

ADR-0038とも整合させています。委任の該当を判定する機械の規則の追加と範囲の拡大は、同 ADR 決定1 の「遮断の解除」に当たる統制の弱化として扱います(決定10)。ADR-0038 の本文は書き換えません。

実証案件は次の2点を報告しました(Issue #248、#249)。

  • 事業決裁者・文脈オーナー・AI維持管理者を人に、価値責任者・技術判断者・開発者・出荷判定者を AI に置く体制を意図したが、5.5 が「4種類の判断の担当ロールはすべて人間のロール」と定めるため選べなかった。AI は小さな選択まで人へ戻し続けた
  • 1名体制では1人が7つのロールを兼ね、すべての判定を1人が確定する。承認は回数とともに形だけになる

オーナーの方針は、ロールを「完全自律の AI」か「人と協働する AI」かで定義し直すことでした。

5.5 は2つのことを1つの表で結んでいた

Section titled “5.5 は2つのことを1つの表で結んでいた”

5.5 は「判断の種類」と「担当ロール」を1つの表で結び、結果責任を人が持つことと、ロールの作業を人が行うことを区別していません。一方、3.5.3 は「役割を担う自然人」と「作業を担う実行主体の文脈」を別の単位として既に並べています(ADR-0035)。両者が別であることは前提になっているのに、5.5 がそれを書いていませんでした。

実行層へ降りていたのは 5.5 の禁止だけで、AI が自分で決めてよい範囲(5.4 の適用範囲)は降りていませんでした。禁止だけが届いた実行層で、禁止が過剰に適用されました。

2026-09 の外部調査(research/282-survey-2026-09/)の知見です。括弧内は知見の識別子と根拠水準です。

  • 外部の自律度分類は多段階で、切る単位は機能・行為・作業である。役割ごとの二択は見つからなかった(FND-0001、E1)
  • 規格・規制が自然人に固定するのは、説明責任と監視の役割である。それ以外の役割を誰が占めるかは、読めた範囲で規定していない。不記載は AI の許容を意味しない(FND-0003、FND-0181、E1)
  • AI がロールの保持者として判断を引き受け続けた運用報告は見つからなかった(FND-0007、E2)
  • 人へ戻すべき場面で AI が戻さずに進む失敗が、独立した2つのベンチマークで測定されている(FND-0012、E3)
  • 人の承認は、回数が増えるほど阻止率が下がる(FND-0010、E2。ベンダーの自己報告)
  • LLM 間の誤りは相関する。生成側の文脈と主張を検証側から切り離すと検出が上がるが、最良条件でも注入欠陥の約 73% を見逃した測定がある(FND-0079、E3。FND-0087)

5つの立場(起案・現場・品質保証部門・規格・弁護)が互いの意見を読まずに意見書を書きました(research/phase4-standard/284-council-01 〜 05)。5つとも「二択の宣言」を退け、4つが3層の構造を採りました。分かれたのは、AI が判定を確定するのか、判定の時点が事後へ移るのかです。品質保証部門・規格・弁護の3つの立場は後者を求めました。保証の根拠を「AI が代わりに読んだこと」ではなく「壊れたことを検出でき、取り消せること」に置くためです。本 ADR は後者を採ります。

1. 席・責任者・担い手の3語を分ける

Section titled “1. 席・責任者・担い手の3語を分ける”
語 定義 変わるとき
席 ロールの別称。責務と、判定者となるゲートの組 体制が変わっても変わらない
責任者 席の結果責任(A)を負う記名の自然人。席ごとに1名 体制の変化点でのみ変わる
担い手 席の作業を実際に行う実行主体(人、または AI の実行主体の文脈) 運用形態の宣言で変わる

「ロール」を「席」へ改名しません。採用済みの ADR と構成の語彙は「ロール」のままです。

席の作業を複数の人で担う場合(開発者5名、独立レビュア2名など)も、席の責任者は席ごとに1名です。成果物ごとの結果責任者は、担当表(D-0 体制図)で1名に定めます。第3章 3.2 の現行の規定を変えません。責任者でない担い手(人)の増減と交代を体制の変化点に数える条件は、ADR-0055 決定1 によります。

2. 担い手の運用形態を3つに定める

Section titled “2. 担い手の運用形態を3つに定める”
運用形態 AI が行うこと 人が行うこと
人確定 材料・複数案・リスク見積の提示まで 判断し、理由を自分で書く
協働 判断の案と根拠を起案する 変更ごとに確認し、確定する
委任 登録した範囲の変更を、人の事前確認なしに先へ進める 委任した席の責任者が、範囲と条件を事前に定め、逸脱があれば引き下げる。独立レビュアの席の責任者が、事後に抜き取りで確かめる

オーナーの「人と協働する AI」は協働に、「完全自律の AI」は委任に対応します。「完全自律」の語は使いません。公的な分類の全自律型も、事前に定めた目的・制約・監督の下での運用を前提にしているためです。人確定を残すのは、R1 の決定で AI に結論を起案させないためです(5.7.3)。

3. 運用形態の上限は、変更ごとのリスク区分で決まる

Section titled “3. 運用形態の上限は、変更ごとのリスク区分で決まる”
リスク区分 上限
R1 人確定
R2 協働
R3 委任

席ごとの宣言は上限です。変更ごとのリスク区分の判定が、それを下げます。宣言から「人の確認は要らない」を導きません(ADR-0039)。上限を案件単位で引き上げる経路はありません。

4. 委任は、判定の主体を移さない

Section titled “4. 委任は、判定の主体を移さない”

委任で移るのは判定の時点です。ゲートの判定者は責任者(人)のままで、判定は記名の記録で成立します(ADR-0036)。AI の確認は検出の層です。承認として扱わず、合否条件にも用いません(ADR-0028 決定7 を維持)。

委任を適用できるのは、次をすべて満たす変更に限ります。

# 条件
1 案件の安全重要度が CL0 で、規制業に該当しない
2 変更がリスク区分 R3 で、登録した変更種別に当たる。該当の判定は機械の規則で行い、行為する AI 自身に判定させない。規則で分類できない変更は協働へ落とす
3 機械検査の全項目を通過し、変更箇所の挙動を既存のテストで検出できる
4 単独で取り消せ、取り消しを実行した実績がある
5 確約範囲(SC-M)とコア指定の機能に触れない
6 独立レビュアの席の責任者が、事後に抜き取りで確かめる。逸脱を検知したら、該当範囲を協働へ自動で引き下げる
7 記録の上で、委任で先へ進めた変更として変更単位で識別できる。G-6 の判定を事後へ移した変更は、人の事前確認を経ていない変更として識別できる

条件2 の「登録した変更種別」は、標準変更カタログ(第3章 3.7.4)に登録した変更種別と同じものです。委任の範囲、標準変更、AI自律レベル L3 の適用範囲を、別々の登録にしません。同じ範囲を指す登録が複数あると、条件の緩い登録だけが使われるためです。

  • 登録した種別には、AI自律レベル L3(機械が常時監視し、人が事後に確認する)を適用する。登録の判定が、当該種別についての 5.4.5 の引き上げの判定を兼ねる
  • 登録の根拠は、連続運用の期間ではなく、条件3・4(既存のテストで検出できること、取り消しを実行した実績)に置く
  • 登録の根拠は、種別ごとに記録する。記録するのは、5.4.6 の検知条件を何で計測するか、取り消しを実行した実績の所在、既存のテストで検出できることの根拠の3点である。根拠の記録が無い種別は登録しない。機械で確かめられるのは記入の有無までであり、内容は登録する者が判定する
  • 登録するのは、リリース判定会(B-4)とする。B-4 を置かない体制では、D-0 体制図の決定の権限を持つ者(人)とする。これは、D-0 表1「体制と運用形態」の決定者を指す。本 ADR の以降の箇所でも同じである。席の責任者は、登録された種別の内側で、自席の委任の範囲と条件を定める
  • 登録の判定では、当該の種別について 5.4.6 の検知条件を計測できることを確かめる。計測できない種別は登録しない。7条件を満たすだけでは、登録の判定として足りない。この計測は、保証の開示の項目6 に載る検出能力の測定とは別の量である
  • 条件2 の該当の判定は、行為する側が書き換えられない形で行う。判定の規則と構成は、判定の対象となる変更を取り込む先の版から読む
  • 登録した種別の個別の変更は、G-5 の通過をもって先へ進む(3.7.4 の現行どおり)。G-6 は事後の抜き取りで判定する
  • G-6 の判定の時点を事後へ移すのは、独立レビュアの席が委任を宣言し、変更がその席の機械の規則に該当し、R3 である場合に限る。開発者の席の規則にだけ該当する変更は、事後へ移さない
  • 開発者の席の規則にだけ該当し、独立レビュアが人として事前に承認した変更は、人の事前確認を経ていない変更に数えない。G-6 については、独立した人の確認を経た変更に数える。この場合は、事前の判定が条件6 の確認に当たる
  • 開発者の席の委任の範囲の変更では、担い手が実行結果の証拠を書き、担い手がレビューを依頼できる状態(Ready)にしてよい。挙動要約と承認は、事前に判定する独立レビュア(人)が行う
  • G-6 の判定を事後へ移す変更のうち、開発者の席が委任でないもの、または開発者の席の機械の規則に該当しないものは、開発者の席が協働である。この場合は、開発者の席の人による検証が変更ごとに要る。独立レビュアの席の委任だけでは、人の確認が一切無いまま先へ進む変更を作らない
  • 委任の識別を持つ変更のリスク区分が R3 でない場合は、委任の範囲の逸脱として扱う。条件2 を満たさない変更が、委任で先へ進めた変更として記録されているためである
  • 条件6 の主語を分ける。委任した席の責任者が行うのは、範囲と条件を定めることと、逸脱を検知したときの引き下げである。事後の抜き取りは G-6 の判定であり、独立レビュアの席の責任者が行う。作成を指示した者と別の自然人とする
  • G-7 と G-8 は、個別の変更ごとには行わない。登録時の事前承認と、期間ごとの保証の開示(ADR-0056)への計上で扱う。期間ごとの保証の開示にも、事業決裁者の受容の記名と、出荷判定者の異議の記載を要する
  • 期間の開示を突合して記名する出荷判定者の席と、リリース決裁の席は委任しない(決定5)

第8章「極小規模での事後監査への切替」は、3つの条件で切替を認めていました。機械検査の通過、取り消しの実績、確約範囲とコア指定に触れないことの3つで、本決定の条件3〜5 に当たります。本 ADR は、この既存の規定を7条件へ改めます。同節は、本決定の委任を 1〜2名体制へ適用したものとして書き直します。3条件と7条件が併存すると、緩いほうだけが使われるためです。

1〜2名体制で、作成を指示した者と別の人を抜き取りの実施者に置けないときは、独立レビュアの席の責任者本人が抜き取り、その旨を保証の開示へ表示します。本人による抜き取りを、独立した確認として数えません。

5. 次の判断は、運用形態にかかわらず人が確定する

Section titled “5. 次の判断は、運用形態にかかわらず人が確定する”
  • R1 の決定と例外承認、およびその理由の記入(5.7.3)
  • 委任の範囲と条件の決定、およびその拡大(5.4.3 の不変条件4)
  • 機械の規則で判定できないリスク区分の確定(3.8.1)
  • 出荷判定(G-7)の記名、リリース決裁(G-8)、本番環境への反映の承認
  • AI を担い手に置くときの適合性確認の承認(決定9)
  • コア機能の理解の確認、安全に関する最終的な判断(5.8.3)

出荷判定者・事業決裁者・AI運用担当者の席は委任しません。AI維持管理者の判断も委任しません。AI が自らを規定する指示資産を確定すると、適用範囲の拡大を AI が決めることになるためです。

6. 5.5 が人に固定するのは「判断の確定」であり、「席の作業」ではない

Section titled “6. 5.5 が人に固定するのは「判断の確定」であり、「席の作業」ではない”

5.5 の4種類の判断は、ゲートの判定と、R1・R2 の決定に掛かります。承認済みの受入基準とスコープの内側にある作業上の選択は、運用形態が協働の席でも、担い手が決めて記録します。選択のたびに人へ戻しません。人は、変更ごとの確定の場で、記録された選択をまとめて確認します。委任の変更では、事後の抜き取りで確かめます。

人へ戻すのは、次のいずれかに当たる場合です。戻す経路は、担い手へ明示します。

  • 決定5 の、人が確定する判断
  • 受入基準・スコープ・公開インタフェース・データ形式を変える選択
  • 取り消せない操作

担い手が決めてよい範囲を委任の範囲だけに限ると、協働の席の担い手は、小さな選択まで人へ戻し続けます。実証案件が報告した状態は、これに当たります。

7. 「独立」は人の単位、「分離」は文脈と入力の単位で使う

Section titled “7. 「独立」は人の単位、「分離」は文脈と入力の単位で使う”
語 単位 成立の条件
独立 責任者(人) 確認する席の責任者が、作成を指示した者と別の自然人である。安全関連は組織上の独立を重ねる
分離(文脈) 実行主体の文脈 作業領域・セッション・認証情報が別である(3.5.3)
分離(入力) 確認側への入力 作成側の説明文・主張・推論の過程を、判断の前に渡さない。渡すのは仕様・受入基準・差分とする
  • AI を担い手に置いて得られるのは分離までである。責任者が同一人物なら、AI を何体に分けても独立は成立しない
  • 3名以上の体制では、独立レビュアの席の責任者と、開発者の席の責任者を、同一人物にする構成を認めない。席の作業を複数の人が担うことは妨げない
  • 文脈だけを分けた AI の確認を「独立レビュー」と呼ばない
  • モデルの系統の違いは、独立と分離のどちらの条件にも数えない。系統を混ぜる効果は、測定によって向きが分かれている(FND-0080、E2)

8. 1〜2名体制の型は変えない。人の確認を高リスクへ集中させる

Section titled “8. 1〜2名体制の型は変えない。人の確認を高リスクへ集中させる”

G-6 は、作成を指示した者以外の確認者が判定します。置けなければ未達として表示します。G-7 は、3名未満の体制では代償措置つきの逸脱として表示します(ADR-0028、ADR-0029)。これは変えません。

独立は人の単位で定義します(決定7)。したがって、確認者を置けるかどうかは体制によって次のとおりです。ADR-0028 決定1 の「外部のレビュア」は、「作成を指示した者以外の確認者」と読みます。

体制と変更 G-6 の確認者
2名体制で、相手が作成の指示に関与していない変更 相手。作成を指示していない側の人が確認すれば、G-6 は成立する
2名体制で、相手も作成の指示に関与した変更 外部に置く。置けなければ未達
1名体制 外部に置く。置けなければ未達

変えるのは次の2点です。

  • 外部の確認者は、R1 の変更へ集中させてよい。R2 の変更は、確認者を置けなければ未達としてリリースごとの件数で表示する
  • R1 の変更を G-6 未達のまま出荷する場合は、7.3 の例外承認を要する。R1 は事後の取り消しを前提にできない(3.8.1)。事後に検出して取り消すという前提が成立しないためである。G-7 は、独立した人の確認を経ていない R1 の変更ごとに、例外承認の記録があることを突合する

承認を独立した人の確認に数えるのは、次の4つをすべて満たす場合に限ります。条件は、第4章 G-6 の表と同じものです。

  1. 承認した者が、D-0 体制図に記載した人(外部の確認者を含む)へ対応づく
  2. その人が、当該の変更の作成を指示した者でない
  3. G-6 が未達の体制では、承認した人が外部の確認者である
  4. 承認した者自身の書いた挙動要約を、承認に伴っている

満たさない承認は数えず、独立した人の確認を経ていない変更に計上します。D-0 の記載が正しいかは機械で確かめず、内部監査で確かめます。

G-6 を適用する体制で、独立した人の確認を経ておらず、G-6 の判定を事後へ移した変更でもない変更は、記録の欠落として扱います。件数の表示だけで通しません。G-6 が未達の体制では、未確認の件数として開示します。

作成者本人による承認は、リポジトリのブランチ保護が止めます。ただし、変更の作成者が AI または bot である場合、ブランチ保護は、作成を指示した者の承認を止めません。止めるのは、出荷の証跡の集約です。上の条件2 で数えず、記録の欠落として差し戻します。

9. AI を担い手に置くときは、適合性を確認する

Section titled “9. AI を担い手に置くときは、適合性を確認する”

3.4.1(人の任命基準の確認)の対応物を、3.4.2 として置きます。

  • 確認の単位は、モデルの版・指示資産の版・権限の組(担い手の識別)とする
  • 確認には、当該の席で人が確定した過去の判定の再現と、欠陥注入による検出の記録(5.6.2)を用いる。ペルソナや席名の付与は確認に数えない
  • 実施は AI維持管理者、承認は席の責任者が行う
  • 確認を経ない担い手は、協働を上限とする
  • 担い手の識別が変わった時点で失効する。識別を変える前に新しい識別の確認を済ませ、席の責任者が委任を続ける決定として記名した場合は、協働へ下げずに切り替えられる
  • 承認は、承認した席の責任者が交代した時点で失効する(離脱を含む)。承認を新しい責任者へ引き継がない。確認の記録は有効なまま残り、新しい責任者が承認し直すまで協働を上限とする
  • 確認の実施者が交代または離脱しても、確認の記録は失効しない。記録は、実施した時点の実施者の記名で有効である。承認し直しのときに、記録の実施者を現在の体制と照合しない
  • 協働へ下げずに切り替えるときの、委任を続ける決定の記名は、当該の席の責任者に限る。D-0 体制図の決定の権限を持つ者の記名で代えない
  • 確認日の前後は機械で確かめられる。事例と結果が旧い記録と同一で、日付だけが新しい記録は、機械で判別しない。使い回しでないことは、承認する席の責任者が記録を読んで確かめる

10. 運用形態を緩める向きは判定、厳しくする向きは即時

Section titled “10. 運用形態を緩める向きは判定、厳しくする向きは即時”

協働から委任への変更は、対象の席の責任者、または D-0 体制図の決定の権限を持つ者の記名と理由を要します。委任から協働への変更は、検知した時点で適用します(5.4.5・5.4.6 と同じ非対称)。

  • 緩める向きの決定をするのは、対象の席の責任者、または D-0 体制図の決定の権限を持つ者(D-0 表1「体制と運用形態」の決定者)である。AI の名義の記名を受け付けない
  • 登録されていない変更種別へ委任の範囲を広げるには、決定4 の登録の判定を要する
  • 委任の範囲を狭める変更は、厳しくする向きである。即時に適用する
  • 人の離脱で成立しなくなった統制は、緩める向きの決定ではなく、未達の発生として扱う(ADR-0055 決定5)。体制内の人が実際に減った場合と、席の責任者が体制から外れた場合に限る

委任の該当を判定する機械の規則(決定4 の条件2)は、強制層です。規則の追加と範囲の拡大は、事前の承認という遮断を外す変更であり、統制の弱化として扱います。ADR-0038 決定1 の「遮断の解除」に当たります。

  • 委任へ緩める手続は、2つの記名を要する。委任するという決定は、対象の席の責任者、または D-0 体制図の決定の権限を持つ者が記名する。規則そのものの変更の承認は、AI維持管理者が記名する(第3章 3.11.2 の承認権限)
  • 経路は、既存の state:needs-platform とする。新しいラベルとゲートを足さない
  • 検知した者(出荷判定者、AI の担い手を含む)は、差分が変更の主張と一致するかの確認までに留める。許容可否を判断しない(ADR-0038 決定2)
  • 1〜2名体制で席の責任者と AI維持管理者が同一人物でも、引き渡しと、どの席で判断したかを記録する(ADR-0038 決定5)
  • 範囲の縮小と規則の削除は、弱化に当たらない。厳しくする向きとして即時に適用する
  • AI維持管理者の席の責任者が交代したとき(離脱を含む)、前任者が承認した規則は承認待ちへ戻る。承認を新しい責任者へ引き継がない。新しい責任者は、既存の規則を読んで承認し直せる。規則を削除して登録し直すことを要しない
  • 規則の範囲を広げたとき、承認待ちになるのは広げた部分だけである。承認済みの範囲は有効なまま残る
  • 席の責任者が交代した後に、新しい責任者が行う記名は2つある。適合性確認の承認し直し(決定9)と、その席の委任を続ける決定の記名である。この2つは、1つの変化点で同時に行える
案 却下の理由
現行を維持し、変化点の手続だけを足す 責任の所在は、席の占有ではなく責任者の記名と関与で守れる。全件を1人が確定する構成は、確認の実効を下げる向きの観測がある(FND-0010)
全ロールを「完全自律 / 協働」の二択で宣言する 1つの席に R1 と R3 の判断が混在する。R1 で AI に起案させない形(人確定)を表せない。席単位の宣言でリスク区分依存の条項を外す形になり、ADR-0039 に反する
役割単位をやめ、行為単位で承認点を定める 結果責任・兼務禁止・受信箱のラベルは席を単位に組まれている。行為のリスクは、上限の軸として取り込めば足りる
AI が委任の範囲で判定を確定する ADR-0036 と ADR-0028 決定7 に反する。AI がロールの保持者として判断を引き受け続けた運用報告は無い。保証の根拠を検出と取り消しに置く
AI の分離レビューで G-6 の未達を解く 独立は人の単位で定義する。文脈を切り離した再レビューの再現率は 27.1% の測定がある
別モデル系統を独立の条件にする 効果の向きが測定間で分かれる。提供の停止で維持できない
出荷判定者の席を委任する 突合は既に機械が行える。人に残るのは記名と停止権で、責任を負えない主体に置くと「止めなかった」責任の所在が消える
1〜2名体制で独立レビューを課さない 対外的に品質保証を説明するという目的と両立しない
委任の決定を AI維持管理者だけに寄せる 席の結果責任を負う者が決めない形になる
委任の規則の変更に、事業決裁者の決裁を常に要する 判断の要らない事項まで決裁へ集まる。ADR-0038 が退けた形である
  • 第5章 5.5 を「判断の席と、確定の担い手」へ改める。5.2 の3点目を「指示した者と別の自然人を責任者とする席が確認する」へ改める
  • 第3章へ 3.4.2(適合性確認)を足し、3.5・3.5.3 へ入力の分離と語の定義を足す
  • 第3章 3.7.4 の標準変更カタログを、委任の範囲の登録先とする。5.4.5 の引き上げの判定は、登録した変更種別については登録の判定が兼ねる
  • 第8章「極小規模での事後監査への切替」を、決定4 の委任を 1〜2名体制へ適用したものとして書き直す。切替条件を7条件へ揃える
  • 第3章 3.5 と第8章 軸A の「3名未満は独立レビューを外部へ依頼する」を、決定8 の表へ改める。テーラリングの質問も「作成を指示した本人以外に、確認できる人がいるか」へ改める
  • D-0 体制図へ、担い手・運用形態・委任の範囲・適合性確認の欄を足す
  • 第8章 軸A の「CI の基準を厳しくして代替します」を、未達の表示へ改める
  • 1名体制でも独立は成立しないままである。本 ADR は開示を整え、人の確認を高リスクへ集中させるだけで、独立を作らない
  • 委任の範囲を定める機械の規則と、適合性確認の事例集は、保守の対象を増やす
  • 実行層へ降ろす先が決まるまで、本 ADR の規定は「降りていない規定」として表示する