The Hacker Newsは10月7日(現地時間)、「New Research: AI Is Already the #1 Data Exfiltration Channel in the Enterprise」において、企業データ流出元の第1位はAIだと報じた。

これは将来の懸念ではなく、今やAIは企業データ流出における最大の制御不能チャネルとなっており、その規模はシャドーITや管理されていないファイル共有よりも大きいという。

記録的な速さで導入されたAIが企業統治を脅かす

ChatGPTが公開されてから来月で3年が経過しようとしている。AI開発におけるこの3年間の進化の速度は目覚ましく、AIエージェントの実用化が進み、さまざまな形で企業内部へも浸透した。The Hacker Newsによると、従業員の約半数(45%)がAIツールを利用し、ChatGPTだけでも43%の普及率とされる。

しかしながら、こうしたAIの活用は企業ガバナンスを置き去りにし、管理外での利用を常態化に導いた。AI利用の67%は個人アカウントで行われ、最高情報セキュリティ責任者(CISO: Chief Information Security Officer)は把握できていないと見られる。

機密データを個人アカウントで扱うリスク

この状況は新しい憂慮すべき問題を生み出している。業務で個人アカウントを利用する従業員は、企業の機密データも個人アカウントで扱うとされる。このような行動を取る従業員は、平均して1日3回以上、機密データをAIツールにコピー＆ペーストするという。これが最大の流出経路になっており、不正なアップロードをブロックするセキュリティソリューションの盲点とされる。

セキュリティ責任者は企業アカウントの安全性に依存しがちだが、従業員はシングルサインオン(SSO: Single Sign On)を回避する傾向が高く、CRMログインの71%、ERPログインの83%は非連携型とされる。その結果、企業ログインと個人ログインの区別がつかなくなり、可視性、制御性が失われるという。

AI時代のガバナンス

個人アカウントでのログインはチャット／ショートメッセージサービス(SMS: Short Message Service)が多く、業務連絡の87%は管理外で行われ、62%が個人識別情報(PII: Personally Identifiable Information)などを送信するという。AIツールの管理外利用もこのチャットに次ぐ規模とされ、シャドーチャットとシャドーAIの利用が負の相乗効果をもたらすとみられている。

この状況を改善する策として、次の4点が提案されている。

  • AIをメールやファイル共有と同様に、セキュリティの中核として扱う
  • ファイル管理から情報漏えい対策(DLP: Data Loss Prevention)へ移行する
  • 管理外アカウントの利用を制限する
  • AI、チャット、ファイルストレージの管理を厳格化する

これら一連の指摘、改善の提案はLayerXの最新調査レポート「The LayerX Enterprise AI & SaaS Data Security Report 2025」をまとめたもの。AI導入を積極的に推進する企業にレポートの閲覧およびセキュリティ強化が望まれている。