11月6日、Help Net Securityが「87% say their AI controls need to work better」と題した記事を公開した。AIの承認・監視・制御の仕組みを改善する必要があると87%の企業が認めながら、同じ調査で過半数のチームがすでに「人間の承認なしでプロセスを完了できる」AIを稼働させていることが明らかになった。ガバナンスへの不信とスピードへの圧力が同時に高まる中、制御の空白は静かに広がっている。
「承認した人間が、その承認の仕組みを信頼していない」という矛盾
調査を実施したのはVanson Bourne（英国系の独立市場調査会社）。北米・EMEA・アジア太平洋・日本にわたる、年間売上高5億ドル以上の企業に勤める3,600人のビジネス意思決定者が対象だ。金融サービス、ヘルスケア、製造、小売を含む7業種が含まれる。
最も注目すべきは、以下の2つの数字が同一母集団から出ている点だ。
- **87%**：AIの承認・監視・制御の仕組みを改善する必要があると回答
- そのうち**91%**：現在のAI承認・監視・制御アプローチはより効果的である必要があると回答
さらに同じ調査で、87%がAIイニシアチブの承認を迅速化しなければ競争力を失うと答えている。制御の仕組みを信頼していながら、それでも「もっと速く動かさなければ」という圧力が共存している構造だ。
Avanade CEOのChris Howarthはこう述べている。
「AIへの自信と現実の間に危険なギャップが生まれている。自信も野心も問題ではない。問題は、ほとんどの組織がAIを使って既存のビジネスモデルを改善しようとしているが、本来AIはそのビジネスモデル自体を置き換えるべき存在だという点だ」
AIはすでに「許可なく動いている」
5つのカテゴリ（会話型AI・生成AIツール・予測分析/ML・ロボティックプロセスオートメーション・自然言語処理）すべてで、過半数のチームが「定常的なレビューなしに定義されたルール内で行動できる」あるいは「人間の承認なしでプロセスを完了できる」と回答している。
カテゴリ別の自律稼働率：
- **会話型AI・バーチャルエージェント：59%**（最高）
- 予測分析・ML、RPA、NLP：各56%
- スタンドアロン生成AIツール（テスト・コード生成等）：54%（最低）
「早く動いた企業」が直面している問題
すでにAIを大規模展開・スケールさせた企業では：
- **46%**：セキュリティ、プライバシー、規制・コンプライアンス上の問題が発生
- **25%**：可視性・制御・エージェントのアクセス権限の喪失を報告
特に後者は深刻だ。エージェントのパーミッション（アクセス権限）をチームが把握できていない場合、そのエージェントが触れるすべてのリソースへの管理されていないアクセスが生まれる。
現場レベルでも問題は顕在化している：
- **45%**：従業員がAIの出力を精度・適切性の確認なしに使用していると考えている
- **32%**：コンプライアンスチームが承認しない方法でAIが使われていると考えている
- **31%**：未承認ツールが使われていると回答
- **37%**：AIによって意思決定の責任者が不明確になったと回答
カナダのエンタープライズ医療企業に勤めるミドルマネージャーは、雇用主が把握していない形でのAI利用について次のように証言している。
「AIが主要システムほどのセキュリティを持っていないのはわかっている。でも、アクセスをブロックしても意味がない。私はビジネス情報を自分のAIアプリにアップロードしている。セキュリティ上の意味は理解した上でやっている」
ガバナンス投資は始まっているが、制御はまだ届いていない
AIセキュリティについては、30%が強化が必要、40%が中程度の強化が必要と回答。ガバナンス・リスク管理については**94%**がさらなる整備が必要と答えている。
にもかかわらず、セキュリティ・プライバシー・ガバナンス・規制コンプライアンスはすでに最も投資が集中している領域（47%）でもある。資金は動き始めているが、実効性ある制御にはまだ届いていない状態だ。
企業規模別では：
- **年間売上高5億〜50億ドルの企業：90%**が承認・監視・制御の改善が必要と回答
- **年間売上高50億ドル超の企業：70%**が同様に回答
優先度の面では、45%が「強固なガバナンス・アクセス制御・責任ある利用」を最重要と位置づけており、「できるだけ早くAIを展開する」を最優先とする26%を大きく上回っている。
背景：なぜ今、AIガバナンスが世界的な議題になっているか
※編集部の考察
こうした企業内の実態は、規制側の動きとも無縁ではない。欧州ではEU AI Actが2024年に発効し、リスク分類に基づいてAIシステムの透明性・説明責任・人間による監視を義務づける枠組みが段階的に適用されつつある。医療・金融・インフラなど「高リスク」領域に分類されるユースケースは特に厳格な要件が課される見通しだ。今回の調査で46%の企業がすでにセキュリティ・コンプライアンス上の問題に直面していることを踏まえると、規制対応の遅れが経営リスクに直結する局面が近づいている。AIガバナンスの問題は「内部統制」にとどまらず、法的義務としての側面を帯びつつある。
詳細は87% say their AI controls need to work betterを参照していただきたい。
