AIガバナンス予算を増やすほど管理が追いつかなくなる — 自己申告の約30倍のAIツールが野放しになっている実態

11月5日、Help Net Securityが「Companies are spending more on AI governance and getting less control」と題した記事を公開した。AIガバナンスへの投資が増加する一方で、シャドーAI（IT部門の正式な承認を経ずに従業員が個人的に導入・利用するAIツール。企業データの漏洩リスクやコンプライアンス違反の温床として近年急速に問題視されている）の実態把握はむしろ困難になっているという調査結果を紹介している。

予算は増えているのに、管理は追いついていない

DNSFilterが公開した「The Cost of Shadow AI」レポートによると、74.5%の企業がサイバーセキュリティ予算を12ヶ月前より増額したと回答している。次の一手として何に予算を投じるかを尋ねたところ、40.3%がAIセキュリティ・ガバナンスを最優先に挙げ、クラウドセキュリティ（25.5%）を大きく上回った。

ところが、その投資が実際の管理強化につながっているかは別の話だ。

**61.5%**が、自社環境内のすべてのセキュリティツールが適切に設定されているとは言えないと回答
**61.8%**が、すべてのツールが能動的に監視されているとは言えないと回答

ガバナンス予算を積んでも、ツールの設定・監視が追いついていない状況が浮かび上がる。

「承認前に接続してからIT部門に通知」が常態化

問題の根本にあるのは、AIツールへのアクセス権限をIT部門を経由せずに現場が勝手に付与している実態だ。

AIツールを業務利用している組織のうち、36.8%が「従業員が接続してから事後にIT部門へ通知する」運用を採用しており、さらに6.5%はそもそも通知すら行わない。

DNSFilterのCEOであるKen Carnesiはこう述べている。

「多くの企業では、AIツールを企業データに接続するかどうかの判断を、リスクを負うべき人間ではない人が行っている。次の予算ラウンドはこのギャップを埋めることに集中しなければならない」

実際、46.1%の企業で従業員が未承認のAIツールをGoogle WorkspaceやMicrosoft 365、SSO環境に接続したケースがあり、そのうち20.1%でセキュリティインシデントが発生している。

自己申告と実態の乖離：約30倍の差

このレポートで最も注目すべきデータは、IT担当者の認識とネットワーク上の実態の乖離だ。

まず母集団となる実測データを確認しておきたい。DNSFilterが2026年8月に北米4万3,000以上の組織から処理した生成AIツール向けリクエストは34億件に上る。同月の2営業日の計測では、典型的な組織が5社の異なるAIベンダーに接続しており、15.2%は10社以上のベンダーに接続していた。

一方、IT担当者に従業員が業務で使うAIツールの数を尋ねたところ、55.3%が「3〜5個」と回答し、「10個以上」と答えたのはわずか0.5%だった。自己申告の中央値に相当する「3〜5個」と、実測で観測された接続先ベンダー数を比較すると、実態は自己申告の約30倍に相当するとレポートは示している。

※編集部の考察：元記事は「約30倍」という表現を用いているが、算出に用いた具体的な計算式（自己申告のどの値と実測のどの値を比較したか）は明示されていない。自己申告の最頻値「3〜5個」と実測の「10社以上が15.2%」という分布を照らし合わせた際の概算表現と読むのが自然だが、読者が独自に検証する場合は元レポート原文を参照されたい。

DNSFilterの脅威リサーチ担当VPであるKasey Bestはこう指摘する。

「残念ながら、組織が自己申告する数字とネットワーク上で実際に観測される数字は、しばしば大きく乖離している」

さらに、これらの生成AIリクエストのうち**ブロックされたのはわずか0.75%**だった。ガバナンス費用が「制御」ではなく「把握の試み」にすら届いていない可能性を示唆している。

予算承認者ほど楽観的という逆転現象

54%が、調達・ソフトウェア資産管理・セキュリティ監視チームが追跡できないAIコストが組織内に存在すると懸念している。ITマネージャー層ではこの割合が**58.8%**に上昇する。

一方、予算承認者（上位層）は追跡できない支出についての懸念が最も低い。現場の実務担当者はAIツールが購入されていることは把握しているが、詳細が見えていない——という構図だ。意思決定者が最もリスクを過小評価しているという、組織的な情報の非対称性が生じている。

こうした課題への対応として、企業のAIガバナンス実践を支援するフレームワークとしてはNIST AI RMF（AI Risk Management Framework）や、EUのAI Actが参照されることが多い。国内では経済産業省のAI事業者ガイドラインも策定されており、シャドーAI対策を含むガバナンス整備の指針として活用できる。

詳細はCompanies are spending more on AI governance and getting less controlを参照していただきたい。