対話型AIが話題です。新たな市場が創出される期待だけでなく、サイバー攻撃への悪用についても、このところメディアを賑わせています。世界のサイバーセキュリティプロフェッショナルの間でも、様々な観点から議論されています。
他方、近年急激に、サイバーセキュリティについて、企業内でのガバナンス上の役割が変化しており、第一防衛ラインのリスクオーナーとして対処する役割よりも、第二ラインのリスクを監視する役割、さらには第三ラインの合理的な保証の役割も求められるようになってきています。そうした背景から、サイバーセキュリティの実務家の間でも、従来よりもスコープを広げて、AIに関する社会的責任論も押さえておきたいという考えもでてきているようです。
先月17日の本年初めての「リスクトレンド研究会」では、人工知能と倫理について、サイバーセキュリティの観点からお話しさせて頂きました。今回は、少し茶目っ気を出して、同じ問題提起（“The Case for Social Responsibility in AI”）について、AIとサイバーセキュリティの人智が違う反応をする点に学びたいと思います。まずは、筆者がChatGPTに投げ掛けて得た「回答」を引用し、次に、サイバーセキュリティの権威ある団体ISFのSteve Durbinがジャーナリスト行った対談をポッドキャストから書き起こしたものを比較して、それぞれの「癖」を見てみたいと思います。
では、ChatGPTの番です（2023年2月13日版ChatGPTの答えの要約を筆者が翻訳）。
人工知能（AI）が私たちの生活の中でますます重要な役割を果たすようになるにつれて、AIにおける社会的責任を問う必要性が高まってきています。つまり、AIシステムを設計、開発、配備する者は、その技術が社会に与えうる影響を考慮し、人類に利益をもたらすAIの実現に向けて努力する責任があるのです。
（中略）
まとめると、AIにおける社会的責任は、社会にとって有益なAIシステムを作るために極めて重要であると言えます。それは、危害を避け、信頼を築き、利益を最大化し、イノベーションを促進するのに役立ちます。AIが進化を続け、私たちの日常生活に溶け込んでいく中で、より大きな利益につながる技術を生み出すために、AIにおける社会的責任を優先させることが不可欠です。
噂に違わずスマートな回答が直ぐに返ってきました。そこで、もう一つ悪戯をして、同じ問いを日本語でして、答えを日本語で得ました（かなり時間を要しました）。
AIにおける社会的責任に関する議論は、AIの発展が進むにつれてますます重要になっています。AIは、人間の行動を自動化するために設計されており、人間の意思決定や行動に影響を与える可能性があります。したがって、AIには社会的責任が求められることになります。
AIの社会的責任に関する議論には、次のような問題が含まれます。
1.偏見や差別：AIが人間と同じように偏見や差別を持ってしまうことがあります。これは、AIが訓練データに含まれる偏見や差別的な情報を反映することに起因します。そのため、AIの訓練データを慎重に選定し、偏見や差別を排除する必要があります。
2.透明性：AIの意思決定のプロセスが不透明である場合、人々はその意思決定がどのように行われたのか理解することができません。そのため、AIの意思決定のプロセスを透明化する必要があります。
3.誤った意思決定：AIの意思決定に誤りがある場合、それが深刻な結果をもたらす可能性があります。そのため、AIの意思決定に対する責任を誰が負うのかを明確にする必要があります。
4.セキュリティ：AIがハッキングやマルウェア攻撃の対象になる可能性があるため、AIのセキュリティについても注意を払う必要があります。
AIにおける社会的責任についての議論は、技術者、法律家、政策立案者、学者、市民社会など、多くの関係者からなる多面的な議論が必要です。AIが社会に良い影響を与えるためには、AIの開発や運用において社会的責任が考慮され、監視される必要があります。
こちらも、賢い答案でしたが、英語の前向きな文脈とはかなり違う、慎重な論調になっている点が目に付きます。それぞれの言語空間で学んだArtificial Intelligenceと人工知能は兄妹のようでも、実は、文化背景（親）が違うということでしょうか。
さてそれでは、今度は、人間同士の対話です。
（次のページから引用）
人工知能における社会的責任論
Published: 10th January, 2023
SOURCE：ISF
Steve Durbin, Chief Executive, Information Security Forum
Nick Witchell (BBCのジャーナリスト)：まず、人工知能の話から始めたいと思います。さて、私たち人間とAIの間の距離は、どの程度離れているとお感じでしょうか？ また、人工知能は人間の心と基本的には見分けがつかないものなのでしょうか？
Steve Durbin：いい質問ですね。今の時代、多くの人がこのような疑問を抱いているのではないでしょうか。というのも、私たちは、ほとんどすべての行動が機械とつながっているからです。通りを歩いていると、カメラを見かけますよね。いったい何をやっているのか？ どうやって撮影しているのでしょう？
少し前になりますが、私がいつも「人工知能は機械学習以外の何ものでもない」と話していたのを覚えていますか？ 今はその段階を過ぎて、本当の意味で人工知能に近づいている段階だと思います。つまり、コンピュータが情報を収集し、その情報を分析し、それに応じて反応したり行動したりする能力が、です。例えば、InstagramやTikTok、Metaのように、実際にこうした技術を活用している企業もあります。もちろんGoogleも、かなり長い間、これを研究してきました。
全体的に言えば、私たち人間の成熟段階に見立てると、現状は思春期のようなもので、物事が少し難しくなってきていると私はいつも言っています。AIがどのような大人に育つことになるかはわかりません。このまますんなり10代が過ぎようとしているのか？ それとも出口から抜け出すのが少し難しくなってきているのか？ では、私たち人間との距離はどのくらいなのでしょうか？ おそらく、一部の人が考えているよりもかなり近づいているでしょう。しかし、そうなると、この状況をどのように管理するか、どのようにしたら私たちの将来を上手く切り開いていけるのか、といったさまざまな疑問が生じると思います。
Nick Witchell：AIがちょうどティーンエージャーの時期にあると考えるのは、面白い例えですね。なぜなら、10代というのは非常に厄介な時期であり、さまざまな責任が発生するものでもあるからです。それでは、AIに関して何が倫理的で何が倫理的でないかという問題は、誰が責任を持って取り組むべきなのでしょうか？ 企業であるべきなのか、選挙で選ばれた団体であるべきなのか、それとも誰なのか？
Steve Durbin：そのすべてを混ぜ合わせたようなものだと思います。というのも、この分野を実際に推進しているのはハイテク企業ですから、彼らにはある種の責任ある行動が期待されるからです。しかし、そのためには彼らへの支援も必要でしょう。そこで初めて、何をすべきか、どのような形にすべきか、ということについて、法律や規制の話をすることになるのでしょう。この分野では、透明性が非常に重要だと思っています。データがどのように使われるのか、他のデータにどのように追加されるのか、さらに最終的に得られた情報をどのように扱うのかを理解することです。
そして、もう1つの要素、個人についても考えていかなければなりません。なぜなら、私たちは自分のデータをどのように利用し、共有するか、また、私たちが利用するデータについて、責任を持たなければならないからです。10代という年齢は難しいというのは、まったく貴方のおっしゃる通りですね。そうです、私たちは誰もがAIという新時代のコンピューティングと向き合っているのですから、皆にとって難しいところだと思います。
自社がどのようにAIを利用しようとしているのかを理解する
Nick Witchell：では具体的に、CISOとそのセキュリティチームが負うべき責任について考えたいと思います。AIについて、そして、AIが自分たちの仕事の領域にどのような影響を及ぼすのか、について、最低限、セキュリティ専門家は、何を理解しておく必要があるとお考えですか？
Steve Durbin：自分たちの会社がどのようにAIを利用しようとしているのかを、理解する必要があると思います。AIそれ自体について知っておく必要があるというより、むしろそのような観点からアプローチすることになるでしょう。つまり、会社が目指すビジネスの方向性と、その中でAIが果たすべき役割について、しっかりと理解する必要があるのです。
さて、私はこれまで、人工知能がサイバーのいくつかの分野において有望な解決手段となり得ることを何度も述べてきました。つまり、私たち人間があまり得意ではないことを、コンピュータができるようになるということです。なぜなら、私たちは大量のデータをふるいにかけることができないからです。ですから、AIを使ってこうした問題に取り組むことは、おそらく誰もが賛成することでしょう。そして、CISOは、それをどのように管理すればよいかを理解する必要があります。
しかし、多くの大企業では、すでにAIを活用しようと考えている部門があるはずです。マーケティング部門や研究開発部門などです。CISOは、こうした他部門の同僚から学び、それをビジネスの方向性に結び付けて考える必要があるのではないでしょうか。
Nick Witchell：その上で、CISOとしては、企業や組織の方針、そして企業や組織がどのようにAIを利用しようとしているのかについて、役員レベル、つまり上層部からの明確な指示もきっと必要でしょうね。
Steve Durbin：まったくその通りです。仮に指示がなかったとしても、それを要求する必要があります。私は、自社のビジネスがデータや情報に大きく依存している場合、再びCISOの地位を高めて、最高情報セキュリティ責任者が人工知能に関する社内の議論に関わっていかなければならない段階に来ていると思います。しかし、それは何かを阻止するためではなく、戦略的な観点から見た全体の流れや、取締役会がCISOに求めていることを広く理解し、さらに重要なこととして、いくつかの課題やそれを克服する方法について自分の考えを提示できるようにするために関わっていくのです。
私たちは、レジリエントな組織、すなわちサイバーレジリエントな組織ということを言い続けているわけですが、CISOが自社の戦略や今後のデータ活用方法について何も知らなければ、サイバーレジリエントになりようがありませんからね。
Nick Witchell：ここで、信頼と責任に関するより広い問題に目を向けてみましょう。私たちが生きているのは、フェイクニュースや、選挙結果の操作疑惑など、そういった類の話が溢れている時代です。では実際に、社会として、どういうデータが信頼できるのか見極められるようになるのでしょうか？
データの信頼性についてもっと自問すべき
Steve Durbin：良いご質問ですが、本当に答えるのが難しい質問です。というのも、現実問題として、私たちは皆、目にするデータに対してもう少し疑い深くなって、もう少し皮肉屋にならなければならないと思うのです。何年か前に、私たちはTwitterで知っている誰かが何かを薦めているからそれを信用するというような、信頼のおける情報に基づいて意思決定をしているという話をしました。でも今は、その人が本当にTwitterで知っている人なのか、それともBotなのか、あるいは私がこれから何をすべきかを決めさせるために何らかの形で操作されていないのか、自問自答する必要があるのです。
そうやって、私たち一人ひとりが、何を信頼し、何を信頼しないかという自分のフィルターを作り上げなければならないのだと思います。どのようなデータを共有したいのか、そのことで、どういう見返りを期待できると思っているのか、など、私たち自身が納得できるレベルを確立することなのです。そして、データを収集する側にも、そのデータの使用方法について透明性を高める責任があると思います。そうなれば、これからごく短期間のあいだに、私たちはこうした問題をよりよく理解できるようになっていくことでしょう。
そうなってくれば、我々も適切な質問をすることができるようになり、それによって、特定のプロバイダと契約を続けるか、それともオプトアウトして別のサードパーティーと別の契約をするか、判断することができるようになるでしょう。このように、我々は個人として、ユーザーとして、非常に急速に成熟プロセスを体験しているのだと思います。
Nick Witchell：現在は、巨大なデジタルコンテンツ・プロバイダが登場しています。彼らは巨大企業であり、そこには大きな責任がありますが、果たして彼らがその責任を果たしているのかどうか、疑問が残りますね。英国では最近、モリー・ラッセル事件の判決が下されましたが、特に子どもたちを有害なオンラインコンテンツから守るために、さらに多くの立法措置が求められているのは明らかだと思います。Metaのようなデジタルコンテンツのプロバイダだけに責任があるわけではありませんが、何が彼らの責任なのか、その定義を教えてください。
Steve Durbin：そうですね。彼らだけの責任ではありませんね。たとえば、子どもたちのテクノロジーの使い方について考えるとき、親の側にも大きな責任があると思うのです。もし、赤ちゃんを静かにさせるため、あるいは自分たちが楽しむためにiPadやタブレットを与えたとしましょう。その後になって、自分たちが実際に何をやっているかを理解できるようになったら、親として、子どもが機器を正しく使えるように、もっと積極的に何かする必要が出てくるはずです。ですから、すべての責任を大手ハイテク企業や技術系企業に負わせることはできないと思います。
しかし、技術プロバイダももっと責任ある行動を取らなければならない、とも私は考えています。そういえば、数年前にも、お金に目がくらんだ技術プロバイダをたくさん見ましたよね。データには価値があるから、それを収益化して株主への利益還元を増やそう、といった具合に。しかし、幸いなことに、私たちはそのような特殊な時代からは脱却することができました。そうやって今、企業が示すべきより大きな責任について話せているのだと思います。それは透明性のことであり、どのようにテクノロジーを利用しているかを明確にすることであり、政府も規制の整備を通じてハイテク企業が本当に従うようにさせるということなのです。
問われるプロバイダの責任
Nick Witchell：しかし、これは、人々が数年前から主張してきた議論で、技術プロバイダやコンテンツプロバイダがより責任ある態度を取ることを求めてきたということですよね？ 本当に、今お話しになられたような方法で、プロバイダたちが責務を果たしているという証拠はあるのでしょうか？
Steve Durbin：私たちが望むほどには、プロバイダたちも進歩していないでしょう。少しばかり遅いという言い方は、少し優しすぎかも知れませんが。いずれにせよ、例えば欧州連合のように特定の法案を導入したり、裁判沙汰になることが増えたりすればするほど、一般人の意見と言うのも変わり始めるのだろうと思います。そういうことが、すべて重なり合っていると思います。どこかの会社が単独でそれをやるとは思いませんが、その道を歩まざるを得なくなると思います。でも、あなたの言うとおりです。少し後れを取っている感はありますね。
Nick Witchell：民主主義の根幹に関わる信頼と責任に関する議論を、もうひとつだけ。電子投票についてお話ししましょう。あなたの見立てでは、電子投票というのは望ましいことなのでしょうか。それとも、不正行為や不正操作、あるいは改ざんの可能性が、社会に受け入れられないほど高まってしまうのでしょうか。
Steve Durbin：電子投票の良い面は、電子投票でなければ投票できない人たちが投票できるようになることだと思います。一方、電子投票を批判する人たちからは、「郵便投票はどうなんだ」という声が聞こえてきそうです。なぜ郵便投票ではだめなのか、と。もちろん、郵便投票を続けることもできますが、電子投票は、これまで民主的な権利を行使することができなかった人々に、投票の機会を提供するものだと考えています。ですから、その観点からは良いことだと思います。しかし、もう一つの論点は、電子投票が完全に不正を防止できるのかどうかということで、皆さんが疑問に思っていることだと思いますが、それに対する答えは、もちろん、不可能であるということです。完全に不正を防止できるものはありません。
ですから、我々がしなければならないのは、システムが攻撃に耐える十分な能力を備えていることを確認すること、そして、何か問題が発生したときに、どのように対応し、システムを再び稼働させるかを知っておくために、事前に何度か練習して縮退運転の方法を決めておくことなのです。というのも、技術的な見地からすると、オンラインに置くもの、外部に出すものはすべて、もちろん価値があれば、誰かにとっては魅力的に映るものです。少し前にアメリカの選挙で大きな議論になったことですが、データを操作することもできますし、データを盗んで保存し、将来、他の目的に使用することもできます。ですから、電子投票に移行する際には、セキュリティがより一層重要になると思います。しかし、電子投票によって、この民主的な権利がより多くの人々に開放されることになるのは確かだと思います。
Nick Witchell：こうした問題は、今後何年にもわたって議論されることになるでしょう。Steve Durbinさん、どうもありがとうございました。
Steve Durbin：ありがとうございました。
（引用おわり）
さて、いかがでしたでしょうか。ジャーナリストとの対話。いろいろな捉え方があるでしょうが、私自身としては、「弱者の視点」を人間同士、サイバーセキュリティの大家の発言に見て取りました。つまり、意見を上手く表現できない、あるいは社会的に意見を取り上げてもらいにくい子供や未成年のこともよく視野に入れて、開かれた未来に向けた正義の議論をすること。こうした、倫理的な感覚を出発点にして、技術的な、あるいはビジネス観点からの議論を透明性を維持しつつ展開して、人々の共感を得ていく。ここに、サイバーセキュリティという仕事の今日的な意義があるように思われてなりません。
小原：hiro.ohara@securityforum.org
