AIエージェントが失敗したとき、その影響の責任を誰も負わない

欧州および中東の経営層の8割が、過去1年以内にAIインシデントが取締役会や経営幹部層に報告されたと答えています。しかし、次にAIエージェントが問題を起こした場合、誰が責任を持つのか尋ねると、どの役職も17%を超える票を集めることはありません。

この分裂は、2026年10月14日に発表されたIBMの調査によるもので、英国、フランス、ドイツ、イタリア、スペイン、オランダ、サウジアラビア、UAEの従業員1,000人以上の組織に所属する3,221人の経営層をCensuswideが調査しました。調査期間は2026年9月14日から24日まで。80%というインシデント発生率が見出しとなりましたが、CISOやチーフコンプライアンスオフィサーにとってより重要なのは、エージェントが問題を起こした際の責任所在に関する回答です。

これを「所有者不在のインシデント」と呼びます。取締役会はAIリスクの責任者を正式に割り当てているものの、エージェントは機密データに触れ続け、何か問題が起きると責任の所在が8つの異なる回答に分散します。これはガバナンスの問題であり、証拠の問題でもあります。なぜなら、規制当局が「誰がエージェントに記録の閲覧を許可したのか」と問う際、求められるのは委員会ではなく、個人名とログだからです。Kiteworksのセキュアデータ交換は、この「証拠」の部分に対応しており、本記事ではその2つの側面がどのようにつながるかを解説します。

主なポイント

1. インシデント件数はもはやニュースではない

調査対象となった経営層の80%が、過去1年以内にAIインシデントが取締役会や経営幹部層に報告されたと答えており、今問われているのは、リーダーシップがその対応について何を証明できるかです。

2. 重要な場面で責任が分散している

取締役会レベルでのAI責任者はほぼ全ての組織で設定されていますが、AIエージェントが問題を起こした際に単独で指名される役職は17%を超えません。

3. 非公式なエスカレーションは監査リスクとなる

リーダーに報告されたインシデントの3分の1以上が非公式に伝達されており、チーフコンプライアンスオフィサーが「いつ・何が決定されたか」の記録を持たない状態です。

4. 契約条項はコントロールではない

多くの組織はベンダーAIを契約条項や監査権で管理していますが、継続的なサードパーティAIの監視や独立した保証を求めているのはごく一部です。

5. データ義務は変わっていない

EU AI法のスケジュールは変更されましたが、GDPRのセキュリティ・侵害通知義務やNIS2の報告義務は、現在もエージェントのアクセスに適用されています。

取締役会の8割がすでにAIインシデントを経験

誰も否定できない数字から始めましょう。IBMの「AIガバナンスの新たな現実」レポートによると、調査対象の経営層の80%が、過去1年以内にAI関連インシデントが取締役会や経営幹部層に報告されたと回答しています。もはやリスクマップ上の仮想的なリスクではなく、繰り返し議題に上がる現実の問題です。

その後に何が起きたかが、インシデント件数以上に重要です。インシデントが上層部に報告された組織のうち、43%はそのレベルで正式にレビューされ、37%は非公式に伝達されたと回答しています。もう一度確認しましょう。3分の1以上のケースで、AIインシデントはガバナンスプロセスを経ずに、廊下での会話のような非公式な形で組織のトップに伝わっています。

非公式なエスカレーションには、精査に耐える記録が残りません。監督当局が「リーダーシップはどのようにインシデントを知り、何をいつ決定したのか」と問う際、「話し合った」という回答はチーフコンプライアンスオフィサーが規制当局に提出できるものではありません。正式なレビューこそがコントロールであり、非公式な言及はリスクとなります。

レポートが挙げる結果も具体的です。インシデントが上層部に報告された組織のうち、40%がAIガバナンスポリシーの変更、38%が投資や導入計画の変更、37%が外部アドバイザーの関与、35%が規制当局への通知を主な結果として挙げています。これらは方向性を示すものです。ベンダー委託による自己申告型の調査であり、世界全体ではなく8市場を対象としています。

それでも、規制当局への通知率は再確認に値します。なぜなら、このリストの中で監督当局が自らの記録で検証できる唯一の数字だからです。インシデントをエスカレーションした組織の3分の1以上が、最終的に規制当局とも話をしています。監査対応を担う担当者にとって、証拠の問題は「いつか」ではなく「今四半期」の課題となります。

取締役会レベルの責任はあるが、エージェントの責任は不在

形式上は整っているように見えます。IBMの調査では、回答者の98%がAIリスクについて取締役会レベルで正式に責任を割り当てており、26%は取締役会レベルのAI委員会を設置しています。ガバナンス体制はほぼ全ての組織で整備されています。

では、より難しい質問です。AIエージェントが問題を起こした場合、誰が責任を負うのでしょうか？CIOまたはCTOが最も多く（17%）挙げられましたが、どの役職も17%を超えません。C-suite全体の責任が14.5%、チーフリスクオフィサーまたはチーフコンプライアンスオフィサーが14%、チーフAIオフィサーが13%、導入チームが11%、AIベンダーが10%、事業部門リーダーが10%、CEOが9%という結果です。

これは組織図の意見の相違ではなく、組織図自体が存在しないことを示しています。取締役会の委員会がリスクカテゴリを所有することはできますが、インシデントには「エージェントが何に触れ、誰の権限で、どのポリシーのもとで行動したか」を説明できる個人が必要です。8つの異なる回答があり、いずれも過半数に達しないという事実は、多くの組織がまだ責任の割り当てを明確にしていないことを示しています。

この分裂は、あらゆる調査に注意が必要であるのと同様に、慎重に扱うべきです。2026年のIBM委託調査は、8市場の経営層を対象としたものであり、AIセキュリティの責任者が誰かという業界の定説ではありません。異なる地域・対象者に尋ねると、CIO、CTO、CISOがそれぞれトップになることもあります。唯一一貫しているのは、この「分裂」そのものです。

ここが本質です。委員会レベルだけに存在する責任では証拠は生まれません。証拠はデータ層で生まれ、そこでは「指名された人間の承認者」「エージェントのID」「ポリシー決定」「ログ記録」が一致します。このチェーンが存在すれば、「誰が責任を持つか」という問いに事実で答えられます。なければ、組織は責任のなすり合いをしている間に、規制当局のタイムリミットが進み続けます。

CISOは、たとえ役職名が挙がらなくても、この空白を引き継ぐことが多いです。セキュリティ責任者は、インシデントが現実になったときに取締役会が頼る幹部であり、責任チェーンの欠如は個人の問題であり、組織の問題でもあります。

人のためのガバナンスがエージェントにも拡張されている

エージェントは、すでに多くの組織で本番運用されています。IBMによると、35%が本番環境でエージェント型AIを運用しており、2027年までに75%が全てのアクションに人間の承認を必要としないエージェントの運用を見込んでいます。一方で、ガバナンスがエージェント展開に対応できると答えたのは37%にとどまり、さらに45%は「対応できるが強化が必要」としています。

これらの数字を並べると、課題の輪郭が見えてきます。導入にはスケジュールがありますが、ガバナンスは意図にとどまっています。レポートによれば、56%がガバナンスの適応を待たずに合意されたリスク範囲内で導入を進めており、3分の1はガバナンスが整うまで導入を遅らせています。大多数は「飛行中に飛行機を組み立てている」状態です。

この「ガバナンスの遅れ」こそが問題の本質です。エージェントが規制対象データに触れ始めた日から、それを管理するコントロールが証拠レベルに達する日までのギャップ。この期間中は、後から再現できないアクセスイベントが発生し続けます。

社内での説明において重要な補足があります。「全てのアクションに人間の承認が不要」とは、独立性ではなく「委任」を意味します。人間がワークフローを承認し、ポリシーがエージェントのアクセス範囲を定め、ログが両者を記録します。エージェントは、人間と同じガバナンスモデルの下で「第二のID」として加わるのであり、人間の責任チェーンを置き換えるものではありません。エージェントを責任チェーンの外にいる自律的な存在とみなすプログラムは、すでに課題を誤解しています。

ここで「待つこと」のコストも明らかになります。すでに本番運用中のエージェントにID・ポリシー・ログ機能を後付けするのは、記録されていなかった履歴を再構築することを意味します。最初からデータ層にコントロールを組み込めば、エージェントの最初のリクエストからすべてが管理されます。AIデータガバナンスを早期に実施する方が、後からフォレンジック対応するよりもコストがかかりません。

分散した責任には一つの証拠チェーンが必要

責任が分散している場合でも、証拠チェーンは一つでなければなりません。これが、組織図の決着を待たずに空白を埋める設計原則です。

まずは承認者から始めます。すべてのエージェントワークフローは、それを委任した指名された人間に遡れるようにすべきです。これは、人間ユーザーのアクセスがアカウントに紐づくのと同じです。エージェントのIDが委任した人間のIDに紐づいていれば、どの役職がAIリスクを所有していても「誰が責任を持つか」という問いに事実で答えられます。

次にポリシーです。役割ベースのルールは、職務ごとに何が見られるかを決めますが、エージェントは複数のタスクを横断して動作するため、役割だけでは権限が過大または過小になります。属性ベースアクセス制御は、エージェントのプロファイル、データの機密性、リクエストの状況、要求された操作を評価します。フォルダーの閲覧を許可されたエージェントが、自動的にダウンロードまで許可されるわけではありません。

そして記録です。改ざん検知可能な監査証跡が、「誰がエージェントを承認し、どのデータに触れ、どのポリシーのもとで、いつ行われたか」を記録することで、インシデントは調査から報告へと変わります。この違いは実務上重要です。規制当局は日単位で動いており、証拠パッケージの作成に数週間かかるようでは、指摘を受けるリスクが高まります。

Kiteworks Compliant AIは、まさにこの考え方でデータ層におけるエージェントアクセスを管理します。エージェントのIDを検証し、人間の承認者と紐づけ、各リクエストを属性ベースのポリシーで評価し、FIPS 140-3認証の暗号化を適用し、改ざん検知可能な監査記録を作成します。Kiteworks Secure MCP Serverは、ClaudeやCopilotなどのAIクライアントにも同じモデルを適用し、各リクエストがOAuth 2.0を通じてユーザーの既存権限を継承し、メール、ファイル共有、マネージドファイル転送をカバーする同一の監査証跡に記録されます。チャネルを横断した一つの監査証跡が重要です。5つのツールを使えば5つの監査ギャップが生まれます。

ベンダーブラインドスポットは監査ブラインドスポット

責任問題は企業の境界で終わりません。IBMの調査では、経営層の54%が、主要ベンダーやサプライチェーンパートナーが利用するAIのガバナンスカバレッジにギャップがあることを認めています。

組織が採用しているコントロールが現状を物語っています。契約条項が43%で最多、監査権が39%で続きますが、サードパーティAIリスクの継続的監視は21%、独立した保証や認証は13%にとどまります。紙上のコントロールが主流で、実際の監視は大きく遅れています。

条項は約束に過ぎません。ログこそが事実です。パートナーのエージェントが自社の規制対象データに触れた場合、契約は「何が起こるべきだったか」を示し、実際に「何が起こったか」を示せるのは自社の記録だけです。この非対称性こそがベンダーブラインドスポットであり、データが自社環境を離れた際にアクセス履歴を求められた瞬間、監査ブラインドスポットとなります。

欧州の組織にとっては、このリスクは法制化されています。NIS2指令は、対象組織にサプライチェーンセキュリティをサイバーセキュリティリスク管理措置の一部として管理することを求めており、管理体制の承認・監督責任を経営層に課しています。実務的には、サードパーティリスク管理が、パートナーやそのエージェントが自社データで何をしたかの証拠を出せなければならず、署名済みアンケートだけでは不十分です。成熟したベンダーリスク管理プログラムは、アクセスログやポリシー決定を要求し、それらが存在することを規制当局より先に確認します。

このギャップには、リスクレジスターには現れにくいコストもあります。ベンダーのエージェントが自社データに触れ、ログがベンダーのシステムにしか残らない場合、規制当局への回答はベンダーの対応速度や保存期間に依存します。どちらも、72時間以内の対応が求められる中で契約条項だけでは保証できません。

AI法は延期されたが、データ義務は変わらない

一部の経営層は、EU AI法のスケジュール変更を「安心材料」と受け取るかもしれません。AI Omnibus（Future of Privacy Forumによる要約）によれば、AI法Annex IIIの高リスク要件の適用日は2026年8月2日から2027年12月2日に、Annex Iシステムの適用日は2027年8月2日から2028年8月2日に延期されました。議会は2026年6月16日、理事会は6月29日に採択し、7月24日に官報に掲載されました。

これは一つの規制のスケジュール変更に過ぎず、ガバナンスの一時停止ではありません。IBMは、EUの調査対象経営層の41%が高リスク義務に先立ちガバナンス投資を加速していると指摘しており、多くの組織がこの延期を正しく理解し、待つのではなく構築に時間を使っていることがうかがえます。

理由は明快です。規制当局が規制するのはモデルではなくデータです。GDPRは、人間であれソフトウェアエージェントであれ、個人データの処理に適用され、32条の処理のセキュリティ義務や33条の72時間以内の侵害通知義務は、AI法のスケジュールに左右されません。NIS2も独自の報告タイマーを持ち、重大インシデント発生から24時間以内の早期警告、72時間以内の詳細通知が求められます。これらの義務にはエージェントに対する例外はありません。

したがって、チーフコンプライアンスオフィサーやデータプライバシー責任者（DPO）にとって実務的な問いは変わりません。エージェントが深夜2時に個人データにアクセスし、問題が発生した場合、組織は「誰がアクセスを許可し、エージェントが何を見て、どのポリシーで許可されたか」を規制当局のタイムライン内で証明できるでしょうか？この問いに答えられないDPOは、AI法の2027年施行に関係なく、現時点でGDPR上リスクにさらされています。

次回取締役会までにCISOとCCOができること

「どの幹部がAIを所有すべきか」と問うのをやめ、「各エージェントワークフローに所有者・ポリシー・ログがあるか」を確認しましょう。これは今月中に検証可能な3つの項目であり、幹部の責任問題がどう決着しても有効です。

まず、規制対象データに触れるすべてのエージェントワークフローに指名された人間の承認者を割り当て、その割り当てをIDシステムと監査証跡の両方で記録します。「AIリスク」を委員会が所有しても、「このエージェントのアクセス」を個人が所有しなければなりません。IBM調査で責任が8つに分散した背景には、この割り当ての欠如が多く見られました。

次に、証拠演習を実施します。1つのエージェントワークフローを選び、チームに対し、エージェントの行動サンプルについて「誰が承認し、どのデータに触れ、どのポリシーで許可されたか」を含む完全なアクセス記録を数時間以内に提出させます。回答に数週間かかる場合、それが証拠ギャップの大きさであり、取締役会に持ち込める数字です。

三つ目は、インシデントエスカレーションの形式化です。リーダーに非公式に伝達された37%のインシデントも、決定内容と時期を記録する文書化されたレビューを通じて伝達されるべきです。リーダーシップの対応を記録した文書自体が証拠となり、コストも低く抑えられます。

四つ目は、ベンダーAIを契約条項から実際のコントロールへ移行することです。自社データに触れるエージェントについて、パートナーにログやポリシー決定の提供を求め、その受領権を契約に明記します。継続的監視の21%という数字を上回ることが目標です。

五つ目は、データ最小化をオペレーションレベルで徹底することです。エージェントがタスクに必要なデータのみを受け取ることで、障害発生時のインシデント規模が小さくなり、監督当局への説明も簡単になります。

IBM自身の見解も壁に掲げる価値があります。リリースでEMEA・APAC担当会長Ana Paula Assis氏は「ガバナンスはもはやコンプライアンス対応として扱うべきものではない」と述べています。監査対応を担う人にとって、その帰結は明白です。「オンデマンドで証拠を出せないガバナンス」は、どんなラベルが付いていても依然としてコンプライアンス対応に過ぎません。

AIエージェントによる規制対象データへのアクセスについて、証拠レベルの記録を作成する方法の詳細は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事
  AIプライバシー保護を実現するゼロトラスト戦略
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：2025年に91%の中小企業がデータセキュリティでロシアンルーレット状態に
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局は「AIポリシーがあるか」ではなく「機能している証拠」を求めている