AIに仕事を任せても大丈夫？ 日本政府が18万人規模の導入へ、安全基準「源内基準」を公表

AIが文章を作るだけでなく、情報を集めたり、ファイルを操作したり、複数の作業を続けて実行したりする「AIエージェント」。便利になる一方で、AIが想定外の操作をしたらどうなるのか、という疑問もあります。

2026年10月20日、デジタル庁は政府職員約18万人を対象とするAIエージェント利用環境の提供を進めるとともに、新たな安全基準「源内基準」を公表しました。

注目したいのは、AIに危険な操作をしないよう指示するだけでなく、外部への情報送信やシステム操作を技術的に制限する仕組みを明文化したことです。

日本政府は、AIにどこまで仕事を任せ、どこで制限をかけようとしているのでしょうか。デジタル庁の公式発表と、全53ページの「源内基準」を確認しました。

約18万人がAIエージェントを使い始めるの？

デジタル庁が整備を進めているのは、政府職員向けの生成AI利用環境「源内（げんない）」です。今回、その中でAIエージェントを作成・実行できる二つの利用環境について、導入計画が発表されました。

約18万人がすでにAIエージェントを日常的に使っているという意味ではありません。約18万人は提供対象となる政府職員の規模であり、導入は段階的に進められます。

また、政府の生成AI利用環境「源内」自体は今回初めて始まったものではありません。デジタル庁は2026年5月から大規模実証を進めており、今回の発表はその環境にAIエージェント機能を拡充する取り組みです。

「エージェントチャット」と「源内工房」は何が違う？

エージェントチャットは日常的な業務を支援するための環境です。一方、源内工房は、プログラムの作成や実行など、より複雑な作業にも対応することを想定しています。

AIにできることが増えれば、その分、意図しない操作への対策も必要になります。そこでデジタル庁は、利用環境ごとに異なる安全対策を設けています。

AIに「やってはいけない」と伝えるだけではない

今回の基準で特に注目したいのが、源内工房の外部通信の制限です。

源内基準によると、2026年10月時点の源内工房では、外部へのデータ送信に使われるPOSTやPUTなどの通信を、システム上で遮断する仕組みが設けられています。一方、Web検索などに必要なGET通信は許可され、通信先や通信量、日時が記録されます。

重要なのは、AIに「外部へ情報を送信しないでください」と指示するだけではない点です。システム側で通信を制限すれば、AIが誤った指示を受けたり、意図しない動作を試みたりした場合にも、実行できる操作の範囲を狭められます。

ただし、GET通信を許可しているからといって、あらゆる情報流出を完全に防げると断定することはできません。今回の資料は、技術的な対策の設計を示したものであり、すべての攻撃に対する安全性を証明したものではありません。

職員のパソコンやファイルを勝手に操作できる？

エージェントチャットについても、具体的な制限が記されています。源内基準によると、エージェントチャットは職員のパソコンを直接操作できず、アップロードされたファイルの原本を直接書き換えることもできない設計です。

また、管理されていない外部のAPIやMCPサーバーに直接接続することもできません。MCPとは、AIが外部のデータやツールと連携するための仕組みです。

便利な機能ですが、接続先が増えるほど、AIがアクセスできる情報や実行できる操作も広がる可能性があります。そのため、接続先を管理することが安全対策の一つになります。

源内工房については、利用権限が初期状態では付与されず、管理者が必要性や職員の能力などを確認した上で利用を認める仕組みです。

AIが作った行政文書は、そのまま使える？

源内基準では、AIの出力を人間が確認することも重視されています。特に、AIが作成した文章を、職員が確認せず行政資料や公文書へ直接転記することは認めていません。

また、許認可、給付、不利益処分など、国民の権利や生活に影響する業務では、より慎重な利用や人間による統制が求められます。

例えば、AIが制度について誤った説明を作成した場合、その内容を職員が確認せず公表すれば、住民が誤解するおそれがあります。AIに資料作成を手伝わせることと、行政上の最終判断を任せることは別です。

最終的な確認や判断の責任は、人間の職員が担う。これが源内基準に示された基本的な考え方です。

AIへの攻撃にも対応している？

源内基準には「プロンプトインジェクション」への注意も明記されています。これは、AIが読むWebページや文書などに、AIの動作を変えさせる指示を紛れ込ませる攻撃手法です。

例えば、調査のために開いたWebページに、元の依頼とは関係のない指示が埋め込まれていた場合、AIがその指示に従おうとする可能性があります。

基準では、Webページだけでなく、PDF、Word、Excel、PowerPointなどの添付ファイルや、検索結果、データベース内の情報も注意対象として挙げています。

今回の基準は、こうした攻撃が存在することを前提に、利用者の確認、権限の制限、ログの保存などを組み合わせる考え方です。ただし、これらの対策によってプロンプトインジェクションを完全に防げることが実証されたわけではありません。

安全対策があるなら、もう安心して使える？

現時点では、そこまで判断できません。デジタル庁が今回公表したのは、安全な利用を目指すための基準と、システムに設ける制限です。

実際の運用でどのような問題が起きるか、想定した対策がどの程度機能するかについては、導入後の評価が必要です。

また、基準には事故や異常が起きた場合の利用停止、影響範囲の確認、復旧、関係部門への報告、原因分析、再発防止なども記されています。

つまり、問題が起きないことを前提にするのではなく、問題が起きたときに検知し、停止し、原因を調べられるようにすることも、安全管理の一部として位置付けられています。

地域の自治体や事業者にも関係する？

今回の源内基準は、地方自治体に一律に適用されるものではありません。

ただし、デジタル庁は2027年2月頃を目途に、エージェントチャットと源内工房を「源内OSS Ver.2.0」として公開する予定です。地方自治体や民間企業も利用・改変・再配布できる形を目指しています。

このため、将来的には自治体や地域事業者がAIエージェントを導入する際にも、参考になる可能性があります。

例えば、地域の事業者がAIに顧客情報の整理、予約対応、資料作成などを任せる場合、確認したいのはAIの回答の正確さだけではありません。

• AIがどの情報を読み取れるのか
• どのファイルを変更できるのか
• 外部へ何を送信できるのか
• 問題が起きたときに誰が止められるのか

こうした点を事前に決めておくことが重要になります。

東村山・小平・東大和の自治体で、今回の源内工房が導入されたと確認できたわけではありません。地域での具体的な導入状況は、別途確認が必要です。

主な確認資料・情報源

• デジタル庁（2026年10月20日）
  AIエージェント利用環境の提供開始と「源内基準」の公表（公式ページ）
  導入対象、二つの利用環境、導入時期、オープンソース化の予定。
• デジタル庁（2026年10月）
  「源内基準」第1版・全53ページ（PDF）
  通信制御、権限管理、プロンプトインジェクション対策、人間による確認、事故対応。
• デジタル庁（2026年5月28日）
  ガバメントAI「源内」の大規模実証開始（公式発表）
  今回の機能拡充に先立つ導入の経緯。