AIエージェントは、質問に答えるだけのAIと違い、メールを送り、システムに書き込み、ファイルを動かす。人の代わりに操作をする以上、「何をしたか」を後から確かめられなければ、任せられる範囲は広がらない。
私の見方では、AIエージェントのガバナンスは、権限、承認、記録と確認の3つで組み立てる。権限と承認の設計はAIエージェントのセキュリティで扱った。この記事は残りの1つ、監査ログに何を残し、誰がいつ見るかを扱う。
組織としてAIをどう管理するかの全体像はAIガバナンスとは？に、AIシステムを監査する観点はAI監査とはにまとめてある。
指針と法律が求める記録
日本では、総務省と経済産業省のAI事業者ガイドラインが、2026年3月31日に第1.2版になった。第1.2版はAIエージェントを「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義している。更新内容をまとめた資料には、AIエージェントについて次の記載が追加されたとある。
| 対象 | 追加された記載（更新内容の資料から） |
|---|---|
| AIを使う事業者（AI利用者） | AIエージェントやフィジカルAIは自律性を持って行動するため、定期的な操作履歴の確認や報告が重要 |
| AIを提供する事業者（AI提供者） | エージェントによる意図しない操作を防ぐため、適切な権限設定が重要。外部システムとの連携が増えるため、連携ツール・システムの制限が重要。人間の判断を介在させる仕組みの構築が重要 |
| AIを開発する事業者（AI開発者） | AIエージェントの自律判断を適切に監査するには説明可能性が重要だが、LLMの根拠提示は内部の決定ロジックの説明ではなく、もっともらしい理由を出力しているのに過ぎない |
ガイドラインは義務ではないが、何を備えておくべきかの物差しになる。使い方はAI事業者ガイドラインとはにまとめた。
EU AI法は、もっとはっきり記録を求めている。第12条は、高リスクAIシステムが稼働期間を通じてイベント（ログ）を自動で記録できるようにすることを求める。第26条は、高リスクAIシステムを導入する側（deployer）に、使用説明書にもとづいて稼働を監視することと、自動で生成されたログを、目的に見合った期間、少なくとも6か月保存することを求めている。高リスクAIの義務が日本企業にかかるかどうかは用途で決まる。期限と対象はEU AI法とはに書いた。
監査ログに残す7つの項目
エージェントの1回の仕事は、依頼を受け、考え、ツールを何度か呼び、結果を返すという複数の段階に分かれる。最後の答えだけを残しても、途中で何を読み、何を書いたかは分からない。私は、次の7つを残すのがよいと考えている。表は私の整理だ。
| 項目 | 残す中身 | 後から答えられる問い |
|---|---|---|
| 依頼者 | 誰の依頼で動いたか。人か、別のシステムか | この操作の責任は誰にあるか |
| 指示 | 受け取った指示と、読み込んだ外部の文書やメールの出どころ | 外から紛れ込んだ指示で動いていないか |
| ツールの呼び出し | 呼んだツールの名前、渡した引数、返ってきた結果の要約 | エージェントは実際に何をしたか |
| データの読み書き | 読んだ文書・データと、書き込んだ先 | 見てはいけないものを見ていないか、どこに何を書いたか |
| 人の承認 | 承認を求めた操作、承認した人、時刻、却下の有無 | 人が判断すべきところで判断したか |
| 結果 | 成功・失敗、エラー、利用者に返した内容 | どこで止まり、何を返したか |
| モデルと設定 | モデルの名前と版、指示文（システムプロンプト）の版、使えたツールの一覧 | どの条件で動いたときの記録か |
7つを別々に残しても、つながらなければ使えない。1回の依頼に1つの識別子を付け、ツールの呼び出しも承認もその識別子で記録する。こうしておくと、「この書き込みは、誰のどの依頼から始まったか」を一続きでたどれる。
最後の「モデルと設定」は見落とされやすい。ガイドラインの資料にある通り、LLMに理由を説明させても、それは内部の判断の説明ではない。後から原因を調べるには、エージェントの言い分より、どの条件で何を呼んだかという事実の記録が頼りになる。
残しすぎないための線引き
すべてを全文で残せばよいわけではない。指示やツールの結果には、顧客の個人情報や社内の機密が入る。ログそのものが、新しい漏えいの入口になる。私の見方では、次の3つで線を引く。
| 線引き | 考え方 |
|---|---|
| 全文か要約か | 操作の記録（何を呼び、どこに書いたか）は全文で残す。読んだ文書の中身は、文書の識別子と要約にとどめる |
| 誰が読めるか | ログを読める人を、確認の担当者に限る。エージェント自身と、エージェントを作った開発者が自由に書き換えられない場所に置く |
| いつ消すか | 保存期間を決め、期間が過ぎたら消す。高リスクAIにEU AI法がかかるなら、少なくとも6か月を下限にする |
個人情報をログに残す場合は、その扱いも社内の規程に入れる。入力してよい情報の線引きは生成AIと個人情報にまとめた。
誰が、いつ見るか
ログは、残すだけでは何も防がない。見る人と見る時期を決めて、初めてガバナンスになる。私は、次の3つの段で分担するのがよいと考えている。
| 段 | 誰が | いつ | 何を見るか |
|---|---|---|---|
| 毎日 | エージェントを運用する担当者 | 毎日、決まった時刻 | 失敗した処理、却下された承認、いつもと違う量の操作 |
| 毎月 | 業務の責任者と、運用の担当者 | 月に1回 | 操作の件数と内容が想定の範囲か、権限が広すぎないか |
| 何か起きたとき | 情報システム・セキュリティの担当者 | 苦情や事故の報告があったとき | 該当する依頼の識別子から、一連の操作をすべて |
ガイドラインが利用者に求める「定期的な操作履歴の確認や報告」は、この表の毎日と毎月の段に当たる。報告の先は、エージェントに仕事を任せた業務の責任者にする。運用の担当者だけで閉じると、権限が広すぎることに気づく人がいない。
製品の監査ログで足りるか
自社で作らず、製品に付いているエージェントや生成AIを使う場合は、製品の監査ログが出発点になる。ただし、何が記録されるかは製品によって違う。
たとえばMicrosoftの文書によると、Microsoft 365 Copilotの操作はMicrosoft Purviewの監査に自動で記録され、操作名はCopilotInteractionになる。一方で、監査が記録するのは操作で、プロンプトと応答の本文は入らない。本文が必要なら電子情報開示（eDiscovery）を使うとされている。AnthropicのClaudeでは、監査ログはEnterpriseプランの機能として挙げられており、利用者の操作、システムのイベント、データへのアクセスの主な情報を記録するとされている。
製品の監査ログを使うときは、上の7つの項目と照らし合わせ、入っていない項目を確かめる。とくに、エージェントが外部のツールやシステムにつながる場合、つながった先で何をしたかは、製品のログだけでは分からないことがある。外部のツールをつなぐ標準と、その確かめ方はMCPのセキュリティに書いた。
AIエージェントを業務に入れたいが、何を記録し、誰が見るかが決まっていないという場合は、まず上の7つの項目のうち、今の仕組みで残っているものに印を付けてみてほしい。業務の現場に入ってAIを動かす職種についてはFDEとは？に書いた。AIの使い方とリスクを確かめる診断はAI利用セキュリティ診断にある。