業務における生成AI利用実態調査から見る、社内統制とセキュリティ上の課題

解説

近年、業務効率化の観点から多くの企業で生成AIの導入が進みましたが、その具体的な活用状況やガバナンスの実態についてはブラックボックス化しているケースが増えています。まるで「禁止すれば解決する」という管理手法が通用しなくなってきている、というのが今回の調査結果が示唆する背景です。

本記事は、Webセキュリティサービスを手掛ける企業が行った調査に基づき、実際に業務でAIを利用している会社員を対象に実施されたものです。その結果から見えてきたのは、単なる利用ルールの策定だけでは管理が難しい現実があります。

特に注目すべき点は、自身が日常的に使っているAIツールについて「勤務先から禁止されても個人的に使い続ける」という意向を持つ人が一定数存在することです。また、業務で活用しているAIの範囲についても、会社全体で「全て申請・共有している」と報告できる人は少数派であり、一部での利用や非公式な利用がまかり通っている実態が浮き彫りになりました。

企業側としては、現場の実情と策定された利用ルールとの間に大きな隔たりが生じている状況にあると言えます。そのため、AIの利用を「可視化」し、安全かつ組織的に活かせる環境整備が喫緊の課題として求められています。

ポイント

• 生成AIを利用する従業員に実施された調査によると、約4割の人が会社から禁止されても個人的に使い続ける意向を示している。
• 業務で利用しているAIツールの情報共有や申請を適切に行っている人は少数派であり、実態とルールの間に乖離が生じている。
• 企業側には、現場での実際のAI利用状況を可視化し、適切なセキュリティ対策とガバナンスを構築する仕組みの導入が求められる。

情シスへの影響

複数の部門や個人の行動様式に根差した課題であり、技術的な設定だけでなく、組織的な取り組みが必要になります。主要な論点は以下の通りです。

1. 利用範囲の可視化と統制（リスク管理）

2. 従業員個人が業務上の目的でアクセスするAIサービスの種類やデータフローを把握することが困難であり、データの漏洩リスクが高まっています。特定のクラウドサービスや外部APIへのデータ送信経路をモニタリングし、制御する必要があります。

3. ガバナンスとアクセスポリシーの再構築（技術・運用）

4. 単なる利用禁止ルールの周知ではなく、「何を利用して良いか」「どのようなデータを入力しても安全か」という具体的なポリシーが必要です。これに伴い、利用可能なAIツールを限定し、アクセスログやデータ保持ポリシーを厳格に適用する必要があります。

5. 対応の重点（教育と技術的介入）

6. 解決策は技術的な防御だけでなく、社員に対する「正しい使い方」のガイドラインやトレーニングが必須です。管理者は、利用が進む範囲を把握し、適切なセキュリティ対策（例えば、企業内AIプラットフォームへの誘導やDLPの強化など）を講じる必要があります。

重要度

★★★★☆

対象者

• セキュリティ担当者
• M365管理者
• AD管理者
• ネットワーク管理者

優先度

早めに対応