AIエージェントガバナンスは証拠管理の課題へ

機密データにアクセスするAIエージェントは、それを許可した従業員と同様にガバナンスが必要ですが、多くの組織はその証明がまだできていないかもしれません。問題はポリシーの不足ではなく、エージェントが記録を閲覧・移動・変更した瞬間にポリシーが実際に適用されたという証拠の不足です。

FoundryとRubrikによる調査（Rubrik提供のCIO BrandPost、2026年10月29日公開）は、そのギャップを数値で示しています。ITおよびAIの意思決定者200名のうち、38%がエージェントによるデータ流出や機密データ漏洩を経験したと回答し、42%がエージェント導入の障壁としてガバナンス、ガードレール、コンプライアンスを挙げました。調査はスポンサー付きでサンプル数も少ないため、数値は慎重に読む必要がありますが、過去6か月に発表された他の調査とも一貫性がある点に注目してください。

CISOやチーフコンプライアンスオフィサー、データ保護責任者にとって重要なのは、規制当局が問うであろう「誰がユーザーで、エージェントはどの権限で行動し、ログはどこにあるのか」という問いです。本稿では、FoundryとRubrikの調査が裏付けられる点・そうでない点を整理し、EYなど他の調査結果と比較し、組織がエージェントと人間を同じルールで管理するための証拠パッケージを提示します。また、証拠が求められるデータ層において、Kiteworks Compliant AIとKiteworks Control Planeがどのように機能するかも解説します。

主なポイント

1. 調査のシグナルは実在するが、出典はスポンサー付き。

Rubrik提供の意思決定者200名への調査では、38%がエージェントによる漏洩を確認したと報告しています。これは自社のコントロールを検証する理由にはなりますが、事実として引用する指標ではありません。

2. 自律性は管理できるが、帰属不明の自律性は管理できない。

エージェントは人間と並ぶ第二のアイデンティティであり、すべての行動が責任ある人間に紐づけて追跡できるようガバナンスされる必要があります。

3. ガバナンスがボトルネックとして指摘されている。

EYなどの調査によると、ポリシーは普及している一方で、運用上のコントロールや責任の所在が遅れています。

4. 既存のデータ規則はすでにエージェントにも適用されている。

HIPAA、GDPR、業界規則は自動化されたデータアクセスにも例外を設けていないため、エージェントに求められる証拠基準は人間と同じです。

5. 意図より証拠が重要。

エージェントによるデータアクセスを統合的かつ帰属可能な記録として短時間で提示できる組織だけが、他社にはできない問い合わせ対応が可能です。

FoundryとRubrikの調査結果

BrandPostによると、エージェントに完全な自律性を与えている割合は26%、限定的な自律性は35%です。42%がエージェント導入の障壁としてガバナンス、ガードレール、コンプライアンスを挙げ、24%がセキュリティとガバナンスをエージェント拡大の最大の障壁としています。38%がエージェントによるデータ流出や機密データ漏洩を確認し、約半数がエージェントやチャットボットによる誤情報の伝達を経験しています。

ただし注意点もあります。この記事はRubrikがスポンサーのBrandPostであり、Rubrikはエージェントガバナンスやリカバリ製品を販売するベンダーです。また、調査実施時期や回答者選定方法も明記されていません。サンプル数200では業界全体の主張はできません。38%という数値も回答者自身の自己申告であり、漏洩の定義や確認方法も記載されていません。

これらの制約が調査結果を無意味にするわけではありません。自社環境で検証すべき仮説として活用できます。回答者の約5人に2人がエージェントによるデータ漏洩を経験したと答えているなら、他の組織にとっての問いは「自分たちが気付けるかどうか」です。誰にも検知されない漏洩は、いかなる調査にも記録されません。

より有用なのは構造的な読み取りです。回答者はエージェントに実質的な自律性を与えつつ、ガバナンスを主な障壁としています。この2点は、証拠基盤よりも早くプログラムが拡大している状況を示しています。

問題は自律性ではなく、帰属性

26%の完全自律性という数字を見て、エージェントが野放しになっていると警戒するのは簡単です。しかし、より重要なのは「各自律的な行動が責任ある人間とガバナンスポリシーに紐づけて追跡できるかどうか」です。委任された権限内で行動するエージェントは現代の業務では通常の存在です。委任の記録がないエージェントはコンプライアンス上の問題となります。

EYの調査はこの点をさらに明確にしています。EYの米国AIリスク・ガバナンス調査（2026年9月15日公開）によると、エージェント型AIユーザーの85%が、リアルタイムの人間介入なしに動作するエージェント型システムを複数運用していると回答しています。この調査は、米国の売上10億ドル以上の上場企業のAI意思決定者を対象としており、大企業の状況を示しています。EY自体も保証業務を行う企業であり、この分野に関心があります。

リアルタイムの人間介入がコントロールの基準ではありません。信頼された従業員が実行するすべてのデータベースクエリを逐一確認することはありませんが、それが許容されるのは、従業員に固有のID、役割、職務に合った権限、そして監査証跡があるからです。同じアーキテクチャがエージェントにも必要です。エージェントは人間のアイデンティティと並ぶ第二のアイデンティティであり、同じポリシーで管理され、許可した人間が最終的な責任を負います。

この枠組みにより設計要件が変わります。目的は人間が都度承認するためにエージェントの動きを遅くすることではなく、エージェントが許可したユーザーの権限を超えてアクセスできないこと、すべての行動がそのユーザーに帰属し、記録が密かに改ざんされないことを保証することです。これらの条件が満たされれば自律性は生産性向上の機能となり、満たされなければ記録されないアクセス経路となります。

ガバナンスがボトルネック、証拠は監査証跡に現れる

42%がガバナンスを障壁とする理由は、EYのデータが説明しています。同じEY調査では、98%が正式なAIガバナンスポリシーを持ち、69%が完全に統合されたポリシーを持つと回答していますが、47%が緊急展開のためにAIガバナンスプロセスを省略した経験があると答えています。エージェント型AIユーザーの49%は、ガバナンスフレームワークがエージェント型AIリスクに特化して更新されていないと回答しています。

これらの数字を組み合わせると、ポリシーは存在するが、締め切り下での運用は一貫していないことが見えてきます。フレームワークはアウトプット生成型AI向けに作られており、行動型AIには追いついていません。これはCISOがポリシー文書と実際に機能するコントロールの違いとして認識するものと同じです。

証拠の観点からこれがコンプライアンス問題となります。監査人はAIポリシーの有無ではなく、エージェントによる機密データへのアクセス事例、各アクセスのID、許可したポリシー、証拠となるログの提示を求めます。回答に数週間かかるようでは、監査上意味のある運用にはなっていません。

Kiteworks データセキュリティ＆コンプライアンスリスク：2026年年次調査レポートでは、複数地域459名の回答者を対象にこのギャップを直接測定しました。完全なAI監査記録を1営業日以内に提出できるのは約4分の1（27%）、1時間以内は17%のみです。これらはベンダー調査による自己申告値であり方向性を示すものですが、EYの調査結果と傾向が一致しています。ポリシーは普及しているが、即時に証拠を提示できる体制は普及していません。このギャップを埋めることが、真に有効なAIデータガバナンスプログラムの核心です。

可視性とロールバックは見落とされがちなギャップ

ガバナンスが表向きの障壁なら、可視性とリカバリは静かな課題です。Rubrik Zero Labsは、より大規模な調査としてThe State of the Agent（2026年4月16日公開、IT・セキュリティリーダー1,600名超対象）を発表しました。86%が「1年以内にエージェントがセキュリティガードレールを上回る」と予想し、23%が自社環境のエージェントを完全に可視化できていると回答、88%が「システムに影響を与えずにエージェントの行動をロールバックできない」と答えています。発表自体も可視化の数値は過大評価の可能性があると述べています。

この調査もCIO記事と同じベンダーによるものであり、FoundryとRubrikの数値を独立して裏付けるものではありません。より大きなサンプルでの同一ベンダーの別視点と捉え、方法論の詳細も少ないため、1ベンダーの見解として参考にしてください。

この調査が示すのはロールバックのコンプライアンス的側面です。エージェントが記録を変更・公開した場合、組織はどの記録が、どのユーザー権限で、どの時間帯に操作されたかを把握する必要があります。帰属性のないリカバリは技術的な対応に過ぎず、法的な問いには答えられません。規制当局が問うのは「何が、誰に、いつ起きたか」であり、システムが復旧したかどうかだけではありません。

CCOにとっての実務的なポイントは、エージェントインシデントにも人間のインシデントと同じ調査記録が必要ということです。監査証跡にはエージェント名、許可したユーザー、アクセスしたデータ、適用されたポリシーが記録され、他のアクセス記録と同じ形式で取得できなければなりません。

認可済みエージェントと未検証ツールは同じデータへの2つの扉

FoundryとRubrikの調査は、組織が導入を決めたエージェントを対象としていますが、もう一つのリスクは組織が選んでいないツールによるものです。Compliance Week（2026年10月29日）によれば、規制当局や各国当局は、企業が安価な中国製AIツールやそれに依存するオープンソースソフトウェアを無意識に導入することで重大なリスクにさらされていることを懸念しています。記事の冒頭部分のみ参照可能ですが、国家安全保障、サイバーセキュリティ、データ保護の観点から、これらのツールがEUや米国の厳格な基準を満たさない可能性や、入力データが中国当局に保持・利用されるリスクが指摘されています。

コンプライアンス責任者にとって重要なのは、特定のベンダーや国ではなく、誰も承認していないAIツールによって機密データのコントロールを失う「シャドーAI」のリスクです。認可済みエージェントによる漏洩と未検証ツールによるデータ保持は、同じ部屋への2つの扉であり、規制当局が問うのは常に同じです。「どのデータが、どのツールを通じて、誰の権限で流出し、記録はどこにあるのか」です。

SailPoint提供のBrandPost（CIO報道）は、この状況を「AIトラスト・デフィシット」と名付けています。これは、組織がエージェント型AIをポリシー遵守の証明よりも早く導入することで生じる信頼の欠如を指します。Omdiaの調査では、すでに半数以上の企業がエージェント型AIを導入しているとされ、SailPointのMike Kiser氏は「AIのイノベーションがAIセーフティを上回っている」と述べています。SailPointはアイデンティティセキュリティベンダーであり、これはベンダーコンテンツなので、あくまで一つの見解として捉えてください。ただし、この定義は問題を「ポリシーの有無」ではなく「証明できるかどうか」に結びつけている点で有用です。

トラスト・デフィシットの本質は、エージェントが危険だという主張ではなく、組織が「ポリシー通りに動作していることを証明できない」という証拠の問題です。これはまさに監査証跡やデータ層コントロールが解決すべき課題です。扉が認可済みエージェントであれ未検証ツールであれ、どのツールがどのデータにアクセスできるかを把握し、すべてのアクセスを記録することが解決の第一歩です。

所有権の曖昧さこそが最大のリスク

1つの組織で3人のリーダーにAIエージェントのセキュリティ責任者を尋ねると、3通りの回答が返ってくることがあります。この曖昧さ自体がリスクであり、EYのデータはそのコストを示しています。EYによれば、エージェント型AIユーザーの26%が「組織内で未承認AIエージェントを検知できない」と回答しており、エージェントを可視化できない部門は責任を負えません。

責任の空白は証拠作成にとって最悪の状態です。なぜなら、証拠には「誰が責任を持つか」が不可欠だからです。CIOがエージェントを導入し、CISOがプラットフォームを守り、CCOが規制当局に対応する場合、それらをつなぐ記録の所有者がいません。問い合わせが来たとき、3人のリーダーはそれぞれ断片しか持っていません。

解決策は技術よりも組織にあります。エージェントのデータアクセスに責任を持つ1人のオーナーを明確にし、その人物に監査記録の権限を与え、CISOとCCOが同じ記録を利用できるようにします。Chief AI OfficerやCIOは導入やスピードを担当できますが、証拠基準は規制当局に対応する担当者が設定し、明確なガバナンス、リスク管理、コンプライアンス体制が役割の分断を防ぎます。

既存のデータ規則はすでにエージェントに適用されている

規制環境はエージェントを特別なカテゴリとして扱いません。HIPAAは臨床医かAIエージェントかを問わず記録閲覧に同じ基準を課し、GDPRのセキュリティ・アカウンタビリティ義務も人かシステムかを問いません（第22条は自動意思決定に追加制限）。すべての場合で問われるのは、「機密データへのアクセスが許可され、必要最小限に限定され、記録されていたか」です。

HIPAAのセキュリティ規則はその実際例です。45 CFR 164.308(a)(1)(ii)は、対象組織に正確かつ徹底したリスク分析の実施と、情報システム活動記録の定期的なレビュー手順の実装を義務付けており、どちらも必須要件です。誰が記録を閲覧するかは問われていません。エージェントが患者記録を閲覧した場合も、HIPAAセキュリティ規則に基づく同じ義務が発生し、リスク分析や活動レビューで検知できなければなりません。

同じ論理は金融サービス分野にも当てはまり、人かエージェントかを問わずデータ保護・セキュリティ規則が適用されます。法律分野でも、特権やクライアント機密性は情報自体に付与され、ツールには依存しません。共通点は、AIエージェントは規制データへの新たなアクセス手段であり、規制活動の新たなカテゴリではないということです。

この点こそがデータ層でのガバナンスの最大の根拠です。モデルガバナンスは精度やバイアス対策に重要ですが、コンプライアンスリスクはデータへのアクセス・利用・交換の場にあります。すべてのアイデンティティ（人・エージェント）に対してこの層を管理・記録できれば、証拠も自ずと揃います。

人とエージェントを統合してデータ層をガバナンス

Kiteworks Compliant AIは「モデルではなくデータ層をガバナンスする」という前提で設計されています。実際には、人間ユーザー向けの機密コンテンツ保護コントロールが、AIシステムによるアクセス時にも適用されます。Kiteworks Secure MCP Serverは、AIクライアントをロールベースおよび属性ベースアクセス制御の継承下でエンタープライズコンテンツに接続し、AIクライアントが許可ユーザーの権限を超えてアクセスすることを防ぎます。認証にはOAuth 2.0とPKCEを使用し、エージェントの行動は許可ユーザーに紐づけて記録されます。

これらの行動は、メール、ファイル共有、SFTP、フォーム、マネージドファイル転送などの記録と統合された監査ログに記録され、SIEMへの連携も可能です。Data Policy Engineがデータポリシーを一貫して適用し、CISOダッシュボードがセキュリティリーダーに全体像を提供します。Kiteworks Control Planeは、人とエージェント両方のデータアクセス・利用・交換を、単一のポリシー、アイデンティティモデル、監査証跡でガバナンスします。

2つの制約も明確にしておきます。データ層コントロールはリスク分析やAIガバナンス委員会、責任者の設置に代わるものではなく、これらは引き続き人間の責任です。また、Kiteworksのセキュアデータ交換を通じて流れる機密コンテンツをガバナンスしますが、その外部のデータストアに直接アクセスするエージェントには別途コントロールが必要です。このアーキテクチャは証拠パッケージを集める場所を減らしますが、すべてのデータの所在把握が不要になるわけではありません。

今すぐエージェントの証拠パッケージを構築

まずはエージェントの棚卸しから始めましょう。EY調査で26%が未承認エージェントを検知できないと回答していることから、レジストリの構築が最初のコントロールです。各エージェント、許可したユーザーやチーム、アクセス可能なデータ、接続先システムを記録します。

次に、監査人が検証可能な形でポリシーを定義します。各エージェントについて、閲覧可能なデータクラス、絶対に閲覧不可なデータクラス、条件を明記します。ルールはドキュメントではなく、データに紐づく属性ベースポリシーとして表現しましょう。PDFのポリシーだけでは運用実績を証明できません。

3つ目は帰属性の証明です。直近1か月のエージェント行動サンプルを抽出し、許可ユーザー・適用ポリシー・ログエントリまで追跡します。どこか1つでも欠落があれば、監査人より先にギャップを発見したことになります。四半期ごとに繰り返し、結果を保存しましょう。

4つ目は対応力の検証です。エージェントが本来アクセスすべきでないデータにアクセスしたという想定で机上演習を実施し、関係記録・許可ユーザー・ポリシーギャップの特定にかかる時間を測定し、自社規制の期限と比較します。

最後に、取締役会には「保証」ではなく「証拠」で報告しましょう。稼働中エージェントの一覧、アクセス可能なデータクラス、直近の帰属性テスト、未解決例外の1ページサマリーは、成熟度スコアよりも有効です。取締役会の問いは「コントロールを証明できるか」であり、答えは記録から導き出す必要があります。

人とAIエージェントを単一のポリシーと監査証跡でガバナンスする方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事
  手頃なAIプライバシー保護のためのゼロトラスト戦略
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：2025年、小規模企業の91%がデータセキュリティでロシアンルーレット状態
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局は「AIポリシーがあるか」を問うのをやめた。今求められるのは「機能している証拠」だ。