AVERI（AI Verification and Evaluation Research Institute）は、OpenAIで政策研究とAGI対応のチームを率いたMiles Brundage氏が設立し、2026年1月15日に正式発足を発表した米国の非営利団体です。使命は「フロンティアAI監査を実効的かつ当たり前のものにする」こと。発足時は「監査は行わない」と報じられましたが、2026年8月にGoogle DeepMind、10月にAmazonとのパイロット監査の結果を公表しました。この記事では、監査の定義と4段階のAI Assurance Levels（AAL）、2件のパイロット、資金と独立性、9〜10月に相次いだ制度の動きを、2026年11月時点の一次情報で整理します。
まとめ：AVERIの要点（2026年11月時点）
- 正体：米国の501(c)(3)非営利団体。代表はExecutive DirectorのMiles Brundage氏（2024年10月にOpenAIを退社）。
- 監査の物差し：発足と同時に出た論文でAAL-1〜4を提案。AAL-1を全フロンティアAIの最低線、AAL-2を最先端企業の当面の目標とし、AAL-3・4は現時点では実現できないとしている。
- 実績：Gemini 2.5 Flash-Liteの二重盲検評価（7〜8月）と、Amazonの社内安全評価800問の点検（10月9日公表）。どちらも任意のパイロットで、法的な監査ではない。
- 独立性：大手6社からAPIクレジットは受けるが、フロンティアAI企業とその経営陣からの現金は受け取らない。
- 制度の動き：監査を義務づけた米国の法律はイリノイ州SB 315（2028年から年1回）。9月29日のホワイトハウス合意は6社が外部監査人の起用に署名したが法的拘束力はなく、カリフォルニア州は監査する側の登録制を作り、2029年から未登録者の監査を禁じる。
AVERIの設立経緯と組織の基本情報
Brundage氏は2018年から2024年までOpenAIに在籍し、研究員、政策研究責任者、AGI Readiness担当のシニアアドバイザーを務めました。2024年10月の退社後にAVERIを立ち上げ、2026年1月15日にFortuneの独占記事と同時に正式発足を公表しています。発表時の主張は「AI企業に自分の宿題を採点させるべきではない」。安全テストの設計も実施も公表も会社自身が担う状態を問題視しています。
| 項目 | 内容 |
|---|---|
| 正式名称 | AI Verification and Evaluation Research Institute |
| 組織形態 | 米国の501(c)(3)非営利団体 |
| 正式発足の発表 | 2026年1月15日 |
| 代表 | Miles Brundage（Executive Director） |
| 発足時の資金 | 750万ドル調達（目標1,300万ドル） |
| 公表したパイロット | 2件（2026年8月・10月） |
| 公式サイト | averi.org |
名称の読みについて、公式サイトは「AVERIはbravery（ブレイヴァリー）と韻を踏む」と説明しており、日本語では「エイヴァリー」が近い発音です。公式のTeamページによると、Brundage氏はEU AI法の科学パネル（Scientific Panel）の委員も務めています。チームには米国政策（Nat Purser氏）、監査エコシステム（George Balston氏）、標準（Patricia Paskov氏）の各ディレクターが置かれ、AI Incident Databaseを立ち上げたSean McGregor氏がLead Research Engineerとしてメタ評価とベンチマークの研究を率いています。
「フロンティアAI監査」の定義とレッドチーミング・メタ評価との違い
AVERIの監査観は、発足と同時に公開された論文「Frontier AI Auditing: Toward Rigorous Third-Party Assessment of Safety and Security Practices at Leading AI Companies」（arXiv 2601.11699）に集約されています。著者はBrundage氏を筆頭に48名で、チューリング賞受賞者のYoshua Bengio氏らが名を連ねます。
論文はフロンティアAI監査を「フロンティアAI開発者の安全・セキュリティに関する主張を第三者が厳密に検証し、システムと実務を関連する標準に照らして評価すること。その根拠は、非公開情報への深く安全なアクセスにある」と定義しています。会社の主張や約束が本当に守られているかを確かめる検証（verification）と、システムや実務を外部の基準と比べる評価（evaluation）の2つを含む定義です。
よく混同される2つの手法とは、対象の広さが違います。
- AIレッドチーミング：敵対的な入力でモデルやシステムの弱点を探す作業。監査の材料の1つにはなるが、会社の統制までは見ない。
- メタ評価（metaevaluation）：会社が社内で使っている安全評価そのものの質を第三者が調べること。AVERIはAmazonのパイロットでこの型を試し、レッドチーミングやベンチマークを補う手段と位置づけた。
- フロンティアAI監査：公開済みの製品に限らず、社内でのAI利用（内部デプロイ）、情報セキュリティ、安全上の意思決定プロセスまで会社全体を対象にする。社内文書や担当者への聞き取りまで踏み込む点で、会計監査に近い。
AI Assurance Levels（AAL-1〜AAL-4）の4段階と推奨水準
論文の中核は、監査の深さを4段階に分けたAI Assurance Levels（AAL）です。安全性の等級ではなく、監査の結論をどこまで信頼できるかの段階で、上がるほど監査人が得る情報が増えます。
| レベル | 期間 | 主なアクセス | 位置づけ |
|---|---|---|---|
| AAL-1（限定的保証） | 数週間程度 | 複数版のAPI＋限られた非公開情報 | 現在の最良水準・全体の最低線 |
| AAL-2（中程度の保証） | 最低でも数か月 | グレーボックス・社内文書・面談 | 最先端企業の当面の目標 |
| AAL-3（高い保証） | 複数年の継続監督 | ホワイトボックス・継続監視 | 現時点では実現不可 |
| AAL-4（非常に高い保証） | 常時 | システム・計算資源・統治の全容 | 「条約級」の確認・実現不可 |
表に収まらない違いは2点です。AAL-2では黒塗りなしのセーフティケースなどの社内文書を見ます。AAL-4は会社による意図的な欺瞞を検知するよう設計された常時の検証で、論文は国家間の合意の検証にも耐える「treaty-grade（条約級）」の確認と表現しています。
実務上の要点は推奨水準です。論文はAAL-1を「AI分野の現在の実務の最高到達点」とし、フロンティアAI全般の出発点に推奨しています。最先端に最も近い企業には、近い将来の目標としてAAL-2を求めています。AAL-3とAAL-4は技術的にも組織的にもまだ実現できないと認め、研究の方向性を示すにとどめています。今日行われている最良の外部評価でも、AVERIの物差しでは一番下の段にあたるということです。
パイロット監査2件の中身：Google DeepMindとAmazon
フロンティアAI監査はまだどの企業にも義務ではなく、AVERIのパイロットは企業が任意で応じたものです。2026年11月までに公表されたのは次の2件です。
Gemini 2.5 Flash-Liteの二重盲検評価（2026年7〜8月）
8月27日に公表された1件目の報告は、Google DeepMind・OpenMined・MLCommonsと組み、商用の言語モデルに対する初の「二重盲検」評価を行ったとするものです。対象はGemini 2.5 Flash-Liteで、MLCommonsの安全性ベンチマーク群AILuminateの未使用プロンプトを使いました。プロンプトはCBRNE（化学・生物・放射性物質・核・爆発物）、サイバー攻撃、ヘイトスピーチ、自傷、暴力犯罪の各領域にわたります。
評価はGoogleが構成したセキュアエンクレーブ（TEE：ハードウェアで隔離された実行環境）の中で行われました。AVERIが自分だけの鍵でプロンプトを暗号化し、エンクレーブ内でモデルに解かせ、出力をAVERIが復号して採点する流れです。Google DeepMindはプロンプトを保存も学習もできず、AVERI側はモデルの重みを見られません。開発企業は重みの流出を、評価者は問題文が漏れてモデルがそれに最適化されることを恐れる。監査につきもののこの対立を、ハードウェアで解いた例です。2024年にOpenMined・Anthropic・英国AI Security Instituteが試したときはGPT-2を代役にしており、本番の商用モデルで通したのは今回が初めてです。技術報告によれば、Intel TDXを備えたGoogle Cloudのインスタンス、NVIDIA H100のConfidential GPU、OpenMinedのPySyft v0.10系を使っています。得点や違反率は公表されておらず、結果はGoogle DeepMindへの非公開報告として渡されました。
Amazonの社内安全評価のメタ評価（2026年10月9日公表）
2件目の報告は、モデルの出力ではなく、Amazonが社内で使う安全評価の問題そのものを点検しました。Amazonは社内の安全評価スイートから無作為に抽出した800件のプロンプト（1往復型と複数往復型の両方）を提供し、AVERIは1件ずつ手作業で多様性や方法論の妥当性を確かめています。具体的には、Nova 2の技術文書でAmazonが説明している社内試験の方法と安全カテゴリの範囲が、標本と食い違わないかを照合しました。
結論は「公表内容と一致」でした。文体のばらつきがあり、プロンプトは公開データセットからの転用ではなく独自に作られたように見え、事前学習を通じた評価の漏えいリスクを下げる可能性があるとしています。一方で改善点として次の4つを挙げました。
| 観点 | AVERIの指摘 |
|---|---|
| 攻撃の高度さ | 一部は単純な攻撃で、深い推論より安全フィルタを試す構成 |
| 評価の信号の質 | 表面的な手がかりで拒否している恐れ |
| 言語・文体の多様性 | 英語に偏り構文の使い回しがある |
| 評価の鮮度 | 時事の言及が古くなる問題文がある |
Amazonはこれを受けて、重複を除いて難しい敵対シナリオを足す、難易度を段階づける枠組みを入れる、全リスク区分で多言語を広げる、四半期ごとに見直す、の4つを変更したと報告しています。10月20日にはAmazon Scienceのブログでも同じ内容を公表しました。ただしAVERIは、この改善を自分では確かめていないと注記しています。
2件の報告が自ら認める限界
どちらの報告も、達成できなかったことを具体的に書いています。成果より先に読むべき箇所です。
- 標本の真正性：Amazonの800問は「無作為に抽出した」というAmazonの説明に依拠した。抽出の過程を見る、スイート全体に触れるといった確認は今回できていない。
- 公表の事前承認：Amazonとの契約では、AmazonがAVERIの公表物を確認・承認する権利を持っていた。
- 手作業の量の壁：800問は手作業で扱えたが、事前学習データの規模は人手では見きれない。AVERIはAIで別のAIや企業の実務を調べる「自動監査」を次の研究課題に挙げている。
- 改ざん経路：二重盲検の技術報告は、独自実装を含む全コードの検査を終えられなかったことと、実行環境の証明（アテステーション）にGoogleのサービスを信頼する必要が残ったことを限界に挙げている。相手を信用できない国際合意の検証には、さらに強い保証が要る。
AALの物差しに当てはめると、どちらも特定のモデルや評価資料に絞った期間限定の点検で、AAL-1の範囲に近いものです。「AVERIの監査を受けた」という表現を見たら、何を対象に、どの資料まで見たのかを報告本文で確かめる必要があります。
AVERIの資金源と独立性：AI企業から現金を受けない理由
AVERIはAboutページで資金提供者を公開しています。AI Underwriting Company、Coefficient Giving、Craig Falls、Geoff Ralston氏（元Y Combinator社長）、Good Forever Foundation、Fathom、Halcyon Futures、Sympatico Ventures、それにフロンティアAI企業の非役員の社員と元社員です。過半を占める単独の寄付者はいないとしています。
AI企業との線引きははっきりしています。Amazon、Anthropic、Google DeepMind、Microsoft、OpenAI、Thinking Machines Labからは、寄付または対価としてAPIクレジットを受け取っています。一方で、フロンティアAI企業とその経営陣からの現金の寄付や報酬は受け取りません。監査にはモデルを動かす計算資源が欠かせないため、クレジットは受けつつ現金での依存は断つ設計です。Amazonのパイロット自体には、現金もAPIクレジットも対価として受けていないと開示しています。
利益相反の管理も公開されています。職員・理事・契約者は着任時と半年ごとに利益相反の可能性を申告し、重大な利益相反があれば担当から外れます。Brundage氏はOpenAI在籍中に得た株式をすべて売却済みで、2024年10月の退社から2年間（2026年10月まで）はOpenAIの直接監査を担当しない方針としていました。
AI監査人の実施条件：AEF-1とカリフォルニア州の登録制
外部監査を求める声が強まるほど、「誰が監査人として信頼できるのか」が問われます。後述のホワイトハウス合意も監査人の資格を定めていません。AVERIが標準づくりを主眼に置くのはこの空白を埋めるためで、2026年11月時点では次の2つの仕組みが動いています。
AEF-1：第三者評価の最低実施条件と5原則
AVERIはAI Evaluator Forumの他の参加組織とともに、独立した第三者評価の最低実施条件を定めた標準「AEF-1」を共同で作成しました。2025年12月4日のForum設立と同時に公表され、著者の所属はMETR・SecureBio・GovAI・Epoch AI・MIT・Stanfordなど13組織にわたります。評価者はチェックリストを埋めて結果と一緒に公表し、満たせなかった条件はその理由を書きます。中身は次の5原則です。
- 十分なアクセスと資源（技術的アクセス・情報・計算資源・時間・セーフハーバー）
- 利益相反の最小化（成功報酬の禁止・利益相反の開示・回避措置など）
- 分析の自律（範囲設定・評価の自律・編集権）
- 方法と結果の透明性（開示権・結果に条件をつけた公開の禁止・黒塗りの明示）
- 機密情報の保護（公表条件・評価の完全性・責任ある開示）
同ページによると、EUのAI Officeは、汎用目的AIの行動規範にある独立性の条項を満たす手段として、AEF-1の主要な規定を支持しています。AI Office自身も2026年10月21日に、適格な独立外部評価者の要件に関する報告を公表しました。7月15日のワークショップに19組織の専門家が参加し、専門領域の知識、評価の技能、提供者からの経営・財務・運用上の独立性を要件として整理していますが、変わりうる現時点の見解という位置づけです。METR（2026年5月）やSecureBio（9月、OpenAIのGPT-6 Astraの公開前評価）の報告書もこのチェックリストを付けて公表されました。AVERI自身もAmazonのパイロット報告で、AEF-1のどの要件を満たし、どれがメタ評価には当てはまりにくいかを要件番号つきで開示しています。
カリフォルニア州SB 813・AB 1405：監査人の登録制
カリフォルニア州のNewsom知事は2026年9月、独立検証機関の枠組みを定めるSB 813と、州法の順守を確かめるAI監査人の登録制を作るAB 1405に署名しました。知事室の9月30日の発表は、AB 1405が監査人の独立性・透明性・誠実性の基準を定めると説明しています。法律事務所Crowell & Moringの解説によれば、登録簿は州の政府運営庁（Government Operations Agency）が管理し、2029年1月1日以降は未登録の者が対象のAI監査を提供・実施できなくなります。登録の受付はそれより早く、知事令N-9-26が政府運営庁に、独立検証機関の申請基準を2027年5月1日まで、監査人登録簿の規定（政府法典11549.82条）の整備を同年12月1日までに終えるよう命じています。
注意したいのは向きです。この2法が規律するのは監査する側で、AI開発者に監査を受けるよう義務づけるものではありません。開発者に監査を義務づけた米国の法律は、次章のイリノイ州SB 315です。
第三者監査を求める法規制と合意：米国・EU・日本の現在地
AVERIが法律を求めるのは、任意のままでは監査を受ける企業だけがコストを負うからです。Brundage氏は2026年4月の論考で「偏りは悪意を必要としない」と書き、誠実な開発者でも既存の対策で片づくようにリスクを捉えてしまうと指摘しています。
| 地域・制度 | 第三者の関与 | 拘束力・時期 |
|---|---|---|
| 米国：ホワイトハウス合意 | 独立外部の監査人・評価者と組む | 拘束力なし・2026年9月29日署名 |
| 米イリノイ州：SB 315 | 年1回の独立監査を義務化 | 監査は2028年1月から |
| 米カリフォルニア州：SB 53 | 第三者評価の役割を開示 | 義務化なし・施行済み |
| 米カリフォルニア州：AB 1405 | 監査人の登録制 | 登録簿は2027年12月まで・未登録の監査禁止は2029年1月から |
| 米ニューヨーク州：RAISE Act | 第三者評価の役割を開示 | 義務化なし・2027年施行 |
| EU：GPAI行動規範 | 独立外部評価者によるモデル評価 | 署名者が対象 |
| 日本：AI法 | 監査義務なし（推進法） | 2025年9月全面施行 |
開示にとどまる州でも、監査へ進める動きがあります。ニューヨーク州では年次の独立第三者検証を加えるS10373（2026年5月提出）や、独立した審査人による監査を加えるS10731（10月28日提出）が委員会に付託された段階です。カリフォルニア州知事室も9月23日、独立した第三者をフロンティアAI企業の内部に置いて安全枠組みを検証させる案を検討中と発表しました。いずれも成立した義務ではありません。
ホワイトハウス「超知能に関する合意」（2026年9月29日）
トランプ大統領と、Google（Sundar Pichai氏）、Anthropic（Dario Amodei氏）、Meta（Mark Zuckerberg氏）、OpenAI（Greg Brockman氏）、xAI（Elon Musk氏）、Nvidia（Jensen Huang氏）の6社の代表が署名した「White House Accord on Super Intelligence」は、フロンティアモデルを開発する各社に4層の統制を求めています。(1)サイバー・生物・化学の能力やアラインメントを監視する社内統制、(2)統制が機能しているかを確かめる社内チーム、(3)統制が意図どおり機能しているかを独立に評価する外部の監査人または評価者との提携、(4)報告を受けて是正を監督する取締役会の独立委員会です。
AVERIの論文が監査の対象に挙げた「会社の統制と意思決定」を、大手6社が首脳レベルで受け入れた点は前進です。ただし文書は署名欄を除いて約320語の任意の誓約で、罰則も監査人の資格要件もなく、監査人は各社が選びます。結果の公表義務も書かれていません。「いずれ法律や規則に定めることも理にかなう」と将来の立法に含みを残すにとどまります。
イリノイ州SB 315：2028年からの年次監査
SB 315（Artificial Intelligence Safety Measures Act）は2026年7月6日にPritzker知事が署名して成立し、2027年1月1日に施行されます。AVERIは前身法案の段階で意見を出して支持しており、「米国で初めてのフロンティアAI監査の義務」と位置づけています。対象は1026回を超える演算量で学習したフロンティアモデルの開発者のうち、関連会社と合算した前年の年間総収入が5億ドルを超える「大規模フロンティア開発者」です。成立法（Public Act 104-0538）のSection 10(d)により、2028年1月1日か、大規模フロンティア開発者に該当してから90日後のいずれか遅い日から、毎年、独立した第三者に法令上の枠組みの順守を監査させる必要があります。報酬を監査結果に連動させることは禁じられ、監査報告を受けてから30日以内に概要を公表します。必要な監査を行わなかった場合などの違反には初回最大100万ドル、再違反には1件あたり最大300万ドルの民事罰があり、回収できるのは州司法長官だけです。
EUの行動規範と日本のAI法
EUでは、汎用目的AIモデルの行動規範の安全・セキュリティ章（Appendix 3.5）に署名した、システミックリスクを持つGPAIモデルの提供者が、内部評価に加えて適格な独立外部評価者によるモデル評価に取り組むと約束しています。評価者を確保できなかった場合の例外は、20営業日の公募などの探索努力が前提です。土台となるAI法のGPAI義務は2025年8月2日に適用が始まり、制裁金を含む欧州委員会の執行権限も2026年8月2日から適用されています。
日本のAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は2025年6月4日に公布され、9月1日に全面施行されました。研究開発と活用を推進する基本法で、開発企業に第三者監査を義務づける規定はありません。評価は政府の能力として整える方針で、2026年7月14日に閣議決定された人工知能基本計画は、日本のAIセーフティ・インスティテュート（AISI）を中心にモデル評価の能力と人員を強化し、評価結果を制度や指針の改善につなげるとしています。AISIは2025年9月に評価環境をOSSとして公開しており、2026年6月にはClaude Opus 4.8のサイバー能力をExploitBenchで評価しました（V8の既知脆弱性41件・各1試行）。
外部監査結果の確認項目：海外モデルを選ぶ日本企業の判断軸
第三者監査は万能ではありません。低いレベルの監査は意図しない誤りは見つけられても、意図的な欺瞞は見つけにくいと論文自体が書いています。現在の最良水準がAAL-1で、2件のパイロットも企業の説明に依拠した部分を残している以上、「監査済み」の表示は当面「会社が隠そうとしたものまで調べた」という意味にはなりません。
自社でモデルを開発・提供して海外展開しているなら、まず各制度の適用条件を個別に確かめる必要があります。ここでは、海外の大手モデルを業務に組み込む選ぶ側の企業に絞ります。公開された外部評価資料を読む際は、まず次の4項目を確認します。
- 誰が評価したか：評価者の名前と、AEF-1のチェックリストのような実施条件の開示があるか。
- どのモデル版か：評価対象の版と、自社が使う版・設定が一致しているか。
- どこまで見たか：APIから試しただけか、社内文書や社内評価まで見たか。AALのどの段に近いか。
- 何が公表されたか：結果の全文か要約か。企業側に公表の事前承認権があったか。
「外部評価を受けた」という一文だけで安全と判断すべきではありません。この4点が答えられない評価は、調達の根拠として弱いと考えてください。利用側の対策は別に必要で、OWASP Top 10 for LLMのようなアプリケーション層の基準と、社内のAI利用ルールで固めます。モデルの選定と社内ルールづくりを一緒に進める場合は、生成AI導入支援で評価資料の読み方から相談できます。
よくある質問
AVERIは自分でAIの監査をしているのですか？
パイロットとして行っています。2026年8月にGemini 2.5 Flash-Liteの二重盲検評価を、10月にAmazonの社内安全評価800問の点検結果を公表しました。発足当初の「監査は行わない」という報道は現在の活動と合いませんが、どちらも法的な義務に基づく監査ではありません。
AI監査とは何を監査するのですか？
AVERIの定義では、AI企業の安全・セキュリティに関する主張を検証し、システムと実務を外部の標準に照らして評価することです。公開済みのモデルだけでなく、社内でのAI利用、情報セキュリティ、安全上の意思決定まで対象にし、非公開情報へのアクセスを前提にします。
AVERIはOpenAIなどAI企業からお金を受け取っていますか？
現金は受け取っていません。フロンティアAI企業とその経営陣からの現金の寄付・報酬は受けない方針です。一方、Amazon、Anthropic、Google DeepMind、Microsoft、OpenAI、Thinking Machines Labからは、評価に使うAPIクレジットを寄付または対価として受けています。
AAL-1とAAL-2の違いは何ですか？
AAL-1は特定のAIシステムを数週間で調べる限定的な監査で、APIアクセスと少量の非公開情報に頼ります。AAL-2は最低でも数か月をかけて会社の実務まで広げ、社内文書や部署をまたいだ聞き取りを行います。論文はAAL-1を最低線、AAL-2を最先端企業の当面の目標としています。
第三者監査が法律で義務になった国や地域はありますか？
開発者に監査を義務づけた米国の法律は、イリノイ州のSB 315です。大規模フロンティア開発者は2028年1月から年1回の独立監査が必要になります。2026年9月のホワイトハウス合意は外部監査人の起用を約束したものの任意で、カリフォルニア州のAB 1405は監査人側の登録制です。EUは行動規範の署名者が外部評価に取り組む形で、日本のAI法には監査を義務づける規定はありません。
