法人AI Agentの人間承認はどこに入れる？金銭・外部送信・不可逆操作で判断

法人AIエージェントに「人間承認あり」と書いても、どの操作を、誰が、何を見て承認するかがなければ安全設計にはならない。下書き保存と顧客への送信、社内検索と支払い実行、取消できる更新と削除は、同じ危険度ではない。

Microsoftのコンピューター操作の安全ガイドは、画面やWebページに含まれるプロンプトインジェクションが意図しない操作へ影響する可能性を示す。OWASPのExcessive Agencyも、予期しないモデル出力が損害を生む操作につながる問題を扱う。承認は、モデルを正しくするためだけでなく、誤ったときの影響を小さくするために置く。

操作ごとの承認判断表

操作	影響	設計例	承認時に見るもの
下書き生成	社内の提案	自動生成可、公開しない	入力参照元と禁止表現
可逆な更新	戻せる設定変更	実行前または直後に確認	対象、差分、復旧手順
外部送信	顧客・取引先へ届く	送信前の人間承認	宛先、本文、添付、秘密
金銭・契約	支払・発注・条件変更	二者確認または職務分離	金額、権限、証跡
不可逆操作	削除、失効、公開	原則として人が直接実行	影響範囲、バックアップ、復旧

この表は編集上の安全設計例であり、全製品の仕様や一律の法的義務を示すものではない。外部サービスへ下書きを保存する場合も書込み操作として権限を確認する。

この表は「全部を人が遅くする」ためのものではない。危険度の低い下書きは速く作り、影響が大きい操作だけを遅く、明確にするためのものだ。

承認ボタンだけでは足りない

承認画面があっても、エージェントが広い権限を持ち、何を実行するか分からないなら、確認者は判断できない。承認前には最低でも次を表示する。

• 実行するツールと対象システム
• 読む・送る・変更するデータ
• 宛先、金額、件数、対象期間
• 実行後に戻せるか
• 操作を要求した入力とエージェントの理由

Copilot Studioの統制資料は、外部連携、参照元、実行操作、公開をデータ利用方針で管理する考え方を示している。承認はその後段であり、広すぎる外部連携を承認画面で補うものではない。

承認を省略してよい条件

次の全てがそろうときだけ、承認なしの自動実行を検討する。

• 対象が限定され、外部へ出ない
• 影響が可逆で、復旧手順が自動化されている
• 最小権限で実行し、ログが残る
• 同じ操作を十分に検証し、例外を止められる
• 責任者が定期的に実績と失敗を見直す

人間承認はエージェントの品質バッジではない。間違った出力や悪意ある入力があっても、どこまで進んでよいかを操作ごとに決める制御である。