5月の第3週と第4週、性格の異なる議論が相次いで開かれた。20日、国会議員会館ではロボットや自動運転のように身体を持つAIの責任問題を扱う討論会があり、21日、江南では輸出企業を対象にしたAI・サイバーセキュリティ規制対応セミナーが開かれた。22日には金融委員会が龍仁の金融保安院で高性能AIのセキュリティ脅威を議論し、ネットワーク分離の緩和策を示した。
三つの行事はいずれも同じ問いに行き着いていた。AIが何を語ったかから、AIが何を動かし、その結果を誰が責任を負うのかへと規制の関心が移りつつある。
これまでAI規制は学習データの出所と出力物の正確性に向けられてきた。大規模言語モデルは学習データに含まれた単語同士の統計的な関係をもとに次の単語を確率で選び出す仕組みのため、虚偽の内容をもっともらしく作り出す幻覚が原因から組み込まれている。2025年末、ある公認労務士が不当解雇の審判でChatGPTが作り出した実在しない判例を答弁書に引用した出来事がその事例だ。大法院は2026年3月、専門のタスクフォースを通じてAI利用の事実を明らかにさせ、虚偽の法令引用を制裁する対応策を示した。
2024年、エア・カナダではチャットボットが規定にない払い戻しや割引を案内する事態が起きた。誤った文章が会社の約束として扱われうることを示した事例だ。ここまでの被害は文書と金銭に換算される。相手が腕や車輪を持つようになると事情は変わる。
国会討論会の焦点はそこにあった。現行の製造物責任法は、被害者が欠陥があったという事実と、その欠陥が被害につながったという因果関係を直接立証するよう定めている。ソ・チウォン弁護士は、自動運転と先進運転支援装置をめぐる訴訟で、裁判所が消費者にとって立証が難しい点を認めながらも、結局は欠陥の立証が足りないとして請求を棄却した事例が繰り返されたと指摘した。ソフトウェアのログとセンサーの記録を製造社が握っている状況で、被害者に同じ物差しを当てるのが妥当かという問題提起だ。
現代自動車のアトラス導入をめぐる論争が「フィジカルAI」という言葉を議論の前面に押し上げた。立証責任を製造社側に移そうという提言が出たが、これを盛り込んだ法案が発議されたかは確定していない。
輸出の現場はこの転換を最も早く実感している。国家技術標準院TBT AI・サイバーセキュリティ委員会のヤン・ソンイ委員長（コネクトエーアイ代表）によると、海外のバイヤーは製品のどの部分にAIが入るのか、顧客データを学習に使うのか、セキュリティ更新をどのような方式で提供するのか、脆弱性の申告を誰が受け取り誰がパッチを当てるのかを契約段階で確認する。AI機能の一覧、データフロー図、脆弱性対応の手順、ソフトウェア部品明細であるSBOM、事故対応体制を文書で求められる企業が増えている。
EUサイバーレジリエンス法がその背景にある。2024年12月10日に発効し、主な義務は2027年12月11日から適用されるこの法律は、デジタル要素が入ったハードウェアとソフトウェア製品全般にセキュリティ要求事項を課す。製造社は企画・設計・開発・保守の全段階にセキュリティを反映し、製品が売られた後もライフサイクルを通じて脆弱性を管理し更新を提供しなければならない。規制が承認手続きを越えて市場参入の関門として働く形だ。
金融業界では逆の流れの措置が出た。金融委は総資産10兆ウォン以上、常時従業員1000人以上の要件を満たし、電子金融取引法上の専任CISOを置く49の金融会社に限ってネットワーク分離緩和の申請を受ける。承認を受けたところは1年間、期限付きで高性能AIを使った脆弱性テストとセキュリティSaaSソリューションを使うことができる。米国アンソロピックの高性能AI「ミトス」が古いセキュリティ脆弱性を見つけ出しハッキングに悪用されうるという懸念から対策が始まった。
攻撃する側がAIを使い始めたので防御する側にも同じ道具を認めるという論理だ。1回目の審査は10社以内を対象に6-7月中に終え、2回目は10-20社を目標に8-9月、3回目は第4四半期に行われる。申請しなかった金融会社には金融保安院が外部の攻撃表面を対象にしたAI脆弱性点検を7月までに最大17社規模で支援する。金融保安院には金融AIセキュリティ研究所が、中小型の金融会社のためのAIセキュリティ支援センターがそれぞれ新設され、学界・業界が参加する民間技術諮問団も設けられる。
緩和と強化が同時に進んでいるように見えるが原理は同じだ。リスクを事前に遮断する方式から、能力を備えた主体に門を開きつつ事後の責任と管理の義務を負わせる方式へ移っていくことだ。政府はAI基本法を通じて高リスク領域のAI開発・提供事業者に危険管理の義務を課している。門を開く時点と責任を問う手続きが同じ歩幅で進んでいるかは別の問題だ。
さしあたり6月に二つが確認される。金融委が電算資源の分類基準とプログラムのパッチ優先順位を盛り込んだAIセキュリティガイドラインを配布し、ネットワーク分離緩和の1回目の審査結果が出る。その間、工場と道路では身体を持つAIが増え続ける。ロボットに突き飛ばされた人が病院で診断書を受け取ったとき、その書類で何を証明しなければならないのかは整理されないまま残っており、6月の日程表にその項目はない。
