AI統治、証拠を示せる企業は2割 Arctera調査
この記事の要点
Arcteraの調査で、AIを使う組織の78%が今後1〜2年で情報発信のリスク増を見込む一方、AIの動きを記録し証拠として示せる体制を持つのは19%にとどまった。方針はあっても記録が伴わない実態が浮かんだ。
結論
Arcteraが7月21日に公表した調査で、AIを使う組織の78%が、今後1〜2年で情報発信に関わるリスクが増えると見込んでいることが分かった。一方、AIが何を出力し、誰が確認し、どこへ送ったかを記録して証拠として示せる体制を持つのは19%にとどまる。方針や研修、確認の手順は55%が整えているが、実際の動きを裏づける記録が伴っていない。AIを規制の絡む業務へ広げるほど、「何が起きたかを示せるか」が問われる。方針を作るだけでは、監査にも障害対応にも足りない。
何が分かったか
調査は市場調査会社が2026年5月に実施し、南北アメリカと欧州・中東・アフリカで、金融、医療、エネルギーなどの分野で法令順守に関わる意思決定者や影響力を持つ人を500人集めて分析した。回答者はいずれも、自社の順守に関する判断に関与する立場にある。
浮かんだのは、方針と証拠の間の差である。半数を超える55%が、AIの中核的な方針、研修、確認の手順を整えている。だが、AIの出力や確認の記録を残し、検知し、点数づけする仕組みまで持つのは19%にとどまる。加えて、45%が「規制の絡む業務でAIを中核的に、あるいは幅広く使っている」と答えた。規制の絡む場でAIを使いながら、その動きを証拠として示せる組織は5社に1社に満たない。
Arcteraはこの差を「証拠の層」の欠落と表現した。記録がなければ、AIが何を生み出し、誰が確認し、どこへ送られ、その記録が保たれたかを、確信を持って示せない。78%が情報発信のリスク増を見込む中で、その備えが記録に落ちていない実態がある。AIの導入が防御を追い越す構図は、AIの導入が防御を追い越す 78%が既にインシデント経験でも別の調査から示されている。
この差が生まれるのは、方針づくりと記録の仕組みでは、必要な手間が違うからだ。利用の方針や研修は、文書を整え周知すれば形になる。一方、AIの出力や確認の履歴を漏れなく残し、後から検索できるようにするには、システムへの作り込みが要る。導入を急ぐと、着手しやすい方針の整備が先に進み、手間のかかる記録の仕組みが後回しになる。55%と19%という差は、この着手のしやすさの違いをそのまま映している。方針があること自体は前進だが、記録が伴わなければ、いざというときに何も示せない。
現場の実務にどう効くか
AI推進の担当者がまず点検すべきは、自社のAIが「方針だけ」で止まっていないかだ。利用の方針や研修があっても、実際にAIが何を出力し、誰が確認したかの記録が残っていなければ、問題が起きたときに説明できない。まず、AIを使う業務ごとに「出力の記録は残るか」「確認した人は記録されるか」を確かめるところから始めたい。
具体的には、規制の絡む業務を優先して記録の仕組みを整える。金融の与信、医療の記録、契約文書の作成といった、後から根拠を問われる業務では、AIの出力と確認の履歴を残す価値が高い。逆に、社内の下書きやアイデア出しでは記録の負荷を軽くしてよい。全業務を一律に扱わず、リスクの高い業務から証拠の層を積む。基本的な社内ルールの作り方は生成AIとセキュリティ 情報漏洩を防ぐ基本と社内ルール策定が入口になる。
この差は、AIの導入率が高い企業ほど広がりやすい。導入を急ぐと、方針の整備が先行し、記録の仕組みが後回しになる。組織側の摩擦はAI導入で79%が壁、生成物の出所を示す統治はMicrosoft 365 Copilotの電子透かしが具体的だ。数値は特定の調査に基づくもので、自社の状況は自社のデータで確かめてほしい。
記録の仕組みは、後から付け足すほど手間がかかる。AIを業務へ入れる設計の段階で、出力と確認の履歴をどこに残すかを決めておけば、追加の作り込みは小さく済む。一方、記録を考えずに広げてから遡って整えようとすると、業務ごとにばらばらの対応が必要になる。78%が情報発信のリスク増を見込む今、方針の整備と同じ速さで記録の仕組みを進められるかが、規制対応の分かれ目になる。証拠を示せる2割に入るための第一歩は、規制の絡む業務を選び、そこから履歴を残す設計を始めることだ。
FAQ
Q. 「証拠の層」とは具体的に何を残すことですか。 A. AIの出力内容、確認した人、送られた先、記録が保たれたかを追える履歴です。問題が起きたときに、何が起きたかを示すための記録を指します。
Q. すべての業務で記録を残すべきですか。 A. 一律である必要はありません。与信や医療、契約など後から根拠を問われる業務を優先し、社内の下書きなどは負荷を軽くする、といった濃淡をつけるのが現実的です。
出典
よくある質問
Arctera調査の最も重要な数字は何ですか
AIを使う組織の55%が方針や研修、確認の手順を整えている一方、AIが何を出し誰が確認したかを記録し証拠として示せる体制を持つのは19%にとどまる点です。方針と記録の間に大きな差があります。
なぜ記録の体制が問題になりますか
問題が起きたとき、AIが何を出力し、誰が確認し、どこへ送られ、記録が残ったかを示せなければ、規制対応も原因究明もできないためです。方針だけでは説明責任を果たせません。
関連記事
FSB議長が警告 AIサイバー攻撃が金融の安定を脅かす
金融安定理事会のベイリー議長がG20に対し、AIを使ったサイバー攻撃が金融システムへの最も差し迫った脅威だと警告した。攻撃の速度と規模が変わり、少数のクラウドやAI企業への依存が集中リスクを生む。企業の防御見直しを迫る。
エージェント導入58%も安全に自信28% Booz Allen調査
Booz Allenの調査で、米連邦機関の58%がAIエージェントを導入または試験中と答えた一方、安全に運用できる自信があるのは28%にとどまった。導入の速さに、統制と信頼が追いついていない実態が浮かんだ。
AIの導入が防御を追い越す 78%が既にインシデント経験
DigiCertの調査で、企業の78%がAI関連のセキュリティ問題を経験し、半数は不正または誤設定のAIエージェントに起因する事案に直面したとわかった。理事会で議論しても専用予算と統治体制は半数どまり。導入が防御を追い越す現状と、現場が埋めるべき差を整理する。