One-Question Pilot 実行手順書

既存レビューに1問だけ追加して試すために

Version: v0.1
Status: 実務試行用手順書 / 非公式・非認証・非安全保証
Scope: 既存のAI導入レビュー、調達確認、セキュリティレビュー、内部監査の中で最初の1案件だけ試すための手順

目的

この文書は、LUMINA-30を正式採用する前に、既存のAI導入レビュー、調達確認、セキュリティレビュー、内部監査の中で、1案件だけ試行するための実行手順書です。

この文書は、次のいずれも意味しません。

• LUMINA-30の正式採用
• 安全保証
• 法的認証
• 既存AIガバナンスの置き換え
• AIシステムの安全性確認完了
• 監査完了
• 「LUMINA-30確認済みなら安全である」という免責

目的は、既存レビューに次の1問を追加し、形式的人間監督と実効的人間拒否の間にギャップがあるかを確認することです。

このAI媒介プロセスが不可逆化する前に、責任ある人間は実効的に拒否・停止・保留できるか。その根拠となる権限・証拠・停止手順はあるか。

このパイロットは、AIを止めるためではなく、AIを止められる形で進めるための最小確認です。

1. 対象案件の選び方

最初のパイロットでは、次のような案件から1つだけ選びます。

• 既存のAI導入レビュー中の案件
• ベンダーAIツールの調達確認中の案件
• AIエージェントや自動化ツールを本番接続する前の案件
• 外部送信、削除、認証情報変更、本番操作、契約確定、ロールバック困難化に関係する案件
• 影響が大きすぎず、試行レビューとして扱える案件

最初から対象を広げすぎないでください。1つのプロセス、1つの不可逆化し得る操作、1つの判断時点に絞ります。

次の案件は、このパイロットの対象としては避けてください。

• すでに本番事故が進行中の緊急対応
• 法的判断そのもの
• 安全保証が必要な高リスク運用の代替
• 「LUMINA-30確認済み」を免責に使おうとしている案件

2. 参加者

最小構成は、次の範囲に留めます。

• 対象プロセスを知る担当者
• 承認または停止権限に関係する担当者
• セキュリティ、法務、監査、リスク管理のいずれか1名
• 必要な場合のみ、ベンダー担当者

人数を増やしすぎないでください。最初のパイロットは、30〜60分で終わる範囲にします。

3. 実行手順

Step 1: 対象プロセスを1つ選ぶ

AIが関与する操作、判断、外部影響を1つ選びます。

対象を、システム全体、事業全体、契約全体へ広げすぎないでください。

Step 2: 不可逆になり得る操作を特定する

次のような操作のうち、対象プロセスで関係するものを特定します。

• 外部送信
• データ削除
• 認証情報変更
• 権限変更
• 本番操作
• 契約確定
• ロールバック困難化
• 人間による後追い拒否が実効性を失う状態

「リスクがある」だけで終わらせず、何が、いつ、誰の権限で、どの状態へ進むと止めにくくなるのかを短く書きます。

Step 3: 1問を追加する

既存レビューに、次の1問を追加します。

このAI媒介プロセスが不可逆化する前に、責任ある人間は実効的に拒否・停止・保留できるか。その根拠となる権限・証拠・停止手順はあるか。

この質問は、既存レビューを置き換えるものではありません。既存レビューの中で、人間監督が実効的な拒否として機能するかを確認するために追加します。

Step 4: YES / NO / 不明を判定する

EFFECTIVE_HUMAN_REFUSAL_DECISION_GUIDE_JA.md を参照して、YES / NO / 不明を判定します。

YESにできるのは、最低限、次のすべてが確認できる場合だけです。

1. 不可逆になる操作が具体的に特定されている。
2. その操作の前に人間が判断できる時点が存在する。
3. 判断できる人物・役職が明示されている。
4. 拒否・保留した場合に実際に止まる仕組みがある。
5. AIが人間の判断なしに自動実行できる操作ではない。

どれか1つでも満たせない場合はNOです。

条件を満たす可能性はあるが、権限、証拠、設定、担当者、または手順を確認できない場合は不明です。

Step 5: NO / 不明の場合は対応シートへ進む

NOまたは不明が出た場合は、BOUNDARY_GAP_RESPONSE_SHEET_JA.md を使います。

NOまたは不明が出た場合、少なくとも次の内容を記録してください。

• 権限の空白
• 証拠の空白
• 暫定措置
• 次のアクションと担当者
• 再確認期限と承認者

「次回までに確認」とだけ書いて終了してはなりません。

Step 6: パイロット結果を判定する

パイロット結果は、次のいずれかに分類します。

この分類は、LUMINA-30の正式採用判断ではありません。既存レビューにこの確認欄を継続的に入れる価値があるかを判断するための目安です。

3A. 継続運用・接続システム向け補足確認

最初のパイロットでは、対象を小さく保ちます。ただし、対象案件がすでに運用中である、依存が深まっている、他システムと接続されている、エージェント的である、ベンダー依存がある、またはロールバック困難である場合は、短い補足確認を追加します。

次の点を考慮したうえで、実効的人間拒否が現在も有効かを確認します。

• 拒否権ドリフト：依存、結合、停止コスト、代替手段喪失により、プロセスを停止・保留する実務能力が弱まっていないか。
• 証拠ドリフト：停止試験、ロールバック記録、手動代替手順、ログ、権限記録が現在の構成に対して有効か。
• 拒否権保証境界：証拠が内部自己申告だけに依存していないか。リスク水準に応じて、独立性、外部性、改竄困難な証拠が必要か。
• 拒否権の合成リスク：接続されたシステム、エージェント、API、ベンダー、ワークフローについて、関係する全体または危険部分をなお停止・分離・縮退・ロールバックできるか。
• 最大不可逆化範囲：拒否が遅延または失敗した場合、巻き戻し困難になり得るシステム、ワークフロー、データ、契約、利用者、外部影響の最大実務範囲はどこまでか。

この補足確認に現在の証拠で答えられない場合、YESに変換してはいけません。不明のまま扱い、次の証拠確認または縮小アクションを記録してください。

関連：拒否権継続性・合成リスク補足

4. 記録テンプレート

5. 形骸化防止

このパイロットは、全件YESにするための確認ではありません。

YESの根拠を書けない場合、YESにしてはなりません。

NOまたは不明が出た場合、それは失敗ではありません。既存レビューで見落とされていた境界ギャップが可視化されたという意味です。

「LUMINA-30確認済み」や「One-Question Pilot実施済み」を、安全保証や免責として使ってはなりません。

6. 既存アドオン・挿入マップとの接続

• YES / NO / 不明の判定には、EFFECTIVE_HUMAN_REFUSAL_DECISION_GUIDE_JA.md を使います。
• NO / 不明が出た場合は、BOUNDARY_GAP_RESPONSE_SHEET_JA.md を使います。
• 既存レビューへどこに入れるか迷う場合は、EXISTING_FRAMEWORK_INSERTION_MAP_JA.md を使います。
• 外部説明には、PUBLIC_BOUNDARY_CHECK_STATEMENT_KIT_JA.md を使います。

7. パイロット後に公表する場合

公表は任意です。公表するかどうか、何を公表できるかは、組織内のルールに従ってください。

公表する場合でも、LUMINA-30の正式採用、安全保証、法的認証、監査完了のように見せてはいけません。

公表文例：

私たちは、AIを止めるためではなく、AIを止められる形で進めるために、既存のAI導入レビューで「不可逆化する前に、責任ある人間が実際に止められるか」を確認するOne-Question Pilotを試行しました。

この試行は、安全保証や認証を意味するものではありません。目的は、既存レビューの中で、形式的な人間監督と実効的な人間拒否の間にギャップがないかを確認することです。

8. 注意

この手順書は、既存制度を否定、上書き、格下げするものではありません。

この手順書は、LUMINA-30を公式標準、安全保証、法的認証、監査完了、または既存フレームワークより優れた制度として示すものではありません。

この手順書の目的は、既存レビューの中で、形式的人間監督と実効的人間拒否の間にあるギャップを、最初の1案件で確認できるようにすることです。