解説

近年、生成AIの登場により、各部門で業務効率化を目的としたAI活用（PoCや独自ツールの構築）が急速に進みました。しかし、これにより組織全体として「データのサイロ化」（情報が部署ごとに分散すること）と「ガバナンスの欠如」という深刻な課題が発生しています。

多くの企業が個別にRAG基盤を立ち上げる中で、誰がどのような機密情報をどこにアップロードしているのか全社的な把握が困難になり、セキュリティ上の大きなリスクを抱えることになりました。さらに、データの投入方法が場当たり的であるため、AIの誤回答（ハルシネーション）が増加し、利用者が信頼できないツールという認識を生みかねません。

この課題に対し、ソフトバンクは「全社RAG基盤」という統合データ基盤を構築しました。単にデータを集約するだけでなく、データのアップロード段階から承認ワークフローや厳密なアクセス権限（IdP連携）といったガバナンス要件をシステム自体に組み込むことに成功しています。

このアプローチは、「利便性」と「セキュリティ／管理」という相反しがちな要求のバランスを取るためのものです。結果として、全社員が安心して利用できる環境を実現し、大きな業務削減効果を生み出しているとのことです。

ポイント

  • ,ソフトバンクが抱えるAI導入時のサイロ化とガバナンス課題を解決するため、統合型RAG基盤を構築した事例の解説である。
  • ,単なるデータ集約に留まらず、承認ワークフローやアクセス制限（IdP連携）など、ガバナンスをシステム機能として組み込んだ点が特徴的である。
  • ,現場主導の利便性と組織としての安全性を両立させる「ガードレール」型のAI利用モデルの参考事例となる。

情シスへの影響

複数の論点にまたがるため、論点ごとに分割して説明します。

1. データガバナンスとアクセス制御に関する対応

  • 機密データの取り扱いに関する社内ガイドラインの見直しが必要です。

  • RAG基盤のデータアップロードプロセスに対し、「個人情報非該当性」などのルール確認をシステムワークフローに組み込む設計検討が求められます。

  • IdP（Identity Provider）と連携し、部門や役職単位での厳密な認証・認可制御を実装することが必須になります。

2. データ品質管理に関する対応

  • AIに読み込ませるデータソースの構造化が重要です。複雑なPDFやExcelファイルなど、非定型データの処理方法（Markdown形式への変換など）の検証と導入が必要です。

  • RAGアプリケーションを本番運用する前に、LLMを活用して自動的なQAセットを作成し、精度検証を行うプロセスフローを確立する必要があります。

3. システム連携とアーキテクチャに関する対応

  • 将来的なAIエージェントや複数のアプリケーションとの連携を見据え、MCP（Model Context Protocol）などの標準化されたデータ連携プロトコルを採用する検討が必要です。この設計は、単なるPoCではなく全社規模の統合基盤として考える必要があります。

影響範囲

組織全体（部署/部門）、情報システム部門が管理するナレッジベース、各種AIアプリケーション及びRAG環境。

  • 影響を受ける機能/設定: データアップロード時のワークフロー制御（承認申請・権限チェック）、アクセス制御リスト（IdP連携による認証・認可）、データの前処理ロジック（自動構造化、自動精度検証）。

  • 適用範囲: 全社的なナレッジ共有基盤を構築している組織。特に機密情報や個人情報を多く扱う部門。

  • 考慮事項: クラウドまたはオンプレミスの問わず、全社のデータが集中管理される統合型プラットフォームに該当します。

重要度

★★★★★

対象者

  • セキュリティ担当者
  • M365管理者
  • Entra管理者
  • AD管理者
  • 情報システム部門

優先度

計画的に対応

優先度の理由

本記事は具体的な脅威の発生を伝えるものではなく、成功した構築事例の解説に留まっています。しかし、「ガバナンスと利便性の両立」という課題提起自体が、現在多くの企業が直面している実務上の最大のボトルネックであるため、放置することは危険です。

特に、全社利用を目指すAI基盤を設計・導入する際には、セキュリティ要件をシステムプロセスに組み込むための初期計画策定（PoCを超えた段階）を至急行う必要があります。したがって「計画的に対応」とし、具体的な検討に着手することが求められます。

確認手順

  • 自社のデータガバナンスポリシーにおける機密情報取り扱い規定を確認する。
  • 現行のAI利用環境について、データのアップロード・連携フローにワークフロー承認プロセスが組み込まれているか確認する。
  • 社内のID認証基盤（IdP）と想定されるRAGプラットフォームとの連携ポイントを特定し、認可範囲による制御が可能かを設計レビューする。
  • 現場で利用されている主要なデータソースについて、AIが処理しやすい構造化形式（Markdownなど）での取り込み検証を実施する。
  • 類似の全社統合型基盤の構築に成功したベンダーやコンサルタントからの情報入手の可否を調査する。

推奨対応

  • 自社のデータガバナンス部門と連携し、AI活用における「データの承認ワークフロー」に関するプロセス設計に着手してください。
    単なる技術導入ではなく、「誰が」「どのデータを」「どのように使うか」というルール定義をシステム要件として洗い出すことが最優先です。
    RAG基盤の構築においては、アクセスの可視化と最小権限の原則に基づいてIdP連携を前提とする設計を採用し、ガバナンス要素をアーキテクチャの中心に置くことを推奨します。また、データ品質保証のための前処理・検証レイヤーの導入を検討してください。

出典・公式情報：
1万9000人が利用するソフトバンクの「全社RAG基盤」　構築の泥臭い舞台裏

本記事は、上記の公開情報をもとに、情報システム担当者向けに要点・影響・確認ポイントを整理したものです。脆弱性対応・製品仕様・更新情報は変更される可能性があります。実際の対応前に必ず元記事・公式情報をご確認ください。

Post Views: 9