イリノイ州でAI安全対策法が成立 - フロンティアAIへの年次第三者監査を全米で初めて義務化

米イリノイ州のJB Pritzker知事は2026年7月6日、AI安全対策法（Artificial Intelligence Safety Measures Act、SB 315）に署名しました¹。大規模なAIモデルを開発する企業に対し、独立した第三者による年次の安全監査を義務付ける法律で、この監査要件は全米で初めてのものです¹²。主要な義務は2028年1月1日から適用されます²³。

注目すべきは、規制される側であるOpenAIとAnthropicがこの法案を支持していた点です²。連邦レベルの統一的なAI規制が存在しないなか、州法がAI企業の実務を形作っていく流れがまた一歩進んだことになります。

誰が対象になるのか

法律の対象は「フロンティアモデル」、すなわち10^26 FLOPS（浮動小数点演算）を超える計算量で学習されたAIモデルの開発者です³。そのうち前暦年の年間総収入が5億ドルを超える開発者は「大規模フロンティア開発者」として、より重い義務を負います³。

つまりこの法律が主に狙うのは、OpenAI、Anthropic、Googleといった最大手のAI開発企業です。中小のAI企業や、AIを利用するだけの一般企業は対象になりません。

義務の中身 - 監査・フレームワーク・インシデント報告

大規模フロンティア開発者に課される主な義務は次のとおりです。

まず、2028年1月1日以降、モデルのリスクと軽減策を検証する独立した第三者による年次監査が義務付けられます³。Capitol News Illinoisによると、カリフォルニア州やニューヨーク州の法律にも監査の規定はありますが「1回」であり、年次で義務付けるのはイリノイ州が初めてです²。

次に、AI安全フレームワークの公開・実施・年次更新です。破滅的リスクの評価と軽減策、サイバーセキュリティ対策、重大安全インシデントの特定と対応方法などを文書化して公開しなければなりません³。ここでいう「破滅的リスク（catastrophic risk）」は、単一のインシデントで50人超の死亡・重傷、または10億ドルを超える物的損害をもたらす予見可能で重大なリスクと定義されています⁴。

さらに、新しいモデルの展開や既存モデルの大幅な変更の前には、リリース日・対応言語・モダリティ・想定用途・利用制限などを記載した透明性レポートの公開が求められます³。重大な安全インシデントが起きた場合は、発生を合理的に確信してから72時間以内、死亡や重傷の差し迫ったリスクがある場合は24時間以内の報告が義務です³。

このほか、安全上の懸念を報告した従業員や契約者への報復を禁じる内部通報者保護と、匿名で報告できる社内チャネルの設置も義務付けられました³。

罰則と執行

執行を担うのはイリノイ州司法長官で、違反には初回で最大100万ドル、2回目以降は最大300万ドルの民事制裁金が科されます²³。一方で、内部通報者保護に関するものを除き、私人が直接訴訟を起こす権利（私訴権）は認められていません³。

州法が先行するAI規制

米国のAI規制は、連邦議会での立法が進まないなか、州レベルの立法が先行してきました。ニューヨーク州では2025年6月に議会を通過したRAISE Actが同年12月に知事の署名で成立し、カリフォルニア州も2025年9月にTransparency in Frontier AI Actを成立させるなど、フロンティアAIへの透明性義務の枠組みが州単位で積み上がっています³。イリノイ州はそこに「年次の第三者監査」を積み増した形で、法案を提出したEdly-Allen州上院議員は「私たちは連邦議会が動くのを待つつもりはない」と述べています²。

Pritzker知事は「州には、AIの危険から住民を守る責任がある」と署名の意義を語りました¹。議会での支持は超党派で、上院での反対は共和党の5議員のみ、下院は全会一致でした²。業界の反応は割れており、OpenAIとAnthropicが支持し、Anthropicの代表者は署名式にも出席した一方²、業界団体TechNetは「確立された全米標準がないまま、民間主体に極めて主観的な判断を求めることになる」と懸念を表明しています²。

AIの安全性をめぐるルール作りは国際的にも進んでおり、国連が170超の国が参加するAIガバナンス対話を開始し、国連ITUもAI for Good Global Commissionを発足させたほか、企業側でもGoogleがAI利用広告の開示ラベルを導入し、欧州委員会もAI生成コンテンツのラベリング行動規範を公表するなど、透明性を軸にした動きが重なっています。

公開される安全文書はベンダー比較の一次資料になる

日本の企業や個人にこの州法が直接適用されるわけではありません。軽規制路線を選んだ日本のAI政策とは対照的な、監査義務を課すアプローチです。ただし、規制対象となるのはChatGPTやClaudeといった主要AIサービスの開発元であり、安全フレームワークの公開や透明性レポートは誰でも読める形で出てきます。AIベンダーを選定する立場であれば、これらの公開文書は安全性を比較する一次資料として使えるようになります。

また、直近ではGPT-5.6が米政府の安全審査を経て一般公開されるなど、フロンティアモデルの開発・公開プロセスに公的な関与が組み込まれる事例が増えています。「透明性の確保 → 第三者による検証 → インシデント報告」という枠組みは、州法・連邦・国際機関を問わず共通の型になりつつあり、AI活用の社内ルールを作る際の参考にもなる構造です。