5社に1社がシャドーAIインシデントを経験
AIガバナンスポリシーがどれほど整備されていても、従業員がIT部門に知られる前にAIツールへMicrosoft 365へのアクセス権を付与できてしまえば意味がありません。これはDNSFilterの新たな調査で浮き彫りになった厳しい現実です。同社の報告によると、調査対象組織の20.1%が、未承認のAI接続に起因するセキュリティインシデントをすでに経験しています。この数字に加え、説明が難しいもう一つのデータもあります。同じ組織の半数以上がAIガバナンスや監視コントロールを運用していると回答しているのです。
DNSFilterは2026年11月3日、The Cost of Shadow AIという2026年Visibility Deficit調査シリーズの一環として、これらの調査結果を発表しました。同社は、米国とカナダの従業員150〜5,000人規模の企業に勤務するマネージャーレベル以上のIT・サイバーセキュリティ担当者400名を対象に、2026年6月15日から26日にかけて調査会社Censuswideと共同でアンケートを実施しました。これはDNSフィルタリングを提供するベンダーによる自己申告型の回答であり、実際の監査で発見される内容とは異なる場合があります。あくまで北米の中堅企業に関する強い傾向を示す指標として参考にしてください。
CISOやコンプライアンス責任者にとって、この結果は極めて明確な警告です。規制当局や監査人が求めるのはポリシー文書そのものではなく、機密データにアクセスするすべてのAIシステムが承認され、制限され、記録されている証拠であり、それを数日以内に提示できることです。Kiteworksのセキュアデータ交換はまさにこの証拠問題を中心に設計されており、DNSFilterの数値がなぜ緊急性を増しているのかを本記事で解説します。
主なポイント
1. 5社に1社がすでにシャドーAIインシデントを経験
DNSFilterの調査では、回答者の20.1%が未承認のAI接続に起因するセキュリティインシデントを経験したとしています。
2. ガバナンスコントロールと未承認接続が共存
回答者の54.0%がAIガバナンスまたは監視コントロールを導入している一方で、46.1%は従業員が未承認のAIツールをGoogle Workspace、Microsoft 365、またはシングルサインオンに接続した経験があると回答しています。
3. 事後通知が主流の承認モデル
DNSFilterによると、43%の組織がAIアクセスの存在を事後、もしくは全く把握していません。
4. エージェントのスプロール化が次なる課題
Morgan StanleyのアドバイザーはAIエージェントの構築を約5万回試みており、誰にも採用されなかったエージェントは包括的なレビューが行われていません。
5. ポリシーより証拠が重要
規制当局が規制するのはデータでありモデルではありません。したがって、誰がどのコンテンツにどのポリシーの下で、どのような結果でアクセスしたかを示す記録こそが防御の根拠となります。
DNSFilter調査が実際に測定したもの
注目すべきは20.1%という数字です。約5社に1社の回答者が、未承認のAI接続がすでにセキュリティインシデントにつながったと答えています。ただし、リリースでは「インシデント」の定義が明記されていないため、この数字を侵害率と解釈すべきではありません。あくまで「自社がセキュリティインシデントと分類した何らかの出来事」を経験した回答者の割合です。
2つ目の数字は、こうしたインシデントがどのように発生するかを示しています。調査では、46.1%の組織で従業員が未承認のAIツールをGoogle Workspace、Microsoft 365、またはシングルサインオンプロバイダーに接続したと回答しています。これら3つのプラットフォームは機密性の高いビジネスコンテンツが集約されているため、未承認AI接続は単なるブラウザ実験ではなく、契約書や顧客情報、規制データを扱うシステムに対するOAuth権限を新たな第三者が持つことを意味します。
この権限が現場で何を意味するか考えてみてください。従業員が同意画面で「許可」をクリックすれば、AIツールはその従業員のIDでメール、ファイル、カレンダーなどのデータを無期限に読み取れるようになります。チケット申請もセキュリティレビューもありません。IDプロバイダーの観点では正規のアクセスですが、実際にはユーザーが許可しただけです。
これが「認可ギャップ」であり、権限がAIの利用範囲を決めるわけではない理由です。IDシステムは「このユーザーがこのアプリを承認したか？」には答えますが、「このアプリがこのユーザーの代理としてこのコンテンツを読むべきか？」には答えません。この2つの問いの間にシャドーAIが存在します。
組織のセキュリティを信じていますか。その証明はできますか？
今すぐ読む
なぜポリシーは同意画面で機能しないのか
DNSFilterの承認ワークフローに関するデータは、今回のリリースで最も有用な部分です。従業員が業務でAIツールを利用している組織のうち、36.8%は従業員がOAuthやAPIアクセスを自ら許可し、事後にIT部門へ通知しています。さらに6.5%は通知すらしていません。合わせて、AIアクセスの存在を事後、または全く把握しない組織が43%に上ります。
この数字は、単なる規律の欠如ではなく、組織のアーキテクチャを示しています。従業員による自己承認と事後報告を許容する組織は、通常ビジネス上の合理的な理由から、レビューよりスピードを優先しています。しかし通知モデルでは、権限付与の記録は残っても、その権限がどのコンテンツに及ぶかの判断はなされません。
もう一つの側面はコントロールの数です。回答者の54.0%がAIガバナンスや監視コントロールを運用しているにもかかわらず、未承認接続は依然として多発しています。率直に言えば、監視は接続の存在を知らせるだけで、ガバナンスはその接続が何にアクセスできるかを決定します。多くの組織は前者に投資しています。これが検知と制御のギャップであり、多くのプログラムが解消できていない課題です。
この違いは監査リスクに直結します。監査人が問うのはAIトラフィックが見えるかどうかではなく、規制対象記録へのアクセスが承認され、その承認がアクセス時に強制され、改ざん防止のログが残っているかどうかです。AIツールの接続数をカウントするダッシュボードでは、これらの問いに答えられません。
可視性ギャップはリーダーの想定以上に広い
DNSFilterのCEO、Ken Carnesi氏は注目すべき主張をしています。同社ネットワーク上の約7社に1社で10種類以上のAIツールが利用されている一方、自社環境でそれが起きていると認識しているITリーダーは100人に1人未満だというのです。完全なレポートでは両者の数字が明示されています。ネットワークデータは2026年8月、北米4.3万組織からの生成AIツールへの34億件のリクエストを対象とし、平日1日あたりのAIベンダー数をカウントすると中央値は5、15.2%が10社超を利用しています。一方、調査ではIT担当者の0.5%しか10種類超のAIツール利用を認識しておらず、ネットワークデータは自己申告の30倍です。
このネットワークデータが測定しているのは、DNSトラフィックに現れるAIベンダーの種類数であり、必ずしも承認・認可された統合ではなく「利用実態」です。どちらの数字もDNSFilter自身の顧客データに基づき、レポートの最後には自社製品のトライアル案内が付記されています。独立したデータではありませんが、他の現場報告とも方向性が一致しており、無視できないポイントです。
同じレポートでコントロール面はさらに脆弱です。全トラフィックのうち生成AIリクエストのブロック率はわずか0.75%であり、DNSFilterは多くの組織がガバナンス投資に見合う制御を実行できていないと指摘しています。別の設問では、61.5%が自社環境の全セキュリティツールが正しく設定されているとは言えず、61.8%が全ツールの稼働監視ができていないと回答。AIを許可するのは正当なポリシーですが、デフォルト許可は別問題です。
Verizonの2026年データ侵害調査レポートは、同じ行動をより堅実に捉えています。アンケートではなくデータ損失防止記録に基づき、ユーザーの67%が企業デバイスで非業務アカウントからAIサービスにアクセスし、従業員の45%が企業デバイスで定常的にAIを利用している（前年は15%）と判明。シャドーAIは非悪意的インサイダー行動の中で3番目に多い事例となり、4倍に増加しています。
両者を並べると、職場でのAI利用はもはや例外ではなく、その多くが組織の監督外アカウント経由で行われているというパターンが見えてきます。これはセキュリティチームがシャドーAIのブラウザ移行と呼ぶ現象です。Verizonの数字は2024年10月〜2025年11月のデータセットに基づき、インシデントやDLPデータの提供者によるものなので全数調査ではありませんが、異なる手法で同じ結論に至っています。
コンプライアンス責任者にとっての実務的な結論は、「AIポリシーがある」と「AIが規制データにどこで触れているか把握している」は別次元の主張であり、後者だけが規制当局の追及に耐えうるということです。
Morgan Stanleyに見るエージェントスプロールの予兆
シャドーAIは、従業員がチャットボットにテキストを貼り付けるだけの問題ではありません。次の層は従業員自身によるAIエージェントの構築です。American Bankerが2026年11月2日に報じたところによると、Morgan Stanleyのアドバイザーは自然言語プロンプトを使って約5万回もAIエージェント構築を試みており、その多くは定型業務の自動化が目的です。
重要なのは、その後のプロセスです。同社ウェルスマネジメント部門AI責任者のKoren Maranca氏は「エージェントを作って2回使ったら二度と触れないこともある」と述べています。記事によれば、チームで採用されたエージェントは利用後にレビュー・承認されますが、孤立したエージェントは包括的なレビューが行われません。
Morgan Stanleyは資金力も規制対応も万全な企業であり、制御体制も整備されています。実際、同社は1,000人超の体制でモデル出力のレビューを行い、本番移行前に徹底的な検証を実施。現在ではアドバイザーからの問い合わせの約半数をAIエージェントが一次対応しています。真剣に取り組む企業でさえ、事後レビュー型モデルではアクセス権が付与されたまま放置されるエージェントが残ってしまうのです。
DNSFilterの調査結果と並行する現象です。どちらも「先にアクセス権を付与し、後からレビューする」構造であり、どちらも人のIDに紐づく恒常的な権限が残ります。忘れ去られたエージェントも、忘れられたOAuth権限も同じく資格情報を保持し続けます。
だからこそ、エージェントも作成者である人間と同じポリシーエンジンと監査記録の下でガバナンスされる必要があります。エージェントは別種のリスクではなく、人の代理として行動し、その権限を継承し、それ以上の権限は持つべきではありません。根本的な課題はAIワークフローにおける権限委譲であり、明確な責任者を置く必要があります。新たなツールが現れるまでエージェントを無管理とするアプローチは問題の本質を誤認しており、既存のアクセス制御を適用すべきなのです。
現場は気づいている、ポリシーだけでは解決しない
4つ目の情報源として現場の視点を紹介します。O’Reillyが2026年9月に実施したセキュリティ専門家209名への調査では、49%が「従業員による商用AIツール経由の機密データ漏洩」を最大の懸念に挙げ、未検証AI出力への過度な依存と並びました。サンプル数は少なく、誤差範囲も明記されていませんが、方向性を示すデータです。
このサンプル内では、包括的なAIポリシーを持つ組織の17%がシャドーAIの蔓延を報告したのに対し、基本的なポリシーのみの組織では35%、ポリシーなしでは37%でした。サブグループの規模は非公開で、相関関係を示すのみですが、ポリシーの質が重要であり、薄いポリシーは無いのと同程度に機能しないことが示唆されます。
同調査ではエージェントリスクも問われ、最も懸念されるリスクとして28%が「過剰な権限または所有権の不明確さ」を選択しました。所有権の不明確さは、Morgan Stanleyの孤立エージェントが象徴する責任の空白です。誰かがエージェントを作り、誰も所有せず、権限だけが残るのです。
ここで注意すべきは、ベンダーデータの読み方です。Vorlonの2026年CISOレポート（米国CISO500名、2026年1〜2月調査）では、30.4%が2025年にAIエージェントの不審な活動を経験し、86.8%がAIツールとSaaSアプリ間のデータ交換を把握できていないと回答。米国限定かつベンダー主導の調査ですが、4つの異なるサンプル・手法・スポンサーで一貫した傾向が見られる点は重要です。
予算はガバナンスへ、証拠が投資の成否を決める
予算動向からもリーダーの危機感が読み取れます。DNSFilterによると、回答者の74.5%が12か月前よりサイバーセキュリティ予算を増額、18.8%は10%以上増加、40.3%が次の追加投資先としてAIセキュリティ・ガバナンスを挙げています（クラウドセキュリティは25.5%）。支出意向と実効性は別問題であり、どの投資がギャップを埋めるかは調査からは分かりません。
コンプライアンス部門でのAI関連支出も増加傾向です。Compliance WeekはS-RMの調査を引用し、225名のコンプライアンス担当者の78%が今後1〜2年でAI対応コンプライアンス・デューデリジェンスツールへの支出が約24%増加し、平均33.7万ドルから41.6万ドルに拡大すると予想しています。記事全文は有料のため冒頭数字のみですが、これは期待値であり実績ではありません。
両者の予算シグナルを合わせると、セキュリティリーダーはAIガバナンスに資金を投じ、コンプライアンス部門はより多くの機密文書をAIシステムに扱わせる流れが明確です。どちらもAIが規制データに触れる回数を増やし、「その都度の承認証拠」の価値を高めます。
すべての投資判断に適用すべきテストがあります。規制当局や監査人、あるいは訴訟相手から「特定の日にAIシステムが特定記録にアクセスした経緯」を問われたとき、数日以内に「誰が要求し、どのポリシーで許可され、どんな内容が返され、どのログに記録されたか」を提示できますか？もし複数ツールのログを何週間もかけて突き合わせる必要があるなら、その投資は可視化にはなってもガバナンスにはなっていません。
規制当局が規制するのはデータでありモデルではありません。HIPAAは人間かAIエージェントかを問わず記録の閲覧を規制し、金融・防衛・プライバシーデータを扱う他の枠組みも同様です。アクセス制御と証拠化の義務は、AIがどこにデータを持ち込もうとも変わりません。
AIツールだけでなくデータ層をガバナンスする
「ユーザーがこのアプリを承認した」と「このアプリがこのコンテンツを読むべきか」のギャップが問題なら、解決策はコンテンツへのアクセス時点でのポリシー強制です。つまり、ゼロトラスト・セキュリティの原則に従い、リクエストごとにデータ層でポリシーを適用する必要があります。リクエスターが人間でもアシスタントでも、ユーザーが作ったエージェントでも同じです。
これはKiteworks Compliant AIやSecure MCP Serverの設計思想です。MCP ServerはClaudeやCopilotなどのAIアシスタントがKiteworks内のコンテンツにModel Context Protocol経由でアクセスできるようにし、認証はOAuth 2.0を使用。すべての操作はKiteworks Data Policy Engineのロールベース・属性ベースのアクセスポリシーで評価され、AIは代理ユーザーの権限を継承し、それを超えることはできません。すべてのアクセスは統合監査ログに記録され、監査人が求める証拠となります。
この設計の2つの特徴は、DNSFilterの調査結果に直接対応しています。第一に、認可はリクエストごとにチェックされ、接続時だけでなく都度評価されるため、恒常的なOAuth権限がユーザーの全リソースへの恒常的なアクセス権になりません。第二に、監査記録はどのAIシステムが誰の代理でアクセスしたかを明示し、「AIがアクセスした」という曖昧さを排除します。これによりインシデント対応や規制対応が迅速化されます。ガバナンスはこの記録に依存しており、属性付けできないものはガバナンスできないのです。
Kiteworksは本記事で取り上げた調査や企業のデータパスには含まれていませんし、無許可接続の発見を担うツールの代替でもありません。シャドーAIの検知とコンテンツ層での強制は別の役割であり、両方が必要です。後者こそが規制当局が求める証拠を生み出します。
プログラム構築中の読者向けに、アーキテクチャを支える具体的な実践手順を以下にまとめます。
- Google Workspace、Microsoft 365、IDプロバイダーに対して既存のOAuth・API権限を棚卸しし、ビジネスオーナーが責任を持たないものは取り消す。
- 規制データにアクセス可能なAI統合については、事後通知型ではなく事前承認型に切り替え、承認に有効期限を設ける。
- すべてのAIエージェントに責任者を割り当て、一定期間利用されていないエージェントは権限を失うよう期限切れルールを設定する。
- AIデータ保護の一環として、AIリクエストに対してコンテンツレベルのポリシーを強制し、アクセス可否をアプリの同意ではなくデータの分類やユーザー属性で決定する。
- 証拠をテストする。AIアクセスイベントをランダムに選び、ID・ポリシー・コンテンツ・ログを揃えるまでの所要時間を計測する。
なぜ初回接続だけでなくすべてのリクエストを検証すべきなのか、ゼロトラストデータ保護の詳細もご参照ください。
次回の監査リクエスト前にやるべきこと
DNSFilterの調査結果は、自社の現状を測るきっかけとして読むべきです。自分が「インシデント未経験の80%」にいると決めつけず、AIリスクを短時間で棚卸しするのが最速の確認方法です。本調査の約5社に1社も、何かが起きるまで気づいていませんでした。
まずは最も簡単に把握できる数字から始めましょう。OAuth権限を持つサードパーティAIアプリの数を数えてください。IDプラットフォームの管理コンソールで一覧できることが多く、すぐに把握できます。
次に、責任者を決めましょう。AIセキュリティの責任所在は業界全体で曖昧であり、CIO・CTO・CISOのいずれが担当かは調査によって異なります。この曖昧さこそ解決すべき課題です。自社のデータガバナンスプログラムの下でAIデータアクセスの責任者を1名指名し、チーフコンプライアンスオフィサーやGRCチームに証拠記録の定期レポートを提供しましょう。
さらに、法務・プライバシー部門とも連携を。データ保護責任者や法務責任者は、問い合わせが来る前に「どのAIシステムがどの規制記録を処理したか」を把握したいはずです。監査証跡を今から整備しておけば、規制当局の期限下で再構築するよりはるかに低コストです。
最後に、セルフサービスAIの前提を見直しましょう。スピードは正当な目標ですが、AIの禁止はかえってシャドー化を促進します。現実的な解決策は「ガバナンスされた利用促進」であり、従業員が迅速に承認済みツールを使え、かつ承認がデータ層のポリシーで強制される仕組みです。AIデータガバナンスを検討中のチームは、この原則をプログラムの出発点にしてください。
AIによる機密コンテンツアクセスの監査対応証拠の整備について、カスタムデモを今すぐご予約ください。
よくある質問
いいえ。DNSFilterは、回答者の20.1%が未承認AI接続によるセキュリティインシデントを経験したと報告していますが、これは従業員150〜5,000人規模の北米企業に勤務するIT・サイバーセキュリティ担当者400名を対象としたベンダーの自己申告型調査です。「インシデント」は各回答者の分類によるもので、ポリシー違反からデータ損失の確定まで幅があります。自社のリスク測定の根拠にはなりますが、侵害率として扱うべきではありません。体系的なAIリスク評価により、自社環境に合わせてこのシグナルを活用できます。
監査人が一般的に求めるのは、アクセスが承認されていたこと、その承認がアクセス時に強制されていたこと、そしてID・コンテンツ・時刻・結果がログに記録されていることです。AIの場合、どのAIシステムが誰の代理で操作したかも含まれます。AIツールの接続数だけでは要件を満たしません。Kiteworksの監査ログは、AIリクエストを含む全チャネルの記録を統合し、1回の検索で証明できます。
ブロックすると利用が個人アカウントに流れる傾向があり、これはVerizonの2026年DBIRでも、ユーザーの67%が企業デバイスで非業務アカウントからAIサービスを利用していると報告されています。より良いデフォルトは「ガバナンスされた利用促進」であり、承認済みツールのリスト作成、規制データにアクセス可能なものは事前承認、データ層でのポリシー強制が推奨されます。ゼロトラスト原則による生成AIガバナンスのリソースで実践例をご覧いただけます。
AIセキュリティの責任所在は未確定であり、調査によってCIO・CTO・CISOいずれが責任者か異なります。この曖昧さは解決すべきギャップです。各エージェントに人間のオーナーを割り当て、そのオーナーの権限のみを付与し、監査記録でエージェントとオーナー双方にアクセスを帰属させることが重要です。Morgan Stanleyの事例は、孤立エージェントに有効期限ルールが必要な理由を示しています。コンプライアントAIと属性付けの仕組みについてもご覧ください。
監視は接続を観察し異常を検知しますが、データ層ガバナンスはリクエストごとにアクセス可否を判断し、その決定を記録します。DNSFilterの調査でも、半数以上がガバナンスや監視コントロールを運用している一方で、46.1%が未承認AIツールのコアプラットフォーム接続を経験しています。両方が必要であり、検知は接続を発見し、強制はアクセス範囲を制限します。Secure MCP Serverはコンテンツ層での強制の一例です。
追加リソース
- ブログ記事
手頃なAIプライバシー保護のためのゼロトラスト戦略 - ブログ記事
77%の組織がAIデータセキュリティで失敗している理由 - eBook
AIガバナンスギャップ：2025年に91%の中小企業がデータセキュリティでロシアンルーレット状態 - ブログ記事
あなたのデータには「–dangerously-skip-permissions」は存在しない - ブログ記事
規制当局は「AIポリシーの有無」を問うのをやめました。今求められるのは、その有効性の証拠です。