エージェンティックAIガバナンスのギャップ、いまやコンプライアンス問題に

組織は、AIエージェントに対して機密データへのアクセス権限を与えるスピードが、そのアクセスを管理するための統制構築よりもはるかに速くなっています。職場の法律事務所のレポート、大学の研究、証券規制当局、医療記録ベンダー、クラウド脅威チームが、数日のうちに相次いで調査結果を発表し、いずれも同じギャップを指摘しています。テクノロジーは「提案」から「実行」へと進化しており、その動きを監視する証拠が追いついていません。

本記事は、その糸をまとめ、説明責任を問われるCISOやチーフコンプライアンスオフィサーに向けて解説します。主張はシンプルです。患者記録を閲覧したり、ファイルを変更したり、クラウドモデルを呼び出したりできるAIエージェントは、特権を持つ「アイデンティティ」です。その管理は、ゼロトラストモデルのもとで他の特権アイデンティティを管理するのと同様であり、到達可能範囲を制限するポリシーと、実際の行動を記録する仕組みが必要です。この記事では、最新の証拠が示す内容、どこにリスクがあるのか、防御可能な立場とは何かを解説します。

主なポイント

1. 導入がガバナンスを上回っている

法律事務所が伝えるGartnerのデータによれば、エージェントの導入は急増が予想される一方、ガバナンスが適切だと考える組織は少数です。

2. エージェントはAIを「助言」から「実行」へ変える

アシスタントが実際に行動できるようになると、統制の焦点はアウトプットの品質からアクセス権限と説明責任に移ります。

3. 情報開示は不十分

MITの調査によると、ほとんどのAI企業は自らが生み出すリスクについてほとんど語っておらず、エンタープライズの導入企業が自ら精査する必要があります。

4. 規制当局がAIの主張を検証し始めている

SECの執行部長は、誇張されたAI能力の主張は精査の対象になると述べており、主張には裏付けとなる記録が必要です。

5. 最小権限が現実的な解決策

Googleは、AI認証情報が盗まれた場合の対策として「明示的に必要な権限以外はすべて拒否する」ことを推奨しています。

最新の証拠が示すギャップの実態

まずは問題を示す数字から見ていきましょう。Littler Mendelsonの職場におけるエージェント型AIのレポートは、「職場AIを『提案』から『実行』へと進化させる」と述べています。Gartnerの2026年CIO・テクノロジーエグゼクティブ調査によれば、AIエージェントの導入率は2026年の17%から2年以内に60%以上へ急増し、日々の業務判断の少なくとも15%がエージェント型AIによって自律的に行われると予測されています。

同じ資料によると、74%の組織が2年以内に中程度のAI活用を見込む一方、ガバナンスが適切だと考えるのはわずか13%です。また、2027年末までにエージェント型AIプロジェクトの40%以上がコスト、ビジネス価値の不明確さ、不十分なリスク管理を理由に中止されると予測されています。これらは法律事務所が伝えるGartnerの二次データですが、現場のセキュリティチームが感じている「熱意はあるが、エージェントが何にアクセスできるかの棚卸しができていない」という実態と一致しています。

このギャップは、正確に説明する価値があります。組織にAIポリシーがないわけではありません。多くの組織はポリシーを策定しており、優れたデータガバナンスの実践ではさらに多くが求められています。しかし、ポリシーの記述と実際に強制される統制は別物であり、監査人や規制当局が問うのは後者です。Littlerは「Decide, Design, Defend（決定・設計・防御）」というフレームワークを提案しています。エージェントに何を許可するか決定し、それを強制する統制を設計し、誰かに問われた際には記録でその決定を防御する、という実践的な要点です。

なぜエージェントは特権アイデンティティなのか

新しさを取り払って、エージェントをセキュリティの観点から説明しましょう。エージェントは認証情報を持ち、システムに接続し、読み書きや送信を行い、信頼できないコンテンツから指示を受けて動作することもあります。これらはすべて特権アイデンティティの属性であり、既存のセキュリティ統制がそのまま適用されます。エージェントには明確な範囲設定、共有されない認証、リクエストごとの認可判断、そして監査ログとして提出可能な行動記録が必要です。

違いはスピードと規模です。人間が過剰なアクセス権を持つと被害は徐々に広がりますが、エージェントの場合は数秒で数千件の記録に影響を与えることもあり、誰にも通知しないかもしれません。だからこそ、「モデルの精度」ではなく「エージェントが何に触れることを許されているか」「その行動を再現できるか」が問われます。その答えはインシデント発生前に用意しておく必要があります。事後では証拠があるかないかしかありません。

また、根本的な可視性の問題もあります。チームは、存在を把握していないエージェントを管理できません。最初の運用ステップ、そしてあらゆるAIデータガバナンスプログラムの基盤は、「どのエージェントが存在し、どのデータにアクセスでき、所有者は誰で、どのコネクタを使っているか」の棚卸しです。このリストがなければ、以降の統制はすべて推測に頼ることになります。

医療記録の事例が示す曖昧さ

最近の医療分野の例は、この抽象的な議論を具体化します。HealthcareInfoSecurityの報道によると、AthenahealthはathenaPatient MCPという接続機能を発表しました。これにより患者はAnthropicのClaudeに自分の検査結果、薬、診断、アレルギー、予防接種、処置、ケアプランなどの情報取得を許可できます。米国のClaude ProおよびMaxの加入者が、athenahealthの患者ポータル認証情報でログインする仕組みです。Athenahealthは、患者がいつでもアクセス権を取り消せること、共有情報はセッション中のみ保持されることを明記しています。

法的な論点が興味深い点です。Athenahealthは「このユースケースではHIPAAは適用されない」との立場を示しています。Akerman LLPの弁護士Jordan Cohen氏は「記録が患者の手に渡った時点でHIPAAは一般的に適用外となる」とコメント。Rachel Rose氏はテキサス州下院法案300号とその広範なカバードエンティティ定義を指摘し、心理療法の記録や42 CFR Part 2の記録はこのようなシステムに入れないよう助言しています。つまり、患者がアシスタントにデータ取得を許可した場合、HIPAAの保護がその後もデータに適用されるかどうか、専門家の間でも意見が分かれています。

記事は2026年8月のPew調査を引用し、米国成人の34%が健康目的でAIチャットボットを利用したとしています。つまり、このシナリオは仮定ではありません。機密性の高い健康情報を扱う組織にとって重要なのは、このコネクタ自体の善し悪しではなく、「機密記録がAIアシスタントへプロトコル接続で流れた瞬間、責任者は誰か、どのルールが適用されるか、どんな記録が残るかが曖昧になる」という教訓です。コンプライアンスチームは、データが移動する前にその曖昧さを文書化して解消し、解決するまでリスクの高いカテゴリのデータは流通させないようにすべきです。どの接続がどれだけのデータを扱うべきかの参考として、HIPAA最小限必要ルールが有用です。

情報開示が不十分なため、精査責任は導入側に

ベンダーがリスクを明確に開示していれば、エンタープライズの精査は容易になります。しかしMITの2026年初頭のデータを用いたレポートによれば、現実はそうではありません。上位1,000社のAI企業の62%、上位100社の32%が潜在的リスクについて言及していません。開示している企業も、差別・武器やサイバー攻撃・詐欺やスキャム・プライバシー喪失・人間の創造性の価値低下の5カテゴリのみを挙げています。

金融・保険業界は平均2.9件のAIリスクを認識しているのに対し、情報産業では7.1件です。エンタープライズで急速に普及しているにもかかわらず、マルチエージェントシステムのリスクに言及する企業はほとんどありません。MIT FutureTechのPeter Slattery氏は「現時点ではその透明性が非常に低い」と述べています。なお、この記事のデータは6月のHugging Faceインシデント以前のものであり、状況が変わっている可能性も指摘されています。

実務上、モデルプロバイダーの公開リスク説明だけでは自社の規制当局対応は不十分です。エンタープライズは自ら、どのようにリスクを評価し、何を決定し、どんな統制を適用したかの記録を作る必要があります。その記録こそが、ベンダーの主張を自社の証拠に変えるものです。これはサプライチェーンリスク管理ファイルに、エージェントやコネクタの棚卸しリストと並べて保管すべきです。

規制当局が主張の検証を始めている

情報開示の問題は両方向に影響します。2026年10月30日、SEC執行部長David Woodcock氏は、ReutersおよびLaw360の取材に対し、同庁が企業のAI開示を監視していると述べたとDebevoise Data Blogが伝えています。Woodcock氏は「AI能力を誇張した発言」や「事業の中核部分でAIの利用やリスクを開示しない」公開企業が執行対象になるとし、過去にはAIやロボティクス能力を過大に表現した民間企業への措置例も挙げ、今後は公開企業にも同様の調査が及ぶと予想しています。

Debevoiseの著者は、投資家向け資料のAI隠し（AI hushing）を見直し、AIやエージェント型機能の定義を明確にし、実績主張には記録で裏付けを取り、リスク評価を開示内容に反映させるよう助言しています。ガバナンスギャップと共通するのは「証拠」です。エージェントが統制下で運用されていると主張するなら、ポリシー・統制・ログを示せる必要があります。AI能力が高度だと主張するなら、それを裏付ける記録が必要です。どちらも裏付けのない主張はリスクとなります。

これは他のサイバーセキュリティ分野の執行事例とも共通し、「表明と実態の乖離」がリスクの源泉となることを示しています。同じ論理がAIの主張にも適用される時代になりました。

AI認証情報の流出が広範なアクセス権限のコストを示す

最後の論点は、過剰な権限のコストを最も直接的に示す事例です。Google Threat Intelligence GroupとMandiantは、攻撃者が盗まれたAPIキーや公開モデルエンドポイントを使ってクラウドAIの課金を膨らませる「LLMjacking」という手口を分析しました（BleepingComputer報道）。被害者の中には1日で10万ドル以上、累計で100万ドルに達したケースもあります。攻撃者は「LLMミキサー」と呼ばれるサービスでアクセス権を販売し、その一つJet Nightは月額60ドルで無制限アクセスプランを提供しています。

Googleは脅威クラスターとLiteLLMの脆弱性を指摘し、対策として「明示的に必要な権限以外はすべて拒否し、Cloud LLMサービスへのアクセスも含める」ことを推奨しています。これらのケースでの被害はコンテンツ窃取ではなく請求詐欺ですが、アイデンティティと認証情報の層で発生しています。AIサービスにアクセスできる認証情報は価値が高く、権限が狭いほど攻撃者の利益は減ります。

機密コンテンツに触れるエージェントについても、同じアドバイスがより重要になります。各エージェントのデータ範囲と実行可能なアクションを最小限に絞り、ゼロトラストデータ保護戦略に従って独立したアイデンティティで認証し、すべてのリクエストを記録しましょう。

既存フレームワークはすでにAIをカバーしている

よくある誤解は「AI専用の法律ができるまで待つべき」というものですが、実際には多くの既存フレームワークがAIアクセスもすでに対象としています。医療分野のプライバシー規則は、保護対象情報の利用・開示方法を規定しています。金融規制当局もAIをサイバーガバナンスの一部とみなし始めており、NYDFS Part 500はその一例です。GDPRなどのプライバシー規制も、誰がどの根拠で個人データを処理するかを問うものであり、個人データを処理するエージェントも他のプロセッサーと同様に問われます。

重要なのは、すべてのフレームワークがエージェントを明示的に言及しているわけではないという点です。ほとんどはそうではありません。根底にある義務はテクノロジーに依存しません。「必要最小限へのアクセス制限」「アクセスのログ取得」「誰が何を見たか説明できること」は、実行者が人間でもスクリプトでもエージェントでも同じです。既存の義務にエージェントの棚卸しをマッピングすれば、ほとんどの作業は見慣れたものになるでしょう。新しいのは「量」と「スピード」であり、人手の時代よりも自動化された統制と証拠が重要になっています。

また、しばしば混同される2つの問いを分けて考えることも重要です。1つ目は「エージェントが行動を取ることが許可されているか」というポリシー・アクセスの問題。2つ目は「その後、何が起きたかを証明できるか」という証拠の問題です。前者だけに答えるガバナンスでは、後者を問われたときにリスクが残ります。SECがAI主張の裏付けに関心を示していることは、今後ますます後者の問いが増えることを示唆しています。

CISOとCCOが今すぐ取るべき行動

以下のステップは、どれも新たな規制を待たずに迅速にリスクを低減できる順に並んでいます。

まずは棚卸しから始めましょう。全てのAIエージェント、アシスタント、コネクタをリストアップし、セキュリティレビューを経ていない業務部門導入分も含めます。それぞれについて、所有者・アクセス可能なデータ・使用する認証情報・承認日を記録します。これがすべての基盤です。

次に、各エージェントができることを定義し、アクセス時点で強制します。文書化されたポリシーが出発点ですが、実際に誰が・何を・どのデータで・どんなアクションを求めているかに基づいて毎回評価される強制ポリシーこそが統制です。最小権限を適用し、明示的に必要でないものはすべて削除しましょう。

その後、規制対象データがどこに流れてよいか・いけないかを決めます。HIPAAのような曖昧さは自社の状況に合わせて文書化して解消します。保護がデータに付随するか専門家の間で意見が分かれる場合は、リスクが最も高いカテゴリのデータは立場が確定するまで流通させないようにします。

次に、エージェントの行動を再現できるかテストします。1つのエージェントを選び、先月どの認証情報で、どのポリシーのもと、何にアクセスしたかの完全な記録を求めてみましょう。これを集めるのに数日や複数システムが必要なら、それが優先的に解消すべきギャップです。

最後に、外部向けの主張を点検します。投資家・顧客・規制当局に伝えたAI能力や統制について、裏付けとなる記録と照合し、乖離があれば第三者に指摘される前に修正しましょう。

もう1つ、最初からプログラムに組み込むべき習慣があります。棚卸しを定期的に（四半期ごとやエージェント利用方法の大きな変更後など）見直し、その記録を残します。エージェント利用は監査の合間にも新たなコネクタや用途が急速に増えます。日付入りの見直し記録は、ガバナンスが「生きているプロセス」であることを示し、CISOやチーフコンプライアンスオフィサーが取締役会でAIリスク管理を説明する際の共通資料となります。

エージェントガバナンスを簡単にテストする方法

セキュリティやコンプライアンスチームに有用な演習は、現在利用中のエージェント・アシスタント・コネクタを1つ選び、次の5つのシンプルな質問に答えられるか試すことです。「誰が承認したか？」「どのデータにアクセスできるか？」「誰のアイデンティティで動作するか？」「先月何をしたか？」「問題が起きたら誰に連絡するか？」これらは規制当局・監査人・インシデント対応者が問う質問であり、背後にどのモデルがあるかには依存しません。

多くの組織では、最初の2つ（承認・範囲）は容易に答えられますが、後半3つ（アイデンティティ・行動記録・所有者）は難しいのが実情です。承認や範囲は最初に文書化されますが、アイデンティティや活動記録、所有者はパイロット運用が依存関係に成長する過程で曖昧になりがちです。Littlerが伝えるGartnerの資料では、エージェントが日々の意思決定の少なくとも15%を自律的に担うと予測されており、承認内容と実際の運用のギャップは、誰かが責任を持たない限り拡大します。この演習は一度きりの監査ではなく、定期的なチェックとして実施し、いつでも第三者に提出できる形で記録を残しましょう。

KiteworksによるガバナンスされたAIアクセスの支援

AIがファイル・メール・記録などの機密コンテンツにアクセスする部分は、通常の統制外の接続経由でアクセスが許可されるため、ガバナンスが最も破綻しやすい領域です。Kiteworks Secure MCP Serverは、すべてのエージェントリクエストをロールベースおよび属性ベースアクセス制御で評価し、エージェントの活動を統合監査ログに記録します。Compliant AIはデータ層でガバナンスを適用し、認証済みアイデンティティ・ポリシー・暗号化を確認してからコンテンツを開放し、MCP互換AIモデルと連携します。これにより、コンプライアンスチームはエージェントが何に触れたかを一元的に確認できます。

これは上記で述べた作業を支援するものであり、代替するものではありません。プラットフォームはポリシーの強制や記録の生成を担えますが、エージェントの棚卸し・リスク判断・規制当局への説明責任は引き続き組織自身の責任であり、統制が要件を満たすかどうかは評価者が判断します。

機密コンテンツへのAIアクセスを監査対応可能な証拠とともにガバナンスする方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事
  AIプライバシー保護を手軽に実現するゼロトラスト戦略
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：2025年に小規模企業の91%がデータセキュリティでロシアンルーレット状態に
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局は「AIポリシーがあるか」を問うのをやめました。今求められるのは「機能している証拠」です。