Version: v0.1
Scope: Practical Boundary Review Add-on for LUMINA-30 pre-boundary review
Status: 現行公開実務資料
目的
このガイドは、事前境界レビューにおける「実効的人間拒否」の判定を、担当者の主観だけに依存させないための最小基準です。
「承認者がいる」「ログが残る」「手順書がある」「人間監督ありと記録されている」だけでは、YESにはなりません。
この確認は、安全保証、認証、法的準拠、または既存AIガバナンス手順の代替ではありません。目的は、AI媒介プロセスが不可逆化する前に、責任ある人間が実際に拒否・停止・保留できるかを確認することです。
追加する最小レビュー質問
このAI媒介プロセスは、不可逆化する前に、責任ある人間が実際に拒否・停止・保留できる形で進められているか。
YESにできる最低条件
YESにできるのは、少なくとも次の5条件をすべて確認できる場合だけです。
| No. | 条件 | 確認する内容 | 証拠例 |
|---|---|---|---|
| 1 | 不可逆になる操作が具体的に特定されている | 何が不可逆化の入口なのかが、操作・権限・タイミングとして説明できる。 | 導入計画、運用設計、権限表、リリース手順、変更管理記録 |
| 2 | その操作の前に人間が判断できる時点が存在する | 不可逆化の前に、人間が内容を見て判断する実時間上の余地がある。 | 承認フロー、停止ゲート、レビュー期限、実行前チェック記録 |
| 3 | 判断できる人物・役職が明示されている | 誰が拒否・停止・保留を判断できるのかが、個人名または役職で明示されている。 | RACI、職務分掌、承認者一覧、運用責任者の指定記録 |
| 4 | 拒否・保留した場合に実際に止まる仕組みがある | 拒否・保留が記録上の意思表示に留まらず、実行停止・延期・差戻しにつながる。 | 停止手順、権限制御、ワークフロー設定、変更凍結手順、停止テスト記録 |
| 5 | AIが人間の判断なしに自動実行できる操作ではない | AIの出力・推奨・判断が、人間の実効的判断なしに不可逆操作へ直結しない。 | 自動実行設定、API権限、ジョブ設定、エスカレーション設計、手動承認設定 |
判定ルール
| 判定 | 使用条件 |
|---|---|
| YES | 5条件すべてについて、権限・タイミング・停止手段・証拠が確認できる。 |
| NO | 5条件のうち1つでも、存在しない、機能しない、または不可逆化の前に間に合わないことが確認された。 |
| 不明 | 条件を満たす可能性はあるが、証拠、権限、設定、担当者、または手順を確認できない。 |
「不明」はYESの代替ではありません。安全側に倒すための暫定判定です。
YES判定の継続性・合成リスク上の限界
YES判定は永続しません。レビュー時点の構成、証拠、権限、停止手段に対してのみ有効です。
継続運用、高リスク、または接続システムの場合は、次の点も確認します。
- 停止手段が現在の構成に対して十分最近に試験されているか。
- 証拠が古い、内部自己申告だけである、または現在の運用から切り離されていないか。
- 手動代替、縮退運用、ロールバック、分離がなお実務上可能か。
- 接続されたシステム、エージェント、API、ベンダー、ワークフローについて、関係する全体または危険部分を停止・分離できるか。
- 最大不可逆化範囲が特定されているか。
これらを確認できない場合、YESではなく不明と判定します。
YESにしてはいけない典型例
次のいずれかに該当する場合は、YESにしてはいけません。条件が満たされていないならNO、証拠不足なら不明としてください。
- 承認者がいるが、判断する時間・情報・権限がない。
- ログが残るだけで、誰がいつ確認するか決まっていない。
- 停止手順はあるが、実際に試したことがない。
- 過去の停止試験やロールバック記録はあるが、古い、または現在の構成に対応していない。
- 各構成要素は止められるように見えるが、接続されたワークフロー、API連鎖、エージェント連鎖、ベンダースタック全体には実効的な停止・分離経路がない。
- 高リスク用途であるにもかかわらず、必要な独立性、外部性、改竄困難な証拠がなく、内部自己申告だけに依存している。
- 連絡すれば止まるとされているが、不可逆化の方が先に来る。
- AIの推奨を人間が実質的に覆せない。
- 「人間監督あり」とだけ記録されている。
- 承認はあるが、拒否した場合の実行停止・延期・差戻しが設計されていない。
- AIが外部送信、公開、契約、課金、権限変更、削除、配布などを自動実行できる。
最小記録欄
対象プロセス：
レビュー日：
レビュー担当者：
不可逆になる操作：
不可逆化前の人間判断時点：
判断できる人物・役職：
拒否・保留した場合に止まる仕組み：
AIによる自動実行の有無：
確認した証拠：
判定：YES / NO / 不明
理由：
次の対応：不要 / 境界ギャップ対応シートへ接続
NO / 不明の場合
NOまたは不明が出た場合は、この判定だけで終了してはいけません。必ず「NO / 不明 境界ギャップ対応シート」を使い、暫定措置、担当者、期限、再確認者を記録してください。