冒頭は記事のために生成したイメージ映像です。実機、実在施設、観測データを示すものではありません。
文章を整える。長い資料を要約する。知らない分野を一緒に調べる。
そのためにAIを使う人へ、免許証を求める必要はないと思う。
では、他人の声をそっくりに作り、何百人へ一斉に電話をかけられるAIはどうだろう。
脆弱性を探し、攻撃codeを書き、外部systemへ接続して実行まで進めるAIは。
口座、広告、SNS、業務systemを操作し、公開、購入、送金、削除まで代行できるAI Agentは。
これらを全部「AIを使う」という一つの言葉で括り、同じ入口から、同じ条件で渡してよいのだろうか。
AIを誰でも使える未来は守りたい。けれど、誰にでも、あらゆる能力を、無条件で渡す必要はない。
この境界を考える時、「AIにも免許が必要ではないか」という発想が浮かぶ。
ただし、全員に一枚のAI免許証を配るような制度では、おそらくうまくいかない。
必要なのは、人を一律に縛る免許ではなく、危険な能力へ段階的に鍵を掛ける仕組みだと思う。
「AI犯罪が増えた」は、どこまで事実なのか
最初に、怖い数字だけを並べて煽るのはやめよう。
FBIの2025年IC3年次報告によれば、AI関連情報を含む苦情は22,364件、申告された調整後損失は約8億9,300万ドルだった。business email compromise、romance scam、voice cloneを使った緊急詐欺など、AIとの関係が疑われる被害も分類されている。
大きな数字だ。
しかし、これは「AIがなければ存在しなかった犯罪が22,364件ある」という意味ではない。
被害者の申告にAI関連情報が含まれた集計であり、AI利用の確定方法、被害をどれだけ増やしたか、従来手口から何件が置き換わったかまでは分からない。
FTCは、2024年のなりすまし詐欺について約85万件、申告損失約30億ドルと報告している。だが、これも全件がAI犯罪ではない。
日本でも、特殊詐欺やSNS型投資・romance詐欺の被害は深刻化している。しかし、その増加分を丸ごと生成AIのせいにする証拠はない。
犯罪統計と、AIが使われた犯罪の統計と、AIによって新たに増えた犯罪は、同じではない。
ここを混ぜると、対策まで間違える。
それでも、AIの悪用はもう仮定の話ではない
因果を慎重に見ることと、危険を小さく扱うことは別である。
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等」には、生成AIで作ったprogramを不正accessに使った事例、攻撃先の選定やphishing siteの作成に使った事例、何度も改善して偽siteの完成度を高めた事例が掲載されている。
OpenAIは2026年7月、投資、romance、gambling、捜査機関へのなりすましを組み合わせたCambodia発とみられる詐欺networkを停止したと報告した。AIは、偽persona、翻訳、標的との会話、広告素材、偽造documentの作成に使われていた。
Anthropicも、2025年3月から2026年3月までに悪意あるcyber活動と結びつけて停止した832 accountを分析し、偵察から最終的な影響まで、攻撃のさまざまな段階でAIが使われていたと報告している。
ただし、これらは各社が自社service内で見つけ、詳しく調査できた事例である。世界全体の発生率ではない。検知できなかった活動も、他社modelや自前modelを使った活動も含まれない。
それでも、少なくとも一つは言える。
生成AIが詐欺や攻撃へ使われる未来は、まだ来ていない脅威ではない。すでに運用の中へ入っている。
AIが発明したのは、新しい犯罪だけではない
現在観測されている悪用の多くは、AIだけが思いついた全く新しい犯罪ではない。
なりすまし。phishing。投資詐欺。romance scam。malware。business email compromise。
手口の骨格は、以前からあった。
AIが変えるのは、しばしば次の四つだ。
速度。 文面、画像、会話、codeを短時間に量産できる。
規模。 一人の実行者が、より多くの標的と同時にやり取りできる。
言語。 翻訳と文化的な言い回しの補正で、国境を越えやすくなる。
個別化。 相手の職業、地域、家族、関心に合わせて、もっともらしい話を作れる。
小規模な実験では、AIが自動生成したspear phishing emailが、人間の専門家が作ったものと同程度のclick率を記録した例もある。標本数や実験条件には限界があり、全てのmodelや現実の詐欺へ一般化はできない。
しかし、「ぎこちない日本語だから気づける」「同じ文章をばらまくから見抜ける」という従来の防御が弱くなる方向は、警察・研究者・AI企業の観測で一致している。
AIは、犯罪の天才を突然生むというより、既にある悪意へ、安い言語力、制作力、反復力を配る。
Agentになると、riskは「回答」から「実行」へ進む
chatbotが危険な質問へ答えるだけなら、まだ一つの会話で止まっている。
Agentは違う。
情報を集め、計画し、codeを書き、browserを操作し、APIを呼び、結果を見て、次の手を決める。
Anthropicの2026年分析が注目したのも、個々の質問の難しさだけではなく、複数の攻撃段階をつなぐscaffoldingだった。危険度を分けるのは、知識量だけではなく、どこまで自律的にtoolを動かし、現実へ作用できるかになりつつある。
これは犯罪に限らない。
AIにmailの下書きを頼むことと、送信権限を渡すことは違う。商品を比較させることと、購入buttonを押せるようにすることも違う。金融情報を説明させることと、口座から送金できるようにすることも違う。
AIのriskは、modelの賢さだけでは決まらない。接続されたtool、与えた権限、実行速度、失敗時に止められる人で決まる。
だからといって、全員に「AI利用免許」は重すぎる
ここで、AIを使う人は全員、講習を受け、試験に合格し、身分証を登録しなければならない。そんな制度を作ったとする。
分かりやすい。だが、問題も多い。
文章の推敲、翻訳、学習、accessibility支援、発想の壁打ちまで、同じ入口で萎縮させる。
匿名で相談したい人、事情があって実名を出せない人、身分証を持ちにくい人を排除する。
悪意ある人は、盗んだaccount、海外service、open-weight model、改変したsafeguardで迂回する。
そして、免許を発行する国や企業へ、巨大な本人情報と思想・相談内容が集まる。
運転免許の比喩も、半分は合っていて、半分は合わない。
車を公道で運転すれば、他人の身体へ直接riskを与える。一方、AI利用は、辞書を引くことから重要infrastructureを操作することまで幅が広すぎる。
包丁を持つ全員に料理免許を求めない。しかし、危険物は種類と量で取扱条件が変わる。他人の資産を預かり、広く金融商品を勧誘する事業者には、一般の買い物とは違う責任を置く。
AIも、単一の免許証より、こうした制度の組み合わせで考えた方がよい。
本文が後者を支持する理由の整理(実証データではなく編集的な政策比較)。 図を大きく開く
四つの制度案を、同じ机へ並べてみる
1. 利用者免許
利用者へ知識試験、本人確認、更新、取消しを求める。
教育と責任を見える形にしやすい。一方、全利用へ適用すれば過剰で、越境serviceやopen modelへの実効性も弱い。
採るなら、AI一般ではなく、特定の高risk能力を使う資格へ狭めるべきだ。
2. 能力別access
一般的な文章・画像生成は広く開き、攻撃実行、高忠実度なりすまし、大量自動送信、外部system操作など、被害へ近い能力ほど条件を重くする。
これは空想だけではない。
OpenAIは2026年、cybersecurity能力について、一般access、本人と目的を確認した防御者向けTrusted Access、より専門的な承認済み環境向けaccessを分ける仕組みを公表した。高risk accessでは、本人・組織確認、account security、monitoring、承認用途の範囲を強める。
完璧ではないが、「全員を閉め出さず、危険な能力だけ鍵を変える」ことは技術的にも運用的にも可能だと示している。
3. 提供者の認証・義務
一定以上の能力や規模を持つAI providerへ、事前評価、abuse monitoring、incident reporting、利用停止、異議申立て、法執行機関との連携を求める。
EU AI Actは、禁止される用途、高risk system、systemic riskを持つ汎用modelを分け、providerへ異なる義務を置く。日本のAI事業者guidelineも、過度な対策で便益を失わないため、riskの性質と蓋然性に応じるrisk-based approachを掲げている。
ただし、provider義務を重くしすぎれば、小さな開発者を締め出し、大企業だけがAIを提供できる市場になる。能力、規模、接続先、利用者数に比例した設計が要る。
4. 行為規制
AIを使ったかに関係なく、詐欺、不正access、脅迫、無断の性的画像、なりすまし、資産窃取を取り締まる。
これは絶対に必要である。
被害はAIというlabelではなく、何をしたかで生まれるからだ。
ただし、被害が出てから匿名の越境犯罪者を追うだけでは、量と速度に追いつかない。行為規制を土台にしながら、危険能力へのaccess controlを前段へ置く必要がある。
提案したいのは、「免許証」ではなく「能力の鍵」だ
普通のAI利用を閉じるのではない。
社会へ届く距離に応じて、鍵を変える。
Level 0：日常利用。 文章、要約、翻訳、学習、発想。原則open。
Level 1：大量説得・本人性。 大量送信、高忠実度voice/face clone、広告や金融勧誘への接続。本人同意、traceability、rate limitを置く。
Level 2：cyber・外部操作。 exploit検証、credentialへ触れる処理、購入、送金、公開、削除。本人・組織確認、対象systemのauthorization証明、sandbox、最小権限、取引上限、二者承認、audit logを求める。
Level 3：極端な能力。 大規模な自律攻撃、重大なCBRN支援、重要infrastructureへ影響し得る能力。認定組織、独立評価、継続監査、緊急停止を前提にする。
ここで重要なのは、本人確認だけを万能薬にしないことだ。
正規利用者のaccountも盗まれる。認証済みの人も悪意を持つ。海外やlocal modelへ逃げる人もいる。
だから、本人確認、能力制限、rate limit、behavior monitoring、tool側の権限、改ざんしにくいlog、被害時の取消しを重ねる。
同時に、誤判定への異議申立てと人間による再確認も必要だ。
安全のための自動判定が間違い、仕事や資産を止めた時に、誰も理由を見られず、誰も訂正できない。そんな制度は、それ自体が別のriskになる。
本文が提案する編集的な段階分け。実在の統一制度ではなく本文の主張整理。 図を大きく開く
AIは、犯罪者だけの道具ではない
規制の議論では、もう一つ忘れてはいけない。
同じAIは、詐欺文面の検知、怪しいmailの説明、malware分析、脆弱性修正、被害相談にも使われる。
OpenAIは2025年の自社観測として、ChatGPTが詐欺に使われるより、詐欺を見抜くために使われる方が最大三倍多いと推計した。provider自身の推計なので、独立した市場統計として扱うべきではない。それでも、dual-useの現実はよく表している。
防御者が攻撃手法を知らなければ、守れない。
security researcherが実験できなければ、脆弱性を直せない。
だから、一律に「危ない質問は全員拒否」で終わると、攻撃者は別の道具へ行き、正規の防御者だけが困ることもある。
開くか、閉じるかではない。誰が、どの環境で、何を守るために使うのかを確認し、必要な能力を渡す。
この設計が要る。
今からできる四つのaction
AIではなく、能力を棚卸しする。 生成、検索、送信、購入、送金、公開、削除、credential操作を別々に数える。
外部作用へ近づくほど、権限を小さくする。 read-onlyから始め、sandbox、対象限定、回数・金額上限、二者承認を置く。
正当な利用を証明できる道を作る。 cyber defenseや研究まで一律拒否せず、本人・組織・対象systemの権限を確認して段階的に開く。
止めるだけでなく、戻せるようにする。 log、通知、取消し、appeal、人間による訂正、被害救済を運用に含める。
企業がAgentを導入する時も、model選定だけを見てはいけない。
そのAgentが失敗した時、どこまで届くのか。誰が止められるのか。何を元へ戻せるのか。
成功時の便利さより先に、失敗時の半径を見ておく。
AIの未来を守るために、危険な能力を管理する
発明された技術を、なかったことにはできない。
厳しいruleを作っても、悪意ある人は透かしを消し、別のmodelへ移り、盗んだaccountを使う。
だからといって、何もできないわけではない。
全員の自由を奪う大きな門を一つ作るのではなく、被害へ近い場所へ、複数の小さな鍵を置く。
一般的なAI利用は、広く開く。
他人の本人性、資産、system、身体、安全へ触れる能力ほど、強い確認と責任を求める。
違法行為は技術中立に取り締まり、providerには能力に比例した対策を求め、正当な防御者には確認の上で必要な力を渡す。
「AI免許制」という直感が指しているのは、AIを恐れて閉じる未来ではない。
強い力を、強いまま、安全に社会へ入れるための設計である。
