AIエージェントが損害を出したら誰が責任を負う？

2026年2月、MetaでAIの安全性を担当する幹部が、Mac miniの前で急いで対処することになりました。メールへのアクセスを許可したエージェントが受信箱のメールを削除し、「停止」という指示にも反応しなかったのです。彼女は後に、初心者のミスだったと書きました。ミスをしたのは自分だ、と。この自己分析は、AIエージェントの責任をめぐる多くの報告書よりも重要なことを示しています。法律や社会通念はすでに、損害を受けたときは鍵を渡した側が責任を負う、という方向に動いています。つまり、幅広いアクセス権を持つエージェントは、失敗に耐えられる人や組織のための道具になりかねません。

Summer YueはMeta Superintelligence Labsで、人間の指示どおりにモデルを動かすためのチームを率いています。OpenClawエージェントに依頼したのは受信箱を確認し、削除候補を提案することだけでした。それ以前に、許可なく何も変更しないよう明確に指示していました。しかし、2026年2月25日付のSan Francisco Standardの報道によれば、エージェントはメールを次々と削除し、スマートフォンから入力された「STOP OPENCLAW」にも反応しませんでした。原因として考えられるのは、受信箱の量が多く、作業メモリがいっぱいになったことです。エージェントは過去のメッセージを要約する際に、削除を禁じる指示を取り落とした可能性があります。後から問いただされると、指示に違反したことを認めました。

責任の所在を探すなら、OpenClawの開発者、モデルの提供元、あるいは重要な指示を見失う設計を挙げることもできます。Yueは自分自身を指しました。こう考えるのは彼女だけではありません。

利用規約に同意したのは誰か

2025年7月、SaaStrコミュニティの創設者Jason Lemkinは、アプリを代わりに作るReplitのエージェントを試していました。本番環境を変更してはならない変更凍結期間中に、エージェントは1,200人を超える経営幹部と1,190社を超える企業のデータが入ったデータベースを削除しました。その後、エージェントは「パニックになった」と書き、変更を元に戻せないと主張しました。しかし復元は可能で、Lemkinが手作業でデータを取り戻しました。ReplitのCEO、Amjad Masadは謝罪し、テスト用データベースと本番用データベースを分けると約束しました。補償については誰も話しませんでした。

何に同意しているのか、規約を読めば不思議ではありません。欧州で適用されるAnthropicの消費者向け利用規約には、サービスがユーザーに代わって行動することがある一方、その結果がユーザーの意図どおりになるとは限らないと明記されています。要となる一文は、「You are responsible for all Inputs you submit to our Services and all Actions」です。会社の責任は、過去6か月間に支払った金額、または100ユーロのうち高い方に制限されています。これは一社だけの不誠実な対応ではなく、業界全体の仕組みを表していると考えます。提供者は行動する能力を売り、その行動の結果は利用者に委ねるのです。

最近注目された別の事例も、この構図に当てはまります。10月末、WIREDは、Accentureの従業員が個人のClaude Codeアカウントを米国防総省のネットワークにつなぎ、エージェントに自身の権限を与えたまま約2か月間運用していたと報じました。Accentureは否定しており、報道は匿名の情報源に基づいています。Anthropicの対応は、最終的な結論にかかわらず示唆的です。同社は記者に対し、セキュリティ対策の回避を禁じる利用規則を案内しました。つまり、道具に問題はなく、キーボードの前にいる人が問題だったというわけです。

エージェントはブラウザーと同じか

裁判所も、別の場面ではありますが、同じ方向を示しています。2026年8月4日、米国第9巡回区控訴裁判所は、AmazonがPerplexityのショッピングエージェントCometに対して得ていた差し止め命令を取り消しました。Engadgetの要約によれば、エージェントがユーザーの指示で動くなら、Amazonのサーバーに接続するのはPerplexityではなくユーザーだ、という考え方です。この見方では、エージェントはブラウザーのようなものです。争われたのは店舗へのアクセスであって損害賠償ではなく、訴訟もまだ初期段階です。それでも方向性は明快です。指示を出した者が行動したとみなされます。

カリフォルニア州は、別の方向から責任を逃れる道をふさぎました。2025年10月に署名され、2026年1月1日に施行されたAB 316は、AIを作成、変更、使用した被告が、損害を引き起こしたのはAIだけだと主張して責任を免れることを禁じています。被害者にとって有利な法律であり、企業との争いでは実際にそうです。ただし、AIを「使用した」人も対象です。私のエージェントが誰かのデータを送ったり、他人のファイルを削除したりしても、エージェントのせいだと裁判所に主張することはできません。

この原則は、よく知られたカナダの事例にも表れています。2024年2月、ブリティッシュコロンビア州の審判機関は、航空会社のチャットボットが存在しない割引を案内したとして、Air Canadaに顧客への812.02カナダドルの支払いを命じました。Air Canadaは、チャットボットは独立した存在であり、自ら責任を負うべきだと主張しました。審判機関はその主張を「驚くべき」と評して退けました。ボットは会社のウェブサイトの一部であり、会社はその発言に責任を負うという判断です。

消費者保護が及ぶ範囲

私の見方に対する最も強い反論は、ブリュッセルから出てきます。新しい製造物責任指令2024/2853は、初めてソフトウェアを、AIシステムを含む「製品」として扱います。メーカーは過失の有無にかかわらず責任を負い、裁判所は証拠の開示を命じることができ、技術的に複雑な場合には被害者が推定規定の恩恵を受けます。加盟国は2026年12月9日までに国内法へ反映しなければなりません。表面上は、利用規約の論理を正反対にした制度です。メーカーに過失がなくても、エージェントのメーカーが責任を負うのです。

ただし、対象となる損害の範囲には注意が必要です。指令が保護するのは自然人に限られ、損害として挙げられているのは死亡や健康被害、財産の破壊、そして職業目的で使用されていないデータの破壊や損傷です。Summer Yueの個人用受信箱は対象になり得ますが、SaaStrのデータベースは企業データなので対象外です。銀行口座にアクセスできるエージェントが送金した場合や、エージェントが本人に代わって契約を結んだ場合を補償する項目も見当たりません。金銭的損失は、データや物の破壊とは異なります。さらに第13条は、被害者側の過失が損害に寄与した場合、メーカーの責任を減額または免除できると定めています。提供者側の弁護士は、結局こう尋ねるでしょう。管理者権限をエージェントに与えたのは誰ですか。

欧州の保護を支えるもう一つの柱となるはずだったのが、過失に基づく請求をしやすくするAI責任指令案でした。欧州委員会はこれを2025年2月に撤回し、正式な通知は2025年10月6日に官報に掲載されました。残ったAI法は、リスク評価から生成コンテンツの表示まで、企業の義務を定めています。しかし、エージェントに損害を受けた人に誰が金銭を返すのかは定めていません。

銀行も同じような問題を抱えています。ポーランドの決済サービス法は、認証されていない取引から利用者を保護する一方、第46条では、認証情報を守る義務に故意または重大な過失で違反した顧客に損失の全額を負担させます（ポーランドの法令データベースに掲載された法律本文）。自分でログイン情報とパスワードを入力したエージェントについて、銀行にとってこれほど説明しやすいケースはありません。米国の銀行が顧客口座でのエージェント利用をブロックし始めたのも不思議ではありません。店舗や銀行がエージェントを締め出す理由については、別の記事で書きました。ここで考えたいのは、エージェントがすでに中に入った後、誰が支払うのかです。

失敗に耐えられる人のための道具

これらの事例をつなぎ合わせると、気がかりな全体像が見えてきます。法律は責任の空白を残しません。必ず誰かが支払います。しかし、その負担はエージェントを起動し、鍵を渡した人にのしかかります。大企業なら簡単に対処できるでしょう。法務部門があり、責任上限を100ユーロとは異なる条件にした法人契約を提供者と交渉できます。サイバーリスク保険、分離されたテスト環境、バックアップ、エージェントの全操作を記録するログ、ログを確認する担当者もいます。エージェントが何かを壊しても、損失を計上して手順を変更できます。

競争に遅れないよう、メール、銀行口座、請求書システムへのアクセスをエージェントに認める個人事業の会計担当者には、こうした備えがありません。業務データは職業目的で使われるため、新しい指令の保護対象にもなりません。利用規約は、交渉の余地がないまま消費者として同意しています。エージェントが誤った相手に送金すれば、銀行はパスワードを誰に渡したのかと尋ねるでしょう。小規模事業者と大企業の格差を縮めるはずだった同じ技術が、事故の際には逆方向に働くのです。

鍵を誰かに渡した人が、その選択の責任を負うのは当然だという反論もあるでしょう。「アクセスを許したなら責任を負う」という原則は、慎重な利用を促します。私もある程度は同意します。ただし、家の持ち主は鍵の意味と、鍵が何を開けるのかを知っています。エージェントの利用者に提示されるのは「フルアクセス」という一つのスイッチと、危険なことをする前にモデルが確認するという約束です。Yueの事例は、文脈があふれたときにその約束がどれほど頼りないかを示しています。LASSTがOpenAIを訴えた2026年9月29日の事例では、企業のテスト中に約700のエージェントがHugging Faceのシステムへ侵入しました。提供者が被告になるのは、提供者自身が鍵を握っていた場合が中心だということも、この事例は示しています。

責任を全面的にメーカーへ移すべきだと言いたいのではありません。公平な分担には、2026年11月初めの時点でまだ存在しないものが必要だと言いたいのです。一般の人が理解し、設定できるエージェントの権限基準です。アクセス範囲、金額の上限、モデルの外側に設ける「確認なしでは削除禁止」のルール、裁判で提示できる操作ログ。メーカーがこうした機能を用意しないなら、「鍵を渡した」だけで被害者側の過失とみなすべきではありません。製品の欠陥を評価する指針などを通じて、各国の国内法に盛り込むことは可能です。指令は、予見可能な使用方法や製品が学習する能力も考慮するよう求めているからです。国内法への反映期限は12月9日です。それ以降、市場に出るすべてのエージェントが製品として扱われ、メールや口座へのアクセスを許す私たちは、事故が起きたときSummer Yueの立場になっても構わないか、自問することになるでしょう。