AI時代の競争力を支えるデータガバナンス - AIエージェントの活用と統制を両立する - 日本企業のAIエージェント戦略 - PoCから本番活用へ、乗り越えるべき4つの課題(4)

本連載「日本企業のAIエージェント戦略 - PoCから本番活用へ、乗り越えるべき4つの課題」では、日本企業がAIエージェント活用・展開にあたり直面する課題を、Context(文脈)、Choice(選択肢)、Control(コントロール)、Cost(コスト)という「4つのC」の観点で整理します。

AIエージェントに「任せて大丈夫か」に答えるために

2025年9月に全面施行されたAI推進法は、企業にAIの積極的な活用とリスク対応に努めるよう求めています。ただし、罰則の規定はありません。内閣府のAI指針も、事業者の“自主的かつ能動的な取り組み”を促しています。

「エージェントに任せて本当に大丈夫か」という懸念から、多くの企業がAIエージェントの活用を、PoC（Proof of Concept＝概念実証）から先になかなか進められていません。

そんな中で企業に求められるのは、何をもって安全とするのかを自ら決め、説明することです。指針でも、その開示や説明が「企業価値の向上や競争優位性の確保にもつながるものと期待される」と記されています。

今回は、競争力の源となるAI活用の「Control(コントロール=統制)」について解説します。

リスクはモデルの外にある

2026年7月に改定された人工知能基本計画は、AIが「意思決定・実行を担う主体へと進化」したとして、AI推進法などの「制度による対応」に加え、「技術による対応」と「組織管理による対応」に取り組むよう求めています。

例えば、顧客からの問い合わせに答えるエージェントは、LLM(大規模言語モデル)で質問の意図を読み取り、顧客管理システムから注文履歴を取り出し、社内システムで配送状況を確かめ、もう一度LLMで回答を作ります。エージェントはここまでの処理を、人が確認することなく進めます。

問われるのは、エージェントが誰の権限でデータを読んだのか、その操作をしてよかったのか、エージェントが何をしたのかを後から確かめられるのか、という点です。これらはどれも、モデルの外の「つなぎ目」で起きる問題です。

シンガポールと韓国のAI安全研究所が共同で行った、エージェントによるデータ漏洩に関する評価（Baekほか、2026年）では、悪意のない12のタスクで、3つのエージェントのいずれもが、すべてのシナリオを安全に実行できませんでした。また、不要な情報へアクセスしたり、不適切な相手へ情報開示したりといった問題が起きていました。

AIエージェントの不正操作実行リスクの評価（Zhaoほか、2026年）によると、AIエージェントが悪意ある指示に従い不正な操作を実行した割合は、主要な5つの最新モデルで10.7～29.6%でした。

つまり、どれだけAIモデル自体の性能が高くても、人間や業務、データ、システム、記録などとの接続部分の設計が悪ければ、問題が生じるリスクがあるということです。

エージェントの1回の処理と、存在するリスク

「禁止」「自前」「1つに絞る」では守れない

AIが持つリスクを前に、企業が取りがちな対応があります。

-全面的に使用を禁止する -リスクがわかるまで禁止する -自社の環境でモデルを動かす -1つのモデルに絞る

どれも「モデルをどう扱うか」で安全を確保しようとしています。しかし、禁止しても利用需要は消えません。米ボストンコンサルティンググループが日本を含む11の国・地域で行った調査では、54%が「正式に許可されていなくてもAIツールを使う」と回答しました。

サイバーセキュリティクラウドの国内調査でも、業務で生成AIを使う会社員の19.2%が禁止されても「個人的に利用を続ける」と答えています。管理が行き届かない中でAIが使われると、リスクは見えなくなります。これには、リスクの大きさに応じて、使える範囲と条件を決めることで対応できます。

リスクがわかるまで、禁止する必要はありません。AI指針では、AIの予見可能性や説明可能性が十分でないことを前提に、PDCAを回すよう求めています。本番のエージェントの68%も、人の介入までのステップを10以下に抑えています（Panほか、2025年）。範囲を限って使い、記録を見ながら見直せばよいのです。

自社の環境でモデルを動かしていれば安全、というわけではありません。モデルが強い権限を持っていれば、本来は見てはいけない社内データにアクセスして、回答を作成してしまうこともあります。モデルを動かす場所は用途で選び、統制を共通にすることが重要です。

1つのモデルに絞れば安全、というわけでもありません。どの最新モデルにも弱さはあります。また最適なモデルは用途ごとに異なり、入れ替わり続けます。かといって、AIが乱立すると、連携の重複やルールのばらつき、支出の膨張が起きます。1つにまとめるべきなのは、モデルではなく統制の仕組みです。

よくある「安全策」と、実際に起きること

AIのガバナンスは、データのガバナンスから

では、統制の軸はどこに置くべきでしょうか。エージェントが何をするかは、どのデータにアクセスできるか、そのデータが最新で正しいかで決まります。つまり、AIのガバナンスは、突き詰めれば「データのガバナンス」なのです。

そこで、テーブルやファイルといったデータと、モデルやツール、MCP(Model Context Protocol)サーバ、エージェントといったAIの資産を、一つの台帳と権限の体系で管理します。データとAIのガバナンスが別々だと、その境界で統制の空白が生じるからです。

エージェント用に、データを別の場所にコピーする構成も避けたいところです。元データで設定した権限が、コピー先で正しく引き継がれないリスクがあるためです。

また、集計は、権限のないデータを当初の計算に含めると、後から隠しても結果に影響が残る可能性があるため、計算の前にアクセスを制御する必要があります。AIが取得した会話の記憶や作業の途中経過といった記録にも、適切な統制が求められます。

速さと統制を両立させる3つの設計原則

この土台の上に、「技術による対応」として、以下の3つの設計原則を置きます。

-権限：専用の強い権限を与えず、依頼した利用者本人の権限のまま、データの行の単位まで動かす。

-制御：モデルやツール、MCPサーバーの呼び出しを一つの制御点に集め、実行の瞬間に判定する。

-記録：プロンプトと応答、ツールの呼び出し、判定の結果を、業務データと同じ場所にデータとして残す。

特に重要なのが、権限です。権限委任を扱った論文（Muruaga、2026年）は「プロンプトインジェクションが危険なのは、エージェントにその操作を行う権限がある場合だけだ」と指摘しています。権限のルールはテーブルごとではなく、「個人情報」などの属性に対して定め、機密データの分類も自動化します。

制御では、取り消しのきかない操作に人の承認を求め、どの提供者のモデルを使っても同じルールが効くようにします。稼働中のリモートMCPサーバの40.55%が認証なしでツールを公開していたという論文（Zhouほか、2026年）もあるため、つなぎ先は台帳で管理します。

記録は、回答から元のデータまでたどれる形で残します。なお、前述の権限委任の論文では、負荷のない環境で、認可の判定そのものの99%が0.24ミリ秒以内に終わっています。ただし、すべてを自動化すればよいわけではありません。例外や重大な判断は人が行うこと、根拠が欠けているときはエージェントに推測させずに人が業務を担うことと、あらかじめ決めておきます。