カテゴリー: AI

今週のサイバーセキュリティ動向（対象期間：2026/04/05–2026/04/11 JST）

by 塚井海地

週次サマリー（対象期間：2026/04/05–2026/04/11 JST）

今週は、Fortinet FortiClient EMS の実悪用脆弱性、Chrome 147 の大規模修正、OT/PLC を狙う国家系攻撃への警告、Trivy 起点のサプライチェーン侵害の実害化、Microsoft device code flow 悪用型フィッシング、そして AI による脆弱性発見の急加速 が同時に表面化した週だった。脆弱性管理、認証管理、CI/CD 保護、OT 保護を別々に回している組織ほど、対応の優先順位を誤りやすい。出典：https://www.darkreading.com/vulnerabilities-threats/fortinet-emergency-patch-forticlient-zero-day https://www.securityweek.com/chrome-147-patches-60-vulnerabilities-including-two-critical-flaws-worth-86000/ https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a https://www.csoonline.com/article/4154176/cert-eu-blames-trivy-supply-chain-attack-for-europa-eu-data-breach.html https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html https://www.darkreading.com/application-security/anthropic-exploit-writing-mythos-ai-safe

本記事で得られる3つのポイント

  • 今週、優先して対処すべき脆弱性・侵害・フィッシング事案の全体像
  • 日本企業で影響が大きい公開資産、認証基盤、開発基盤、AI利用基盤の注意点
  • 今すぐ打つべき短期対策と、四半期単位で進める中長期対策

なぜ重要か：攻撃面が「公開サーバ」「依存パッケージ」「AIエージェント」「人間の認証行動」に分散しており、従来の単一レイヤー防御では取りこぼしやすくなっているため。出典：https://www.csoonline.com/article/4155221/fortinet-releases-emergency-hotfix-for-forticlient-ems-zero-day-flaw.html https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html https://www.securityweek.com/google-addresses-vertex-security-issues-after-researchers-weaponize-ai-agent/

主要トピック一覧

日付(JST) 見出し 要点（1行） 出典URL
2026/04/05–04/07 FortiClient EMS の CVE-2026-35616 が実悪用、CISA KEV 追加 Fortinet FortiClient Endpoint Management Server の認証回避／RCE 脆弱性（CVSS 9.1）が実運用で悪用され、オンプレ EMS は最優先で対処が必要。 https://www.darkreading.com/vulnerabilities-threats/fortinet-emergency-patch-forticlient-zero-day
https://www.csoonline.com/article/4155221/fortinet-releases-emergency-hotfix-for-forticlient-ems-zero-day-flaw.html
https://www.cisa.gov/news-events/alerts/2026/04/06/cisa-adds-one-known-exploited-vulnerability-catalog
2026/04/10 Chrome 147 が 60件を修正、WebML の重大脆弱性 2件を封じ込め Chrome 147 は WebML を含む 60件を修正し、企業利用端末では即時更新が妥当。 https://www.securityweek.com/chrome-147-patches-60-vulnerabilities-including-two-critical-flaws-worth-86000/
2026/04/07 イラン系アクターによる PLC 悪用を CISA が警告 米重要インフラの PLC を狙う活動が確認され、OT 環境の境界制御と外部露出削減が改めて強調された。 https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
2026/04/07 Forest Blizzard が旧型ルーターを踏み台に Microsoft Office トークンを窃取 既知脆弱性を抱えた古い MikroTik / TP-Link ルーターが DNS 改ざんに使われ、18,000超のネットワークに影響した。 https://krebsonsecurity.com/2026/04/russia-hacked-routers-to-steal-microsoft-office-tokens/
2026/04/10 Marimo の CVE-2026-39987 が公開 10時間以内に悪用 公開直後に実攻撃へ転用された事例であり、分析・開発系ツールの修正猶予がほぼ消滅していることを示した。 https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html
2026/04/10 Anthropic の Claude Mythos / Project Glasswing が大規模な脆弱性探索を加速 AI による高深刻度脆弱性の発見と検証が加速し、防御側の露出期間短縮が経営課題になった。 https://www.darkreading.com/application-security/anthropic-exploit-writing-mythos-ai-safe
https://www.csoonline.com/article/4155342/what-anthropic-glasswing-reveals-about-the-future-of-vulnerability-discovery.html
https://thehackernews.com/2026/04/anthropics-claude-mythos-finds.html
2026/04/09 Trivy サプライチェーン侵害が Europa.eu 侵害の初期侵入経路と整理 Trivy 経由で漏えいした AWS 資格情報が、欧州委員会系データ流出の起点になったと CERT-EU 文脈で評価された。 https://www.csoonline.com/article/4154176/cert-eu-blames-trivy-supply-chain-attack-for-europa-eu-data-breach.html
2026/04/10 日本企業を狙う tax-themed フィッシングを KnowBe4 が紹介 Silver Fox が税務、給与改定、人事異動など日本企業の季節要因に合わせた件名で不正リンクや添付を開かせる手口が確認された。 https://blog.knowbe4.com/japanese-firms-silver-fox-tax-phishing-campaign
2026/04/08 EvilTokens が Microsoft device code flow を悪用 正規認証フローを逆手に取る PhaaS で、M365 トークン奪取とアカウント乗っ取りが狙われている。 https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html
2026/04/09 Bitcoin Depot で 50 BTC 超が流出 内部システム侵害により 50 BTC 超、約 366万ドル相当が盗まれたと公表された。 https://www.infosecurity-magazine.com/news/bitcoin-depot-dollar36m-crypto/
2026/04/09 NICT・TOPPAN・ISARA が認証局の耐量子暗号移行技術を実証 現行暗号から耐量子計算機暗号へ段階移行する技術実証であり、長寿命の認証基盤に示唆が大きい。 https://www.nict.go.jp/press/2026/04/09-1.html
2026/04/07 CVE.org が CNA Enrichment Recognition List を更新 CWE / CVSS を高率で付与する CNA を可視化し、脆弱性情報の品質向上が進んでいる。 https://www.cve.org/Media/News/item/blog/2026/04/07/CNA-Enrichment-Recognition-List-Update
2026/04/08 KnowBe4 が vishing の急伸を警告 音声フィッシングが初期侵入手段として伸びており、電話チャネルの統制が急務になった。 https://blog.knowbe4.com/voice-phishing-is-a-growing-social-engineering-threat

今週のハイライト

今週の最優先は、FortiClient EMS の実悪用、Chrome 147 の大規模修正、OT/PLC に対する国家系攻撃への注意喚起、サプライチェーン侵害の実害化の4本柱である。FortiClient EMS は KEV 入りしたことで、単なる「高深刻度」ではなく「今すぐやる案件」に変わった。Chrome は利用者母数の大きさから、1件の重大欠陥でも業務全体へ波及しやすい。OT 側では PLC そのものが狙われ、Europa.eu の件ではセキュリティツール由来の漏えいが実害へつながった。派手なゼロデイだけでなく、運用の“つなぎ目”が狙われている週だった。出典：https://www.darkreading.com/vulnerabilities-threats/fortinet-emergency-patch-forticlient-zero-day https://www.securityweek.com/chrome-147-patches-60-vulnerabilities-including-two-critical-flaws-worth-86000/ https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a https://www.csoonline.com/article/4154176/cert-eu-blames-trivy-supply-chain-attack-for-europa-eu-data-breach.html

重大脆弱性とパッチ情報

最重要は CVE-2026-35616 である。Fortinet FortiClient EMS 7.4.5〜7.4.6 に影響し、NVD では不適切なアクセス制御により、未認証の攻撃者が crafted requests 経由で unauthorized code or commands を実行できると記載されている。CVSS v3.1 は 9.1。Fortinet は hotfix を案内し、The Hacker News と CSO Online は watchTowr / Defused Cyber による実悪用観測を報じた。公開 EMS は「あとで」ではなく「いま閉じる」案件である。出典：https://nvd.nist.gov/vuln/detail/CVE-2026-35616 https://thehackernews.com/2026/04/fortinet-patches-actively-exploited-cve.html https://www.csoonline.com/article/4155221/fortinet-releases-emergency-hotfix-for-forticlient-ems-zero-day-flaw.html

Chrome 147 では 60件が修正され、そのうち 2件の critical は WebML コンポーネントに存在する heap buffer overflow（CVE-2026-5858）と integer overflow（CVE-2026-5859）である。加えて NVD では、直近の実悪用ゼロデイ CVE-2026-5281 が KEV 対象であることが明示されている。ブラウザは業務端末の共通実行基盤であり、更新遅延がそのまま攻撃面になる。出典：https://www.securityweek.com/chrome-147-patches-60-vulnerabilities-including-two-critical-flaws-worth-86000/ https://nvd.nist.gov/vuln/detail/CVE-2026-5281

Marimo の CVE-2026-39987 は、/terminal/ws の認証不備により未認証でフル PTY shell を取得できる pre-auth RCE で、NVD でも 0.23.0 未満が影響対象と整理されている。The Hacker News は公開 10時間以内の悪用を伝えており、分析・PoC・ノートブック系ツールの公開運用が、いまや本番同等の緊張感を要することがはっきりした。出典：https://nvd.nist.gov/vuln/detail/CVE-2026-39987 https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html

インシデント・データ侵害

今週の象徴的な事案は、Europa.eu のデータ侵害である。CSO Online は、CERT-EU が Trivy サプライチェーン侵害を起点とみていると報じた。脆弱性スキャナー由来の認証情報漏えいが、欧州委員会系システムのデータ流出へつながった構図は、セキュリティツールも「高権限の本番資産」であることを突きつける。道具箱が壊れると、工具だけでなく現場まで燃える。出典：https://www.csoonline.com/article/4154176/cert-eu-blames-trivy-supply-chain-attack-for-europa-eu-data-breach.html

Bitcoin Depot では 50 BTC 超が盗まれたと報じられた。暗号資産事業者に限らず、秘密鍵、APIキー、ウォレット権限、クラウド資格情報のような「少数の高権限情報」に価値が集中する業態では、内部システム侵害が即財務インシデントへ転化しやすい。出典：https://www.infosecurity-magazine.com/news/bitcoin-depot-dollar36m-crypto/

フィッシング・ソーシャルエンジニアリング

EvilTokens は Microsoft の device code flow を悪用し、正規の認証体験に見せかけながらトークンを奪う。これは「ログイン画面が本物だから安心」という従来感覚を崩すタイプの攻撃で、条件付きアクセス、トークン監視、利用フローの制限が必要になる。出典：https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html

日本企業にとってより直撃しやすいのは、Silver Fox による税務・給与・人事文脈のフィッシングである。KnowBe4 によれば、税務違反、給与改定、職位変更、持株会といった、日本企業の季節要因に合った件名が使われている。文面の自然さより、業務タイミングの自然さが厄介だ。忙しい時期ほど、人は真面目にだまされる。出典：https://blog.knowbe4.com/japanese-firms-silver-fox-tax-phishing-campaign

さらに KnowBe4 は vishing の伸長も警告している。電話はメールより勢いがあり、その場で判断を迫れる。ヘルプデスク、MFA再登録、端末交換、送金確認などが口頭で突破されると、技術統制だけでは守り切れない。出典：https://blog.knowbe4.com/voice-phishing-is-a-growing-social-engineering-threat https://apwg.org/trendreports

政策・基準・フレームワーク動向

CISA は今週、FortiClient EMS の KEV 追加と、OT/PLC に関する advisory AA26-097A を通じて、「パッチ適用」と「露出削減・分離」の両方を求めた。つまり、脆弱性管理とアーキテクチャ改善を別工程のままにしてはいけない、というメッセージである。出典：https://www.cisa.gov/news-events/alerts/2026/04/06/cisa-adds-one-known-exploited-vulnerability-catalog https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a https://www.cisa.gov/known-exploited-vulnerabilities-catalog

CVE.org は、CWE / CVSS を高率で付与する CNA を可視化する CNA Enrichment Recognition List を更新した。表向きは地味だが、機械可読性と優先順位付けの品質を上げる動きであり、脆弱性管理の自動化には重要である。出典：https://www.cve.org/Media/News/item/blog/2026/04/07/CNA-Enrichment-Recognition-List-Update

MITRE ATT&CK は公開更新としてなお v18 が現行で、v19 は 2026年4月28日公開予定と案内されている。今週は新バージョン適用より、既存TTPを個別事案へ当てはめる使い方が中心になる。OWASP は Top 10:2025 が現行で、GenAI Data Security Risks & Mitigations 2026 や Agentic 系の資料が、AI運用統制の実務基準として効いてくる。出典：https://attack.mitre.org/resources/updates/ https://owasp.org/www-project-top-ten/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/

国内視点の影響

日本企業への影響はかなり直接的である。Fortinet や旧型ルーターのような止めにくい運用機器、M365 の認証フロー、Trivy を含む CI/CD、Marimo や AI/分析系ツールの公開サーバ、そして税務・給与・人事を装う対人欺罔が並行している。製造、自治体、金融、SIer、広告運用、人事労務、情シスのいずれにも刺さる。出典：https://www.csoonline.com/article/4155221/fortinet-releases-emergency-hotfix-for-forticlient-ems-zero-day-flaw.html https://krebsonsecurity.com/2026/04/russia-hacked-routers-to-steal-microsoft-office-tokens/ https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html https://blog.knowbe4.com/japanese-firms-silver-fox-tax-phishing-campaign

NICT の 2026年4月9日の発表は、認証局の耐量子暗号移行に関する国内の現実的な技術実証である。すぐに全社移行する話ではないが、長寿命の証明書・CA・IoT・金融・行政システムを抱える組織ほど、いまから設計思想を持っておく価値がある。出典：https://www.nict.go.jp/press/2026/04/09-1.html

一方、NICTER については、対象期間内に直ちに運用優先度を変える新規の緊急注意喚起は確認しにくかった。そのため今週の判断軸は、NICTER の観測速報よりも、CISA KEV・NVD・主要媒体の一次報を優先するのが実務的である。出典：https://www.nicter.jp/ https://www.cisa.gov/known-exploited-vulnerabilities-catalog

今すぐやるべきこと

  1. FortiClient EMS の対象バージョン有無を棚卸しし、hotfix 適用と侵害痕跡確認を即日実施する。
  2. Chrome / 業務ブラウザの強制更新ポリシーを確認し、未更新端末を可視化する。
  3. Marimo、Langflow、Flowise など公開された分析・AI系ツールの露出有無を確認し、不要公開を停止する。
  4. M365 環境で device code flow 悪用を前提に、条件付きアクセス、サインインログ、トークン異常監視を見直す。
  5. 経理・人事・労務向けに、税務・給与・異動連絡を装うメールと電話の注意喚起を今週中に出す。
  6. OT/PLC 環境では、外部接続、遠隔保守経路、インターネット露出、デフォルト資格情報を再点検する。

出典：https://www.csoonline.com/article/4155221/fortinet-releases-emergency-hotfix-for-forticlient-ems-zero-day-flaw.html https://www.securityweek.com/chrome-147-patches-60-vulnerabilities-including-two-critical-flaws-worth-86000/ https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html https://www.csoonline.com/article/4153742/eviltokens-abuses-microsoft-device-code-flow-for-account-takeovers.html https://blog.knowbe4.com/japanese-firms-silver-fox-tax-phishing-campaign https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a

中長期対策

中長期では、従来の「CVSS が高い順に直す」運用だけでは追いつかない。AI によって脆弱性探索が高速化し、公開から悪用までの時間が短くなるほど、重要なのは 露出面の縮小、権限境界の明確化、修正の自動配信、認証イベントの横断監視 である。

開発面では、OWASP Top 10:2025 を最低ラインとして、CI/CD の秘密情報保護、署名済みアーティファクト、GitHub Actions の権限最小化、依存関係の固定化、SBOM 運用を進めるべきである。運用面では、ATT&CK v19 の更新に合わせて検知ルールを定期改定し、認証基盤では耐量子暗号移行を含むロードマップ整備が必要になる。出典：https://owasp.org/www-project-top-ten/ https://genai.owasp.org/resource/owasp-genai-data-security-risks-mitigations-2026/ https://attack.mitre.org/resources/updates/ https://www.nict.go.jp/press/2026/04/09-1.html

CISA KEV や NVD “recent” フィードで実運用に影響大の項目

Trustworthy AI政策の定点観測

by 塚井海地 / 0件のコメント

日本のTrustworthy AI政策は次の段階へ――民間ガイドライン改訂と政府運用ルール具体化が同時進行

日本のTrustworthy AI政策は、いま静かに次の段階へ移っている。これまでは「原則をどう示すか」「ガイドラインをどう整えるか」が中心だったが、2026年春時点では、民間向けには経済産業省のAI事業者ガイドライン改訂、政府向けにはデジタル庁の生成AI利用ルール具体化が同時に進んでいる。派手な新法ではないが、実務にはむしろこちらの方が効く。日本のAI政策は、理念の追加よりも、使い方と責任の整理へ軸足を移したと見てよい。

なぜ今、日本の話として読む価値があるのか

Trustworthy AIという言葉は、EUやOECDの文脈で語られることが多い。しかし、日本で実際に読まれるのは、最終的には「日本の企業や行政に何が起きるのか」という話である。今回の確認で重要なのは、日本が単に海外議論を追いかけているのではなく、民間向けと政府向けの二層で、実装可能なルールを同時に詰め始めていることだ。

民間では、AI事業者ガイドラインの改訂によって、経営層・実務層が使いやすい形へ整備が進んだ。政府では、生成AI調達・利活用ガイドラインの改定案や、調達チェックシート、AI相談窓口、CAIOといった運用装置が具体化しつつある。つまり、原則論の時代から、運用設計の時代に入っている。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html

出典：https://www.digital.go.jp/councils/ai-advisory-board

METI第1.2版が示したもの――民間向けルールは「読む文書」から「使う文書」へ

経済産業省のAI事業者ガイドライン検討会は、2026年3月31日にAI事業者ガイドライン第1.2版を取りまとめた。ここで注目すべきなのは、単に版番号が上がったことではない。公表ページでは、ガイドラインを「より活用いただきやすいもの」とするために、活用の手引き（案）やチャットボットも公開したと明記している。これは、ガイドラインの役割が、理念を掲げるだけの文書から、企業が実際に使うための道具へ移っていることを示す。

第1.2版本編PDFは、総務省・経済産業省名義で2026年3月31日付となっており、概要PDFでは「AI開発・提供・利用にあたって必要な取組についての基本的な考え方」を示す文書だと整理されている。さらに別添概要では、経営層によるAIガバナンスの構築やモニタリング、事業者取組事例、チェックリスト・ワークシートなど、より実装に近い部品が並んでいる。要するに、日本の民間向けTrustworthy AIは、抽象論よりも「どう使うか」の整備に入った。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_2.pdf

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_4.pdf

デジタル庁4月8日更新が示したもの――政府向けルールは「試行」から「統治」へ

政府利用側では、デジタル庁の先進的AI利活用アドバイザリーボードが明確な続報を出している。トップページの最終更新日は2026年4月8日で、第3回アドバイザリーボードの議事要旨掲載が新着情報として示されている。第3回会合の資料構成を見ると、各府省庁生成AIシステム定期報告概要、我が国及び諸外国における生成AI動向、そして「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」改定案が並んでいる。これは、政府のAI利用が個別実証の段階を越え、横断的な統治の議題として扱われていることを意味する。

さらに、第3回の概要資料PDFでは、AI相談窓口、調達チェックシート、CAIO、対象生成AIの拡大、高リスクな生成AI利活用の考え方などが確認できる。加えて、既に第2回時点でガイドラインの充実に向けた改定方針案が示されており、「技術面とユースケースの発展が著しく、今後想定されていなかったリスクが顕在化する可能性があることから、随時見直しする」と整理されていた。つまり、政府向けではガイドラインが固定文書ではなく、運用に合わせて更新する仕組みとして回り始めている。

また、2025年6月の重点計画概要資料では、政府における生成AI利活用促進とリスク管理を表裏一体で進めるため、各府省庁へのCAIO設置やアドバイザリーボード設置が位置付けられている。ここまで見ると、日本の政府利用側は、単なる生成AI活用推進ではなく、調達・統治・相談・責任分担をまとめて組み込む方向へ進んでいる。

出典：https://www.digital.go.jp/councils/ai-advisory-board

出典：https://www.digital.go.jp/councils/ai-advisory-board/80174015-f73b-4d98-811e-c601c26c0ba5

出典：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/80174015-f73b-4d98-811e-c601c26c0ba5/b5da8c01/20260310_meeting_ai-advisory_%20outline_04.pdf

出典：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/80174015-f73b-4d98-811e-c601c26c0ba5/b0d3eeec/20260310_meeting_ai-advisory_%20outline_03.pdf

出典：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/eb376409-664f-4f47-8bc9-cc95447908e4/9b7306d7/20260113_meeting_ai-advisory_%20outline_05.pdf

出典：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/5ecac8cc-50f1-4168-b989-2bcaabffe870/cd4e0324/20250613_policies_priority_outline_03.pdf

日本で今起きていることは「二層同時進行」である

ここで重要なのは、民間向けと政府向けが別々に動いているのではなく、むしろ相互に影響し合う形で進んでいることだ。第3回アドバイザリーボード資料には、AI事業者ガイドラインの令和7年度更新内容（案）や、AIのセキュリティ確保のための技術的対策に係るガイドライン（案）、CAIOガイドブック（案）、AIインシデントレスポンス関連資料などが並んでいる。つまり、政府側の議論の中にも民間向けガイドライン更新が参照されており、日本のTrustworthy AI政策は、官民別々に進むのではなく、ゆるやかに接続されながら実装フェーズへ進んでいる。

この構図は、日本の読者にとってかなり重要だ。なぜなら、日本企業に直接効くのはまずMETIのガイドラインだが、今後の調達・委託・政府案件・公共接点を考えると、デジタル庁側の運用ルールも無視できないからである。いわば、民間は「何を求められるか」を、政府は「どう使うか」を同時に詰めている。日本のTrustworthy AIは、いままさにこの二層構造で現実化している。

出典：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/80174015-f73b-4d98-811e-c601c26c0ba5/c0a1cfcc/20260310_meeting_ai-advisory_%20outline_02.pdf

日本企業・実務担当者は何を見ておくべきか

この流れを踏まえると、日本企業や実務担当者が確認すべきポイントはかなりはっきりしている。第一に、AI事業者ガイドライン第1.2版が、単なる理念文書ではなく、経営層・実務層が使うための文書へ変わりつつあること。第二に、政府向け生成AIガイドラインの改定と、その周辺にある調達チェックシート、AI相談窓口、CAIO、リスク分類が、今後の公的案件や説明責任の基準になり得ること。第三に、日本では新法が先に来るというより、ガイドライン、手引き、概要資料、相談窓口、チェックシートのような形で静かに実務が固められていくことだ。

派手な法改正ニュースだけを追っていると、この変化は見落としやすい。しかし、実務に一番効くのは、往々にしてこうした「地味だが使う文書」である。だからこそ、今回の日本向け記事では、OECDやEUの総論よりも、METI第1.2版とデジタル庁4月8日更新を前面に出すほうが、読む価値が高い。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html

出典：https://www.digital.go.jp/councils/ai-advisory-board

出典一覧

WEF「Global Risks Report 2026」いま企業が備えるべきこと

by 塚井海地 / 0件のコメント

世界のリスク環境は、毎年少しずつ変わるというより、ある時点を境に前提そのものが変わっていきます。今回公開されたWEFの「Global Risks Report 2026」は、まさにその変化を俯瞰で確認するための資料でした。

今回のレポートをどう読むか

短期では「対立と分断」が経営前提になる

今回の印象を一言でいえば、まず短期は「落ち着く方向」ではなく、「複数の緊張が同時に走る方向」で見たほうが自然だということです。地政学や地経学の緊張、誤情報の拡散、社会の分断といった論点は、個別ニュースとして見ていると散らばって見えますが、俯瞰すると互いにつながっています。単発の出来事ではなく、前提条件そのものが揺れていると考えたほうが実務に落とし込みやすいと思います。

長期では「環境」と「AI」が経営の土台を変える

一方で、10年目線になると環境リスクの重みはやはり大きく、そこへAI由来のリスクが強く食い込んできます。これは、単なるテクノロジーの流行というより、設備投資、人材配置、ガバナンス、情報管理の考え方まで見直す必要があるということです。短期の火消しだけでなく、長期の設計図をどこまで前倒しで描けるかが問われる局面に入っていると感じます。

読み物ではなく、経営会議の材料として使う

今回の3点セットは、「まず原典で全体観をつかむ」「次に1枚版で共有する」「最後に役員向け資料で論点を深掘る」という順番で使うと収まりが良いはずです。忙しい時ほど、資料は厚さより順番が効きます。全部を最初から読み込むより、入口を分けたほうが実務で回しやすくなります。

経営層・事業責任者

中期経営計画や投資判断の前提条件を見直したい方に向いています。市況や足元業績だけでは拾いきれない外部環境の変化を、少し引いた視点で確認できます。

経営企画・リスク管理・ガバナンス担当

リスクマップやシナリオ設計、BCP、情報管理、AIガバナンスの見直しなど、複数部門をまたぐ論点を整理する入口として使いやすい資料です。

現場で判断を預かるマネージャー層

「世界の話」で終わらせず、自部門のサプライチェーン、人材、情報、顧客接点にどう跳ね返ってくるかを考えるきっかけになります。

公開資料一覧

WEFレポート本体

https://www.weforum.org/publications/global-risks-report-2026/

社長向け1枚版

WEFGlobal_Risks_Report_2026_社長説明用1枚版.pdf

 

役員向け分析資料

WEF_Global_Risks_Report_2026_役員向け分析資料_v2.pdf

 

Trustworthy AI政策の定点観測（2026年03月30日時点）

by 塚井海地 / 0件のコメント

2026年03月30日時点：OECD・EU・韓国・カナダ・日本の動向整理

2026年03月30日時点の確認では、今週の動きが比較的明確だったのはEUと日本の政府利用領域である。EUでは2026年03月20日にAI Boardの第7回会合が開かれ、AI Continent Action Plan、AI Act、AI生成コンテンツの表示実務に関する議論が前進した。日本ではデジタル庁が2026年03月10日に第3回先進的AI利活用アドバイザリーボードの会議資料を掲載している。他方、OECD、カナダ、日本の民間事業者向け基準文書は、直近で公表済みの基準線を維持しつつ運用段階にあり、韓国は2026年01月22日の施行後、猶予期間付きで実装ルールを具体化している。

OECD：AI定義とTrustworthy AIの基準線は維持、政策ステージは非拘束の国際原則運用

OECDの基準線は、AI system definition と OECD AI Principles にある。Policy Navigator上では、AI system definition について、2023年11月に加盟国が改訂版を承認したことが示されており、その目的は2019年勧告における AI system の射程を明確にすることにある。あわせて、OECD AI Principles は、2019年採択、2024年5月更新と整理されており、innovative and trustworthy で、人権と民主的価値を尊重するAIの利用を促進する原則として位置付けられている。今回の確認範囲では、必須ページ上で今週付の新規制度改定告知は確認できず、政策ステージは引き続き、各国制度の上位に置かれる非拘束の勧告・原則の運用段階とみるのが妥当である。

出典：https://oecd.ai/en/
https://oecd.ai/en/ai-principles
https://oecd.ai/en/dashboards/policy-initiatives/updated-oecd-definition-of-an-ai-system-4108

EU：AI Actは施行後の実装局面へ進み、今週はAI Boardで適用実務を確認

EUは、Trustworthy AI を「卓越性と信頼」の両輪で扱っている。European approach to artificial intelligence のページでは、EUのAI政策は研究・産業能力の強化と、安全性・基本権保護を両立させる枠組みとして整理されている。AI Actのページでは、AI Act が 2024年08月01日に発効し、全面適用は 2026年08月02日である一方、禁止AI慣行とAIリテラシー義務は 2025年02月02日から、GPAIモデルの義務は 2025年08月02日から適用済みと示されている。さらに今週の動きとして、2026年03月20日の第7回AI Board会合では、AI Continent Action Plan と AI Act の現行優先課題が確認され、AI生成コンテンツの labelling and marking に関する Code of Practice の第2ドラフトが議論された。つまりEUは、立法段階を過ぎ、実装ガイドラインと産業実装戦略を並走させる段階に入っている。

出典：https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence
https://digital-strategy.ec.europa.eu/en/policies/ai-board
https://digital-strategy.ec.europa.eu/en/news/seventh-ai-board-meeting

韓国：AI Basic Actは施行済み、透明性と高影響AIの実装ルールが具体化

韓国は、制度ステージがもっとも明確に「施行・運用」へ移った国の一つである。MSITの公式発表では、AI Basic Act とその Enforcement Decree が 2026年01月22日に施行されたとされる。同時に、同法は AI industry の振興と trustworthy foundation の整備を両立させる設計であり、Enforcement Decree では、国家AIガバナンス、訓練データ、導入支援、透明性、安全性、高影響AIの判断基準まで細則化されている。ただし、少なくとも1年間の grace period が付され、透明性義務に関する事実調査や制裁は当面猶予される。別途公表された透明性ガイドラインでは、AI生成コンテンツの labeling requirements が明確化され、サービス内表示と外部配布物を分けて柔軟な表示方法を認めている。したがって韓国は、法律成立の確認段階ではなく、執行準備を伴う実務運用設計の段階に入っている。

出典：https://www.msit.go.kr/eng/index.do
https://www.msit.go.kr/eng/bbs/view.do%3Bjsessionid%3DZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng
https://www.msit.go.kr/eng/bbs/view.do%3Bjsessionid%3DZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1215&sCode=eng

カナダ：法令新設よりも、部門別責任分担と行政実装の整流化が前面

カナダの今回の確認対象では、法制度の新規制定よりも、政府内の責任分担と導入運用の整備が前面に出ている。Responsible use of artificial intelligence in government の総合ページは 2026年02月06日更新で、AI Strategy for the Federal Public Service 2025-2027、Departmental AI Responsibilities、Government of Canada AI Register などを一体で案内している。AI Strategy の Overview は 2026年02月25日付で、responsible AI adoption を通じて国民へのサービス向上を目指すと明記している。Departmental AI Responsibilities は、CIO of Canada が出す実務文書として、AI adoption and experimentation における recommended functions and responsibilities を示し、部門ごとのAI戦略を策定して政府全体の方向性に整合させることを求めている。すなわちカナダは、政策ステージとしては行政実装の責任分担と統治運用の強化局面にある。

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html
https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/guide-departmental-ai-responsibilities.html
https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html

日本（METI・総務省）：AI事業者ガイドライン第1.1版が現行基準線として継続

日本の民間事業者向け実務基準としては、AI事業者ガイドライン第1.1版が引き続き基準線である。AI事業者ガイドライン検討会ページでは、最終更新日は 2025年03月28日であり、同日付の第1.1版が掲載されている。概要PDFでは、このガイドラインが AI開発・提供・利用 にあたって必要な取組についての基本的考え方を示す文書であり、本編を why と what、別添を how に分ける構成であることが明示されている。また、第1部「AIとは」、第2部の AIガバナンスの構築、チェックリスト、主体横断的な仮想事例まで含めた構成が示されている。さらに、広島AIプロセス、OECD AI原則等を踏まえつつ、一般的なAIを含む広い範囲のAIシステム・サービスを対象とし、各事業者が自主的にAIガバナンスを構築することを重視している。今回の確認範囲では、2025年03月28日以降の新改定は確認できなかった。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20250328_2.pdf

日本（デジタル庁）：政府利用は改定検討を継続し、CAIOと報告体制を明文化

政府内の生成AI利用については、デジタル庁の運用設計が今週確認時点で最も動いている。先進的AI利活用アドバイザリーボードのトップページは 2026年03月10日更新で、第3回会議資料の掲載を告知している。第3回会合の議事には、各府省庁生成AIシステム定期報告概要、国内外動向、そして行政の進化と革新のための生成AIの調達・利活用に係るガイドライン充実に向けた改定案が含まれている。加えて、デジタル社会推進標準ガイドラインのページでは、DS-920 が Normative 文書として掲載され、生成AIの利活用促進とリスク管理を表裏一体で進めるための政府ガイドラインと説明されている。本文PDFでは、先進的AI利活用アドバイザリーボードの開催、AI相談窓口、各府省庁での AI統括責任者（CAIO）設置、四半期程度の定期報告、高リスク案件の報告と助言の仕組みが明記されている。つまり日本の政府利用領域は、一般論の注意喚起ではなく、責任者配置と報告ループを伴う運用フェーズに入っている。

出典：https://www.digital.go.jp/councils/ai-advisory-board
https://www.digital.go.jp/councils/ai-advisory-board/80174015-f73b-4d98-811e-c601c26c0ba5
https://www.digital.go.jp/resources/standard_guidelines
https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/b7cbb25f-2b3b-414a-b601-404469af221f/49e4ccc3/20250527_resources_standard_guidelines_guideline_01.pdf

全体所見：今週時点では「原則」より「実装責任」の比重が高まっている

今回の確認で目立つのは、Trustworthy AI の議論が、抽象的な理念競争から、誰がどの単位で責任を負い、どの場で報告し、どの案件を高リスクとして扱うかという運用論へ寄っている点である。OECDは引き続き国際的な定義と原則の基準線を提供しているが、EUは AI Act の適用タイムラインと実装補助を具体化し、韓国は施行済み法制の細則を動かし、カナダは行政組織内の責任分担を整え、日本は民間向けガイドラインと政府向け運用ルールを分けて更新・運用している。今週分として重要なのは、新法の有無だけを見るのではなく、各地域で「責任者」「報告」「ラベリング」「高リスク判断」「調達・利活用ルール」がどこまで明文化されたかを確認することにある。

出典：https://oecd.ai/en/ai-principles
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/guide-departmental-ai-responsibilities.html
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html
https://www.digital.go.jp/councils/ai-advisory-board

出典一覧

国交省・運輸安全委員会の最新公開情報で見る、国内ドローン事故報告の定点観測（2026-03-23確認）

by 塚井海地 / 0件のコメント

ドローン事故・重大インシデント週次モニタリング

無人航空機（ドローン）事故データで作る安全マネジメント

確認日：2026年03月23日

対象期間：2026年03月16日〜2026年03月22日（JST）

本記事で得られる3つのポイント

  • 前週比較で、今回の監視対象期間に新たに入る公開案件は No.194 であること。
  • 直近の事故類型が、空撮・訓練・散布と用途は異なっても、人的被害、第三者物件接触、立入管理不備に収れんしていること。
  • 事故低減の主戦場が、機体性能よりも離着陸手順、回収動作、第三者離隔、風判断、現場統制にあること。

なぜ重要か：ドローン事故は1件の損害額だけでなく、顧客説明、再発防止対応、受注継続性まで含めて事業収益を削るため、直近公開事案の差分確認はそのまま現場改善の材料になるためです。

続きを読む
https://www.mlit.go.jp/koku/accident_report.html

今週の差分

前週確認時点では、MLIT公開一覧の最新掲載面に No.192（青森市・融雪剤散布）と No.193（名古屋市・係留訓練中の負傷）が確認されていました。今回の対象期間では、同じ最新掲載面にある No.194 が週次対象に新たに入ります。

No.194 は、大阪府泉南郡での空撮前確認飛行中、操縦者自身が機体との距離を見誤って接触し、右手背部を負傷した事案です。分類上は「無人航空機による人の負傷」として重大インシデントに該当します。

一方、運輸安全委員会（JTSB）の無人航空機事故公表案件については、過去1週間で新たな報告書公表は確認できませんでした。

今週の新規抽出案件

No.194｜大阪府泉南郡｜空撮前確認飛行

発生日：令和7年3月18日 13時30分頃

飛行させた者：事業者

機体：DJI JAPAN株式会社 MATRICE300RTK

概要：空撮前の事前確認のため無人航空機を飛行させていたところ、自身と機体の距離を見誤り、機体が操縦者に接触し、右手背部を負傷した。

人的被害：右手甲の裂傷

機体損傷：プロペラの破損

再発防止策：回転しているプロペラには不用意に近づかない。機体に近づく際には、必ずプロペラが停止していることを確認する。社内のドローン業務対応者へ本事案及び再発防止策を周知徹底する。

分類：観光/空撮、人的被害、立入管理、航行/第三者、着陸・回収フェーズ

出典：https://www.mlit.go.jp/common/001585162.pdf

前週から継続して重要な公開案件

No.192｜青森県青森市｜融雪剤散布

操作を誤り、第三者所有の電線に機体を接触させて損傷させた事案です。停電等の影響はなかったものの、送電線付近での離着陸を避けることが再発防止策として示されています。

分類：農業、物損、航行/第三者、立入管理

出典：https://www.mlit.go.jp/common/001585162.pdf

No.193｜愛知県名古屋市｜訓練・係留飛行

訓練のため係留飛行させていたところ、着陸時に機体が突風にあおられ、操縦者の隣に立っていた関係者に接触し、左手中指を負傷した事案です。係留柵の長さ調整と、防護柵設置が再発防止策として示されています。

分類：訓練、人的被害、天候、立入管理、着陸フェーズ

出典：https://www.mlit.go.jp/common/001585162.pdf

キーワード別分析

点検 / 外壁

今週の新規対象期間には点検・外壁の新規追加はありませんでした。ただし、直近公開群では外壁接触や屋根点検時の接触が続いており、構造物近接業務では「成果物のために寄り過ぎる」圧力が事故の温床になっています。点検案件では、撮影・確認に必要な最小距離ではなく、接近の上限距離を社内標準にしておく方が実務的です。

観光 / 空撮

今週の新規案件 No.194 は空撮前確認飛行です。空撮は本番映像の前段階であっても、操縦者が映像・構図・周辺確認を同時に処理しがちで、回収動作や近接判断が甘くなります。「本番前だから安全」ではなく、「本番前だから注意が分散しやすい」と捉えるべき領域です。

建設

今週の新規追加では建設用途は確認できませんでしたが、建設現場に多い第三者物件接触、仮設物接触、狭隘環境近接は、公開済みの他用途事故と同じ構造で起こります。建設用途では飛行計画だけでなく、地上導線・搬入動線・第三者導線の分離が重要です。

農業

No.192 のように、散布系飛行では低高度、障害物近接、作業優先の三要素が重なります。農業は「飛ばせるか」より「安全に離着陸できる場所を確保できるか」が重要です。JTSBの南相馬市事案も含め、農業では人的被害と第三者接触の両方が起きやすく、補助者設計が経営上の管理点になります。

物流

今週の新規対象には物流は含まれていませんが、公開済み一覧には自律飛行から手動介入に移行した際の物件接触も見られます。物流では通常運航時より、異常時のモード遷移時に事故が起きやすく、手動切替え手順の訓練不足が露出しやすい領域です。

測量

測量色の濃い新規追加は確認できませんでした。ただし、測量は GNSS/RTK 依存が高く、誤差や制御挙動が業務品質にも安全にも直結します。安全チェックと精度チェックを別管理にせず、一体化したプレフライト運用に寄せる方が事故予防には有効です。

屋内

今週の対象範囲で屋内案件は確認できませんでした。ただし、屋内は GNSS に依存しない一方、人との距離が近くなりやすいため、プロペラ接触リスクはむしろ増えます。屋内案件ほど、ケージ装着、低速モード、手元回収禁止の徹底が必要です。

目視外

今週の新規案件自体は目視外主題ではありませんが、物流・自律飛行系では目視外前提が混ざりやすい構図があります。目視外で重要なのは飛行そのものより、異常発生時に誰が何を判断し、どこに緊急着陸させるかの事前設計です。

夜間

今週の新規対象に夜間案件はありませんでした。夜間は案件単価が上がりやすい一方、離着陸点の視認性確保と立入管理のコストも上がります。夜間案件は、許可があるかどうかだけでなく、地上安全工程を上乗せした見積にしないと利益を削りやすい領域です。

人的被害

No.193、No.194、そしてJTSB南相馬市事案に共通するのは、回転中の機体へ人が近づいていることです。これは偶発ではなく、回収タイミング、補助者位置、操縦者との役割分担が手順として固定されていない問題です。人的被害は操縦技量の不足だけでなく、現場設計不足として捉えるべきです。

物損

No.192 の電線接触は、停電に至らなくても十分に重い事案です。物損は一見軽微でも、顧客説明、賠償協議、次案件への影響が残ります。BtoB業務では、ニュースになる事故より、こうした小規模物損の積み重ねの方が信用を削ります。

電波 / リンク喪失

今週の新規案件では電波・リンク喪失が直接原因として示されたものはありませんでした。ただし、公開一覧全体では自律飛行や制御不能関連事案も見られ、通信品質とフェイルセーフ理解の不足が背景に潜む可能性があります。現場全員がリンク喪失時の挙動を説明できる状態にしておくことが基本です。

GNSS / 磁気

GNSS/磁気異常を明示した新規案件はありませんでした。一方で、都市部近接、構造物近接、点検業務では GNSS 背景要因が表面化せずに壁面接触として現れることがあります。原因欄に書かれていなくても、設計側では想定すべき変数です。

バッテリー

今週の新規案件ではバッテリー直接起因は確認できませんでした。とはいえ、バッテリーは「故障」より「判断遅れの起点」になりやすい要素です。残量閾値だけでなく、アラーム発生後に誰が帰還判断を下すかまで決めて初めて運用になります。

天候

No.193 は突風が直接要因です。天候は飛ばせるかどうかより、止められるかどうかで評価すべきです。特に係留飛行や近接飛行では、平均風速ではなく突風と局所乱流を見ないと事故を取りこぼします。

立入管理

今週の最重要論点です。No.194 は操縦者自身、No.193 は隣接する関係者、JTSB事案は補助者が被災しています。つまり、主戦場は空中ではなく地上です。離着陸禁止半径、回収許可者、プロペラ停止確認を文章と現場導線の両方で固定しない限り、同じ型の事故は続きます。

航行 / 第三者

第三者物件との接触は、電線、外壁、屋根、フェンスのように、軽微に見えても説明責任が重い対象で起きています。許可承認の有無だけでなく、第三者物件へどこまで近づくかの社内基準を持っているかが差になります。

ビジネス視点の総括

今週は件数が大きく増えた週ではありませんが、事故の型はさらに明瞭になりました。直近公開事案は、①空撮・確認飛行での人的被害、②訓練・係留中の突風絡み負傷、③散布中の第三者物件接触、という三方向に見えて、実際の根は同じです。すなわち、離着陸設計、回収手順、立入管理、風判断、近接時の中止判断です。

機体更新だけで差がつく局面ではありません。利益を残す事業者ほど、現場SOPの粒度を上げ、補助者教育を行い、案件受注段階で危険条件を切っています。ドローン事業の安全は、操縦テクニックよりも工程設計の質で決まります。

参照URL（一次情報）

国土交通省 無人航空機の事故等の報告及び負傷者救護義務
https://www.mlit.go.jp/koku/accident_report.html

国土交通省 無人航空機に係る事故等報告一覧（PDF）
https://www.mlit.go.jp/common/001585162.pdf

運輸安全委員会 航空事故検索結果（無人航空機）
https://jtsb.mlit.go.jp/jtsb/aircraft/air-toukei.php?category=CategoryUninhabitedirvehicle&init=1

運輸安全委員会 無人航空機事故調査事案 AA2026-1-1
https://jtsb.mlit.go.jp/jtsb/aircraft/detail.php?id=2395

Trustworthy AI政策の定点観測（2026年3月23日確認)

by 塚井海地 / 0件のコメント

2026年3月23日時点で公式情報を確認したところ、Trustworthy AIに関する各国政策は、新規制度の追加よりも「既存制度の実装・運用の具体化」に重点が移行していることが確認できた。EUは規制の実装段階、韓国は施行後運用、カナダは政府内責任分担の明確化、日本はガイドライン運用と政府内ルール整備が並行して進行している。一方でOECDは国際的な基盤としての役割を維持している。

OECD.AI Policy Navigatorの確認

OECD.AIは、各国のAI政策を横断的に整理する国際的な基盤として引き続き機能している。今回の確認では、構造や制度的な大きな変更は確認されておらず、Trustworthy AIに関する国際比較の参照点としての役割が維持されている。

また、OECD AI Principlesは、人間中心・透明性・説明責任・安全性を中核とする枠組みとして継続しており、各国政策の基準として参照されている。

出典：https://oecd.ai/en/

出典：https://oecd.ai/en/ai-principles

EU AI Actの確認

EUではAI Actがすでに制度として確立されており、現在は実装フェーズに移行している。欧州委員会の政策ページでは、AI Actがリスクベースで設計された包括的規制として整理されている。

今回の確認では、制度そのものの変更ではなく、AI literacyや高リスクAI、GPAI（汎用AI）に関する補助文書の整備が進んでいる点が重要である。これは、Trustworthy AIを実務レベルへ落とし込む段階に入っていることを示している。

出典：https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

出典：https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence

出典：https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

韓国AI基本法の確認

韓国ではAI基本法が施行済みであり、制度は実装・運用フェーズへ移行している。今回の確認では、新制度追加よりも、既存制度の現場適用が進んでいる点が確認できた。

AIガバナンス体制、リスク管理、事業者責務の整理が進められており、Trustworthy AIを制度として定着させる段階にある。

出典：https://www.msit.go.kr/eng/index.do

カナダ政府のResponsible AIページ群の確認

カナダではResponsible AIの枠組みは維持されており、政府内部での責任分担の明確化が進んでいる。総合ページは引き続き中核的な導線として機能している。

Guide on Departmental AI Responsibilitiesでは、各省庁の責任と導入プロセスが整理されており、AI導入前に関係部門と連携する枠組みが明示されている。また、AI Strategyの概要ページでは、政府全体で責任あるAI導入を進める方針が確認できる。

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/guide-departmental-ai-responsibilities.html

出典：https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html

日本：METI AI事業者ガイドラインの確認

METIでは、AI事業者ガイドライン第1.1版が引き続き主要な基準文書として公開されている。今回の確認では、新版更新は確認されておらず、既存ガイドラインが継続的に参照されている。

本ガイドラインは、AIの開発・提供・利用における基本的な考え方を示すものであり、日本におけるTrustworthy AIの実務基盤として位置付けられている。

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html

出典：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20250328_2.pdf

日本：デジタル庁AI資料の確認

デジタル庁では、生成AIの政府利用に関するガイドライン整備が進められている。アドバイザリーボードおよび標準ガイドライン群を通じて、政府内のAI運用ルールが整理されている。

今回の確認では、政府AIの利用が実証段階から実運用段階へ移行していることが確認できる。

出典：https://www.digital.go.jp/councils/ai-advisory-board

出典：https://www.digital.go.jp/resources/standard_guidelines

動向整理：2026年3月時点の全体像

Trustworthy AI政策は、理念や原則の整理から、実際の運用・実装へと軸足が移っている。EU・韓国は制度実装、カナダは行政運用、日本はガイドライン運用、OECDは国際基盤という役割分担が明確になっている。

今後は制度そのものよりも、運用の具体性と説明責任の実装が評価の中心となる。

出典一覧

Trustworthy AI政策の定点観測（2026年3月16日確認）

by 塚井海地 / 0件のコメント

今回の確認では、Trustworthy AIをめぐる各国・各機関の政策フェーズが、かなりはっきり分かれてきた。OECDは定義や原則の再改定よりも、各国の政策情報を継続的に整理する基盤としての役割を強めている。EUはAI Actの法文そのものより、実装に必要な標準化、コード、ガイダンス整備が前面に出ており、制度は立法段階から実装段階へ移っている。韓国はAI Basic Actが施行段階に入り、透明性・高影響AI・影響評価といった運用ルールの公開が進んだ。カナダはDirectiveそのものの大きな再改定は確認できなかったが、政府内のAI戦略、AI Register、部門別の責任整理が厚くなっている。日本はMETIのAI事業者ガイドライン自体には大きな版更新が見えない一方、デジタル庁による政府内実装の工程が具体化した。

本稿は、指定された公式ソースを中心に、2026年3月16日時点で公開確認できた一次情報をもとに整理している。変更が見当たらない箇所は、その旨を明記した。なお、EUの「EU AI Act」特設サイトは制度理解に便利な整理サイトとして参照しているが、法的な原本確認は欧州委員会側のページを優先した。

OECD

OECDについては、今回の確認でもAI定義やTrustworthy AIの定義そのものに大きな更新は見当たらなかった。引き続き中核にあるのは、2019年採択・2024年更新のOECD AI Principlesであり、Trustworthy AIは「革新的で信頼でき、人権と民主的価値を尊重するAI」という軸で整理されている。今回の確認では大きな変更なし、と見てよい。

ただし、動きが止まっているわけではない。むしろOECDは、原則論の追加よりも、各国政策を比較・追跡しやすくする基盤整備を強めている。OECD AI Policy Navigatorは、80超の法域・国際機関の政策や制度を扱うライブ型のデータベースとして運用されており、各国の公式連絡窓口やOECD.AI側の専門家が継続的に更新する構造になっている。ここは地味だが実務上かなり重要で、制度比較の作業コストを下げる、いわば政策インフラの役割を担っている。

直近では、OECDが2026年3月20日締切で「Governing with Artificial Intelligence」のグローバル募集を続けており、政府内AIのユースケース、政策・ガバナンス施策、リスク評価やバイアス低減などの実装ツールを集めている。これは新たな法制度ではないが、Trustworthy AIを政府実装の文脈で具体化するための国際連携の動きとして見ておくべきだろう。

EU

EUは、今回の定点観測でもっとも「実装段階に入った」ことが明確だった地域である。AI定義やリスクベースの基本構造自体は大きく変わっていないが、AI Actの適用スケジュール、標準化、補助的コード、実務ガイダンスの整備がかなり具体化している。

制度の現在地

AI Actはすでに発効しており、2025年2月には禁止行為とAI literacy要件が適用開始済み、2025年8月にはGPAIモデル関連やガバナンス関連の規定が動き始めている。現在の焦点は、2026年8月以降に本格適用される残りの規定を、事業者と当局がどう実務に落とし込むかに移っている。

直近の更新

欧州委員会のAI政策ページでは、2025年11月19日にDigital Simplification Packageの一部としてAI Actのターゲット改正提案が示されており、実装を簡素で分かりやすいものにする方向が打ち出されている。さらに、標準化に関するページでは、高リスクAIの一部について、関連する標準や支援ツールの整備状況に応じて適用タイミングを連動させる考え方が明示されている。法が先に立ち、運用が後から息切れする――というありがちな筋の悪い展開を避けたい意図が透けて見える。

加えて、2026年3月5日にはAI生成コンテンツの表示・ラベリングに関するCode of Practiceの第2次案が公表された。ここでは、Article 50に基づく透明性義務をめぐり、マーク付け、メタデータ、水準の異なる識別方法、EU共通アイコンの例示、創作物や風刺表現への扱いなどが整理されている。意見募集は2026年3月30日までで、最終化は2026年6月初めが予定されている。透明性義務の適用開始は2026年8月2日だ。

国際連携

EUはAI Officeを軸に、OECD、G7、G20、国連、Council of Europe、NAAIMESなどとの連携を明示している。つまりEUは、EU域内の制度だけで完結するつもりではなく、自らの実装経験を国際標準形成に接続する構えを強めている。Trustworthy AIの定義面で新語を増やしているわけではないが、「実装手順まで含めて輸出可能な制度」に近づけようとしている点が、今回の観察では印象的だった。

韓国

韓国は、今回の確認対象の中で、法制度のステージがもっとも明快に進んだ国の一つである。AI Basic Actは2026年1月22日に施行され、施行令も同日に発効した。つまり、検討や法案段階ではなく、すでに施行段階に入っている。

制度の現在地

MSITの説明では、この法律はAI産業の振興と、安全で信頼できる基盤の整備を同時に狙う枠組みとして位置づけられている。国家AIガバナンスとして大統領直属の戦略委員会やCAIO体制を制度化しつつ、透明性、安全性、高影響AI、影響評価といった実装論点を施行令とガイドラインで具体化している。韓国らしく、推進と統制を一体で並べてくる設計だ。

直近の更新

2025年11月12日から12月22日にかけて施行令案の立法予告が行われ、2026年1月22日に法と施行令が発効した。その後、同日付で支援デスク側に透明性・安全性・高影響AIの判断・事業者責務・影響評価の主要ガイドラインが掲載されている。さらにMSITは2026年2月25日に透明性ガイドラインの公表を正式に発表しており、AI生成コンテンツ、とくにディープフェイクについて、利用者が識別しやすい形での表示を求める方針を具体化した。

ここで実務上のポイントは二つある。第一に、生成AIコンテンツの表示義務について、サービス環境内に留まる出力と、ダウンロード等で外部流通する出力を分けて考えていること。第二に、韓国国内の利用者にAI製品・サービスを直接提供する海外企業も対象に含めると整理していることだ。国内法の運用だが、実質的には域外適用の含みを持つ設計になっている。

スケジュールと移行措置

もっとも、施行と同時に全面執行というわけではない。MSITは少なくとも1年のグレースピリオドを設け、事実調査や過料賦課は原則として猶予すると説明している。重大な生命被害や人権侵害などの例外はあるが、基本的には企業の準備期間を確保しながら、支援デスクとガイドラインで不確実性を下げる運用になっている。制度のステージは施行済みだが、実務上は移行期間のただ中、という理解が正確だ。

カナダ

カナダでは、今回確認した範囲でDirective on Automated Decision-Makingそのものの新たな改正文は見当たらなかった。したがって、Directiveの法政策的な中身については「今回の確認では大きな変更なし」と整理できる。一方で、運用面のツール、ガイド、戦略、公開レジストリは着実に前進している。

制度の現在地

カナダの政府AIガバナンスは、依然としてDirective on Automated Decision-Makingが背骨である。このDirectiveは、行政上の意思決定またはその評価を支える自動化システムに適用され、AIだけでなく、ルールベース、統計モデル、生成AI、機械学習など幅広い自動化を含みうる。つまり、「AIだけを特別扱いする」のではなく、「行政判断を代替・補助する自動化」を横断的に押さえる設計だ。

直近の更新

2026年2月には、Responsible use of artificial intelligence in governmentの統合ページが更新され、連邦公務向けAI Strategy 2025-2027とDepartmental AI Responsibilitiesが前面に出た。AI Strategyの概要ページ自体の更新日は2026年2月25日であり、政府内での責任あるAI活用を単なる試行から恒常的なガバナンスへ移す意図が見える。また、2025年11月には連邦政府のAI Registerが公開され、政府内でどのようなAI利用が行われているかを対外的に示す枠組みが動き始めた。

実装ガイドも地味に効いている。Algorithmic Impact AssessmentはDirectiveを支える必須のリスク評価ツールとして維持されており、影響度に応じて必要な措置が段階的に決まる。さらに、Peer Reviewガイドでは、一定以上のインパクト水準の案件について、レビューの公表まで含めた手順が整理されている。これは「信頼」を空中戦で終わらせず、文書化・評価・公開の流れに落としている点で実務的だ。

パブリックコメントと今後

2024年に実施された連邦公務向けAI戦略の意見募集については、2025年1月末に “What We Heard” が公表され、その後のAI戦略整備につながっている。今回の確認では新たな意見募集は確認できなかったが、戦略、Register、責任整理、リスク評価ツールの更新を見る限り、カナダは新法競争よりも、行政内部の運用統治を磨き込むフェーズに入っていると読める。

日本

日本は、指定ソースの中でやや二層構造になっている。ひとつはMETIのAI事業者ガイドライン、もうひとつはデジタル庁による政府内AI実装である。今回の確認では、前者は安定、後者は前進、という整理がもっとも実態に近い。

METI：AI事業者ガイドライン

METIのAI事業者ガイドライン掲載ページでは、現時点でも第1.1版が最新版として掲示されており、掲載ページの最終更新日は2025年4月4日となっている。このため、指定ページ上で確認できる限りでは、AI定義やTrustworthy AIの考え方を大きく組み替えるような新版公開はまだ確認できない。今回の確認では大きな変更なし、でよい。

ただし、水面下で議論が止まっているわけでもない。METI関連の検討資料では、AIエージェントの動向を踏まえたAI事業者ガイドライン更新の検討に触れており、生成AIからエージェント型AIへ論点がずれてきた現実を受けて、将来の更新余地が示唆されている。正式版はまだ動いていないが、次の更新波はこのあたりから来る可能性が高い。

デジタル庁：政府内AI実装

一方で、デジタル庁側はかなり動いている。2026年3月6日の公表では、政府職員約18万人を対象としたガバメントAI「源内」の大規模実証を、2026年5月から2027年3月まで実施する予定が示された。背景には、2025年12月23日閣議決定の人工知能（AI）基本計画があり、政府自らが先導的にAIを利活用し、最終的にはAIの信頼性と透明性の確保につなげるという方針が明記されている。

ここで注目すべきなのは、日本のTrustworthy AIが、事業者向け一般ガイドラインだけでなく、政府実装そのものを通じて社会的な信頼を示そうとしている点である。デジタル庁の資料では、行政実務用AIアプリの内製、政府共通データセット整備、国産LLM支援、他府省庁への技術支援までが並列で語られており、単なるPoCでは終わらせない設計が見える。制度のステージで言えば、民間向けルールは安定運用、政府利用は実装加速、という二層構造だ。

今回の観察から見えること

今回の定点観測を通して見えてくるのは、Trustworthy AI政策が「定義を掲げる時代」から「実装をさばく時代」へ移っていることだ。OECDは比較可能な政策データベースを整え、EUは標準化・コード・執行体制を厚くし、韓国は法律施行と詳細ガイドラインを出し、カナダは行政内部の責任・公開・評価を磨き、日本は政府利用の実装工程を前に出している。

言い換えると、いまの差は「Trustworthy AIを唱えているかどうか」ではなく、「誰に、どの段階で、どの文書で、どの評価手順を要求するか」がどこまで具体化しているかにある。派手な新語より、地味な運用文書のほうが制度を動かす。政策の世界はしばしばそういう、見た目より泥くさい生き物である。

出典・確認メモ

対象 確認した文書 確認したポイント 一次 / 二次 確認日
OECD https://oecd.ai/en/ai-principles OECD AI Principlesの位置づけ、Trustworthy AIの原則、2024年更新の有無を確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/dashboards/overview Policy Navigatorがライブ型の政策データベースとして継続更新されていることを確認。 一次情報 2026-03-16
OECD https://oecd.ai/en/wonk/call-ai-in-gov 政府AIユースケース・政策施策・実装ツール募集の継続、締切日を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai AI Actの法的位置づけ、信頼できるAIをめざす基本方針、AI Pact等を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence 2025年11月の簡素化提案、主要マイルストーン、AI Officeの実装支援方針を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation 標準化と高リスクAIの適用タイミングの関係、最遅適用時期の提案を確認。 一次情報 2026-03-16
EU https://digital-strategy.ec.europa.eu/en/library/commission-publishes-second-draft-code-practice-marking-and-labelling-ai-generated-content AI生成コンテンツ表示コード第2次案、公募期限、適用開始日を確認。 一次情報 2026-03-16
EU https://artificialintelligenceact.eu/implementation-timeline/ EU AI Actの段階適用日を一覧で再確認。制度理解用の補助参照。 二次情報（制度整理サイト） 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng AI Basic Actと施行令の施行日、グレースピリオド、国家AIガバナンスの枠組みを確認。 一次情報 2026-03-16
韓国 https://www.msit.go.kr/eng/bbs/view.do;jsessionid=ZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1215&sCode=eng 透明性ガイドラインの内容、AI生成物表示、海外事業者への適用整理を確認。 一次情報 2026-03-16
韓国 https://www.sw.or.kr/site/sw/ex/board/View.do?bcIdx=64993&cbIdx=390 主要ガイドライン一式（透明性・安全性・影響評価など）の掲載状況を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html Responsible use of AI in Governmentの統合ページ更新と主要実装文書の構成を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/gc-ai-strategy-overview.html 連邦公務向けAI戦略の更新日と位置づけを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/guide-scope-directive-automated-decision-making.html Directiveの適用範囲、AIに限定されない自動化全般への適用整理を確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/algorithmic-impact-assessment.html AIAの構成と、Directiveを支える必須評価ツールであることを確認。 一次情報 2026-03-16
カナダ https://www.canada.ca/en/treasury-board-secretariat/news/2025/11/canada-launches-first-register-of-ai-uses-in-federal-government.html AI Register公開の事実と位置づけを確認。 一次情報 2026-03-16
日本 https://www.meti.go.jp/policy/it_policy/ai/
https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html		 AI事業者ガイドラインの最新版表示、第1.1版の掲載継続、ページ更新日を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/news/2d69c287-2897-46d8-a28f-ea5a1fc9bce9 ガバメントAI「源内」の大規模実証、対象人数、実施期間を確認。 一次情報 2026-03-16
日本 https://www.digital.go.jp/assets/contents/node/information/field_ref_resources/2d69c287-2897-46d8-a28f-ea5a1fc9bce9/86f43a74/20260306_policies_ai_gennai_mass_deployment.pdf 人工知能基本計画の抜粋、政府先導利用、展開スケジュール、実装項目を確認。 一次情報 2026-03-16

省察的実践家とは何か――専門家・組織・実務の本質を1本で整理する

by 塚井海地 / 0件のコメント

本記事で得られる3つのポイント

  • 「専門家」と「省察的実践者」の違いを、実務に引き寄せて理解できます。
  • ハードとソフト、マネジメント、組織学習、契約の論点を一本の流れで整理できます。
  • 中小企業経営、制作チーム運営、個人事業、AI活用へどう応用できるかが見えてきます。

なぜ重要か

AIや自動化が進むほど、単なる知識量や処理能力よりも、問いを見直し、状況に応じて判断を更新できる力のほうが、実務上の価値を持つようになるためです。

専門家は必要だが、それだけでは足りない

ドナルド・ショーンの議論で重要なのは、専門家を否定しているわけではないという点です。専門知識、理論、手順、資格、経験は、仕事の品質を支える土台です。医療、法務、会計、設計、映像制作、システム運用。どの領域でも、基礎のない勘だけの仕事は危うい。ここは外せません。

ただし、現実の案件は教科書どおりに整っていません。要件は途中で変わり、関係者の意図はずれ、顧客自身が本当の課題を言語化できていないこともあります。現場で本当に難しいのは、正解を当てること以前に、何を解くべきかを見極めることです。

ここで、単なる専門家と、省察的実践者の違いが出てきます。専門家は、既知の問題を安定して処理できる人です。これに対して省察的実践者は、行為しながら違和感に気づき、問題設定そのものを組み替えられる人です。

省察的実践者とは「やりながら問いを修正できる人」である

省察的実践者は、単に振り返る人ではありません。やりながら考え、ずれを感じ取り、状況に応じて見立てを更新できる人です。売上が落ちたときに、すぐ広告不足と決めない。制作物の品質がぶれたときに、すぐ担当者のスキル不足と決めない。AIの出力が弱いときに、すぐモデル性能のせいにしない。前提そのものを疑える。そこが強みです。

現場では、問題解決者より、問題設定者のほうが強い場面が少なくありません。問いを間違えたままでは、どれほど立派な答えでも全体として外れるからです。式はきれいでも、問題文が違っていれば意味がない。実務ではありがちな転び方です。

専門家は必要条件であり、省察的実践者は十分条件に近い存在といえます。専門知識がなければ品質は崩れます。しかし、専門知識だけでは重要な問題に届かない。長く信頼される人は、知っているだけでなく、ずれに気づき、考えながら修正できます。

ハードとソフト、そしてフォーマルモデル

ショーンの議論を実務へ引き寄せると、ハードとソフトの往復が見えてきます。ハードとは、数値、手順、仕様、締切、原価、工数、承認フロー、検証条件のように、第三者が見ても同じように扱いやすいものです。ハードの強みは再現性にあります。誰がやっても一定品質に近づける。仕組みに落とし込みやすい。AIや自動化とも相性がよい。ここは強いです。

一方のソフトは、意図、価値、文脈、意味づけ、違和感、関係性、暗黙の了解、役割のずれです。測りにくいですが、無視すると仕事の核心を外します。制作でいえば「良い作品とは何か」。営業でいえば「誰のどんな痛みを解くのか」。組織でいえば「本音を言える空気があるか」。こうしたものは手順書だけでは扱いきれません。

強い実務家は、ハードかソフトかの二択で動きません。ハードで整理し、ソフトで修正し、またハードに戻して共有可能な形に整えます。この往復ができる人が強い。厳密さと柔軟さは敵ではなく、厳密さがあるからこそ柔軟に見直せるし、柔軟に見直すからこそ厳密さの意味が生きます。

フォーマルモデルも、この文脈で理解すると位置づけがはっきりします。フォーマルモデルは、仕様、制約、判断条件、分岐、例外処理を明示し、共有と検証を可能にする器です。ただし、万能ではありません。モデル化する時点で、何を残し、何を捨てるかという抽象化が入るからです。フォーマルモデルは「骨格」を作る道具として使うのが最も堅実です。ハードな部分を固定し、そのうえでソフトな部分を別レイヤーで扱う。これが最も事故が少ない運用です。

高く堅い土地とぬかるみ

ショーンの比喩で特に印象的なのが、「高く堅い土地」と「ぬかるみ」です。高く堅い土地は、定義しやすく、分析しやすく、標準化しやすい問題領域です。ここでは手順や数値、ルールベースの判断が強く機能します。在庫管理、定型工程、既知の不具合対応、数値検証のはっきりした業務などが典型です。

一方で、現実に本当に重要な問題は、しばしばぬかるみにあります。顧客の不満が言語化されていない。組織内の対立が表面化していない。売上低下の原因が複数絡んでいる。制作の修正地獄が技術ではなく解釈ズレから来ている。こうした問題は、きれいな手順だけでは処理できません。

厄介なのは、ぬかるみの問題ほど、人間にとって重要だということです。高台にいれば整った問題は解けます。しかし、重要な問題がぬかるみにあるなら、そこに降りるしかない。実務で強いのは、この二つを行き来できる人です。数値と文脈、仕様と価値、手順と解釈。その往復が、ショーンの実践知の骨格です。

マネジメントのわざと組織学習

ショーンの議論は個人の熟達にとどまりません。マネジメント、組織学習、そして専門家と依頼者の契約関係にまで及びます。ここが実務的です。マネジメントは、単に計画を立て、資源を配分し、進捗を管理することではありません。現実のマネジャーは、外部環境の変化を読み、内部の異変を察知し、問題を再定義し、必要なら組織の前提そのものを問い直します。

この意味で、マネジメントは管理科学の適用だけではなく、かなりの部分が省察的な実践です。見えている数字の意味をどう読むか。どの異変を重く見るか。誰の声が欠けているか。こうした判断が中核になります。

組織学習についても同じです。個人が学んでも、それが組織に埋め込まれなければ、組織は学んでいません。会議の作法、報告の形式、異論の扱い、失敗の共有、暗黙の役割期待。これらが組織学習システムを形づくります。つまり、組織学習は研修制度の話ではなく、痛い事実を表に出せるか、前提を疑えるか、修正が仕組みに落ちるかという構造の問題です。

マネジメントの真価は「回す力」よりも「見直せる力」にあります。予定どおりに進めるだけなら、仕組みでもかなりできます。しかし、現場の違和感を拾い、問題設定を修正し、その修正を組織の知に変えるところに、マネジャーの価値があります。会議の多さではなく、学びの深さで組織を見る必要があります。

伝統的な契約と省察的な契約

ショーンの議論でもう一つ重要なのが、専門家と依頼者の関係です。伝統的な契約では、依頼者が問題を持ち込み、専門家が診断し、解決策を与えます。この構図は、速度、責任、標準化の面で強いです。定型案件や緊急対応には向いています。火が出ているのに哲学対話を始める必要はありません。まず消火です。

ただし、この関係には前提があります。依頼者が自分の問題を正しく持ち込める、という前提です。現実には、依頼者が持ち込むのは本当の問題そのものではなく、症状や表面化した困りごとであることが多い。ここで伝統的な契約だけで進むと、専門家は与えられた問いには正確に答えるが、問い自体がずれている、という事態が起こります。

省察的な契約では、専門家は一方的に答えを与える人ではありません。依頼者とともに、何が本当の問題かを探り、状況を読み、必要なら問題設定そのものを組み替えていきます。依頼者も単なる受け手ではなく、問いの共同参加者になります。

伝統的な契約は処理に強く、省察的な契約は変化に強い。この見方がもっとも使いやすい整理です。定型や緊急は伝統型、複雑で未定義な案件は省察型。この切り替えが大切です。ただし、現代の重要課題の多くは、省察的な契約なしでは深く解けないことも多い。これからの専門家は、答えを出す人であるだけでなく、よい問いとよい関係を設計できる人である必要があります。

実務への転用――中小企業経営・制作チーム・個人事業・AI運用

中小企業経営――数字の意味を見直す

中小企業経営では、売上、粗利、成約率、稼働率といった数字が重要です。ただし、省察的に見るなら、数字そのものより、数字の意味を問い直すことが重要です。売上が落ちたとき、すぐに集客不足と決めて広告費を積むのは危険です。本当の問題が、商品設計、価格の見せ方、既存顧客の維持、返信速度、営業トークのずれにあるかもしれないからです。経営における省察とは、結果を見て反応するだけでなく、その数字が何を示しているのかを再定義することです。

制作チーム運営――意図のズレを管理する

制作現場では、「修正が多い」「初稿が通らない」「納期が押す」といった問題がよく起きます。ここで工程表だけを厳しくしても、根本解決しないことが多い。なぜなら、本体は技術不足ではなく、意図共有の不足であることが多いからです。省察的な制作チームは、誰が悪いかより、どの前提がずれていたかを見ます。誰に何を感じてほしいのか、クライアントの成功とは何か、何を絶対に外してはいけないか。これらを案件ごとに明文化しておくと、修正は減り、修正が出ても意味のある修正になります。

個人事業の意思決定――行動量の前に、解くべき問題を絞る

個人事業者は、意思決定のスピードが速い一方で、外部の刺激に引っ張られやすいです。周りが始めたから始める、流行っているから乗る、売れそうだから増やす。これでは忙しくても、軸が弱くなります。省察的な個人事業の意思決定では、まず「これは何の問題を解こうとしているのか」を明確にします。収益の問題なのか、集客の問題なのか、単価の問題なのか、リピートの問題なのか、工数過多の問題なのか。これを分けずに動くと、努力量だけ増えて利益構造は改善しません。

AI活用のワークフロー管理――出力より、工程を設計する

AI活用で最も多い誤解は、AIを「答えを出す装置」としてだけ使うことです。しかし、複雑な仕事では、良い出力は良い工程設計からしか生まれません。記事制作なら、テーマ投下から一発生成ではなく、目的定義、読者設定、構成、本文、事実確認、独自視点、整形、最終確認と工程を分ける。映像制作なら、固定要素と可変要素を分ける。業務運用なら、入力仕様、評価仕様、例外処理を設計する。AI運用で差がつくのは、プロンプトの巧拙より、工程設計の精度です。

まとめ

ショーンの議論の核心は、プロフェッショナルとは単に知識を持つ人ではなく、状況と対話しながら問いを組み替えられる人だ、という一点にあります。無謬の人が強いのではありません。修正能力のある人が強い。現実はいつも少しずつずれているからです。

だから、専門家は必要です。しかし、省察的実践者まで到達して初めて、現実の複雑さに耐えられる。中小企業経営でも、制作チームでも、個人事業でも、AI運用でも、本当に差が出るのは「どう解くか」だけではなく、「何を解くべきか」を見抜けるかどうかです。そこに、これからの仕事の核心があります。

参考URL

Basic Books / Hachette Book Group
https://www.hachettebookgroup.com/titles/donald-a-schon/the-reflective-practitioner/9780465068784/?lens=basic-books

Internet Archive 書誌情報
https://archive.org/details/reflectivepracti0000scho

公開PDF（参照用）
https://raggeduniversity.co.uk/wp-content/uploads/2025/03/1_x_Donald-A.-Schon-The-Reflective-Practitioner_-How-Professionals-Think-In-Action-Basic-Books-1984_redactedaa_compressed3.pdf

週次サイバーセキュリティ動向（直近7日）

by 塚井海地

サイバーセキュリティ週報｜2026/03/01–2026/03/07

直近1週間の最新情報一覧（重要度順）

日付（JST） 見出し 要点（1行） 出典URL
2026/03/06 CISA KEV：Hikvision（CVE-2017-7921）／Rockwell Automation（CVE-2021-22681）を追加（いずれもCVSS 9.8） 監視カメラ・産業制御（Studio 5000/RSLogix/Logix Controllers）に“既知悪用”が波及し、IT/OTの境界管理が同時に問われる。 https://thehackernews.com/2026/03/hikvision-and-rockwell-automation-cvss.html
2026/03/04 Android：Qualcommの既知悪用ゼロデイ（CVE-2026-21385）を含む3月セキュリティ修正 「限定・標的型」でも端末基盤の穴は横展開の入口になり得るため、MDMで強制アップデート可否の棚卸しが急務。 https://www.securityweek.com/android-update-patches-exploited-qualcomm-zero-day/
2026/03/04 VMware Aria Operations：コマンドインジェクション（CVE-2026-22719）が“悪用中” pre-authで到達する運用系（監視/管理）製品が狙われる典型で、露出面の遮断＋緊急パッチが最優先。 https://www.securityweek.com/vmware-aria-operations-vulnerability-exploited-in-the-wild/
2026/03/05 Cisco Secure Firewall：クリティカル2件（CVE-2026-20079 / CVE-2026-20131、各CVSS 10.0）など大量修正 Web管理IF由来で“未認証→root”に至り得るため、パッチ即応＋管理IFの非公開化（到達制御）が現実解。 https://www.csoonline.com/article/4141268/cisco-issues-emergency-patches-for-critical-firewall-vulnerabilities.html
2026/03/03 CISA：KEVに2件追加（アクティブ悪用根拠） KEV追加は「悪用済み」シグナルのため、CVSSより優先してSLAを短縮する運用が合理的。 https://www.cisa.gov/news-events/alerts/2026/03/03/cisa-adds-two-known-exploited-vulnerabilities-catalog
2026/03/05 CISA：KEVに5件追加（アクティブ悪用根拠） 追加対象が複数に拡大しており、週次の脆弱性対応を“KEV起点の定例化”へ寄せるべき局面。 https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog
2026/03/03 APT28：MSHTMLのゼロデイ（CVE-2026-21513、CVSS 8.8）をLNKで悪用 “ユーザー操作最小”の初期侵入が成立し得るため、LNK/添付経路の制御とEDR検知強化が有効。 https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html
2026/03/05 GTIG報告：企業向けソフトのゼロデイ悪用が高水準（2025年の追跡データ） “ゼロデイ前提”の備え（攻撃面縮小・ログ保全・迅速復旧）が、単純なパッチ追従より差を生む。 https://www.infosecurity-magazine.com/news/zero-day-enterprise-record-high/
2026/03/06 FreeScout：ゼロクリックRCE級の「Mail2Shell」懸念（運用系ヘルプデスクのリスク） サポート/チケット系は社内情報の集積点で、侵害されると横展開の踏み台になりやすい。 https://www.infosecurity-magazine.com/news/zeroclick-freescout-bug-remote/
2026/03/04 LexisNexis：データ侵害を確認（流出主張後に限定影響を説明） “情報サービス/法務系”は二次被害（なりすまし・詐欺）に直結し、通知・監視・認証強化が実務論点。 https://www.securityweek.com/new-lexisnexis-data-breach-confirmed-after-hackers-leak-files/
2026/03/03 University of Hawaiʻi Cancer Center：最大約120万人影響のデータ侵害（公表） 研究系インフラも標的化が進み、バックアップ隔離と特権ID管理の成熟度が被害を分ける。 https://www.securityweek.com/1-2-million-affected-by-university-of-hawaii-cancer-center-data-breach/
2026/03/07 KnowBe4：トレーニング/コンテンツ更新（2月分） 人起点の侵入（フィッシング/詐欺）は継続して主戦場で、教育・演習の“鮮度”が防御品質を左右する。 https://blog.knowbe4.com/your-knowbe4-fresh-content-updates-from-february-2026
2026/03/06 NICTER：ダークネット観測 Top10（日別・過去約3か月参照可） 国内観測の“いつもと違う増え方”を把握し、公開ポート/国別到達の運用閾値調整に使える。 https://www.nicter.jp/
2026/03/07 NVD：recent/modified データフィード（直近8日分の公開・更新CVEを収録） 自動トリアージ（資産DB突合→チケット起票）を回す“取り込み口”として、週次運用の土台になる。 https://nvd.nist.gov/vuln/data-feeds
2026/03/03 CVE.org：CVEプログラム運用レポート（Q4 2025） 脆弱性エコシステム（CNA/運用）の最新状況を押さえると、社内の脆弱性管理KPI設計がぶれにくい。 https://www.cve.org/Media/News/item/blog/2026/03/03/CVE-Program-Report-for-Q4-2025
2026/03/03 APWG：フィッシング動向レポート（トレンドレポートの入口） 音声/電話・SMSなど多チャネル化が進むため、メール偏重の対策から“本人確認/送信元信頼”へ重心を移すべき。 https://apwg.org/trendsreports