人工超知能の時期尚早な創出を防ぐ国際合意――条約案(非公式翻訳)

この合意の前文は、核兵器不拡散条約(NPT)の前文をモデルにしている。NPTの前文は次のように始まる。

核戦争が全人類に惨害をもたらすものであり、したがって、このような戦争の危険を回避するためにあらゆる努力を払い、及び人民の安全を保障するための措置をとることが必要であることを考慮し……

そしてすぐにこう続く。

原子力の平和的応用の利益(核兵器国が核爆発装置の開発から得ることのあるすべての技術的副産物を含む)が、平和的目的のため、締約国であるすべての国(核兵器国であると非核兵器国であるとを問わない)に提供されるべきであるとの原則を確認し……

こうすることで、この前文は、強力な技術がもたらす破局的な脅威から人類を守る責任ある当事国の列に加わり、安全に許容できる恩恵を分かち合うよう世界に呼びかけている。私たちの前文もこの範に倣おうとするものである。

NPTは1970年に発効し、1995年に無期限延長された。ほぼ普遍的な加盟(191カ国)で知られるその前文は、兵器拡散の地球規模の危険を強調しつつ、平和的な原子力応用の恩恵はすべての締約国に提供されるべきだと確認している。

多くの条約と同様、NPTの第1条は締約国が行う高次の約束――この場合は、核兵器を他者に渡さず、他者の取得を援助しないこと――を述べている。

締約国である各核兵器国は、核兵器その他の核爆発装置またはその管理をいかなる者に対しても直接または間接に移譲しないこと、および、非核兵器国が核兵器その他の核爆発装置を製造しもしくはその他の方法によって取得すること、またはその管理を取得することを、いかなる方法によっても援助し、奨励し、または勧誘しないことを約束する。

私たちの合意案の第1条に集約された約束は、これより強いものである。なぜなら、誰であれ、どこであれ、ASIのブレイクアウト(単独での開発強行)はただの一度も起きることを許してはならないからである²。他者による開発を「援助し、奨励し、または勧誘」しないだけでは足りない。そこで私たちは、そのような開発をどこにおいても思いとどまらせ防止するための締約国による「合理的な措置を支援し、または妨げない」という約束を盛り込んだ。

NPTがすでに存在する脅威(核兵器)の封じ込めを図るのに対し、私たちの合意案は、脅威(ASI)がそもそも存在しないようにすることを図っている。危険な新技術の開発を未然に防ぐ先例は、特定通常兵器使用禁止制限条約(CCW)の一部である「失明をもたらすレーザー兵器に関する議定書」に見られる³。その第1条はこう定める。

専らの戦闘機能として、または戦闘機能の一つとして、強化されていない視力(裸眼または視力矯正装置を装着した眼)に恒久的な失明をもたらすように特に設計されたレーザー兵器を使用することは、禁止する。締約国は、当該兵器をいかなる国または国以外の主体にも移譲してはならない。

しかしこの文言は、誰かがどこかでそのようなシステムを試験したり偶発的に作り出したりすること自体を防ごうとはしていない。私たちの合意は、ASIが偶発的に作り出されることをも防げるほど強力でなければならない。後戻りできなくなる地点(ポイント・オブ・ノーリターン)がどこにあるか明確でない以上、私たちの第1条には「ASIへ実質的に前進する活動を行わず、また許可しない」という約束が含まれている。

AIの定義について

ここで用いたAIの定義(チャック・グラスリー上院議員のAI内部通報者保護法案から改変)は、広すぎるかもしれない。スペルチェックや画像認識システムのような明らかに安全なコンピュータシステムには適用されないことを明確にするには、さらなる精緻化が有用だろう。

もしAI技術が現代の形――フロンティアの大規模言語モデル(LLM)の開発には高度に特化したハードウェアが必要で、他の活動と容易に区別できる――から今後変化しないのであれば、狭く仕立てた定義を作るのはより簡単だっただろう。しかしASIは動く標的であり、用いるAIの定義はLLMだけを対象とするのでは足りない。機械学習だけを禁止する合意は、超知能に向けて先行するために、定義に技術的に該当しない新たなAIパラダイムを研究者が開発する誘因になりかねない。仮に新奇なパラダイムが登場した場合、特にそれが深層学習ほどAIチップ集約的でない場合には、合意はおそらく更新を要し、執行は大幅に難しくなりうる。

計算能力の定義について

私たちは計算能力の主要な指標としてH100相当を用いる。第5条では、これを、監視なしで許容される最大のチップクラスタの規模(16 H100相当)の設定に用いている。第4条はAIの訓練に使われた総演算数で閾値を定義しているため、監視されていない毎秒演算数に上限を設けることで、監視されていないハードウェア上で違法な大規模訓練ランを行うことは実際上不可能なほど遅くなる。

H100相当を用いるのは、さまざまなチップ設計において最も重要な指標が演算の速さであり、H100が適切で先例のある物差しとして機能するからである。AI訓練では他のチップ指標(広帯域メモリなど)も重要だが、全体としては毎秒演算数ほどには重要でない。

私たちが提案する対象チップクラスタ(CCC)の定義は、いくつかの制約を同時に満たそうとする試みである。すなわち、境界は、一般の人々が規則を破ってしまわない程度に高くなければならない(シャーシ間25 Gbit/sという帯域幅はデータセンター以外のインターネット接続より速く、個人が16 H100相当超を保有することは非常にまれで高価である)。同時に、危険なAI活動を防ぎ、抜け道を難しくする(すなわちCCC未満のチップ集合を複数束ねた分散訓練を困難にする)程度に低く設定しなければならない。このトレードオフは第5条の解説でさらに論じる。CCCのアクセラレータメモリに関する制約は、不正な分散訓練を防ぐことを狙ったものである(こちらの記事で論じられている)。

AIチップは先端コンピュータチップの部分集合であり、AIチップと非AIチップをくっきり分ける線引きは存在しない。ここで区別を定義しそれに依存する代わりに、私たちはクラスタ全体の計算能力(毎秒演算数)をH100相当で測って用いる。チップがAIの訓練または実行のために構成されうるものであり、定義された閾値を超えるなら、合意はその監視を求める。

なお、「自国の技術的検証手段(NTM)」は、一部の政府では公式用語としては使われなくなっている可能性がある。本合意では、比較のしやすさのため、過去の軍備管理合意の流儀に倣ってこの語を用いる。

中距離核戦力(INF)全廃条約および戦略兵器削減条約(START I、START II、新START)は、実施と検証の責任を各当事国に負わせている。各当事国は、相手方が遵守について合理的な確証を得られるようにする手続を約束する。

第3項で設置される執行理事会は、NPT(訳注: IAEA)の理事会(Board of Governors)に倣ったものである。

台湾は、その微妙な地政学的状況と、世界のAIチップの大半の生産地であるという地位ゆえに、私たちの合意構想を複雑にする。幸い、先例が指針を与えてくれる。台湾はNPTの締約国ではないが、NPTの原則に拘束されるとみなす旨を複数回表明している。台湾は、米国およびIAEAとの三者協定を通じて、IAEAによる自国の原子力施設への査察と保障措置の適用を認めている。この合意についても、同様の取決めを結ぶことができるだろう。

第3項(b)の「チャレンジ査察」は、化学兵器禁止条約(CWC)第10部のメカニズムに倣ったものである。この先例については第10条のところで詳述する。

この編成は、中央集権化が必須である少数の機能(AIの研究・開発・展開に関する制限の維持と明確化など)のみをコアリション技術機関に集約し、執行理事会に監督権限を与えるものである。この案の構造の利点のひとつは、技術機関が迅速な意思決定を行えることである。ただし、その決定は執行理事会のいずれの構成国からの拒否権をも乗り越えて存続しなければならない。

この合意では、米国と中華人民共和国(および場合によっては他の執行理事会構成国)が、遵守の検証と執行のための並行した取り組みを進める(第10条も参照)。これは、自律性の犠牲を最小限にとどめ、既存の情報収集活動を一切妨げることなく、各当事国の確証ニーズを満たすことを狙っている。

AI技術に関しては、米国と中華人民共和国が突出した大国であることに留意すべきである。いかなる合意も、二国間であれ多国間であれ、両国が締約国であることなしには成立しえない。現実問題として、現在のAI開発の状況を踏まえれば、制限・供給・研究について両国が特に大きな発言力を持つことになる。この点を念頭に置くと、国連安全保障理事会の常任理事国や、相当の経済力・軍事力を持つ国々は、自国の安全保障・経済上の利益に沿う場合にのみこの合意に参加するであろうことも認めておくことが重要である。私たちは、どの国が執行理事会に加わるべきかについて先回りした立場を取らない形でこの合意を書いている。最終的には、交渉に臨む各国の相対的な交渉力と立場に基づき、利害関係国の間で執行理事会の構成を交渉して決めることになる。

TSMCが最大のAIチップ製造者である現状を踏まえれば、いかなるAI合意も台湾への対応を検討しなければならない。先例の節で述べたとおり、私たちは、台湾がNPTに署名せずともこれを遵守しているのと同じように、台湾がこの合意の原則に拘束されるとみなし、オンサイトの定期査察および/またはチャレンジ査察を受け入れる旨の公式な取決めおよび/または宣言を通じて、この合意に従うことを促したい。

私たちの合意に明記した閾値の数値は、初期草案の段階を越えて進む際に再検討できるし、再検討すべきものだが、定量的な上限は国際合意において一般的であり、定性的な文言の解釈の違いに争点が委ねられてしまう紛争を未然に防ぐ。

1974年の地下核実験制限条約は、米ソが行う地下核実験に150キロトンの上限を設けた⁴。この条約の目的と効果は、より大型で破壊的な「シティ・バスター」弾頭のさらなる開発を少なくともある程度妨げることにあった。AI開発との関連で言えば、2025年半ば時点では、より汎用的で高性能な――したがってより危険な――モデルを作るには、それに応じてより大規模な訓練ランが必要になる。私たちの合意が定める上限は、そのようなAIが意図的に開発されるのを防ぐと同時に、予見されていなかった能力の閾値が偶発的かつ取り返しのつかない形で越えられてしまうリスクを減らすという(並行的ではないが)本質的な利益を得ることを意図している。

私たちが出発点として提案した訓練の上限は、今日訓練されている一部のAIモデルがすでに超えてしまうほど低い。訓練量あたりのモデル能力を高める進歩(第8条のところで論じる)を見込めば、これは慎重さとして妥当だと考える。現在の最大水準より低い閾値の設定には、軍備削減合意の先例がある。1922年のワシントン海軍軍縮条約は、米国その他の海軍国に数十隻の主力艦の廃棄を要求する排水量制限を設けた⁵。1991年のSTART条約の第2条では⁶、米国とソビエト連邦(のちにロシア連邦)が、核備蓄と運搬手段の規模に上限を設けることに合意し、双方とも4,000発以上の弾頭の段階的廃棄を要した。

ブレイクアウトの潜在力を制限する定量的閾値の先例は、第5条のところで論じる。

近年のAIの進歩は、何よりもまずAIの訓練に投入される計算資源の増大によってもたらされてきた。この資源を制限し、アルゴリズム進歩の研究(第8条に記述)を制限すれば、近い将来に超知能が作り出されるリスクは劇的に減る。

この案の制限は、使用される計算演算数に基づいている。これは定義と測定が比較的容易だからである。既存の最先端AIの性能から、少なくとも2025年半ばのAIアルゴリズムを使う限りにおいて安全と思われる計算ハードウェアの量を見積もることができる。

本当は、訓練されたシステムの能力に基づいて訓練を制限したいところである。しかし、新しいAIが訓練前に何ができて何ができないかを自信を持って予測する技術的能力は誰も持っていない。計算資源は、利用可能な代理指標である。

訓練に対する厳格閾値(10^24 FLOP)での全面禁止は、2025年8月時点の最先端に近いモデル(3×10^24 FLOPで訓練されたDeepSeek-V3など)の訓練量をやや下回る水準である。この閾値を提案するのは、(現在のアルゴリズムを前提として)AIが危険になると予想される水準を下回っており、かつアルゴリズム進歩に対するある程度の余裕と緩衝を与えてくれるからである。

10^23超の事後学習の禁止は、合意の発効前に作成されたAIの事後学習に適用されることを意図している。これらのAIの多くは10^24 FLOP超で訓練されたはずであり、2025年半ば時点でそのようなモデルは50〜100個存在する。そうしたAIの多くは重み(ウェイト)が公開されてしまっているため、人々の利用自体を防ぐことは不可能だが、事後学習による大規模な改変を防ぐことは可能である。

16基のH100で10^22 FLOP(監視閾値)の訓練ランを行うには約1週間かかる。これは、趣味の開発者が小規模で許容されたモデルの訓練で誤って閾値を超えてしまうことがない程度に計算集約的である。10^22規模で(現在のアルゴリズムで)訓練されたAIはこれまでのところ無害に見えるが、防ぎきれなかったAI研究の進歩の結果として状況が変わりうるため、この点は監視し続ける必要がある。

中規模の訓練を監視することで、CTBは、禁止にもかかわらず起きてしまうアルゴリズム進歩に(ある程度)追随し続けることができる。第13条は、この帯域で訓練されたモデルの評価について定めている。これはCTBがAI開発のトレンドを把握し、必要に応じてFLOP閾値を調整する助けになる。

CTB職員は、さまざまな制約の下で、監視対象の訓練ランに使われる訓練データへのアクセスを認められる。この制約の意図は、訓練データ中の機微な内容――個人識別情報、個人健康情報、機密データ、営業秘密、秘密保持法の対象となる銀行データを含むがこれらに限られない――の不正な開示を防ぐために、ログ記録その他の監督手法が用いられることを保証することにある。

懸念対象の資産の申告は、制限的な条約における最初の一歩となることが多い。1922年のワシントン海軍軍縮条約の当事国は、主力艦とその排水量の目録を提出し、艦の更新の際には相互に通知することを約束した。1991年のSTART I条約には、(第8条において)「座標および施設配置図の交換に関する協定」(非公開)が含まれ、申告されたすべての戦略兵器の所在に関するデータの共有を定めていた。私たちの合意案の第5条3項は、締約国に対し、120日以内に対象チップクラスタの所在特定・目録作成・集約を求めている。

遵守の検証を容易にするための資産の集約も、制限的な条約でよく取られる次の一歩である。START Iの第3条は、監視を容易にするため、ICBMを宇宙ロケット発射施設と同一場所に置くことを禁じた。同じ理由から、本条1項(a)は、締約国に「申告済み施設において、AIチップを、付随的でない非AI用コンピュータハードウェアと同一場所に設置することを避ける」ことを約束させている。

集約を進めるもうひとつの理由は、ブレイクアウト(ある当事国が、誰にも止められないうちにASIを作り出そうとすること)の潜在力を制限することである。集約された資産は監視しやすく、必要とあれば無力化もしやすい。信頼に足る無力化行動が予期されることは、拒否的抑止(deterrence-by-denial)の実効性を高める。

監視と査察は、信頼が限られた文脈での過去の条約に共通する構成要素であり、私たちも本条の1項、4項、6項、7項に適切な規定を起草した。具体的な先例をいくつか挙げる。

• START Iの検証には、最初の数年間で数百回のオンサイト査察が含まれた。
• CWCはすべての化学兵器生産施設の申告と査察を義務づけており――申告された施設は97カ所――その大半は検証可能な形で廃棄された。(既存施設の申告を義務づけることで、これらの合意は、申告された施設の外で特定の活動が行われることも禁じている。本条の非監視CCCの禁止と同様である。)
• 世界中の700カ所を超える申告済み原子力施設が、NPTの一環としてIAEAの監視を受けている。

本条3項と同様に、多数の軍備管理合意が、検証の文脈で相互のNTMを妨害しないことを当事国に求めている。SALT I⁷、ABM条約⁸、INF⁹、START Iがその例である。

(AIで必要になるように)コミットメントを果たすために当事国が国内の民間産業を規制した先例は、CWC批准後の米国の立法に見ることができる。1998年化学兵器禁止条約実施法と商務省規則は、米国の主体が遵守することを確保した。同様に、米国議会はモントリオール議定書の批准を受けて大気清浄法を改正し、オゾン層破壊物質を禁止した。

米国でチップの集中化を実施するアプローチとしては、合衆国憲法修正第5条の収用条項(Takings Clause)を通じる道がありうる。政府は、適切な補償を支払う限り、公共の目的のために土地収用権(eminent domain)を用いて私有財産を収用できる。

第5条は、すべてのAIチップクラスタ(すなわち小規模を超える相互接続チップの集合)とAIチップの大部分を、監視された施設に集中させることを狙いとする。監視と拡散防止は第6条で扱う。

この案は、すべての当事国が、他のすべての当事国もチップを集中させたことを確認できるように、この集中化プロセスの国際検証を定めている。この種の検証は、大規模AIデータセンターについては容易である可能性が高い。情報機関はそれらの所在をすでに把握している可能性が高いからである。より小さなデータセンターについては、CTBが国内の集中化の取り組みの監督を調整できる。

チップの集中化は、人工超知能の開発を制限するための重要な第一歩である。申告された施設にチップを集中させることで、チップの使用状況のさらなる監視や、(安全に使用できない場合の)電源停止の検証が可能になる。集中化はまた、締約国が合意違反を続ける場合に第12条の下で必要になりうる、チップの無力化も容易にする。

私たちは、その危険性にもかかわらず、CCCを人口密集地から離して設置するよう合意本文で勧告することは避けた。この制限を避けるのは、(合意違反の場合でも)データセンターは大きな巻き添え被害なしに停止できる可能性が高いこと、そして現代のデータセンターがすでに都市の近くに日常的に立地していることの両方による。とはいえ、重大な安全保障上の脅威となりうることを踏まえ、AIデータセンターを軍事施設として扱うことを選ぶ代替的な合意もありうるだろう。

集中化の検証

ほとんどの当事国は、他の当事国が規則に従うことを盲目的に信頼しないだろうし、信頼すべきでもない。遵守を検証する何らかの方法が必要になる。AIチップを申告済み施設に集中させることで、査察と監視によってチップの存在と活動を確認することが可能になる。

AIチップを監視する他の方法があるなら、集中化は厳密には必要ないかもしれない。残念ながら、現在のチップのセキュリティ機構が限られていることを踏まえると、既存のAIチップの備蓄をすべて物理的に破壊することを別にすれば、現時点ではこれが唯一の実行可能な選択肢だと私たちは考える。

将来的には、ハードウェア内蔵ガバナンス機構が開発され、AIチップの遠隔ガバナンスが可能になり、チップを申告された場所に集中させる必要がなくなるかもしれない。Aarne et al. (2024)は、このようなオンチップ・ガバナンス機構の一部について実装期間の見積りを示している。彼らの見積りは、異なる敵対者に対して堅牢な機構を開発するまでの期間をカバーしている。簡潔さのため、ここでは「有能な国家主体が密かにガバナンス機構の破りを試みるかもしれないが、発覚すれば重大な結果に直面する」という隠密敵対的文脈でのセキュリティに関する彼らの見積りを用いる。彼らは、理想的な解決策の開発には2〜5年、より安全性は劣るが実用に堪えうる選択肢なら数か月で利用可能になると見積もっている。

そのレポートから1年以上経つが、これらの機構に向けた大きな進展は確認されておらず、Aarne et al.の見積りのうち「あと2〜5年」が最も妥当だと私たちは考える。つまり、チップセキュリティ対策の研究開発を数年行えば、集中化なしでチップを確実に監視することが可能になるかもしれない。ただしそれには、安全に監視可能な新チップが生産されるまで、および/または旧チップがレトロフィット(後付け改修)されるまでのタイムラグがさらに加わる。Aarne et al.は前者の選択肢に4年かかりうると見積もるが、チップがすでに追跡されているなら、レトロフィットは1〜2年で完了できると私たちは楽観している。

第5条で論じる集中化は対象チップクラスタの物理的な集中を伴うが、政府がチップの所有権を取得することは要求していない。大規模データセンターについては、関係当事国による監視と監督を受ける限り、データセンターとそのチップは私有のまま現在の場所にとどまることが認められる。この監視により、データセンターが非AI活動、または旧モデルの実行のような許可されたAI活動のみに従事していることが確保される。より小規模なチップ集合については、より大きなデータセンターへ物理的に移設し、所有者は引き続き遠隔からチップにアクセスする形が必要になるかもしれない。これはクラウドコンピューティングの取決めではすでに一般的であることを踏まえれば、過度に重い制約だとは考えない。

実行可能性

AIチップの大部分を検証可能な形で集約することは実行可能に見える。10万H100相当を超えるような超大規模AIデータセンターは隠すのが難しい。物理的な設置面積と電力消費から検知可能であり、多くは公に報道されてもいる。実際、情報機関は1万H100相当程度の小ささのデータセンターまで追跡・特定できる可能性が高い。それより小さなデータセンターの特定には、国内当局がCTB査察官と協力してさまざまな権限を行使することになるだろう。

国家には、国内で保有されるチップを突き止めるための一連の手段がある。16 H100超のすべてのチップクラスタの報告を法的に義務づけることができるし、チップ販売業者の販売記録その他の財務情報を使うこともできるし、データセンター建設の専門技術者に聞き取りをすることもできる、等々。密輸・偽装・隠匿が疑われる場合には、法執行機関を投入してさらに捜査できる。この国内集中化のプロセスは、徹底した遵守を確保するため、CTB査察官が監督することになる。

大規模データセンターの特定は数日から数週間で迅速に行えるだろう。チップの実際の集中化はもっと時間がかかりうる。CCCとなる施設側のデータセンター容量の増設が必要になるかもしれないからである。

大きな課題のひとつは、ある当事国が未申告のAIチップで秘密のAIプロジェクトを行っていないことについて、正当な根拠のある確信を与えることである。チップの集中化はある程度の確証を与えるが、ある国が自国の国内集中化の取り組みを意図的に骨抜きにできてしまうなら、十分ではないかもしれない。違法なAIプロジェクトに対するさらなる確証としては、第10条で論じる情報収集とチャレンジ査察を参照。

チップ集約のより長い議論は、(原文レポートの)付録Dを参照。

CCCの定義について

私たちのCCCの定義は16 H100相当に線を引いている。この閾値はいくつかの基準を満たすことを狙っている。

• 16 H100超のチップクラスタを監視することは、第4条の訓練FLOP閾値とよく整合する。16基のH100での訓練(FP8精度、稼働率50%――現実的だが楽観的なパラメータ)は、10^22 FLOP(監視閾値)に達するのに7.3日、10^24 FLOP(厳格閾値)に達するのに2年かかる。したがって、未申告のチップで下側の閾値に達することは可能だが、禁止された訓練の閾値まで到達するのはかなり非現実的である。
• この閾値は、第8条のAI研究禁止と組み合わせれば、AI能力の進歩を防ぐのにおそらく十分である。第4条は、大規模訓練を禁止し、中規模訓練は監督付きで認めるという訓練制限を定めている。16基のH100で現実的な時間内に行える程度の小規模訓練を認めることは、おそらく許容できる――すなわち、リスクは最小限だろう。
• この閾値が趣味の開発者や消費者に与える影響は限定的である。16基超のH100を保有する個人はごくわずかである。2025年半ばの時点で、H100チップ16基は約50万ドルした。古いゲーム機が数台転がっているだけでうっかり越えてしまうような閾値ではない。
• 許容量を小さくするほど、AIチップの集約は難しくなる。10万チップのデータセンターを見つけるのは容易であり、1万でもおそらく比較的容易、1,000では不明瞭になり、100を下回るとかなり困難になり始めるかもしれない。16 H100という閾値はおそらく挑戦的であり、これより低い閾値がますます実行不可能になることも、この値を選んだ理由の一部である。
• 執行上の課題はありうるものの、この定義の改訂が必要になり、閾値をさらに引き下げる(例: 8 H100相当)可能性はある。私たちの合意では、CTBがこの定義を評価し、必要に応じて変更する任務を負う。

その他の考慮事項

本条は、AIチップを付随的でない非AIチップと同一場所に設置することを避けるよう締約国に求めている。これは、同一場所設置がチップ使用の検証(第7条)をより難しくしうるために提案しているものである。ただし、これは厳密には必須ではなく、望まれない可能性もある。現在、AIチップはしばしば非AIチップと同一場所に設置されており、これを変える不便は、AIチップと非AIチップが混在するデータセンターでAIチップを監視・検証する不便を上回るかもしれない。

私人が「ばら」のH100相当チップから非監視のCCCを組み上げるリスクはいくらか存在する。これに対抗するため、合意は、締約国が(1 H100相当を超える)チップ販売を監視し、新たなCCCの形成を検知する「合理的な努力」を行うと定めている。すべての該当チップと販売の正式な登録・追跡を義務づけるといった、より厳格な措置も取りうる。この案がそこまで踏み込まないのは、CCC内の全チップの目録化が済めば、行方の分からない「ばら」のH100相当チップはそれほど多く残らないと予想されることと、他のメカニズム(第10条の内部通報者保護など)が新たに形成されたCCCの検知を助けることの両方による。

小規模クラスタ(例: H100 100基)に直ちに集中化を求める代わりに、合意は段階的アプローチを取ることもできる。たとえば、最初の10日間で10万H100相当超のすべてのデータセンターを集中化・申告し、次の30日間で1万H100相当超のすべてのデータセンターを集中化・申告する、といった具合である。段階的アプローチは、情報機関が検知能力を高めていくのに合わせて、国際的な検証能力とよりよく歩調を合わせられるかもしれない。

段階的アプローチの欠点のひとつは、国家がチップを隠して秘密のデータセンターを設ける機会を増やしかねないことである。それでもこのアプローチは、過去の一部の国際合意が検証・執行手段の制約の中でどのように機能してきたかと軌を一にする。たとえば1963年の部分的核実験禁止条約は、地下核実験の検知の難しさゆえに、地下実験を禁止しなかった。

生産施設の監視に関する条約規定は新しいものではない。1987年のINF全廃条約の第11条は、中距離核運搬システムをかつて生産していた指定施設に対する13年間の査察を認め、付属の査察議定書第7節は、継続的な周辺・出入口監視を認めた。これには、関連ミサイルを運べる大きさの車両が施設を出る際の計量(場合によってはX線検査)も含まれえた。

AIチップ生産の監視はこれより複雑である。チップの機能と能力を外形的特徴から見分けるのが難しいからである。私たちの第6条が、監視方法とともに「関連ハードウェアは附属書でさらに記述する必要がある」と定めているのはこのためである。しかし、NPTの下でのIAEA保障措置の経験は、サプライチェーン全体にわたる多種多様な生産部材と前駆体の検証が可能であることを示している。IAEAがこれを行う方法のひとつは、施設を査察しやすい設計にして遵守コストを下げるためのガイドラインの提供である。

最終製品・前駆体・生産設備に対する移転禁輸(ここで提案する、非締約国・締約国外の主体へのAIチップおよび先端コンピュータチップ製造装置の販売・移転の禁止のようなもの)には、いずれも十分な先例がある。

• NPT第1条で、各核兵器国は「核兵器その他の核爆発装置をいかなる者に対しても移譲しない」ことを約束している。第3条2項では、「原料物質もしくは特殊核分裂性物質」、または「特殊核分裂性物質の処理、使用もしくは生産のために特に設計されもしくは作成された」設備を提供しないことにも合意している。
• CWC第1条も同様に、「化学兵器を直接または間接に、いかなる者に対しても移譲しない」ことを当事国に約束させている。第7条は、リスト化された前駆体を所定の「生産、取得、保有、移転および使用の禁止」の対象とすることを求めている。
• 冷戦期の対共産圏輸出統制委員会(CoCom)は、西側諸国から共産圏への協調的な輸出統制の枠組みを確立し、核関連物資、軍需品、半導体などの軍民両用の産業品目を対象とした。
• 原子力供給国グループ(NSG)は、核兵器計画に転用されうる核および核関連技術の供給を制限する多国間輸出管理レジームである。
• 特に関連が深いのは、AIチップと先端チップ製造装置に焦点を当てた一連の米国の輸出規制であり、ここ数年で数十カ国を対象としてきた。

AIチップのサプライチェーンは狭く特化しており、生産の監視は実行可能である。AIチップの圧倒的多数はNVIDIAが設計している。AIチップに使われる最先端のロジックチップ(メインプロセッサ)はほぼすべてTSMCが製造しており、市場シェアの約90%を占める。ほとんどのAIチップはTSMCの5ナノメートル・プロセスノードの各種版で製造されており、このノードを支えるのはおそらく2〜3の製造工場にすぎない。先端ロジックチップ製造の重要部材であるEUVリソグラフィ装置は、ASMLが独占的に製造している。AIチップのもうひとつの鍵となる部材である広帯域メモリ(HBM)は、2〜3社が支配している。この狭く技術的なサプライチェーンは、比較的容易に監視でき、秘密裏に複製することは難しい。誇張はしたくない――たとえば中国には、注目に値するAIチップをいくつか生産する国内サプライチェーンが台頭しつつある――が、そうした留保を踏まえても、既存のチップ生産の監視はかなり実行可能に見える。

AIチップ生産の監視の波及効果は比較的小さいだろう。同じプロセスの一部は他のチップ(例: スマートフォン向けチップ)も生産するが、チップそのものは容易に区別できる。チップ設計は時間とともに変わるだろうが、現時点のスナップショットとしては、現在のAIチップは、大容量の広帯域メモリ(HBM)や特化した行列積演算部などの特徴から識別可能である。

AIチップのサプライチェーンの監視については、既存のボトルネックを踏まえると、HBM生産、ロジックダイ製造、およびその後の工程(パッケージング、試験、サーバー組立てなど)を、EUVリソグラフィ装置などの主要インプットとともに監視することが良い出発点になるだろう。

私たちの条文は、締約国内でのAIチップの販売には承認の推定があると定めているが、AIチップ製造装置についてはこの推定を示していない。チップ販売がAI開発能力に与える影響は比較的短期にとどまる可能性が高い。AIチップのライフサイクルは通常数年程度だからである。対照的に、チップ製造能力は今後何年にもわたって相当のチップ生産につながりうる。ある国が締約国となり、AIチップのサプライチェーンを築き上げてから合意を脱退するとしたら、それは特に懸念すべき事態である。そのため、チップそのものよりもチップ製造装置に、より保守的な制限を提案している。

本条の4項と5項は、AIチップとチップ製造装置の締約国への販売を認めるが、非締約国その他の主体への販売は認めない。すなわち、当事国はチップの製造と集積のリスクを受け入れるが、それはチップが監視の対象となる場合に限られる。他国からの防護的対応を受けることなくチップを製造・保有できることは、合意に参加する積極的なインセンティブとなる。

これだけでは、非締約国が締約国内のAIチップに遠隔でアクセスすること(すなわちクラウドコンピューティング、Infrastructure-as-a-Service)は防げないが、そのようなチップは、第4条違反に使われていないことを確保するためにCTBの監視下に置かれる。

必要があれば、非締約国への制限はさらに強化できる。たとえば、非締約国によるAIチップへの遠隔アクセス(すなわちクラウド経由での締約国内AIチップの借用)や、API経由でのAIモデルへのアクセスを禁止することもできるだろう。

チップ生産の監視と密輸の防止が実行不可能である場合には、新規AIチップの生産をすべて禁止するという別のアプローチもある。このアプローチはチップ転用のリスクは小さいが、それらのチップが研究・開発以外のAI応用で生み出せたはずの価値を失うというコストがある。それでも、チップ生産施設のある程度の監視(非AIチップのみを生産していること、または廃止されたことの確認など)には依然として頼ることになる。私たちの合意設計は、チップの使用がもたらしうる大きな利益ゆえに生産の継続を認め、その危険は監視(第7条)によって緩和する。

第6条の先例の議論で、INF条約の下での旧中距離ミサイル生産拠点の継続監視について述べた。この監視は、施設を出る車両の計量や非破壊スキャンを認める一方、トラックの内部や施設そのものへの査察官の立入りは認めていなかった。データセンターに対する類似の周辺監視は、電力消費、熱排出、ネットワーク帯域幅から運用に関するある程度の手がかりを与えうる。しかし、制限されたAI処理が行われていないことの合理的な確証を得るには、1項で列挙した要素――改ざん防止カメラ、オンチップのハードウェア内蔵メカニズム、常駐査察官を含む――の何らかの組み合わせがおそらく必要になる。

このような実務は、国際原子力機関(IAEA)ではすでに日常である。IAEAは査察を補完するために24時間体制の監視技術の利用を拡大している。

世界中の1,400台超の監視カメラと400基の放射線その他のセンサーによって、100万件を超える暗号化された保障措置データが収集されている。原子力施設に設置された23,000個超の封印が、物質と設備の封じ込めを確保している。

START Iの下でミサイル性能特性の遵守を検証するために使われた方法のひとつは、テレメトリー議定書に定められた、試験中の機上センサーから送信されるほぼすべてのテレメトリーデータの共有であった。同議定書は、その解釈に必要な再生装置とデータ形式情報の提供も当事国に義務づけていた。採用される検証手法の組み合わせによっては、クラウド事業者が顧客ワークロードについて収集するのが一般的な実務となっているライトタッチな監視の上に、類似の手法を築く締約国もあるだろう。

民間の商業施設(データセンターの大半はそうである)に対する政府の継続的監視にも、先例は多くある。米国内の原子炉の安全を監督する米国原子力規制委員会(NRC)は、米国のすべての商用原子力発電所に2名の常駐検査官を置いており、米国の食肉生産者は、FSIS¹⁰の検査要員が現場で監督していなければと畜作業を行うことができない。

当事国は、既存のAIチップが危険なAI訓練に使われていないことを確保したいはずである。これらのチップには、(既存版の)ChatGPTのような既存のAIサービスを動かすという正当な用途がある。そのため合意は、AIチップが許可された活動のみに使われていることを検証する能力を要求している。

本条は、合意に参加する積極的なインセンティブを生み出す。すなわち、その使用が世界を危険にさらしていないことを監督によって検証できる限り、その国はAIチップを使い続けてよい。大規模AI訓練の防止という目標に照らすと、主なアプローチは2つある。必要なハードウェアを誰も持たないようにする(すなわちAIチップを存在させない)か、ハードウェアが超知能の開発に使われないようにする(すなわち監視による)かである。監視こそが、AIチップの安全な継続利用を可能にするものである。これは概念的にIAEA保障措置と類似する。非核兵器国が核物質と原子力施設の保有を認められるためには、IAEAが査察を行い、その利用が平和目的に限られることを確保する必要があるのと同じである。

実行可能性

検証を容易にするために、さまざまな技術的手法が使える。たとえば、2025年のアルゴリズムでは、AIの訓練はAIの推論に比べてはるかに高い帯域幅を必要とする。したがって、チップ同士を低帯域幅のネットワークケーブルで接続すれば、推論はできるが訓練はできないという実効的な制限がかかる。これらを含む諸メカニズムにはさまざまな細部の論点があり、関心のある読者には既存研究(こちらも)を薦める。

本条は、広義に定義された、より優れた検証メカニズムの開発と実装をCTBに任せている。AIの変化の速さと、予期せぬ展開が検証手法を無効化しうる可能性を踏まえれば、この柔軟性は必要だと考える。AI検証研究はまだ揺籃期にあり、検証技術のさらなる技術開発は重要な機会である。

新しいAIが作られつつあるかどうかの検証は、既存のAIが危険な推論タスク(超知能の創出を前進させる研究など)を行っていないことの検証よりも、はるかに容易である。2025年8月時点では、既存のAIはその推論活動が超知能の創出を実質的に前進させられるほど有能には見えず、したがって監視の課題は比較的易しい。

AIの推論活動の監視がどれほど難しいかは不明である。推論監視は今日すでに多くのAI企業が実施しており、たとえば利用者がAIを生物兵器の製造に使おうとしていないかの検知に使われている。しかし、その監視が網羅的かどうかは不明であり、AIの能力向上が許されるにつれて信頼性が下がるかどうかも不明である。この案に類する合意が発効するまでにAIの能力進歩が許される期間が長いほど、監視は難しくなる。チップが許可された目的のみに使われていることの検証はより難しく高価になり、不可能にさえなるかもしれない。

その他の考慮事項

理論的には、遠隔監視を可能にする技術的手段によって検証を容易にできる。しかし、現在の技術には、チップ所有者が監視措置を迂回できてしまうセキュリティ脆弱性が含まれている可能性が高い。したがって、検証にはおそらく、継続的なオンサイト監視か、技術的手段が成熟するまでチップの電源を切ることのいずれかが必要になる。監視技術が成熟すれば、強力なハードウェア内蔵ガバナンス機構によって、確信を持ってチップを遠隔監視できるようになるだろう¹¹。

本条5項は、CCCごとに異なる検証手法を認めている。この区別の理由のひとつは実務的なものである。危険なAI開発に使われていないことの正当な確信を確立するには、CCCごとに異なる検証アプローチが必要になる。たとえば、以前フロンティアAIの訓練に使われていた大規模データセンターは、禁止された訓練に寄与する能力が最も高く、より強い監視を要するかもしれない。

第二に、検証アプローチの使い分けは、機微なCCCに対してより侵襲性の低い監視で済むようにすることで、合意をより受け入れやすくする。たとえば、情報機関や軍は、自らのデータセンター(AIとは無関係の目的に使われていても16 H100相当を超える計算能力を持ちうる)への監視を一切望まないかもしれない。この規定はそのバランスを取る助けになる。それでも、これらのデータセンターが危険なAI活動に使われていないことの検証は必要であり、執行理事会構成国は、CCC所有者のプライバシーとセキュリティのニーズを満たしつつCTBが必要な情報を得られるよう、CTBを通じて当該組織と調整する。他方で、検証プロトコルの使い分けが不公平とみなされれば、合意の成立可能性を損なうかもしれない。

私たちの合意案は、世界がチップの恩恵を受けられるよう、チップの使用と生産の継続を認めている。代替案のひとつは、新規チップ生産の停止および/または既存チップの破壊である。アルゴリズムの進歩がない限り、チップの破壊は「ブレイクアウト時間」――ある集団が超知能の創出を試み始めてから成功するまでの時間――を延ばす。(アルゴリズムの進歩がなければ)ならず者の行為者はチップ生産能力を自ら開発する必要があり、それは長期にわたる目立つプロセスだからである。しかし、チップの追跡と使用の検証は実行可能だと考えるため、ブレイクアウト時間の延長という利益が、すべてのAIチップを停止するコストに明らかに見合うとは私たちは考えない。

危険な技術に関連する情報の流布に対する予防的制限の先例は、現在も効力を持つ1946年原子力法にある。同法は、特定の主題に関する情報を既定で「制限データ(Restricted Data)」とする制度(「生まれながらの機密(born secret)」ドクトリン)を確立した。除外の判断は、この立法で新設された原子力委員会の裁量に委ねられた¹²。

本条で用いる「制限データ」とは、原子兵器の製造もしくは利用、核分裂性物質の生産、または動力生産における核分裂性物質の利用に関するすべてのデータをいう。ただし、共同の防衛および安全に悪影響を及ぼすことなく公表できると委員会が随時決定するデータは含まない。

他の類型の政府機密指定と異なり、制限データは民間部門によって(意図的にも偶発的にも)生み出されうる。この点は合憲性が未解決の問題であり¹³、制限データの正確な境界について日常的な判断を下す権限と能力を持つ規制部門の必要性を浮き彫りにしている。米国では国家核安全保障庁(NNSA)が核機密についてこれを担っている。私たちの第8条5項の下では、研究管理部門が制限されたAI研究についてこの役割を引き受ける。同部門はまた、第9条に定めるNNSA類似の他の機能も果たす。すなわち、(1)分類閾値に近づくプロジェクトに取り組む研究者・組織との関係維持、(2)意図せざる発見の報告と封じ込めのための安全なインフラの整備である。

危険な分野の研究を封じ込め、管理した先例もある。第二次世界大戦の最後の数か月、英国と米国はアルソス・ミッションで協力し、ドイツの核科学者を確保し、ドイツの原爆開発の進捗に関する情報を収集し、ソ連がこれらの資源を自国の核計画のために獲得するのを防いだ。プロジェクト・オーバーキャスト(ペーパークリップ作戦とも呼ばれる)は、戦後にドイツのロケット技術者を米国での雇用に取り込む米国の秘密計画だった。

締約国内での制限されたAI研究の封じ込めは、既存の規制枠組みを通じて行える可能性がある。米国では次のものが挙げられる。

• 輸出管理法上の「みなし輸出(deemed exports)」の概念。管理対象技術を外国人に共有することを輸出とみなすことで、米国の主体に、共有前に産業安全保障局¹⁴から輸出許可を得ることを義務づける。
• 国際武器取引規則(ITAR)。軍事技術と一部の軍民両用技術の輸出を管理する米国務省の規則群である。ITARは1996年まで、暗号技術が米国軍需品リスト上の「防衛物資」に分類されていたことを通じて、民間部門による暗号技術の広範な開発と利用を抑止するのに使われた。
• 1951年発明秘密保持法。国家安全保障に関わる新規特許出願に「秘密保持命令」を課す権限を米国政府機関に与える。発明者は特許を拒否されうるだけでなく、発明の開示・公表はおろか使用まで法的に禁止されうる¹⁵。

プロジェクト・オーバーキャストは、研究者に十分な報酬を払って国家の利益のために働かせるという、シンプルな研究者管理の先例でもある。この種のインセンティブのさらなる先例は第9条のところで論じる。

1975年の組換えDNAに関するアシロマ会議は、科学者自身が――特に封じ込められるか確信の持てない新奇な脅威に直面したとき――自発的に研究禁止に合意しうることの証左である。この会議は組換えDNA研究をめぐる自主的ガイドラインをもたらした。ガイドラインには、高病原性生物からの組換えDNAのクローニングや毒素遺伝子を含むDNAの取扱いといった、特に危険な実験の禁止が含まれていた。

関連するノウハウがすでに民間部門に分散している状況で、いくつかの広範な研究カテゴリーを禁止することには課題が伴う。この案では、AIの能力または性能を前進させる研究、および前条までに定めた検証アプローチを危うくする研究が制限の対象となる。

訓練FLOP量を一定に保ったままでも、AIの能力の進歩を防ぐためには一部の研究を禁止しなければならない。この禁止は、AIの訓練を効率化したりAIの能力を高めたりしうるすべての研究――しばしば「アルゴリズム進歩(algorithmic progress)」と呼ばれる――をカバーする必要がある。現在のパラダイムでは、事前学習・事後学習・推論に使われるアルゴリズムの進歩がこれに含まれる。AI開発のパラダイムは転換するかもしれず、他のAI開発パラダイムが機械学習に追いつくかもしれない。したがって、たとえ今日の最優先事項が機械学習であっても、合意は機械学習の研究だけに自らを限定すべきでない。合意は、他のAIパラダイム(例: コネクトミクス、脳型AI、高速な遺伝的アルゴリズム、記号主義AI(GOFAI))の研究がASIにつながりそうに見える場合に、それらを制限する可能性への扉を開けている。

トランスフォーマー・アーキテクチャの開発のような過去のアルゴリズム上の革新は、AI能力の急速な進歩の可能性を実証している。革新が続けば、一定水準のAI能力に必要な計算資源は劇的に下がりうる。実現可能性の論拠としては、現代のAIが人間よりはるかにデータ効率が悪いことを観察すればよい。これは、はるかにデータ効率の良いアルゴリズムが発見されうることを示唆している。

危険なAIが少数のAIチップで、あるいは小規模クラスタに地理的に分散した多数のチップで訓練できるようになると、その訓練を防ぐことははるかに難しくなる。

これとは別に、追跡されないAIチップを製造する新たな方法の研究も、禁止によって排除しなければならない。AIチップの監視と検証が実行可能であるのは、大部分において、先端のAI関連半導体製造が現在複雑で集中しているからである。

第8条はまた、より高性能・高効率なAIチップの設計研究も禁止している。AIチップの効率は放っておけば年々大幅に向上する。より効率的なAIチップを使うデータセンターは、同等以上の性能をより少ない電力で得られるため、隠匿が容易になる。

制限される研究の具体的な類型は、状況の変化に応じて更新する必要がある。そのような活動の一例は、AI訓練活動を効率的に実行できる民生ハードウェアの研究である(その進歩が検証にリスクをもたらす場合)。

研究を制限する国内の取り組みは、研究の出版と資金提供に焦点を当てることから始められるだろう。ほとんどの研究者は、法を守り、職を得て暮らす市民でありたいと望んでいる。危険なAI研究を社会的に受け入れられる規範の外へ押し出す施策は、大きな効果を持つ可能性が高い。

第4項の制限対象行為の多様さは、研究活動が複数の法域に分割された場合でも、合意が各国に個々の活動の禁止と防止の責任を曖昧さなく負わせることを確保する必要に応えるものである。第4項は、たとえば、ある法域の企業が第二の法域の従業員を雇い、その従業員が第三の法域にホストされたチップを遠隔操作するような場合に適用される。

1項(a)が求める、制限情報を生み出すおそれのある「国内の研究者および組織を把握し、関係を維持する」権限を持つ既存機関としては、第8条の先例の節で論じたエネルギー省(DOE)とNNSAがある。

2項(a)(ii)で提案する、リスクの高い分野の「研究者の雇用状況の監視」の先例は、国際科学技術センター(ISTC)に見ることができる¹⁶。1994年に設立されたISTCは、ソ連の核研究者を平和的な活動で有給のまま雇用し、国際科学コミュニティとのつながりを保つことにより、核拡散リスクを減らすために特別に作られた。ISTCはまた、(この合意の結果として職を失うかもしれない)技術専門家を制限研究に従事させないために、罰則を補完するインセンティブの可能性も示している。

私たちの第9条1項(b)が示す抑止を実現するには、罰則は厳しいものである必要があるかもしれない。ここに直接適用できるとは限らないが、一部の文脈では機微データの共有を厳罰に処してきた先例がある。1946年原子力法の執行に関する章(第18章)には、無許可の開示に対する罰金と拘禁刑が含まれる。他の情報開示犯罪、すなわち反逆罪には、さらに重い刑罰が科されることもある¹⁷。

「制限研究の意図せざる発見を報告し封じ込めるための」安全なインフラを整備する際には、DOEの、各種機微データの取扱いに関する広範な手続の中に、先例と流用可能なテンプレートが見つかるかもしれない。DOEの「事象報告処理システム」や、国家安全保障システム委員会¹⁸の機密情報スピレッジ(流出)対応の指示文書も役立つだろう。

研究管理部門は、査察プロトコルの策定にあたり、IAEAの既存の実務を参照するとよいだろう。1997年にIAEA理事会が承認したモデル追加議定書の枠組みの下で、包括的保障措置協定を結んだ国々¹⁹は、未申告の核物質を探す補完的アクセス査察を認めている。このような訪問の一環として、査察官は施設運転者に聞き取りを行うことができる。これは私たちの2項(a)(i)の提案と類似する。

本条2項(c)が求める、検証の実施における「個人および締約国のプライバシーと秘密の保護」については、研究管理部門は、各国の既存の情報機関や多国間の情報共有取決めにおける区画化(コンパートメンタリゼーション)の実務を応用できるだろう。たとえば、そうした取決めで一般的とされる「第三者ルール」または「発信者管理原則」の下では、共有された情報を、発信元機関の許可なく第三者(場合によっては監督機関にすら)に開示することは禁じられる。

禁止されたAI研究が行われていないことの検証を助けるため、第9条は締約国に、「制限研究に隣接する領域」を画定し、その隣接領域で働く研究者との関係を築くことを課している。世界のトップAI研究者は十分に少数であるため、そのかなりの割合の活動を追跡することは実行可能かもしれない。トップAI企業の技術スタッフは5,000人程度であり²⁰、フロンティアAI開発に不可欠な集団はそれよりはるかに小さく、おそらく数百人規模だと広く考えられている²¹。トップAI会議の参加者数は約7万人と推定される。より上限側の見積りとしては、関連ハードウェア企業の従業員数はおそらく100万人前後²²、少なくとも基礎的な技術的AI知識を持つ人の数はおそらく数百万から数千万人である²³。国家は研究者にその活動について聞き取りを行い、内部通報者には庇護と金銭的インセンティブを提供できる(第10条参照)。

現在のAI開発実務の多くは公衆の目に見える形で行われているが、法的制限は、超知能マシンを作ろうとするならず者の行為者の取り組みを劇的に妨げると私たちは考える。

国家が追加コストを負担する意思があるなら、監視は半導体の設計・製造に関わる研究者やエンジニアにまで拡張できる。より安価な代替案は、個人ではなく半導体製造企業を監視することだろう。産業内の複雑な依存関係ゆえに、少数のならず者集団が自前のチップ製造設備を作ることは困難である、という事情を活用するのである。

締約国は、他の締約国が国内の研究禁止に違反し、研究活動を外国の情報機関から隠すのではないかと懸念するかもしれない。多数の研究者とAI関連チップを動員する大規模な取り組みは、本気の情報コミュニティであればまず気づくだろう。しかし、代替的な機械知能パラダイムの開発のような小規模な取り組みは、少数の研究者と一般に入手可能なハードウェアしか使わないかもしれない。研究管理の検証は、継続的な努力と反復を要する複雑で機微な事業である。その目的を支えるため、第10条(下記)は、情報収集を促進し内部通報者を保護するさまざまな手段を制度化している。

情報集約の先例は第8条のところで既に触れ、「第三者ルール」のような区画化の実務を含むとされる情報協定の存在を挙げた。同様のルールはIAEAにも見られる。INFCIRC/153第1部5項はこう定める。

……機関は、協定の実施に際して知り得た商業上および産業上の秘密その他の秘密情報を保護するため、あらゆる予防措置をとるものとする。

職員は守秘義務に拘束され、漏洩には刑事罰が科される。これが重要なのは、IAEAが参加国からの情報開示――衛星画像や文書を含む――の恩恵を受けてきたからである。イランの未申告の濃縮活動の事例がそうであった。同様に、IAEAは提供された情報に応えて、北朝鮮の未申告のプルトニウム生産に対する特別査察を要求した。

多国間合意の検証における自国の技術的検証手段(NTM――衛星画像、信号収集その他の遠隔センシング)の不可欠な役割を認め、私たちの合意案は、弾道弾迎撃ミサイルを制限するABM条約から文言を借りている。同条約では「各当事国は自国の技術的検証手段を用いる」ものとされ、「他方の当事国の自国の技術的検証手段を妨害しないことを約束する」。同様の文言は、1987年の中距離核戦力(INF)全廃条約第12条、1996年の包括的核実験禁止条約第4条、そして2010年の新START条約の随所に見られる。

ASIの場合、NTMだけではすべての危険な違反を検知するのに十分でないため、私たちは、内部からの報告を奨励しその経路を提供するIAEA保障措置の枠組みの特徴を借りた。しかし、これらは明示的な内部通報者保護の欠如によって妨げられている。NPTにも保障措置にも、報復を決めた自国政府から通報者を守る規定はなく、当該国に適用可能な国内保護制度がある場合に限られる。私たちの合意案の内部通報者保護と庇護の規定は、この欠陥に対処するためのものである。

近年のEUのAI立法も同様の措置を取っている。EU AI法の前文第172項は、EUの既存の一般的な内部通報者保護を、AI法違反の通報者にも明示的に拡張している。

1951年難民条約は、「迫害を受けるおそれがあるという十分に理由のある恐怖」を要件として、情報提供者に庇護を与える枠組みとなりうる。ただし、AIに関する内部通報が法的に適格な迫害事由となることを確保するには、改正または補足協定が必要かもしれない。

機微な知識や専門性を持つ人々への庇護は、冷戦とその後の時代に日常的に付与されていた。1949年CIA法第7条は、「国家安全保障の利益になる、または国家情報任務の遂行に不可欠」と判断された場合、会計年度あたり最大100人の亡命者とその近親家族の入国と永住を認めた。1992年のソビエト科学者移民法は、「核、化学、生物その他のハイテク分野の専門性を持つ、またはそれらの防衛プロジェクトに従事する」旧ソ連・バルト諸国の科学者に最大750件のビザを与えた。

本条3項で定めるチャレンジ査察のメカニズムは、CWC第9部(訳注: 検証附属書第10部)のそれをモデルにしている。

各締約国は、遵守違反の可能性に関するあらゆる疑問を明確化し解決することのみを目的として、他の締約国の領域内またはその管轄もしくは管理の下にあるその他の場所にあるいかなる施設または地点についても、オンサイトのチャレンジ査察を要請する権利を有する……

CWCは、INFや米ソ間のSTART I核条約などの他の軍備管理条約とともに、遵守の検証のためにNTMとチャレンジ型の査察を組み合わせている。

情報収集

すべての当事国は、自国の安全保障上の関心から、いずれかの主体が危険なAI活動を行っていないかを独自に把握する努力を継続すると私たちは予想する。国家によるさまざまな情報収集活動は、CTBが直接行う監視(第4条〜第7条に記述)を補完し検証する。その目的のためには情報集約部門が不可欠であり、すべての当事国から情報の提供を受けられるだけの信頼に足る存在でなければならない。同部門は機微情報を秘密かつ安全に保ち、国家の情報機関に対して、その情報収集手法に課されるリスクが最小限であり、CTBに必要な情報を提供するために正当化されるものであることを確信させられるほど堅牢でなければならない。可能な限り機微情報の収集自体を避け、収集した情報を最も厳格な秘密として保持することが、漏洩リスクを最小化する。

第10条は、情報の必要性が強い非署名国の監視についても扱っている。

第10条は、監視の義務を課すまでには踏み込んでいない。国家に確証を与えるのに必要な水準の自己完結的な情報収集能力をCTB内に創設することを義務づけるのは前例がなく、また、超知能の創出が重大な安全保障上の脅威となる以上、すべての当事国はその能力を持つあらゆる主体を監視する強い誘因をすでに持っているため、不要にも思われる。したがって、CTBは主要な情報の提供を主として当事国に頼る。

内部通報者の保護

この合意の全体的な実効性は、他の当事国が禁止されたAI活動を行っていないという、当事国の正当な根拠のある確信に依存する。自国の技術的検証手段その他の情報収集をもってしても、超知能開発の秘密の取り組みを国家が検知するのは難しい場合がある。軍事施設内部での取り組みなど、国家がライバル国の情報を収集することが不可能な領域は多い。内部通報者は追加の情報源となりうるし、内部通報の可能性そのものが違反への追加的な抑止となる。

内部通報者が有効でありうるのは、秘密の違反(例: 秘密の訓練ランやAI研究)に関与する個人自身が、ASIの危険を懸念しているかもしれないからである。本条は、違反の通報をより安全で低コストにし、個人の誘因を沈黙から開示へと移すことを狙っている。

内部通報者が警鐘を鳴らしうる違反には次のものが含まれる。

• 第4条: 監視されていない訓練ラン、閾値を超える訓練ラン、または禁止された分散訓練手法を用いる訓練ラン。
• 第5条: 未申告のチップクラスタの存在、対象ハードウェアの集約の不履行、または秘密の非監視施設へのチップの転用。
• 第6条: 監視から逸らされた、または義務づけられたセキュリティ機能なしに製造された新規AIチップ。
• 第8条: 禁止されたAI研究。

内部通報条項の修正は、その実効性と政治的成立可能性をさまざまな形で変えうる。たとえば、国家は正当な内部通報者に金銭的補償を提供して追加の誘因とすることもできるが、これは自国を裏切るよう市民に金を払うものとみなされるかもしれない。

チャレンジ査察

チャレンジ査察は、この合意が提供する決定的に重要な機能である。検知という信頼できる脅しがなければ、当事国は、(超知能への競争が双方にとって損であるにもかかわらず)ライバルが不正を試みるのではないかと恐れかねない。情報収集は、離反への見かけ上の(幻想の)誘因に対抗するひとつの方法である。

米国および中華人民共和国の独立検証活動

独立した検証活動の存在は冗長性をもたらし、合意が実効的に実施されているという全体的な確証を高める。米国と中華人民共和国は、自国自身の分析に基づく独立した検証を必要とするだろうと私たちは考えており、合意とCTBの活動は、これらの独立した取り組みを可能な限り支援する。

私たちの第11条の紛争解決手続は、化学兵器禁止条約の第9条、第12条、第14条から借りている。CWC第9条は、明確化の要請に対し「可能な限り速やかに、いかなる場合にも要請から10日以内に」応答することを署名国に義務づけている。デジタル領域の展開がいかに速く伝播しうるかを踏まえ、私たちは5日の応答期限を選んだが、この数字すらさらに短縮する必要があるかもしれない。

本条2項は、CWC第14条をモデルにしている。同条は執行理事会に、「あっせんの提供、紛争当事国に対する当事国の選択する解決手続の開始の要請、合意された手続についての期限の勧告を含む、適当と認めるいかなる手段によっても紛争の解決に貢献する」ことを認めている。当事国はまた、適宜、国際司法裁判所へ事案を付託することも奨励される。

私たちの第11条3項と同様に、CWC第12条は、「この条約により禁止されている活動から、この条約の趣旨および目的に対する重大な損害が生じうる場合」に、制裁を含む救済措置を勧告する権限を執行理事会に与えている。その勧告に力を持たせるため、CWCの理事会は「関連情報および結論を含め、その問題を国際連合総会および国際連合安全保障理事会の注意を喚起する」こととされている。私たちの合意の執行理事会による勧告も、同様にエスカレーションされうる。

第11条の目的は、署名国間で生じる問題を解決するための協議・明確化のプロセスを設けることである。

AIの革新の速さを踏まえると、妥当な時間軸で違反を認定することは難しい場合がある。執行理事会の役割は、合意のいずれかの当事国が提起した懸念を裁定することである。CTBは、最先端のAI技術を理解する専門家による査察を調整する役割を担う。合意は、AI分野の急速な技術変化にもかかわらず、当事国が防護措置(下記の第12条に記述)をとる前に裁定を待てるだけの速さを期して、(時間と日数の単位で刻まれる)積極的なタイムラインを採用している。とはいえ、当然ながら、自国の安全保障の確保に必要と判断した防護行動を当事国がとることを、いかなる合意も妨げることはできない。

国家が自国の安全保障のために防護的行動をとれるということは、先例の有無にかかわらず現実であるが、それが国際法に成文化された一例が国際連合憲章第7章である。同章は、国際の平和と安全の維持のため、安全保障理事会が必要に応じて軍事的または非軍事的措置をとりうると定めている。

上の案に現れる防護措置の概念は、国際安全保障への脅威とみなされた技術の開発を防ぐために国家が単独または集団で行動してきた歴史的先例に、さらに根ざしている。これらの行動は、制裁からサイバー・軍事攻撃にまで及ぶ。

イランの核兵器開発を防ぐための国際的な取り組みは、明確な現代の実例である。国連安全保障理事会は、イランの核計画を理由に数度にわたり制裁を科し、その大半は、イランが2015年の包括的共同作業計画(JCPOA)で計画への制限に合意した後に解除された。

米国とイスラエルは、2010年にイランのウラン濃縮遠心分離機の多くを破壊した高度に洗練されたサイバー兵器、スタックスネット(Stuxnet)で協力したと報じられている。

2025年6月には、イスラエルがイランの多数の核施設への空爆を開始し、その9日後には、フォルドウのウラン濃縮施設の無力化を一部の目的とする米国の空爆が続いた。

防護措置のもうひとつの歴史的先例は、1990年代のイラクの核不遵守への国際的対応である。1991年の湾岸戦争後、イラクの大量破壊兵器の廃棄を監督するため国連特別委員会(UNSCOM)が設立された。UNSCOMの査察レジームへの不遵守は、最終的に1998年の砂漠の狐作戦――イラクのWMD生産能力の低下を狙った爆撃作戦――につながった。

人工超知能の創出を防ぐ合意は、ASI開発を企てる国家への防護措置の必要性について明示的である必要はなく、類似の合意がしばしばそうするように、この力学を暗黙のままにしておくこともできたかもしれない。私たちの案が明示的であるのは、この抑止レジームが合意の実効性の核心であり、誘因を明確にすることがその実効性を高めるからである。この明示性はまた、これらの措置がいつ許容されるかのより丁寧な記述を含め、防護措置の濫用を防ぐのに役立つ規定を盛り込むことを可能にする。

世界の指導者たちがASIの脅威を理解すれば、限定的な軍事介入を含め、ならず者のAI開発を止める行動をとる意思を持つようになる可能性が高い。狭く標的を絞った空爆のような軍事行動は、他のすべての外交が失敗した後の、ASIの開発を防ぐための最後の手段として常に扱われるべきである。しかし、無謀に作られた人工超知能を破壊的ではなく有益な技術だと誤って認識する行為者に対してさえ抑止と遵守のレジームが成り立つためには、それが最後の手段として利用可能であることが重要である。

いかなる武力の行使も、ASIの防止に標的を絞るべきであり、脅威が除去されたことが明らかになり次第、停止すべきであることを強調しておく。第12条は、署名国が他の当事国による合理的な防護措置を妨げないことを明確にすることを狙うが、同時に、本条が濫用されていないことを確保するために、これらの行動は審査を受けなければならない。

監督付きの試験の先例は、第7条のところで論じたチップ使用検証をめぐる先例と共通しており、中でもSTART Iのミサイル・テレメトリー共有議定書が特に関連が深い。私たちの第13条で加わる要素は、収集したデータを、閾値調整の可能性についての勧告(これは第14条で論じる先例あるメカニズムの下で行われうる)の判断材料に使うことである。

公衆への開示(第3項)と第10条の情報集約規定との間の内在的な緊張については、IAEA憲章第7条の守秘規定²⁴が、関連分野の重要な進展とその世界安全保障への含意に関する定期的で詳細な報告書の公表を妨げてこなかったことを指摘しておく。

第13条の目的は、AI分野が前進している場合に、CTBがその現状を把握し続けられるようにすることである。たとえば、申告された訓練をレビューすることで、さまざまな訓練FLOP水準で到達しうるAI能力の水準を理解できる。アルゴリズム研究が禁止されていても、実効的に止めきれない進歩はありうるのであり、CTBはそれを追跡し続けなければならない。

加えて、CTBには能力引き出し(elicitation)の進歩を監視する理由もある。たとえば、古いAIが何らかの重要な評価指標で大幅に良い成績を出すようになる新しいプロンプティング手法が発見されるかもしれない。

私たちは、CTBのレビューが、AIが特定領域で危険なほど有能になっていないことを確認する能力評価も含むことを想定している。また、AIが特に危険なタスク(AI研究の自動化など)のために訓練されていないことを確認したり、予期しないAIの挙動を試験したりするために、訓練データを調べることもできるだろう。

レビューによってAI開発の地形の変化が明らかになった場合、その変化は、第4条・第5条に関わる閾値の変更や、第8条の制限研究の定義の変更を必要としうる。それらの変更は第3条のメカニズムに従って実施される。

私たちの合意は、閾値を緩めたり規定を弱めたりする短期的圧力に対して頑健である。そのような変更には執行理事会構成国のコンセンサスを要するからである。

改正しにくい(したがって弱めにくい)条約は、必要に応じた強化のために別のメカニズムに頼る。NPTは一度も改正されたことがないが、第8条に定める5年ごとの再検討会議を通じて適応してきた。そこでは「前文の目的および条約の規定が実現されつつあることを確保する観点から」コンセンサスによる合意がなされる。

同様に、1975年の生物兵器禁止条約第12条は、正式な改正がまれであるため、拘束力のない信頼醸成措置を通じて条約を強化する5年ごとの再検討会議に依拠している。私たちの合意が3年ごとの会議を定めているのは、AIが急速な変化を起こしやすい分野だからである。この期間はさらに短縮する必要があるかもしれない。

化学兵器禁止条約第15条は、改正と、運営上・技術上の変更とを区別し、後者にはより緩やかな承認手続を定めている。将来のAI分野の展開に対応する柔軟性を与えるため、私たちの合意案にも同様の文言を加えることができるだろう。

宇宙条約第15条には改正条項があるが、同条約は正式に改正されたことは一度もない。代わりに、新たに生じた宇宙問題に対処するために新しい条約が交渉されてきた。これも、AI合意で明らかになりうる弱点を補強するもうひとつの選択肢になりうる。

第14条は、合意への大きな改訂を行うプロセスを定める。これらの改訂には当事国の相当な支持が必要であり、ハードルは高い。対照的に、各種のカテゴリーや制限の詳細の変更は、第3条に記述したとおり、(より緩やかな審査を条件に)はるかに容易かつ迅速に行える。これはAI分野の変化の速さが必要とするところである。事態の重大さを踏まえれば、また、行き過ぎた行為者が野放しにされれば、ほとんど利益のないまま公衆に不便を強いる的外れな制限を課しかねないというリスクを踏まえれば、慎重な審査プロセスは正当と思われる。

条約に失効期限がないことは一般的である。CWC第16条の第1項は「この条約の有効期間は無期限とする」と定める。

無期限の合意が必ずしも永遠に続くわけではない²⁵。しかし、通常は脱退のメカニズムが用意されており、多くの場合、所定の通告期間と、残る当事国にとって懸念の少ない形で脱退させるためのその他の条件を伴う。CWC第16条は、「この条約の対象である事項に関連する異常な事態が自国の至高の利益を危うくしていると認める場合には」当事国の脱退を認めている。脱退国は90日前の通告を要する。宇宙条約第16条は脱退に1年前の通告を求めている。

私たちの合意は、脱退国に12か月前の通告を求め、第3項の確証提供措置への協力に十分な時間を確保している。(脱退規定の歴史的記録にすぐには見当たらない水準まで踏み込んだ)これらの措置の意図は、脱退する締約国への防護措置の必要が生じる可能性を減らすことにある。締約国であれ非締約国であれ、ASIを作り出すこと、または世界がその創出を防ぐ能力を弱めることは、誰にも許されないからである。

脱退した当事国が引き続き防護的行動の対象となることの歴史的先例は、国連安全保障理事会決議1718の事例に見られる。同決議は、北朝鮮がNPTから既に脱退していたにもかかわらず、2006年の核実験後に北朝鮮への制裁を科した。

ASIの研究開発の危険、そして、ある国が合意から脱退して超知能への競争に走れば他国も追随しかねないというリスクを踏まえると、この合意には脱退への障壁が必要である。

実際には、これは難しい。たとえば北朝鮮は、国連安全保障理事会決議とそれに伴う制裁という代償を払ってでも、核拡散活動を続けるためにNPTから脱退した。その帰結は、北朝鮮に拡散活動をやめさせるには不十分だった。

ある国が合意からの脱退を望む場合、私たちの文言は、すべての当事国の目から見て、その国がAIインフラへの権利を放棄すること、そして危険なAI活動に従事すれば第12条の防護措置の対象となることを明確にしている。ASI問題をめぐるそれ以上の交渉――たとえば防護措置を回避するための交渉――は、利害関係国の間で別途行われなければならない。

脱退を懸念する当事国は、脱退をより困難にするメカニズムを盛り込むこともできるだろう。たとえば、米中双方の当局者が、対象チップクラスタ内に相互のキルスイッチを設置することに合意し、いずれの側も相手のクラスタを恒久的に停止できるようにすることが考えられる。あるいは、すべての新規AIチップに、複数の当事国の承認がなければ動作を継続できないハードウェアロックを組み込んで製造することを義務づける多国間ライセンス制度を採用してもよい。そうすれば、ある国が合意を脱退した場合、他国はライセンスの承認を止めてそのチップを無力化できる。もうひとつの選択肢は、重要なAIインフラを第三国に移し、当事国が合意を脱退した場合にはそのインフラを没収または破壊できるようにすることである。私たちの案は最小限の抑止手段にとどめているが、他にも多くの手段が利用可能である(あるいは、わずかな技術投資で利用可能にできる)。