法律事務所がAIエージェントに専用PCを与えるときの安全設計－全権委任，承認疲れ，最小権限及び敬語の限界（AI作成）

生成AIに一つずつ操作を確認させる方法は安全に見えるが，確認が多すぎると，人が内容を読まずに承認したり，確認を避けるために広い権限を一括して与えたりする危険がある。
AIエージェントへ専用のノートパソコンを与える方法も，適切に設計すれば被害範囲を限定できる一方，端末に全案件のデータ，管理者権限，無制限のネットワーク及び本番用の認証情報を与えれば，安全な隔離にはならない。

本記事は，法律事務所がAIエージェント用の専用PCを設ける場合に，どこまで自動実行を許し，どの操作を弁護士の承認へ戻すべきかを整理するものである。

第１　この記事の対象と結論

結論として，AIエージェントへの権限は，「全権委任するか，全操作を承認するか」という二者択一にしてはならない。
対象データ，利用可能なシステム，操作の種類及び外部への効果ごとに権限を分け，低危険度の読取り，検索及び下書きは自動化しつつ，送信，提出，公開，削除，決済及び権限変更は弁護士の承認へ戻す設計が考えられる。

発想の起点は，三雲崇正氏のX投稿である。
同投稿は，個々の操作確認が面倒になり，ChatGPTとClaudeにそれぞれノートパソコンを与えて全権委任し，敬語で話しかけるようにしたという趣旨のユーモアを含む体験談である。

X投稿は，投稿者がそのように述べたことの原資料であり，承認疲れ，専用PC及び敬語という論点を発見する資料にはなる。
しかし，専用PCの安全性，敬語による事故防止又は法律上の義務を証明する資料ではない。

第２　承認疲れから全権委任へ移る危険

人による承認は，対象，操作及び影響を理解して判断する場合に意味がある。
低危険度の操作を含めて何度も承認を求めると，承認が定型動作となり，重要な操作と軽微な操作の区別が失われやすい。

Anthropicは，自社製品の権限確認について，確認回数が多いことによる承認疲れと，確認を省略した場合の危険の双方を挙げ，サンドボックスを用いて通常の操作範囲をあらかじめ限定する方法を説明している。
OpenAIも，Codexの安全設計として，書込み可能範囲，ネットワーク接続，資格情報及び高危険度操作の承認を別々の境界として説明している。

これらは，各社が自社製品の設計及び想定する脅威を説明したベンダー一次資料である。
法律事務所における安全性が独立に実証されたこと，又は日本法上の義務内容を直接示すものではない。

実務では，全操作の確認を増やすのではなく，①外部へ効果が生じる，②秘密情報が管理境界を越える，③失敗後の回復が困難である，④弁護士又は依頼者の名義が表示される，という操作に承認を集中させることが考えられる。

第３　専用PCが安全境界になる条件

１　専用PCだけでは足りない

専用PCは，他の業務端末とデータ及び権限を分けるための物理的な器になり得る。
もっとも，専用PCから事務所全体の共有ドライブ，全依頼者の事件記録，メール，WordPress，裁判所の電子提出システム及び決済手段へ接続できるなら，一台にまとめたこと自体は最小権限を意味しない。

また，AIごとに端末を分けても，同じクラウドアカウント，APIキー，ブラウザープロファイル又は共有フォルダを使えば，端末間の論理的な境界は弱くなる。
専用PCの有無ではなく，そのPCから何が見え，何を変更でき，どこへ送信できるかを確認する必要がある。

２　端末，アカウント及びネットワークを分ける

専用PCを安全境界として使う場合，少なくとも次の措置が考えられる。

①案件又は業務群ごとにOSユーザー及び作業フォルダを分けること
②通常は管理者権限を与えないこと
③書込み可能な範囲を指定された作業フォルダに限定すること
④事務所全体の共有ドライブ及び個人用クラウド同期を既定で接続しないこと
⑤外部ネットワークは業務上必要な接続先に限定すること
⑥ブラウザー，メール及びクラウドのアカウントを用途別に分けること
⑦AIが変更できない場所に操作ログとバックアップを残すこと

このうち，端末を分けることは物理的措置，権限・ネットワーク・認証の制限は技術的措置，利用ルールと承認経路は組織的措置，弁護士及び事務職員の教育は人的措置に対応する。

直接の接続先だけでなく，推移的な経路も確認する。専用PCが共有キャッシュ，パッケージ配布元，共通の成果物置場，プロキシ，中継サービス又は共通のサービスアカウントへ接続し，そこから事務所内の別端末又は本番環境へ影響できる場合，専用PCの境界を迂回し得る。データフロー図には，読取り・書込みの直接経路に加え，共有キャッシュ，成果物，資格情報及び自動同期の経路を記載する。

３　資格情報を常置しない

メール送信，裁判所提出，WordPress公開，オンラインバンキング，決済及び権限管理に使う資格情報をAIエージェントの端末へ常置すると，誤操作又は外部資料に埋め込まれた指示が直ちに外部行為へつながり得る。

高危険度の資格情報は，必要な操作，対象及び時間を限定して人が付与し，操作後に失効させる方法が考えられる。
「ログインできる」と「その操作を行う権限がある」は別であり，保存済みの認証情報があることを包括的な承認に読み替えない。

生成AIサービスのAPIキー（APIを呼び出すための鍵）も同様である。
複数のAIサービスへの接続を一つの窓口にまとめる中継ソフトには，各サービスのAPIキーをAIエージェント側に置かず，中継ソフトの側で一元管理し，更新する設計のもの（例えば，オープンソースの「Agent Router」）がある。
この設計では，AIエージェントの端末から鍵が漏れる危険は小さくなるが，鍵が集まる中継ソフトの設定と管理画面が新たな高危険度の資格情報になるので，その管理者と停止手順を別に定める必要がある。

４　サンドボックスを一つの箱と考えない

サンドボックスは製品名ではなく，実行できる処理及び到達できる資源を限定する仕組みの総称である。OSユーザーとアクセス制御，コンテナ，gVisorのようなアプリケーションカーネル，MicroVM，書込み可能フォルダ，ネットワーク接続先及び資格情報は，それぞれ異なる境界である。

したがって，「サンドボックス内で動く」という表示だけでは足りず，①ホストとカーネルを共有するか，②どのファイルを読み書きできるか，③外部通信が可能か，④本番用資格情報が見えるか，⑤停止後もデータが残るか，⑥ログ及びバックアップをAI自身が変更できるかを確認する必要がある。

各境界の違いと法律事務所向けの確認方法は，法律事務所のAIサンドボックス入門－コンテナ，gVisor，MicroVM，通信制限，スナップショット及び証拠保全（AI作成）で整理している。

第４　弁護士情報セキュリティ規程との関係

１　弁護士が情報の責任者である

日本弁護士連合会の弁護士情報セキュリティ規程4条1項は，弁護士等を自らの業務に係る取扱情報の情報セキュリティの責任者とし，必要な管理体制並びに組織的，人的，物理的及び技術的な安全管理措置を求めている。

AIエージェントに専用PCを与えても，情報管理の責任がAIへ移るわけではない。
同規程5条は，情報の作成・取得，保管・利用，提供，運搬・送信及び廃棄の各段階を対象とするから，AIが読む場面だけでなく，保存，上書き，外部送信及び削除も管理対象になる。

２　基本的な取扱方法に書く事項

同規程3条2項は，事務所の規模及び業務の種類・態様等に応じて，情報セキュリティを確保するための基本的な取扱方法を定めることを求める。
AIエージェントを利用する場合には，入力してよい情報とサービス名だけでなく，①利用アカウント，②参照可能な案件資料，③接続可能な外部サービス，④書込み可能な場所，⑤人の承認を要する操作，⑥ログ，⑦停止及び復旧の方法まで定めることが考えられる。

これらの具体的項目は，会規がAIエージェントについて明文で列挙する義務ではなく，会規の安全管理義務を現在の業務へ落とし込むための実務上の提案である。

３　AIは事務職員と同じ責任主体ではない

弁護士職務基本規程19条は，事務職員，司法修習生その他の自らの職務に関与させた者に対する指導監督を定める。
AIは人ではないため，AI自体が同条の直接の対象になるとは確認できない。

他方，事務職員にAIを使わせる場合は，事務職員が19条の対象であり，AIへ入力してよい情報，利用可能なサービス及び外部操作の限界を指導監督する必要がある。
AIを人間の従業員にたとえることは作業分担の理解には役立つが，AIに守秘義務又は懲戒責任が移ることを意味しない。

第５　操作ごとの権限と承認

同じAIエージェントでも，公開資料の検索は自動で進め，依頼者情報の外部入力，裁判所提出又は公開の直前に停止するという設計ができる。
肩書又は端末単位で「全部許可」とするのではなく，操作ごとに権限を付ける方が，承認者も判断しやすい。

１　OS組込み型AIは一つのスイッチで管理しない

OSに組み込まれたAIは，利用者が生成AIのウェブサイトを開いて入力する場合と異なり，画面上の内容，メール，メッセージその他の個人コンテキストを参照し，又はアプリ内の操作を行う機能を持ち得る。
そのため，「AIを有効にしたか」だけでなく，少なくとも次の単位で権限と処理経路を確認する必要がある。

Appleは，対応端末のソフトウェア更新後にApple Intelligenceの機能が利用可能になる場合がある一方，Siri AI（ベータ）は「設定」から別途有効化し，プライバシーに関する説明を確認した上で利用待ちへ登録する構成であると説明している（2026年9月15日確認）。
同じ製品群でも有効化の状態が異なるため，OS更新後は機能名だけでなく，上記の各権限を実機又は端末管理画面で再確認する必要がある。

端末外処理について，AppleはPrivate Cloud Computeの技術的な保護を公表している。
これは処理経路を評価するための提供事業者の一次資料であり，弁護士の守秘義務又は個人情報保護法上の適法性を直接証明する法的資料ではない。

私物端末の業務利用（BYOD）では，会社支給端末と同じ統制を当然に及ぼせるとは限らない。AppleのUser Enrollmentの公式説明も，組織が管理できる範囲を組織のアカウント，設定及び情報に限定し，個人のアカウントを管理しない構成を示している。
したがって，専用PC，会社支給端末及びBYODを同じ権限表で扱わず，利用可能な端末，アカウント，データ及び禁止するAI機能を別々に定める必要がある。

第６　秘密情報，個人情報及び外部資料

弁護士法23条は，弁護士又は弁護士であった者の秘密保持の権利及び義務を定める。
AIサービスへ事件情報を入力する場合は，利用目的，必要性，契約，学習利用，保持・削除，再委託，人的アクセス及び実際の設定を確認する必要がある。

DPA（データ処理契約又はデータ処理に関する追加条項）は，このうち契約・委託先管理を確認する重要資料であるが，専用PCの権限又はAIエージェントの実行権限を安全にする文書ではない。DPA，製品別の保持条件，コネクタの第三者条件及び端末の権限設定を別々に確認する方法は，法律事務所が生成AIのDPAを確認するときのチェックリスト（AI作成）で整理している。

個人情報保護委員会の注意喚起は，個人情報の入力が利用目的の範囲内であること及び入力した個人データが応答以外の目的で取り扱われないこと等を確認するよう求めている。
これは個人情報保護法上の公的注意喚起であり，弁護士の守秘義務を尽くしたことの十分条件ではない。

AIエージェントは，ウェブページ，電子メール，PDF又は検索対象資料に埋め込まれた指示を，作業指示と誤認することがある。これは間接プロンプトインジェクションの一例である。
外部資料を読む権限と，秘密情報を外へ送る権限又はファイルを変更する権限を同時に与えないことが重要である。

OpenAIのGPT-6 Astra System Cardは，安全対策を有効にしたAstraについて，Gray Swanが選定した1810件の攻撃シナリオに対し，1シナリオ当たり15回の試行のうち少なくとも1回成功した攻撃の割合を8.5％と推計している。この数値は実験上の指標であり，法律事務所における現実の事故率ではないが，新しいモデルでも残余リスクがあることを示す。モデルの更新を最小権限，通信制限，資格情報の分離及び人の承認の代わりにしない。

第７　敬語は安全対策になるか

Yinほかの多言語実証研究は，無礼なプロンプトでは性能が低下する傾向がある一方，過度に丁寧な表現が常に良い性能を保証せず，適切な丁寧さが言語によって異なると報告している。

この研究から言えるのは，丁寧さが研究で用いられた課題の出力性能に影響し得るという点までである。
敬語によってAIが裏切らなくなること，権限逸脱が減ること，秘密漏えい又は誤送信を防げることは検証されていない。

敬語は，利用者が冷静で明確な指示を書くためのコミュニケーション習慣として利用できる。
しかし，安全性は，最小権限，サンドボックス，接続先制限，資格情報の分離，承認，ログ及び復旧手段によって確保する必要がある。

同様に，AIへ「安全に行動せよ」「倫理的に判断せよ」と自己点検させるだけでは，外部統制にならない。AIが出力する安全宣言は，権限が実際に制限されたこと，操作が行われなかったこと，又は秘密情報が送信されなかったことの証拠ではない。独立した監視，許可リスト，操作ログ，読戻し及び緊急停止を用いる。

第８　案件ごとのAI作業許可票

専用PC又はAIエージェントへ作業を開始させる前に，案件又は作業ごとに次の事項を短く固定する方法が考えられる。

①目的と成果物
②対象案件及び基準時
③参照可能な資料と入力禁止情報
④利用可能なアカウント，システム及び接続先
⑤許可する読取り・書込み操作
⑥禁止する操作
⑦人の承認を要する操作
⑧一次資料照合，保存後確認その他の検証方法
⑨ログ，保存期間及び削除方法
⑩異常時の停止・報告条件
⑪完了の証拠

この許可票は，AIを人格的に信頼するためのものではなく，誤作動しても被害を限定し，後から発見・復旧できる境界を作るためのものである。

第９　事故に備えたログ，停止及び復旧

操作ログには，少なくとも，実行日時，利用アカウント，参照した情報，呼び出したツール，送信先，変更対象，承認者及び結果を残すことが考えられる。
ログをAI自身が変更できる場所だけに置くと，誤操作又は侵害時に検証できなくなるため，別の管理境界に保存する。

異常を検知した場合は，個々の経路を閉じるだけでなく，作業全体を停止する責任者と条件を決めておく。
復旧のためには，ファイルの版管理，定期バックアップ，資格情報の失効手順，外部送信の追跡及び影響を受けた案件の特定が必要になる。

安全監視又は通信障害で停止しても，停止前に完了した送信，保存，公開又は削除が自動的に取り消されるわけではない。要求・応答ID，ツール呼出し及び時刻を保存し，外部システムを読み戻して既実行の操作を確認する。成否不明の操作を自動で再試行せず，二重送信又は二重公開を防ぐ再開票と弁護士の承認を用いる。

高危険度の操作を行うエージェントについては，エージェント自身とは別の監視主体が，許可範囲外の通信，権限昇格，秘密情報への広範なアクセス又は反復失敗を検知した時点で作業全体を停止できるようにする。停止信号の後は自動再開させず，ログと外部状態を確認し，弁護士が再開条件を明示する。

日本弁護士連合会の弁護士情報セキュリティ規程7条も，漏えい，滅失又は毀損等の事故について，影響範囲の把握，被害拡大防止，原因調査及び再発防止策の検討等を求めている。

スナップショット，チェックポイント又はバックアップは，直前の状態へ復旧し，二重実行を避けるための手段である。他方，それだけで，ある時点の証拠が取得後に変更されていないこと又は裁判上真正な資料であることを証明するものではない。証拠利用を予定する資料については，取得元，取得日時，原本，ハッシュ値，保管経路，変更履歴及び再取得可能性を別に記録する。

第１０　裁判例の確認状態と本記事の限界

本記事の中心は，会規，公的ガイドライン，ベンダーの技術資料及び原著論文を踏まえた実務上の権限設計である。
AIエージェントへ専用PCを与えた法律事務所の責任又は「承認疲れ」を直接判断した日本の裁判例は，本記事の作成過程では確認できていない。

2026年9月15日には判例秘書のログイン画面まで確認したが，認証済みの判例検索は実行していない。
したがって，ヒット件数は不明であり，「該当判例がない」とは評価しない。

経済産業省・総務省「AI事業者ガイドライン（第1.2版）」は，リスクベース・アプローチ，人間の判断・関与及び入力情報の管理等を示すが，法的拘束力のないソフトローである。
また，本記事の権限表及びAI作業許可票は，法令又は裁判例が定める統一的な様式ではなく，法律事務所向けの実務提案である。

第１１　関連記事

複数のAIエージェントに目的，文脈及び作業を分ける方法は，法律事務所のAIエージェント業務設計－目的・コンテキスト・権限・完了条件をどう分けるか（AI作成）で整理している。

情報管理に関する会規全体は，弁護士情報セキュリティ規程とは―全7条の内容，基本的な取扱方法及び漏えい等事故の対応（AI作成）で説明している。

事務職員にAIを使わせる場合の指導監督は，事務職員の生成AI利用と弁護士職務基本規程19条（AI作成）を参照されたい。

共有資格情報，外部通信及び過大な権限が連鎖した事例は，OpenAIの「AI暴走」と700のAIエージェント――2026年7月のHugging Face侵入事件の実態（AI作成）で扱っている。

事件情報を外部AIへ入力する場合の契約・守秘義務上の問題は，学習オフの生成AIに秘密情報を入力することは第三者開示に当たるか（AI作成）を参照されたい。

停止後の外部状態の読戻し，再開票及び重複実行防止は，法律事務所のAIエージェントが停止したときの再開手順－安全監視，プロンプトインジェクション，二重送信・二重公開及び証拠保全（AI作成）で整理している。

第１２　出典・参考資料

①三雲崇正氏のX投稿（論点発見資料）
②日本弁護士連合会「弁護士情報セキュリティ規程」（会規第117号）
③日本弁護士連合会「弁護士職務基本規程」（会規第70号）18条，19条及び23条
④e-Gov法令検索「弁護士法」23条
⑤経済産業省・総務省「AI事業者ガイドライン（第1.2版）」
⑥個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）
⑦OpenAI「Running Codex safely at OpenAI」
⑧Anthropic「Building a safer Claude Code with sandboxing」
⑨Xiaohan Yinほか「Should We Respect LLMs? A Cross-Lingual Study on the Influence of Prompt Politeness on LLM Performance」（SICon 2024）
⑩Apple「Apple Intelligenceを入手する方法」
⑪Apple「Siri AI（ベータ）の利用方法」
⑫Apple「IntelligenceSettings」
⑬Apple「User Enrollment and device management」
⑭Apple「Private Cloud Compute Security Guide」
⑮Agent Router「Agent Router」（公式サイト。資格情報の一元管理の説明）
⑯OpenAI「GPT-6 Astra System Card」（間接プロンプトインジェクションの評価に関するベンダー一次資料）
⑰OpenAI「Misalignment monitoring」（停止，自動再試行の禁止及び既実行の変更確認に関するベンダー一次資料）
⑱OWASP「LLM01:2025 Prompt Injection」（技術上の脅威と対策を整理した業界資料）