2026年8月4日、連邦控訴裁判所はAIエージェントに関する初の連邦控訴審判決を下した。争点はHTTPヘッダーだった。
アマゾン（Amazon）は、自社のショッピングアシスタント「Comet」を通じて顧客のアマゾンアカウント内で買い物を行うパープレキシティ（Perplexity）を提訴した。提訴理由の一部は、パープレキシティが自社ソフトウェアをエージェントとして特定する「ユーザーエージェント文字列」の送信を拒否したことだ。裁判所は限定的な根拠に基づき、アマゾンの差し止め命令を取り消した。コンピュータアクセス法の目的において、アマゾンにアクセスする主体を人間のユーザーとし、エージェントはそのユーザーのツールとして扱ったのである。
訴訟は現在も続いている。しかし、この方向性は法が他分野で進めている動きと一致している。すなわち、機械の背後には人間の本人が控えており、その境界において機械が実際に何を権限付与されていたのかを検証できる者は誰もいなかったということだ。
この一文の後半こそが本稿の主題であり、より難しい課題でもある。前半の問いに対しては、多くの読者がメールアドレスを持つ以前に、すでに答えが出ていたからだ。
米国の法律が機械の行動による結果を人間に割り当て始めたのは、機械がまだ今ほど注目されていなかった1999年のことだ。ほぼすべての州で採択され、連邦法としてはE-SIGN法に反映されている統一電子取引法（UETA）は、「電子エージェント」の存在を認め、人間がその行動を確認していなかったとしても、エージェントが成立させた取引に運用者を拘束する。
同じようなロジックは、現在さまざまな法域で見られる。カナダでは、エア・カナダのチャットボットが存在しない忌引運賃規約を「捏造」した際、同社はボットが独自の行動に責任を持つ別個の主体であると主張した。裁判所はこの主張を異例と呼び、同社に支払いを命じた。カリフォルニア州はこの原則を成文化した。民法1714.46条（1月施行）は、AIシステムの開発者、修正者、ユーザーが自律的に行動したことを理由に損害賠償請求を防衛することを禁止している。法域によって法理は異なるが、方向性は同じだ。誰かがエージェントの責任を負うのである。
経営幹部はこれを取引相手の保護策と捉えがちだが、実際は逆だ。はるかに単純な自動化システムのために策定された法的ルールが、今や即興で判断を下すシステムに適用されており、欠陥責任法ではより複雑なケースを解決できない。危険なのは「従順なエージェント」だ。設計通りに正確に動作し、かつ人間が一度も承認していない行動をとる。サプライヤーのページにそう書かれていたからという理由で市場価格の3倍を支払う調達エージェントには、訴訟対象となるようなシステムの欠陥はない。法律が問うのは「誰が支払うか」ではない。「どこまで責任を負うか」であり、「どこまで」かを限定するには、多くの企業がまだ所有していない仕組みが必要となる。
その仕組みを「マンデート（委任状・権限証明）」と呼ぶことにしよう。誰がどのエージェントに、どのような制約のもとで、いつまでどの種類の行為の実行を許可したのかを記録した、署名付きで機械検証可能な文書のことだ。
その要素はすでに一部で存在する。グーグルの「Agent Payments Protocol」は、60を超えるパートナーとともに立ち上げられ、暗号署名されたマンデートを中心とした取引アーキテクチャを定義している。ユーザーの指示を記録する「インテント・マンデート」と、最終承認を記録する「カート・マンデート」だ。マスターカードの「Verifiable Intent」も同様に、ユーザーが何に権限を与えたかについて改ざん耐性のある記録を作成し、消費者、加盟店、カード発行会社に共通の信頼できる情報源を提供する。
存在しないのは、広く採用されたドメイン横断型のマンデートフォーマットだ。つまり、本人の承認インフラに事前に参加していない第三者であっても、受け取り、解釈し、検証できるフォーマットである。決済分野でマンデートが先行したのは、カードネットワークが不正利用リスクをベイシスポイント単位で価格設定しているからだ。契約、データアクセス、交渉などの分野には、これに匹敵するものがない。
端的に言えば、難題はエージェントに権限を与えることではない。組織の枠を超えて、第三者がその権限を発見、検証、強制執行、そして撤回できるように、権限を可読化・客観化することなのだ。
マンデートが存在する場所でさえ、現状では主に「証拠」を生成するに留まっている。マンデートは何が署名されたかを証明するものであり、その行為がそれを順守したかどうかを保証するものではない。サプライヤーは、調達エージェントの限度額が5万ドル（約790万円）であったことを事後的に証明できるだけでなく、5万1000ドル（約806万円）の注文を受け入れる前に拒否できなければならない。証拠は誰が正しかったかを教えてくれるが、強制執行は誤った取引の発生そのものを防ぐ。そして強制執行はモデルの内部だけでは完結できない。エージェントは自らの指示を説得によって曲げられる可能性があるが、取引相手によって実行される署名チェックを説得で回避することはできない。
さらに今後、エージェントが他のエージェントに指示を出すようになると、権限の委任が最も鋭利な課題となる。自社のエージェントが価格交渉を第2のエージェントに委任し、それが実行を第3のエージェントに委任した場合、チェーンの末端にはどのような権限が到達するのだろうか。マンデートフォーマットが組み込むべきルールは「減衰（アテニュエーション）」だ。権限を委任するエージェントは、下流に対して同等以下の権限しか渡せず、それ以上の権限を渡すことは決して許されない。
そして、権限は明確に失効できなければならない。個々のプロトコルは自身が発行した付与を取り消すことができる。しかし、ドメイン横断的なスケールでまだ存在しないのは、本人と一度も会ったことがない取引相手間での、ポータブルなマンデートのグローバルに検索可能で低遅延な失効メカニズムだ。マンデートの付与はエンジニアリングだが、それを即座に、あらゆる場所で、証明可能な形で失効させることはインフラである。
この問題は1つの問いに収束する。見知らぬ第三者は、正規の発行者、鍵、ポリシー、失効状態をどこで発見するのか。ペイパル（PayPal）は、エージェント決済の信頼モデルについて、現在は署名付きマンデートと厳選されたアロウリスト（許可リスト）の組み合わせであり、将来的にはHTTPS、相互TLS、DNS所有権に基づく検証へと進化し、説明責任はエージェントではなく現実世界のエンティティに結びつけられると説明している。アロウリストはクローズドなネットワークの始まりに過ぎない。グローバルなネームスペースに対するオープンな検証こそが、それをスケールさせる方法だ。同社のドキュメントではまだ踏み込まれておらず、筆者が提案したいステップは、ドメインを単なる所有権の証明としてだけでなく、権限の「発見アンカー」として使用することだ。つまり、DNSを通じて解決される組織のルートを置き、そのアンカー上でHTTPSを介してマンデートの発行者、鍵、失効状態を提供することで、あらゆる法域の取引相手がそれらを見つけられるようにするのである。
指示と行動の間にソフトウェアが存在したという理由だけで、本人が責任を免れることはますます困難になっている。そこで、次の取締役会に向けた2つの問いを投げかけたい。「昨日、自社のエージェントが権限を超脱した行動をとった場合、今日その権限が何であったかを証明できるか？」「そして取引相手は、その行為を受け入れる前にその制限を発見することができたか?」。この両方に「イエス」と答えられる企業は、検証可能なマンデートが単なるコンプライアンス上のコストではないことに気づくはずだ。それこそが、エージェントを自社が引き受けるべき負債から、他者が信頼して受け入れられる取引相手へと変えるものなのである。
※本記事で提供される情報は法的アドバイスではなく、特定の事項に関する弁護士のアドバイスに代わるものではありません。法的アドバイスについては、個別の状況に応じて弁護士にご相談ください。
