AIエージェントのアクセス拡大、説明責任が追いつかず

AIエージェントはすでに顧客情報、機密性の高い知的財産、そして人事ファイルへのアクセス権を持っています。そして、もしそのうちの1つが不正な動作をした場合、組織として誰が責任を負うのか明確に説明できないこともあります。

これは、1PasswordのAIエージェント導入調査が描く現実です。この調査は、従業員250名以上の米国企業に勤務するフルタイム従業員1,000人（IT・セキュリティ担当者と開発者が半数ずつ）を対象に実施されました。調査期間は2026年5月26日から6月3日までです。回答者の71%が、自社のAIエージェントが顧客データや機密IP、人事情報にアクセスできると回答し、既存のID・アクセス管理プロセスでそれらのエージェントを管理していると答えたのはわずか35%でした。

アクセスは誰もが目にできる部分です。しかし、より難しいのは、インシデント後に規制当局や監査人、または訴訟相手から問われる「誰がそのアクセスを許可したのか」「どのポリシーに基づくのか」「記録はどこにあるのか」という問いです。ID管理チームは「誰か」を説明できますが、「何に」「いつ」「どのポリシーで」アクセスしたかを証明し、証拠として提出できるのはデータ層のコントロールだけです。Kiteworksのセキュアデータ交換はこの違いを中心に設計されており、本記事もその視点で調査を読み解きます。

数字は注意深く読む価値があります。注目すべきは、どれだけ多くのエージェントがアクセス権を持っているかではなく、「誰が責任を負うのか」に関する合意がいかに少ないかです。

主なポイント

1. アクセスが責任を上回っている

調査対象の米国従業員の71%が、AIエージェントが顧客データや機密IP、人事情報にアクセスできると回答していますが、エージェントの責任所在はチーム、ユーザー、経営層などに分散しています。

2. 責任の所在が曖昧

65%が「現在責任を負っている人以外が責任を負うべき」と回答しており、エージェントの責任は組織図で明確化されたものではなく、未解決のガバナンス課題となっています。

3. ID管理プログラムは課題の一部しかカバーしていない

既存のID・アクセス管理プロセスでエージェントを管理しているのは35%のみで、21%はエージェントアクセス管理のアプローチ自体をまだ正式化していません。

4. 資格情報が静かな失敗ポイント

86%が非人間IDに関する資格情報の問題を報告し、27%が過剰権限の非人間IDに起因するセキュリティインシデントや侵害を経験しています。

5. 規制当局が求めるのは意図ではなく証拠

重要なのは、どの人間がどのエージェントに委任し、どのデータにどのポリシーでアクセスしたのかを証明できるコントロールであり、その証拠は要請時に提出可能でなければなりません。

調査が測定したのは従業員の認識であり、インシデント報告ではない

どんな数字でも、それが何を測定しているのかを明確にしましょう。1Passwordの調査は、1,000人の米国従業員に自社の内部状況を尋ねたものです。すべての数値は自己申告であり、サンプルは米国限定、1Password自体もID・シークレット管理のベンダーなので、結論は自社製品カテゴリに誘導されがちです。懐疑的なCISOはその点を踏まえて読むべきです。

しかし、それでデータが無意味になるわけではありません。方向性を示すものであり、独立した調査でも同じ傾向が繰り返されれば十分な根拠となります（本記事後半でその例を紹介）。また、調査サンプルは開発者500人とIT・セキュリティ担当者500人に明確に分かれており、この分割が最も示唆的な比較を生み出しています。エージェントの構築・運用を担う開発者の67%がエージェント管理におけるセキュリティギャップを認識しているのに対し、IT・セキュリティ担当者では57%でした。

もう一度読み返してください。エージェントに最も近い人たちの方が、セキュリティ担当者よりも多くのギャップを認識しています。これは技術の問題ではなく、可視性の問題です。そして、可視性こそが監査人が最初にチェックするポイントです。

アクセスは本番環境に、ガバナンスはまだ下書き段階

まずは導入状況から。開発者の約半数（46%）がすでに本番環境でAIエージェントを利用しており、さらに45%が今後2年以内に導入予定と回答しています。エージェントはサンドボックスの試験運用ではなく、実際のワークフローに組み込まれており、調査によれば漏洩時に責任問題となるデータにもアクセスしています。

1,000人全体では、62%が自社のエージェント管理にセキュリティギャップがあると回答。その裏には、IT・セキュリティ担当者の33%が自社で利用されている非人間IDやエージェントの数を把握していないという事実があります。管理できないインベントリはガバナンスできず、登録されていないアクターの監査記録は作成できません。

次にプロセスのギャップです。既存のID・アクセス管理プロセスでAIエージェントを管理しているのは35%のみで、21%はエージェントアクセス管理のアプローチ自体をまだ正式化していません。

ここで重要なのは「枠組み」です。エージェントは人間ユーザーとは別の第二のIDクラスであり、組織のガバナンスモデルは両者を1つのポリシーでカバーすべきです。人間向けに設計されたロールベースアクセス制御モデルは、判断力を持つ人を前提としていますが、エージェントには判断力がありません。許可された範囲を機械的に高速でアクセスするため、各リクエストごとに評価される属性ベースアクセス制御の方が適しています。同じ理由で、AIデータガバナンスはモデルではなくデータを起点に考えるべきです。問題をモデルの安全性だけで捉えると、問いかける相手も問い自体も間違ってしまうという点は、AIエージェントが従来のセキュリティモデルを破壊する理由でも詳述されています。

責任は「最も近い人」に落ち着くが、本来の責任者ではない

この調査で、最高コンプライアンス責任者が印刷しておくべきなのが責任データです。実際に誰がエージェントの行動に責任を負っているかを尋ねたところ、最も多かったのはチームや部門のリーダー（24%）、次いでエージェントを使う本人（19%）、経営層（17%）、セキュリティチーム（13%）でした。5%は「エージェント自体が責任を負う」と回答しています。

この最後の数字に注目してください。約20人に1人の割合で、責任者がソフトウェアそのものだと考えている職場が存在します。しかし、ソフトウェアは罰金も制裁も証言もできないため、規制当局や裁判所、取締役会はいずれもその回答を認めません。

他の4つの回答が分散していることが本質を示しています。明確な責任者がいません。そして、「現在責任を負っている人が適切か」との問いに65%が「別の人が責任を負うべき」と回答。これは責任の空白であり、アクセス権を付与する部門とリスクを引き受ける部門が分かれていると簡単に生じます。AIワークフローにおける権限ギャップでも指摘されているように、委任された権限が文書化されないままになっているのです。

このように、AIセキュリティの責任所在は未確定です。組織図を整備しても解決しません。曖昧さ自体を解消すべき課題と捉え、各エージェントごとに明確な責任者を定めましょう。

規制当局の視点はシンプルで、優先順位を決める基準となります。規制当局が規制するのはモデルではなくデータです。例えばHIPAAのセキュリティ規則は、対象組織やビジネスアソシエイトに対し、ユーザーIDの一意性付与と監査コントロールの実装を義務付けており、電子保護健康情報を扱うシステムの活動を記録・検証することを求めています。この規則にAIの例外はありません。私の見解では、エージェントが患者記録を閲覧する場合も看護師と同様に識別・追跡可能でなければならず、HIPAAコンプライアンスプログラムでエージェントのアクセスを特定できなければ、最初の苦情が来る前から証拠のギャップが生じます。実務上のテストは、特定できないものはガバナンスできないというものです。

資格情報が静かな失敗ポイント

エージェントは資格情報で認証されますが、調査によれば、その管理は想定外の規模に直面したチームが他のタスクと同じように対応している状況です。全体の86%が非人間IDに関する資格情報の問題を報告し、27%が過剰権限の非人間IDによるセキュリティインシデントや侵害を経験しています。

開発者グループの結果はさらに厳しいものです。500人の開発者のうち40%がエージェントにシステムや資格情報への永続的なアクセス権を与え、24%が資格情報をハードコーディングし、20%がSlackやメールで資格情報を共有しています。43%は専用のシークレットマネージャやボールトを使用していません。

この最後の点は特に重要です。なぜなら、ポリシーがあっても運用で守られていなければ意味がないからです。多くのチームはボールトを持っていますが、同時に抜け道も存在します。エージェントが数ヶ月前にメッセージで貼り付けられた永続的な資格情報を保持している場合、紙上のアクセス制御と実際のアクセス制御は乖離し、監査ログに残るのはどちらか一方だけです。これはAIが許可されるべき範囲は権限だけでは決まらないでも指摘されているギャップです。エージェントが許可された範囲と、実際に使うべき範囲は異なるのです。

コンプライアンス担当者がこの点を重視すべき理由があります。過剰権限の非人間IDは、タスクに必要以上のデータを読み取った瞬間にデータ最小化を損ない、しかもユーザーからの苦情もなく静かに進行します。

独立した調査でも同じ傾向が示されている

単一ベンダーの調査だけでは十分な証拠になりませんが、他の3つの情報源も同じ方向性を示しています（うち2つはベンダー調査です）。

まずCISOの視点です。Vorlonが実施したCISO調査（IT Brief UKによる報道）では、従業員500人以上の米国企業のCISO 500人が2025年の状況について回答。30.8%がSaaSとAIの連携による無許可のデータ流出を報告し、86.8%がAIツールとSaaSアプリ間のデータ交換の可視性が現状のツールの制約であると回答しています。Vorlonはエコシステムセキュリティプラットフォームのベンダーであるため、数値はベンダー調査として考慮してください。注目すべきは可視性の数字です。

この可視性の結果は、1Password調査のデータと異なる立場から同じ傾向を示しています。CISOはAIツールとSaaSアプリ間のデータ交換の可視性が限定的であると報告し、1Passwordの回答者はエージェントの責任所在が分散していると述べています。両者は測定対象は異なりますが、構造的なギャップの兆候です。

次にKiteworks独自調査による実務者の視点です。Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Reportでは、2026年第2四半期にセキュリティ・コンプライアンス・技術担当者459人から回答を得ました（すべて自己申告）。65%が従業員による未承認AIツールの業務データ利用を発見し、正式なAIキルスイッチやエージェント停止機能を導入済みなのは30%のみでした。シャドーAIや未管理エージェントは、承認済み・未承認を問わず、誰も把握していないデータにアクセスしているという同じ失敗の表れです。

最後に政府の見解です。2026年8月20日、英国国家サイバーセキュリティセンター（NCSC）はエージェント型AIのサイバーリスク管理というブログ記事を公開しました。各エージェントに固有のIDを付与し、資格情報の有効期間を最短にし、重大な影響が生じうる場合は個人またはグループに責任を明確化し、エージェントが停止して人間の承認を求めるべきタイミングを定義し、可能な限りログを改ざん不可にすること、そして常にエージェント活動を即時停止できるようにすることを推奨しています。私はこれを証拠チェックリストと読みます。すべての項目が規制当局の質問に対応しています。

なぜID管理だけでは証拠にならないのか

ID管理は「誰が要求しているか」という問いには答えられますが、監査人や規制当局は4つの問いを投げかけます。「誰が委任したか」「どのデータにアクセスしたか」「どのポリシーで許可されたか」「それを証明できるか」です。最初はIDの問題ですが、残り3つはデータ層の問題です。これはIDは『誰』を知り、データは『何』を知るで述べられている通りであり、IAMプログラムが整っていても証拠要求に応えられない理由です。

調査の要望リストもこのギャップを裏付けています。エージェント利用拡大のために必要なものとして、53%が各エージェントの行動の明確な責任所在、52%が人間とエージェントを横断したアクセスの一元的な可視化、51%が完全な監査証跡を挙げています。何も必要ないと答えたのは5%のみ。いずれも「より良いモデル」ではなく、証拠と帰属のコントロールです。

これがデータ層でガバナンスするべき理由です。Kiteworks Compliant AIは、モデル層ではなくデータ層でエージェントと規制データのやり取りを管理するため、プロンプトや安全フィルター、特定のエージェントフレームワークに依存しません。すべてのやり取りは4つのチェックポイントを通過します。エージェントはOAuth 2.0で認証され、ワークフローを委任した人間に紐付けられます。アクセスはエージェントID、データ分類、コンテキストに基づいて評価されます。データは転送中・保存中ともにFIPS 140-3認証暗号化で保護されます。そして、すべてのやり取りは完全な帰属情報付きで改ざん検知可能な監査証跡に記録され、リアルタイムでSIEMにストリーミングされます。

Kiteworks Secure MCP Serverは、ClaudeやCopilotなどのAIクライアントにも同じパターンを適用します。すべてのリクエストをロールベースおよび属性ベースのコントロールで評価し、AIクライアントにはポリシーで許可されたデータのみが提供され、ファイルアクセス、フォルダ操作、データ取得のすべてが許可・強制・記録されます。OAuth 2.0認証により、各AI操作はユーザーの既存権限を継承するため、人間とその代理で動くエージェントは1つのポリシー・1つの監査証跡で管理されます。データポリシーエンジンがチャネル横断で単一ポリシーを強制し、監査ログが規制当局が読める証拠となります。

設計原則はパリティ（同等性）です。人だけをカバーしてエージェントを除外すれば、急増するデータ消費者が証拠の外に置かれます。エージェントだけをカバーして委任した人間を無視すれば、責任の連鎖が断ち切られます。どちらも同じ監査で不合格となります。

次回の監査要求までに変えるべきこと

これらは新しいツールカテゴリよりも、まず「決定」が必要です。技術は誰かが書き残した内容しか強制できません。

すべてのエージェントに責任者を割り当てましょう。65%が「別の人が責任を負うべき」と答えているのは、そもそも割り当てがなかったからです。責任者は個人でなく役割でも構いませんが、規制当局が呼び出せる明確な役割でなければなりません。ゼロトラスト・ジェネレーティブAIもここから始まります。いかなるエージェントもデフォルトで信頼せず、すべてのエージェントを責任を持つ人間に紐付けます。

現状を把握しましょう。IT・セキュリティ担当者の3分の1がエージェントや非人間IDの数を把握できていないなら、インベントリ作成が最初の成果物です。各エージェントが保持する資格情報と、その保管場所も含めましょう。

エージェントも人間と同じID・アクセス管理ガバナンス下に置き、資格情報は短期間のみにし、チャットツールに永続的なシークレットを残さないようにします。その上でデータレベルのポリシーを追加し、IDで入口を管理し、ポリシーで出口を管理します。

キルスイッチをテストしましょう。Kiteworks調査で導入済みだったのは30%のみです。誰も使ったことのないコントロールは仮説にすぎません。1つのエージェントを停止し、どのデータにアクセスしたかを特定するまでの時間を計測する訓練を行いましょう。

最後に、証拠要求の訓練をしましょう。1つのエージェント・1週間・1つの規制当局風の質問を選び、記録を作成します。その作業に何週間もかかるなら、監査人より先にギャップを発見できたことになります。

調査・CISO調査・NCSCの推奨事項を通じて一貫したパターンが見られます。アクセスが先行し、責任が追いついていません。このギャップを埋める組織こそが、エージェントアクセスをガバナンスされ、帰属可能で証拠を生み出す活動として最初から管理できる組織です。

規制環境下でのAIエージェントのデータアクセスガバナンスについてさらに詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事
  AIプライバシー保護を手軽に実現するゼロトラスト戦略
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：2025年に91%の中小企業がデータセキュリティでロシアンルーレット状態
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局は「AIポリシーがあるか」ではなく「機能している証拠」を求めている