Responsible Scaling Policy変遷 — v1.0からv3.4まで8回改定

Responsible Scaling Policyとは

Responsible Scaling Policy(RSP)は、Anthropicが2023年9月に公表した、モデルの能力が一定の危険水準を超えたときに安全対策を段階的に引き上げるための社内規程です。最新版はv3.4(2026年7月8日発効)。v1.0から数えて8回の改定を経ています。

このポリシーの骨格は一貫しています。モデルの危険な能力を「Capability Threshold(能力閾値)」として定義し、閾値を越えたらAI Safety Level(ASL)に応じた安全基準(Required Safeguards)を適用する。閾値を越えていないことの確認自体も、モデルを評価する仕組み(Capability Assessment)としてポリシーに組み込まれています。

改定の中身を見ると、8回のうち性格が大きく違うものが混ざっています。v2.0とv3.0は構造そのものを作り直した大改定、v2.1・v2.2・v3.1〜v3.4は既存の枠組みの中で文言や範囲を絞り込む小改定です。この二層構造を意識すると、変遷が読みやすくなります。

v1.0からv2.0への転換 — ASL-3安全対策の設計図を公開

v1.0(2023年9月19日発効)は最初のRSPです。この時点でリスクガバナンスの原則として「比例的(proportional)・反復的(iterative)・輸出可能(exportable)」という3つの方針をAnthropicは掲げました。他社が参考にできる枠組みとして育てる、という意図が最初から明示されています。

v2.0(2024年10月15日発効)は、v1.0運用から1年間の学びを反映した改定です。中心は「Planned ASL-3 Safeguards」という文書の公開で、当時まだ実装段階だったASL-3の安全対策を、非拘束的な計画として先出しした点が特徴です。

具体的には、デプロイメント安全対策を4層の防御(Access controls → Real-time classifiers → Asynchronous monitoring → Post-hoc jailbreak detection)として設計し、セキュリティ対策として権限管理・ソフトウェアサプライチェーン監視・モデル重みへのアクセス制御・物理セキュリティなど多岐にわたる項目を列挙しています。

v2.0はもう一つ重要な自己点検を含んでいました。v1.0運用中に評価の実施間隔が3日遅れた、評価手法(best-of-Nやchain-of-thoughtプロンプティング)の一部が欠けていたなど、ポリシーの文言どおりに運用しきれなかった実例をAnthropicは自ら公開しています。この反省を踏まえ、評価間隔を3か月から6か月へ延長し、曖昧だった定義を明確化しました。

v2.1・v2.2 — 能力閾値の細分化と適用範囲の絞り込み

v2.1(2025年3月31日発効)は、ASL-3を超える安全対策が必要になる能力閾値をより明確にする改定です。2つの変更が柱でした。

1つ目は、CBRN(化学・生物・放射性物質・核)開発に関する新しい能力閾値の追加です。中程度のリソースを持つ国家プログラムの開発能力を大幅に押し上げうる水準を対象にしています。2つ目は、AI R&Dの能力閾値を2段階に分割したことです。「エントリーレベルのAI研究業務を完全自動化できる」水準と「有効スケーリングの速度を劇的に加速できる」水準を別々の閾値として定義し、それぞれに対応する安全対策の詳細を追加しました。

v2.2(2025年5月14日発効)は文言レベルの小改定です。ASL-3セキュリティ基準の対象範囲を定めた脚注で、それまで「高度に洗練された国家関与のインサイダー」だけを除外対象としていたところを、「洗練されたインサイダー」と「国家関与のインサイダー」の両方を除外する形に改めました。除外条件を広げることで基準の適用範囲がより厳密になっています。

v3.0の全面書き換え — Risk ReportとFrontier Safety Roadmapの新設

v3.0(2026年2月24日発効)はRSPの包括的な書き直しです。v2系までの枠組みを踏襲しつつ、新たに2つの公開文書の仕組みを導入しました。

Frontier Safety Roadmapは、安全研究の詳細な目標を期限付きで公開し、進捗を追跡する文書です。Risk Reportは、デプロイ済みの全モデルにわたるリスクを定量化して公表する文書で、v3.0発効(2月24日)に先立つ2026年2月10日にFebruary 2026 Risk Reportが最初に公開され、2026年8月にはそれに続く2回目のRisk Report(August 2026 Risk Report)が公開されています。

このFebruary 2026 Risk Reportと同じ2026年2月10日には、RSPの別の運用例も公開されました。RSPは「AI R&D-4」能力閾値を越えたモデルについて、ミスアライメントリスクを特定し緩和策を説明する「affirmative case」の作成を義務付けています。AnthropicはClaude Opus 4.6についてこの閾値を越えていないと判定した一方、「確信を持ってこの閾値を除外することが年々難しくなっている」として、Opus 4.5の能力を明確に上回る今後の全フロンティアモデルについて、外部向けの「Sabotage Risk Report」を作成する方針を示しました。Opus 4.6版のSabotage Risk Reportはこの方針に沿って同日公開されています。この時点ではv3.0(2月24日発効)はまだ発効前でしたが、Risk Reportの仕組み自体は既に運用が始まっていたことになります。

v3.1〜v3.4 — 運用しながらの継続的な微調整

v3.0公開後の改定は、いずれも「運用してみて分かった曖昧さを潰す」性格を持っています。

v3.1で興味深いのは、AI R&D能力閾値の解釈の揺れをAnthropic自身が認めている点です。「2018年から2024年のAI進歩2年分を1年に圧縮する」という表現が、「AI能力全体の進歩速度が2倍になる」とも「研究者個人の生産性が2倍になる」とも読めてしまうことに気づき、前者の意味であると明記し直しました。

v3.4の変更で目を引くのは、未編集版Risk Reportの社内共有範囲を狭めた点です。「全通常クリアランス社員」という広い範囲から「少なくとも200人」という具体的な下限に変えたことは、機密情報の管理を厳しくする方向の調整と読めます。一方で、Risk Reportの対象期間と公表日を分離できるようにした変更は、直近の変化を急いで分析する必要をなくす実務上の緩和です。厳格化と柔軟化が同じバージョンに同居しているのがv3.4の特徴です。

なぜ8回も改定が必要だったのか

v1.0発効から8回の改定を経て、RSPは「一度作って終わり」の文書ではなく「運用しながら直し続ける生きた文書」という性格を強めています。Anthropic自身、v3公開時の投稿で「学んだことをこのページとポリシー文書内のchangelogの両方に記録し続ける」と明言しています。

改定の頻度が上がっているのも特徴です。v1.0からv2.0までは1年、v2.0からv3.0までは1年4か月かかっていますが、v3.0以降はv3.1(4月)・v3.2(4月)・v3.3(5月)・v3.4(7月)と、2026年だけで4回の改定が続きました。能力閾値の運用が本格化するほど、想定外の曖昧さが見つかる頻度も上がっているとみられます。

読者にとって実務上のポイントは2つです。第一に、Claude Opus 4.6のように「AI R&D-4閾値を越えたか」という判定結果は、モデルのシステムカードとセットで公開されるため、モデル選定時の安全性根拠として参照できます(廃止されるモデルの重み保存や退任面談といった別の約束はClaudeモデル廃止でAnthropicが約束する重み保存と退任面談にまとめています)。第二に、Risk Reportは今後定期的に更新される公開文書になったため、Anthropicの安全対策の実装状況を継続的に追える一次情報源として使えます。

Anthropicの安全性研究がどう製品に反映されているかは、Anthropicの安全性研究はClaude製品のどこに入っているかで経路別に整理しています。個々のモデルの安全性評価の読み方はClaudeシステムカードの読み方を参照してください。Anthropicという企業自体の概要はAnthropicとはにまとめています。

まとめ

RSPはv1.0(2023年9月)からv3.4(2026年7月)まで8回改定され、性格の異なる2種類の改定が積み重なってきました。v2.0とv3.0はASL-3安全対策の設計図公開・Risk Report/Frontier Safety Roadmap新設という構造変更、v2.1・v2.2・v3.1〜v3.4は能力閾値や適用範囲を絞り込む微調整です。直近はv3.1〜v3.4と2026年だけで4回改定されており、能力閾値の運用が本格化するにつれて改定頻度も上がっています。最新版と過去版の差分(redline)はAnthropic公式のRSPページですべて確認できます。