AIと雇用 / 欧州における雇用AI監査の最前線―ForHumanityによるAEDT認証スキームv1.5の全貌とその法的示唆雑感

0　はじめに

　欧州連合における包括的なAI規制法、いわゆるEU AI法の成立を受け、法的議論の焦点は移行しつつある。抽象的な法的要件を実務的な技術・組織的ガバナンスにいかにして落とし込むか。実装のフェーズに入ったのである。とりわけ、個人の生計やキャリア形成に直結する雇用領域におけるAI利用は、EU AI法において高リスクに分類されており、そのコンプライアンス対応は企業にとって喫緊の課題となっている。

　こうした中、独立したAI監査・認証エコシステムの構築を目指す非営利団体ForHumanityのエグゼクティブ・ディレクターRyan Carrier氏は、EU市場向けの自動化雇用意思決定ツール包括的認証スキームv1.5のリリースを公表した。AEDTとはAutomated Employment Decision Toolsの略称である。これは3年間の策定期間とDr. Cari MillerやHeidi Saasら多数の専門家の知見を経て開発されたものであり、雇用領域におけるAI監査基準としては世界初かつ最も包括的なものの一つといえる。

　今回は、公開された認証スキームに基づき、その構造、14のカテゴリーに及ぶ適用範囲、そして企業ガバナンスに求められる具体的な要件について、AIと法の観点から詳細な検討を加える。これは単なる一民間団体の認証基準にとどまらず、今後AIガバナンスがどのように実務的に運用されていくべきかを示す重要なメルクマールとなるからである。

1　問題の所在　雇用系AIの高リスク性と監査の空白

　EU AI法の附属書IIIにおいて、雇用、労働者管理、および自営業へのアクセスに関するAIシステムは、明確に高リスクAIシステムとして指定されている。具体的には、求職者の選別や評価、昇進や解雇の決定、タスクの割り当て、パフォーマンスの監視などが含まれる。これらのシステムには、リスク管理システム、データガバナンス、技術文書の作成、透明性と情報提供、人間による監視といった厳格な義務が課される。

　しかし、法文上の義務はあくまで規範的なものであり、開発者や運用者が具体的にどのようなコードを書き、どのような組織体制を敷けば適法となるのかという問いに対する直接的な解を提供するものではない。ISO/IEC等の標準化団体による技術標準も策定が進んでいるが、それらは往々にして汎用的であり、かつコンセンサスベースであるがゆえに、特定のリスク、とりわけ人権侵害リスクに対しては歯切れの悪い表現に留まることがある。この法と実装のギャップこそが、現在多くの企業が直面している最大の不確実性である。

　ForHumanityのAEDT認証スキームは、この空白を埋めるために、法的要件を監査可能かつ二値的な具体的基準へと翻訳した点に最大の意義がある。彼らのアプローチは、AIシステムが市場に投入される前、および運用中において、第三者監査人が客観的に検証可能なルールセットを提供することを目指している。曖昧な努力義務ではなく、適合か不適合かを判定できるレベルまで粒度を高めている点が、本スキームの最大の特質である。

2　認証スキームの全体構造と断片化への対応

2.1　モジュール型アプローチによる法的整合性

　AIシステムに対するコンプライアンス要求は、単一の法律で完結するものではない。これは実務においてしばしば見落とされる法の断片化の問題である。個人データを処理する採用AIであればGDPRへの準拠が不可欠であり、セキュリティに関してはサイバーセキュリティ法やNIS2指令などが関連し得る。障害者差別を防ぐためのアクセシビリティ要件、すなわち欧州アクセシビリティ法も無視できない。

　ForHumanityは、この課題に対して複数のモジュールを組み合わせることで包括的なコンプライアンスを実現しようとしている。GDPR管理者認証スキーム、EU AI法認証スキーム、障害者包摂・アクセシビリティ認証スキーム、サイバーセキュリティ認証スキーム、そして本スキームであるAEDT包括的認証スキームの五つである。被監査組織は、これら全てのモジュールについて適合性を証明する必要がある。

　また、条件付き保証という概念も導入されており、特定のモジュールの監査が進行中であっても、12ヶ月以内に他のモジュールの適合を完了することを条件に暫定的な保証が付与される仕組みとなっている。これは、急速に展開されるAIビジネスの実情と、厳格なコンプライアンス要求とのバランスをとるための実務的な工夫と評価できるだろう。

2.2　揺りかごから墓場まで―14のカテゴリーと65のユースケース

　本スキームが対象とするAEDTの定義は極めて広範である。EU AI法附属書IIIの4(a)および(b)に基づき、14カテゴリー、65のユースケースが設定されている。求職活動、求人誘引、採用と雇用、給与と福利厚生、オンボーディング、タスク割り当てとスケジューリング、監視と監督、生産性ツール、学習と能力開発、報酬と表彰、懲戒処分、レビューとコーチング、キャリア進展、そして分離である。

　特筆すべきは、タスク割り当てや監視と監督が含まれている点である。これは、UberやDeliverooのようなプラットフォーム労働におけるアルゴリズム的経営管理を直接の射程に収めるものであり、欧州におけるプラットフォーム労働指令案などの議論とも平仄を合わせている。また、懲戒処分や分離におけるAI利用は、労働者の法的地位に直結する決定であり、極めて高い説明責任が求められる領域である。リモートワークの普及に伴い増加している従業員モニタリングツール、いわゆるボスウェアに対しても、第三者監査のメスを入れようとする意志が読み取れる。

3　ガバナンスと組織的統制の具体化

　本スキームは、技術的な検証だけでなく、組織的なガバナンス体制に対して極めて詳細な要件を課している。AIシステムを置くだけではコンプライアンスは達成されず、それを運用・監視する人間と組織のプロセスが不可欠であるという思想が貫かれている。

3.1　専門家による監視体制と委員会設置

　監査基準1-001では、トップマネジメントに対し、アルゴリズムリスク委員会にドメイン専門家を配置することを義務付けている。ここでいう専門家には、単なる技術者だけでなく、労働法、人事、多様性と包摂、労働組合の権利、児童の権利などの専門知識を持つ者が含まれることが必須要件とされている。

　また、倫理委員会の設置も求められ、組織の倫理規定を策定し、多様なステークホルダーからのフィードバックを取り入れる義務がある。これらが機能不全に陥らないよう、トップマネジメントは十分な権限とリソースを与え、その活動を監督しなければならない。AIのリスク管理を現場任せにせず、経営課題として位置づけることを強制するものである。

3.2　KSAへの回帰と構成概念妥当性

　採用や評価に関するAIにおいて、本スキームが執拗に求めているのがKSA、すなわち知識・スキル・能力との整合性である。

　履歴書スコアリングやビデオ面接AIの監査基準において、その評価指標が、職務記述書やESCO等で定義されたKSAと公正に関連しているかを倫理委員会が評価し、文書化することが求められている。ESCOとは欧州スキル・コンピテンス・資格・職業分類のことである。

　これは、AIが相関関係だけで優秀そうな候補者を選び出すことを許さず、因果関係に基づいた構成概念妥当性を求めていることを意味する。AIが顔の表情や声のトーン、使用する語彙の傾向などから、職務能力とは無関係な性格や属性を推論し、それを合否判定に用いることは、科学的根拠のないバイアスの温床となるため許容されない。

4　具体的ユースケースにおける監査基準の精緻さ

　本スキームの基準カタログでは、各カテゴリーに対して非常に具体的な監査項目が設定されている。ここでは、いくつかの特徴的な概念を抽出して検討する。

4.1　説明可能性＋

　AIの透明性に関して、本スキームは説明可能性ステートメントの提供を求めているが、さらに踏み込んでExplainability+という概念を導入している点が極めて興味深い。

　定義によれば、Explainability+とは、単に結論に至ったロジックを説明するだけでなく、データ主体である求職者や従業員に対し、どうすれば好ましい結果を得られたかを理解させ、相互作用や結果に対する満足度を向上させるための人間中心のプロセスを指すとされている。

　これは、GDPRにおける自動化された意思決定に対する異議申立権や、人間による介入を求める権利を実質化するための重要な仕掛けである。単に不合格通知を受け取るだけでなく、あなたのどのスキルが不足していると判定されたのかという将来志向のフィードバックを提供することで、候補者は自己研鑽や、誤った判定に対する具体的な反論が可能となる。

4.2　労働組合と脆弱な集団への配慮

　本スキームにおいて特筆すべきは、労働者を脆弱な集団として位置づけている点である。ここでいう労働者には、従業員のみならず契約社員やギグワーカーも含まれる。

　トップマネジメントに対し、労働者、契約社員、ギグワーカー、および移民労働者の権利を擁護する原則を支持し、労働組合を結成する権利を尊重することを求めている。また、多様性の定義を拡張し、労働組合およびその組合員を含めることを倫理委員会に義務付けている点は、欧州における労使関係の重要性を色濃く反映している。

　さらに、アルゴリズムリスク委員会に対し、組合化委員会と称される専門家チームによる補完を求めている記述も見られる。ここでは、AEDTが組合活動を阻害するリスク、組合員に対する報復リスク、あるいは組合員であることを理由としたバイアスのリスクを特定し、緩和策を講じることが監査項目として挙げられている。

4.3　感情認識とプロンプトエンジニアリングの制御

　ビデオ面接ツール等の監査基準において、本スキームは感情認識や微表情分析に対して極めて慎重な姿勢を示している。これらのバイオメトリックデータ分析が、KSAの要件を超えて使用されることを禁止または制限する項目が存在する。

　また、生成AIの利用拡大を受け、求人票作成などのユースケースでは主要言語指標の導入が求められている。これは、年齢差別的、人種差別的、あるいは性差別的な用語が含まれていないかを検知し、バイアスを排除するための仕組みである。プロンプト入力における行動規範の策定や、閾値を超えた場合の検知プロセスも監査対象となる。

5　残存リスクの受容と透明性

　本スキームは、リスクを完全にゼロにすることは不可能であることを前提としている。そのため、トップマネジメントはCAIRE Reportに基づき、受容可能な残存リスクを文書化し、承認しなければならない。CAIRE ReportとはComprehensive Artificial Intelligence Risk Evaluation reportの略である。

　さらに、AEDTの候補者通知や監査結果サマリーを通じて、システムのリスク、データソース、人間の役割、アクセシビリティへの対応などを公表することが求められている。これは、透明性を確保することで、市場や被雇用者からの信頼を醸成しようとする意図の表れである。

6　おわりに

　ForHumanityによるAEDT認証スキームv1.5は、EU AI法が求める高リスクAIへの対応を、極めて詳細かつ実践的なレベルで具体化したものである。その内容は、法学研究者や企業の法務・コンプライアンス担当者にとって、今後のAIガバナンス構築の青写真となり得る密度を有している。

　AIシステムを単体の技術としてではなく、組織、プロセス、そして影響を受ける人間を含めた社会技術的システムとして捉え、労働組合やギグワーカーといった脆弱な立場のステークホルダーを保護の中心に据えている点は、AI倫理を実務に落とし込む際の一つの到達点を示しているといえよう。KSAという客観的指標への回帰、Explainability+による主体のエンパワーメント、そして労働基本権の擁護という、強固な人権中心的アプローチによって貫かれている。

　企業の実務担当者にとっては、この詳細な監査基準は、自社のAIシステムが将来的に直面するであろう規制の厳しさを予見させるものであり、同時に、今何を準備すべきかを示す羅針盤でもある。欧州市場で活動する企業のみならず、日本国内においても、これに準じたレベルのガバナンスが求められる日はそう遠くないだろう。抽象的な原則論から脱却し、AIシステムを監査可能な状態にするための具体的な方法論として、本スキームが提示する視座は極めて重要である。AIと法の議論は、いよいよ実装と検証の時代に入ったといえる。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。