AI機能部品表（AI-BOM）法案（S.5345）― 規制でなく調達の条件としてAIの中身の提出を課し、48時間以内の更新を求める

1規制ではなく「買わない」という手段

この法案はAIの開発や利用を直接禁じていない。改正の対象は国防連邦調達規則補足であり、条件を満たさない相手とは契約しない、という形をとる。政府が最大の買い手である領域では、調達の条件が事実上の基準として働く。禁止や罰則を立てるより、契約の入口に条件を置くほうが、既存の仕組みの上で早く動く。

当サイトが保持する法案には、報告を求めるもの、開示を求めるもの、禁止するものが並ぶが、これは購入の条件として課す型にあたる。

2ソフトウェアだけでなくデータとハードウェアまで

部品表という言葉は、ソフトウェアの構成要素を一覧化するSBOMの考え方から来ている。この法案が求める範囲はそれより広く、AIを利用するシステムを支えるソフトウェア、データ、ハードウェアの詳細を含むとされている。AIの挙動は、コードだけでなく何で学習したかと何の上で動くかに左右される。

脆弱性やセキュリティ上のリスクに加えて、ソフトウェア・モデル・データの完全性への懸念が評価対象に挙げられているのは、その3つを一体として見ようとしているためと読める。

348時間という期限が意味するもの

提出は契約時の一度きりではない。請求から48時間以内に更新版を出せる状態を維持せよ、と定めている。これは、部品表を書類として作れば済むものではなく、常に最新を保てる仕組みとして持てという要求にあたる。新たな脆弱性が判明したとき、どの契約のどのシステムが影響を受けるかを短時間で突き合わせるには、機械可読であることと最新であることの両方が要る。

機械可読が条文に明記されているのは、人が読むためでなく照合のために使う前提だからである。

4書類として作るのではなく、保てる仕組みとして持つ

この法案が求める部品表は、契約時に一度提出すれば済むものではありません。請求から48時間以内に更新版を出せる状態を維持することが定められています。

1. 1契約時に提出するAIを利用するシステムのソフトウェア・データ・ハードウェアの詳細を含む
2. 2最新を保つ請求から48時間以内に更新版を出せる状態を維持する
3. 3機械可読で持つ人が読むためではなく、照合のために使う前提になっている
4. 4影響を突き合わせる新たな脆弱性が判明したとき、どの契約のどのシステムが影響を受けるかを短時間で特定する

改正の対象は国防連邦調達規則補足であり、条件を満たさない相手とは契約しないという形をとります。政府が最大の買い手である領域では、調達の条件が事実上の基準として働きます。部品表という言葉はSBOMの考え方から来ていますが、この法案が求める範囲はそれより広く、AIの挙動がコードだけでなく何で学習したかと何の上で動くかに左右されることを踏まえています。