従業員バッジを付けたAIリスクが最大の脅威

セキュリティ専門家が最も懸念するAIリスクは、巧妙なプロンプトを使うハッカーではありません。締め切りに追われ、社員証を持ち、チャットボットを開いたブラウザタブで作業する同僚です。

これは、2026年9月に実施されたO’Reillyの調査（セキュリティ関連業務に従事する209名が対象）の中心的な発見です。49%が商用AIツール経由での機密データ漏洩を主な懸念事項に挙げ、同じく49%がAI出力を検証せずに信頼する従業員の行動を懸念しています。カンファレンスで話題となるプロンプトインジェクションを挙げたのはわずか11%でした。

これらの数字は、ポリシーを策定することと、実際にデータの取り扱いを管理することの間にギャップがあることを示しています。多くの組織がAIポリシーを持っていますが、誰かが契約書や顧客ファイル、ソースコードをAIツールに貼り付けたときに、そのポリシーが実際の行動を変えていると証明できる組織ははるかに少数です。本記事では、調査結果の詳細、なぜポリシーだけではギャップが埋まらないのか、そしてポリシー強制と統合監査ログを備えたセキュアなデータ交換のためのコントロールプレーンを通じてAIが機密データへアクセスすることで何が変わるのか、Kiteworks Compliant AIやKiteworks Secure MCP Serverのモデルをもとに解説します。

主なポイント

1. 最大のAIリスクは内部にある

O’Reillyの調査では、49%が商用AIツール経由でのデータ漏洩を、同じく49%が未検証のAI出力への過度な依存を挙げています。プロンプトインジェクションは11%にとどまりました。

2. ポリシーはコントロールではない

72%がAI利用ポリシーを持っていますが、包括的と呼べるのは44%のみ。基本的なポリシーしかない場合、35%がシャドーAIの蔓延を報告しており、包括的な場合は17%でした。

3. シャドーAIは認識の指標であり、漏洩率ではない

59%が同僚がポリシー外でAIを利用していると少なくとも時々感じています。その認識を、実際のテレメトリで検証してから「実測値」として報告しましょう。

4. エージェントは行動問題に加えてアイデンティティ問題をもたらす

過剰な権限や所有権の不明確さ（28%）、監視や可監査性の弱さ（19%）、エージェントが役割内にとどまっているか検証できない（18%）ことが懸念されています。

5. データが存在する場所でポリシーを強制

AIによる機密データへのアクセスをコントロールプレーン経由でルーティングすることで、認証、リクエストごとのポリシー適用、改ざん検知可能な監査ログの記録が可能になります。

O’Reilly調査の測定内容

O’Reillyは2026年9月に調査を実施し、セキュリティ関連業務従事者209名の回答を分析しました。引用する前に2つの注意点があります。回答者は自己選択型であり、サンプル数も少ないため、結果は「セキュリティ専門家がどこにリスクを感じているか」を示すものであり、実際のインシデント発生頻度を示すものではありません。

2つ目の注意点はシャドーAIに関する数字です。O’ReillyはシャドーAIを「明確なポリシー外でのAI利用」と定義しています。59%（時々36%、広範囲23%）は、同僚がそのようにAIを使っていると「思っている」割合です。これは同僚の行動に対する認識であり、組織から機密データが流出した「実測率」ではありません。取締役会への報告書にはそのように記載しましょう。

それでも、このランキングは示唆に富みます。セキュリティ専門家が「珍しい脅威」と「日常的な脅威」のどちらを重視するか選ぶとき、日常的な方を選びます。最大の懸念は「ごく普通の従業員が、ごく普通のことを、非常に高機能なツールで行う」ことなのです。

紙の上のポリシーでは行動は変わらない

O’Reillyの回答者の72%が、自社にAI利用ポリシーがあると答えていますが、包括的と呼べるのは44%のみ。その違いは行動に表れます。包括的なポリシーを持つ組織では、シャドーAIの蔓延を17%が報告。基本的なポリシーでは35%、ポリシーがない場合は37%でした。

この数字をよく見てください。包括的なポリシーはシャドーAIの減少と関連しており、ポリシー策定に投資した人には朗報です。しかし、それでも17%—約5社に1社—は、最良の書類があっても「ポリシー外利用が蔓延している」と回答しています。

監査側からも同様の傾向が見られます。Schellmanが米国の大企業525名を対象に調査したところ、64%が従業員にAI利用許容ポリシーを正式に伝達済みと回答。74%が「AIコンプライアンス監査に合格できる」と考えていますが、「ガバナンスプログラムが完全に成熟している」と答えたのは27%、AI固有のインシデント対応手順があるのは44%でした。SchellmanはAIアセスメントを提供しており、サンプルもO’Reillyとは異なるため、両者を単純合算しないでください。並べて読むべきです。

「ポリシーがある」と「機能していることを証明できる」の間のギャップこそ、コンプライアンス担当者が痛手を受けるポイントです。監査人や規制当局、原告弁護士は「ポリシーが存在するか」ではなく、「特定の日に特定のデータがどう扱われたかの証拠」を求めます。Kiteworksデータセキュリティ＆コンプライアンスリスク：2026年年次調査レポートは、このギャップを発見した際に組織がどう対応しているかを示しています。調査対象のセキュリティ・コンプライアンス担当者459名のうち、65%が過去12ヶ月で従業員による未承認AIツールへの組織データの利用を発見し、AI固有のデータ損失防止を導入していたのは約28%のみ。最も多かった対応はポリシーの更新でした。シャドーAIを発見した組織で技術的コントロールを導入したのは半数未満です。これらの調査結果はすべて自己申告であり、発見率は検知能力と蔓延度の両方を反映しています。

テレメトリも同じ方向を示す

認識は一つの指標ですが、ログはどうでしょうか。Verizon 2026データ侵害調査レポートによると、従業員の45%が企業端末で定常的にAIを利用しており、前年の15%から大幅増加。そのうち67%は非企業アカウント経由でAIサービスにアクセスしています。これはアンケートではなくインシデントデータセットであり、意図ではなくアカウントを記述していますが、シャドーAIの実態を示しています。データは組織が管理・記録しないアカウントに送信されているのです。

従業員自身も同様の認識です。National Cybersecurity AllianceとCybSafeのレポートでは、職場でAIを使う従業員の32%が、雇用主に知られずに機密情報をAIツールと共有したと回答。米国、英国、インド、ブラジル、シンガポールの成人5,000名が対象で、こちらも自己申告です。O’Reillyの認識データ、NCAの自己申告、Verizonのテレメトリを合わせてみても、傾向は変わりません。人々は職場でAIを使い、しばしば認可外アカウントで利用しており、組織は何が入力されたかの証拠をほとんど持っていません。

エージェントは従業員問題をアイデンティティ問題に変える

O’ReillyはAIエージェントについても質問しています。主な懸念は、過剰な権限や所有権の不明確さ（28%）、監視や可監査性の欠如（19%）、エージェントが認可された役割内にとどまっているか検証できない（18%）でした。いずれもモデル自体ではなく、アイデンティティ、認可、証拠に関する問題です。

ガバナンスの実践はまだ追いついていません。Schellman調査では、エージェントの行動に対して人によるレビューをトリガーする閾値を定めているのは22%のみ。38%は高リスク行動のみ、32%はすべての行動をレビューしています。

実務上の教訓は、エージェントはリスクの別種ではなく、「データに作用するもう一つのアイデンティティ」であり、従業員と同じ厳格なガバナンスが必要ということです。エージェントには、担当する人間の所有者、タスクに限定した権限、監査証跡が必要です。問われるのは従業員と同じ、「誰が、どのポリシーの下で、何にアクセスし、どんな結果になったか」です。

AIアクセスをコントロールプレーン経由にすると何が変わるか

従業員がAIを使うのを止められないなら、「未承認経路よりも簡単で、証拠が残る承認済み経路」を用意するのが最善策です。これがAIアクセスをコントロールプレーン経由でルーティングする発想です。

Kiteworks Compliant AIは、モデルやプロンプト、エージェントフレームワークに依存せず、データ層でAIエージェントの規制データアクセスを管理します。すべてのリクエストは4つのチェックポイントを通過。OAuth 2.0によるアイデンティティ認証、属性ベースアクセス制御ポリシーの強制、FIPS 140-3認証済み暗号化によるデータ保護、SIEMにストリーミングされる改ざん検知可能な監査ログ記録を実施します。Kiteworks Secure MCP Serverも同様のロジックをModel Context Protocol接続に適用し、ClaudeやCopilotなどのLLMクライアントをKiteworks上のデータと連携。各リクエストをロールベース・属性ベースのポリシーで評価し、許可された内容のみ返します。プラットフォームは、セキュアなデータ交換のために、すべての操作をコントロールプレーンで認可・記録します。

データ層での制御の理由は明快です。システムプロンプトやモデル側の安全フィルターは、意図的または創造的なユーザーにバイパスされる可能性があり、これがKiteworksが「データが存在する場所でポリシーを強制」する理由です。データ層でのアクセス判断は、モデルに何を指示したかに依存しません。Data Policy Engineは、ユーザー・データ・アクションを毎回評価し、ゼロトラスト・データ交換の原則が、リクエスターが人であれエージェントであれ適用されます。より広範なフレームワークを知りたい方は、AIデータガバナンスガイドやゼロトラストと生成AIガイドもご参照ください。

2つ目のメリットは証拠です。Kiteworks 2026年年次調査レポートでは、AIの完全な監査記録を1営業日以内に提出できる組織は27%、1時間以内は17%にとどまります。これはO’Reilly回答者の19%が「監視・可監査性」に不安を感じている背景と同じです。メール、ファイル共有、API、AI連携を横断して人・システム・AIエージェントすべてをカバーする統合監査ログが、「信じている」から「記録がある」へと変えてくれます。

一つ明確にしておくべき限界もあります。AIをコントロールプレーン経由で管理しても、その中にある機密データとAIアクセスしか統制できません。従業員がブラウザで消費者向けチャットボットにテキストを貼り付けるのは防げません。そのリスクには、AIツール対応のデータ損失防止、エンドポイントやブラウザのコントロール、トレーニングが必要です。最も強力なプログラムは、承認済みでガバナンスされた経路と、未承認経路へのコントロールを組み合わせています。

CISOとコンプライアンス責任者のための実践的90日プラン

セキュリティ・コンプライアンス責任者は、新たな予算サイクルを待たずに調査結果をアクションに変えられます。まずは次の6つの施策から始めましょう。

1. 信じる前に測定する。 認識ベースの数字をテレメトリに置き換えましょう。AIツール利用をアカウント種別・データ分類・部門別にカウントします。
2. すべてのポリシー文にコントロールと証拠源を紐付ける。 たとえば「顧客データを未承認ツールに入力しない」と記載したら、それを強制するコントロールと証明するログを明示します。良いデータガバナンスはこうして機能します。
3. まず承認済み経路を構築する。 従業員が正当に必要とするデータへのAIアクセスを、アクセス制御付きで提供します。
4. エージェントもアイデンティティとして登録する。 すべてのエージェントに人間の所有者、限定された権限、失効経路を割り当て、特権ユーザーと同じ頻度で行動をレビューします。
5. 監査リクエストをリハーサルする。 先月のある日を選び、その日にAIが機密データとやりとりした全記録を出してみましょう。所要時間を計測し、上記27%・17%のベンチマークと比較します。
6. 出典を明示して報告する。 どの調査・サンプル・設問からどの数字が出たかを取締役会に伝え、AIアクセスをチャネル横断で可視化するCISOダッシュボードを提供しましょう。

社員証がなくなることも、隣の画面のAIツールが消えることもありません。これをうまく管理できる組織は、「AIが何に触れ、誰の権限で行われたか」を証拠で示せる組織です。

KiteworksによるAIアクセス管理の詳細は、デモのご予約をご覧ください。

追加リソース

• ブログ記事
  ゼロトラスト戦略で実現する手頃なAIプライバシー保護
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：91%の中小企業が2025年にデータセキュリティをロシアンルーレット化している理由
• ブログ記事
  データに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局は「AIポリシーがあるか」ではなく「機能している証拠」を求めている